Para identificar um site falso, compare o domínio com o endereço oficial, observe o que a página solicita e confirme a oferta ou pendência fora daquele ambiente. Logotipo, aparência profissional, HTTPS e dados pessoais corretos podem ser copiados. O principal teste é verificar se identidade, endereço e finalidade são coerentes.
Um site falso costuma combinar imitação visual com um endereço que não pertence à organização representada. Ele também pode criar urgência, pedir credenciais, direcionar pagamentos ou iniciar downloads inesperados. A identificação exige avaliar em conjunto o domínio, a origem do acesso, a qualidade funcional da página e a ação solicitada ao visitante.
Os principais sinais são:
- domínio diferente do oficial: letras trocadas, palavras adicionais ou terminações incomuns;
- página isolada: menus, rodapé e links não funcionam ou voltam sempre ao mesmo formulário;
- urgência artificial: ameaça de bloqueio, cobrança imediata ou oferta prestes a expirar;
- dados excessivos: pedido de senha completa, código de autenticação, cartão ou documentos sem justificativa;
- pagamento incompatível: beneficiário diferente da empresa, Pix para pessoa física ou boleto sem conferência;
- download inesperado: solicitação para instalar aplicativo, extensão, certificado ou arquivo executável;
- contato difícil de confirmar: canais inexistentes ou informações copiadas de outra organização;
- origem suspeita: acesso iniciado por anúncio, mensagem ou QR Code não solicitado.
Em alerta publicado em 10 de abril de 2026, a Receita Federal descreveu páginas que simulavam ambientes oficiais e usavam ameaças de restrições no CPF e no Pix. A orientação foi consultar informações fiscais exclusivamente nos canais oficiais e nunca fornecer dados em sites não verificados.
Como conferir se o domínio pertence à empresa ou ao órgão?
Digite o endereço oficial por conta própria ou abra o aplicativo já instalado, sem aproveitar o link que levou à página suspeita. Compare o domínio letra por letra e verifique se o serviço procurado realmente existe naquele canal. Resultados patrocinados, logotipos e nomes conhecidos não substituem essa comparação direta.
Nos serviços do Governo Federal, o CISC/Gov.br afirma que os sites oficiais usam o domínio .gov.br. Ainda assim, confira o endereço completo e o comportamento da página. Uma palavra como gov, receita ou banco fora do domínio principal pode ter sido colocada apenas para produzir aparência de legitimidade.
Exemplos fictícios ajudam a separar os elementos:
servico.gov.br— domínio governamental;gov.br.exemplo.com— domínio controlado porexemplo.com;regularizacao-gov.com.br— endereço comercial que apenas inclui “gov” no nome;exemplo.com/receita— página interna deexemplo.com, não da Receita Federal.
A leitura detalhada do endereço está na página como identificar uma URL falsa.
Um site com cadeado e HTTPS pode ser falso?
Sim. HTTPS informa que a conexão com o site está criptografada, não que a empresa exibida na tela controla aquele domínio. Criminosos também podem obter certificados para páginas falsas. O cadeado reduz o risco de interceptação durante a transmissão, mas não impede que os dados sejam enviados com segurança ao responsável errado.
Use HTTPS como requisito técnico, não como certificado de honestidade. A validação de identidade depende de conferir o domínio e chegar ao serviço por uma rota independente. Selos de segurança, avaliações e contadores exibidos dentro da própria página também podem ser imagens sem qualquer verificação externa.
Como reconhecer uma loja ou página de pagamento falsa?
Uma loja ou página de pagamento falsa pode copiar produtos e avaliações, oferecer preço muito abaixo do mercado e conduzir rapidamente ao Pix, boleto ou cartão. Antes de pagar, confirme a existência da empresa, compare o beneficiário apresentado pelo banco e verifique se a compra também aparece no aplicativo ou site oficial acessado separadamente.
Observe especialmente:
- Preço e disponibilidade: desconto extremo e estoque “acabando” pressionam a decisão.
- Carrinho e navegação: páginas falsas podem ter poucas áreas funcionais além do pagamento.
- Identificação do recebedor: o nome exibido pelo banco deve ser compatível com a transação esperada.
- Forma de pagamento: exigência exclusiva de Pix ou transferência reduz possibilidades de contestação.
- Dados solicitados: senha bancária e código de autenticação não pertencem ao checkout de uma loja.
