Os links não são o que parecem.
Uma lição de 10–14 minutos: anatomia da URL, o ritual de ler para trás até o domínio e os três disfarces mais usados pelo phishing.
Desarmar uma URL peça por peça, ler sua parada real e detectar domínios disfarçados, subdomínios armadilha e encurtadores opacos.
O caso
O destino impresso no link é propaganda: a parada real se lê em três segundos.
Em 10–14 minutos você dominará o leitor de estações: desarmar qualquer URL, achar sua parada real e desmontar os disfarces mais comuns.
O que você vai aprender
- Desarmar uma URL peça por peça e localizar o domínio
- Aplicar a leitura para trás em três segundos
- Decidir o itinerário: abrir, evitar ou verificar cada link
O leitor de estações
Barra, leia para trás: essa é a parada. Com essa regra, nenhum disfarce de domínio te faz subir no trem errado.
Peças
Cinco pedaços, um manda.
Leitura
Barra e para trás.
Disfarces
Subdomínio, sósia, encurtador.
Itinerário
Verde, vermelha ou âmbar.
Perguntas frequentes
O que é um subdomínio e por que importa?
É o rótulo que vai na frente do domínio (login.banco.com). Importa porque os atacantes o usam como isca: banco.com.login.ru parece do banco, mas a parada real é login.ru.
Encurtadores de link são perigosos?
Não são maliciosos em si — são opacos: escondem a parada real até você expandi-los. Com um remetente desconhecido, melhor não apostar — verifique pelo seu próprio canal.
Teste você mesmo: Teste relâmpago: onde o trem para?
Qual peça da URL é a parada real?
Resposta certa: O domínio: o pedaço logo antes da primeira barra, lido para trás.
O domínio manda: é a única peça que o bilhete não consegue falsificar. Subdomínio e rota são isca e decoração.
http://banco.com.login.ru/verificar — em que estação ele para?
Resposta certa: login.ru: banco.com é só subdomínio (isca).
O truque mais usado do anden: o domínio legítimo entra na frente como subdomínio enquanto a parada real se esconde no fim.
O link tem cadeado verde e HTTPS. Significa que o destino é seguro?
Resposta certa: Não: HTTPS cifra o trajeto, não a honestidade do destino — phishers também o têm.
O cadeado é de graça em qualquer web de golpe moderna. Ele valida o cifrado do trajeto, nunca a identidade do destino.
A regra de bolso — Não leia o destino impresso: ache a primeira barra e leia para trás — essa é a parada real. HTTPS cifra o trajeto, não a honestidade.
O que você leva
Inspecionar qualquer URL e descobrir seu destino real antes de clicar.