como identificar link de phishing
A maioria dos links de phishing não depende de um site clonado perfeito, depende de um endereço que parece certo à primeira vista. O navegador segue regras exatas para decidir qual é o host real de uma URL, e é justamente aí, na diferença entre o que o olho lê e o que o navegador resolve, que o golpe se esconde.
O host de verdade é `xn--gogle-qmc.example`, que decodifica para `ɡgogle.example` com um caractere confundível no lugar do "g".
A troca de "l" por "1" é a substituição mais barata de detectar por distância de Levenshtein e uma das mais comuns em campanhas reais.
Serviço legítimo raramente pede login num endereço IP puro sem HTTPS: a ausência de certificado nomeado já é um sinal isolado forte.
Não abrimos o link diretamente nem fazemos fetch HTTP/TLS/DNS no alvo a partir da nossa infraestrutura. O que pode existir é consulta a feeds, blocklists e relatórios externos já conhecidos, sem submissão ativa para scan.
Porque a RFC 3986 reserva esse trecho para credenciais de autenticação HTTP embutidas na URL (`usuario:senha@host`), um recurso antigo e hoje raramente usado de forma legítima; o navegador segue a especificação à risca e trata tudo antes do `@` como login, não como parte do domínio, o que abre a brecha para o golpe.
Punycode (RFC 3492) é o esquema que codifica letras não-ASCII num domínio para o formato `xn--` que o DNS entende; ele existe para permitir domínios internacionalizados legítimos, mas também permite registrar um domínio com letras de outro alfabeto visualmente idênticas às latinas, a base do ataque de homógrafo.
Não, a análise é passiva: ela examina só a estrutura da URL (host, encoding, caracteres confundíveis, padrão de marca) sem buscar o conteúdo nem consultar terceiros, então um domínio recém-registrado, tecnicamente limpo mas malicioso, pode passar sem sinal algum.
Porque o encurtador esconde o domínio real de destino atrás de um host genérico, retirando justamente a informação que permitiria julgar o link antes de clicar; isso não torna o link malicioso por si só, mas eleva o risco por ocultar exatamente o dado que os outros sinais analisam.
Cole uma URL para iniciar a análise.
Não abrimos o alvo diretamente do nosso servidor. A camada estrutural roda no navegador e a camada externa, quando disponível, consulta apenas bases, feeds e relatórios já existentes dos provedores integrados.