O site ter CNPJ no rodapé não basta. Dados de empresas reais podem ser copiados e usados em páginas que não têm relação com elas. A confirmação precisa ocorrer por fonte independente, sem usar telefone ou botão fornecido pelo próprio site suspeito.
Dados pessoais corretos provam que o site é verdadeiro?
Não. Nome, CPF, endereço, data de nascimento e informações de familiares podem ter sido obtidos em vazamentos, cadastros expostos ou outras fontes. Esses dados são usados para personalizar a abordagem e diminuir a desconfiança. A autenticidade deve ser confirmada pelo domínio e pelo canal oficial, não pelo reconhecimento das informações exibidas.
Em alerta modificado em 8 de abril de 2026, o CISC/Gov.br informou que campanhas de phishing apresentavam dados verdadeiros das vítimas antes de direcioná-las a pagamentos por boleto ou Pix. O conteúdo correto fazia parte da fraude, em vez de funcionar como prova de legitimidade.
O que fazer se o site pedir para baixar um arquivo?
Não baixe arquivos que surgiram após uma mensagem, cobrança ou busca não planejada, principalmente executáveis e supostos certificados. Feche a página e confirme no canal oficial se aquele documento existe. Se o download começou automaticamente, não abra o arquivo; verifique a pasta de downloads e faça uma análise de segurança no aparelho.
O CTIR Gov relatou, em recomendação atualizada em 2 de março de 2026, páginas que simulavam serviços governamentais e induziam o download de um executável disfarçado de certificado. O caso demonstra que a aparência institucional e até elementos legítimos do endereço não tornam um arquivo esperado.
Como verificar tecnicamente um site suspeito?
Copie o endereço sem interagir com a página e submeta-o a uma ferramenta de análise. O Detector de Links Perigosos do dfndr security permite verificar links e sites antes do acesso. O resultado técnico deve complementar a comparação do domínio, pois não determina se uma promoção, cobrança ou identidade comercial é verdadeira.
Quando a página já estiver aberta:
- não preencha formulários para “testar”;
- não permita notificações, localização, câmera ou downloads;
- não use botões internos para procurar suporte;
- copie o endereço e feche a aba;
- procure a organização por um canal conhecido;
- registre evidências somente se isso puder ser feito sem nova interação.
Qual é a análise da PSafe sobre sites falsos?
Nossa análise considera que sites falsos são mais convincentes quando o visitante avalia aparência e conteúdo, mas ignora propriedade e finalidade. A identidade visual responde apenas “com quem a página quer parecer”. O domínio mostra quem controla o endereço, enquanto o pedido final revela o resultado que o operador deseja obter.
Por isso, o método mais consistente usa três perguntas: este é o domínio oficial, eu esperava esta solicitação e a ação pode ser confirmada fora desta página? Se uma resposta for negativa ou desconhecida, não há base suficiente para inserir dados, baixar arquivos ou pagar.
Perguntas frequentes sobre como identificar site falso
Site falso sempre tem erro de português?
Não. Textos, imagens e layouts podem ser copiados de páginas verdadeiras ou produzidos sem erros aparentes. Problemas de escrita são um alerta possível, mas domínio e comportamento oferecem sinais mais consistentes.
Posso confiar em um site que mostra CNPJ?
Não apenas por isso. Um CNPJ verdadeiro pode ter sido copiado de outra empresa. Compare razão social, domínio, atividade e beneficiário do pagamento usando fontes independentes do próprio site.
Resultado patrocinado no Google é sempre verdadeiro?
Não. A posição ou o formato de anúncio não substituem a validação do domínio. Leia o endereço antes de abrir e, para serviços sensíveis, prefira digitar o site conhecido ou usar o aplicativo oficial.
Como saber se uma página do Governo Federal é falsa?
Confira se o domínio termina exatamente em .gov.br e se o serviço pode ser localizado a partir do portal oficial. Nomes e símbolos governamentais dentro da página podem ser copiados. Solicitações por WhatsApp e pagamentos inesperados exigem confirmação separada.
O que fazer se digitei meus dados em um site falso?
Troque imediatamente as senhas informadas, encerre sessões ativas e habilite verificação em duas etapas. Se forneceu cartão ou dados bancários, contate a instituição pelos canais oficiais. As medidas completas dependem dos dados entregues e de possíveis downloads.
Fechar um site falso elimina o risco?
Fechar a página interrompe a interação, mas não desfaz dados enviados, pagamentos feitos ou arquivos instalados. Revise o que ocorreu durante o acesso e aja conforme a informação ou permissão concedida.