Credential Stuffing: Invasão por Senha Vazada
Como funcionam os ataques automatizados que usam senhas vazadas para invadir contas bancárias e como proteger suas credenciais.
Fraude de Phishing Bancário
Páginas falsas de bancos enviadas por e-mail, SMS ou redes sociais capturam login, senha e token de autenticação para acesso não autorizado à conta.
Ficha da Fraude
Nível de risco
Risco alto
Tipo
Fraude Digital
Canal
E-mail / Redes Sociais / SMS
Público-alvo
Correntistas
Prejuízo estimado
R$ 500 – R$ 50.000
Como a fraude acontece
A vítima recebe um e-mail, SMS ou mensagem com layout idêntico ao do banco alegando problema na conta, fatura em atraso ou atualização obrigatória. O link leva a uma página clonada onde a vítima insere login, senha e até o token de autenticação. O criminoso usa essas credenciais em tempo real para acessar a conta verdadeira e realizar transferências.
Sinais de alerta
- URL diferente do domínio oficial do banco (ex: banco-seguro.com em vez de banco.com.br)
- E-mail com erros de português ou formatação estranha
- Mensagem pedindo token ou código de autenticação
- Solicita atualização urgente com prazo curto
Como se proteger
- Nunca clique em links de e-mails bancários — acesse direto pelo app ou digitando o endereço
- Verifique sempre a URL antes de digitar qualquer dado
- Em caso de dúvida, ligue para o banco pelo número no verso do cartão
- Ative autenticação em dois fatores por app autenticador
Fui vítima — o que fazer agora
0 / 4- Troque imediatamente a senha do banco
- Ligue para o banco e relate o acesso suspeito
- Verifique o extrato por transações não reconhecidas
- Registre Boletim de Ocorrência
Checklist concluído! Guarde os protocolos de atendimento recebidos.
O que você precisa saber
- – Phishing bancário replica com precisão o visual dos bancos
- – A URL do site é sempre diferente do domínio oficial — verifique sempre
- – Nunca acesse o banco por links de e-mail, SMS ou WhatsApp
- – A urgência na mensagem é característica quase universal do phishing
A mensagem parece legítima. O logo do banco está correto, as cores são as certas, o texto é formal. Há apenas um detalhe diferente: o endereço do site termina em “.net” em vez de “.com.br”, ou tem uma letra extra. Esse detalhe é o único rastro visível de uma armadilha cuidadosamente construída.
Phishing bancário usa páginas falsas, e-mails e mensagens fraudulentas para coletar credenciais de acesso a contas bancárias. O nome vem do inglês “fishing” — uma analogia ao anzol digital lançado na esperança de que alguém morda.
Seu banco nunca enviará um link pedindo que você insira login, senha ou token. Se uma mensagem faz isso, é phishing — independentemente de como parece.
O ciclo de um phishing moderno é rápido e automatizado. A mensagem chega, a vítima clica, insere os dados na página falsa — e os criminosos já estão usando essas credenciais em tempo real no site verdadeiro do banco.
R$ 1,8 biem perdas causadas por phishing bancário no Brasil em 2023Fonte: Kaspersky
Sinais de phishing bancário
- – URL com domínio diferente do oficial do banco
- – Mensagem com urgência extrema: “sua conta será bloqueada em 24h”
- – Erros de português ou formatação estranha
- – Remetente de e-mail diferente do domínio oficial
- – Solicitação de token, código ou senha completa
Perguntas frequentes
Geralmente não — apenas acessar uma página de phishing não instala malware. Mas se o site pediu para instalar algo, faça uma verificação com antivírus.
Digite o endereço manualmente no navegador — nunca copie de mensagens. O site oficial estará nos documentos físicos (extrato, cartão) e nas redes sociais verificadas.
Se o phishing aproveitou uma vulnerabilidade técnica do banco, há responsabilidade compartilhada. Cada caso é analisado individualmente.
Instale um gerenciador de senhas. Ele não preencherá automaticamente suas credenciais em sites falsos — porque reconhece que o domínio é diferente do original.
Fraude no Marketplace: Produto Entregue Diferente e Estorno Negado pelo Vendedor
Compra em marketplace com produto diferente do anunciado, defeituoso ou vazio. Vendedor some ou nega o estorno. Veja como garantir seu direito.
Fraude de Aluguel de Temporada: Imóvel no Airbnb ou Booking que Não Existe
Anúncio de aluguel de temporada com fotos reais e avaliações falsas. Vítima paga e chega no destino sem acomodação.