Um certificado HTTPS válido, um logótipo cuidado e imagens de alta definição: estes elementos transmitem confiança, mas custam muito pouco a produzir. Identificar os sinais de alerta de um site suspeito exige cruzar vários indícios técnicos e jurídicos, em vez de confiar numa impressão visual. Este artigo analisa os critérios mensuráveis que distinguem um site fiável de uma fachada fraudulenta.
Fiabilidade de um site: tabela de sinais técnicos a cruzar
Nenhum sinal isolado é suficiente para classificar um site como fraudulento. É a combinação de vários indicadores que permite chegar a um diagnóstico. A tabela abaixo reúne as verificações mais reveladoras, classificadas por nível de fiabilidade.
| Sinal verificado | Site fiável | Site suspeito |
|---|---|---|
| Antiguidade do domínio (WHOIS) | Vários anos, proprietário identificável | Domínio registado há algumas semanas ou meses, dados ocultos |
| Informações legais / condições gerais de venda | Denominação social, SIRET, morada física, contacto | Em falta, incompletas ou copiadas de outro site |
| Identidade do vendedor (marketplace) | Nome, país e estatuto profissional apresentados antes da compra | Nenhuma informação sobre o vendedor terceiro |
| URL e nome de domínio | Coerente com a marca, sem caracteres suspeitos | Erros ortográficos, vários hífenes, extensão invulgar (.xyz, .top) |
| Aviso do navegador | Nenhuma mensagem de segurança | Alerta «site enganador» ou certificado expirado |
| Política de pagamento | Meios de pagamento rastreáveis (cartão, PayPal) | Apenas transferência bancária, criptomoeda obrigatória |
Um domínio criado há menos de três meses, associado à ausência de informações legais, constitui um conjunto de indícios suficiente para desistir de qualquer compra. A análise que se segue detalha as discrepâncias mais reveladoras.
URL e nome de domínio: primeiros indícios de fraude online
O endereço web continua a ser o ponto de entrada mais rápido de analisar. Os chamados ataques homográficos consistem em substituir uma letra por um carácter visualmente semelhante (um «q» no lugar de um «g», um «rn» a imitar um «m»). Este tipo de manipulação visa marcas conhecidas para captar tráfego de confiança.
Um artigo que explica como identificar um site suspeito como o Aplouf.com ilustra bem o método: verificar a coerência entre o nome de domínio, a atividade anunciada e as informações legais apresentadas.
Além da ortografia, a extensão do domínio merece atenção. As extensões genéricas baratas (.top, .xyz, .click) surgem de forma desproporcionada em campanhas de phishing, porque custam menos de um euro por ano. Um site comercial francês legítimo utiliza, na maioria dos casos, um .fr ou um .com.
Obrigações legais recentes: o que um site deve apresentar em França e na UE
A regulamentação fornece critérios objetivos para avaliar um site, desde que se saiba o que procurar.
- A lei SREN de 21 de maio de 2024 obriga os marketplaces a indicar claramente se o vendedor é um profissional ou um particular. A ausência desta indicação numa plataforma de vendas constitui uma infração legal e um sinal de alerta concreto.
- O DSA (Digital Services Act) obriga as plataformas a recolher e disponibilizar determinadas informações de identificação dos vendedores profissionais antes de qualquer transação.
- Desde 13 de dezembro de 2024, o regulamento europeu relativo à segurança geral dos produtos exige que as fichas dos produtos indiquem um responsável estabelecido na UE, com os respetivos dados de contacto. Um produto vendido online sem esta informação viola a regulamentação.
Estas obrigações constituem outros tantos pontos de controlo. Um site que não as cumpra não é necessariamente fraudulento, mas opera fora do quadro legal aplicável, o que reduz qualquer possibilidade de recurso em caso de litígio.
Informações legais em falta ou genéricas
A DGCCRF recomenda verificar se são indicados a denominação social, uma morada física e um número de registo. Num site francês, a ausência do número SIRET é um forte sinal de alerta. Copiar e colar a morada num motor de pesquisa permite, por vezes, constatar que corresponde a um terreno vazio ou a outro estabelecimento sem qualquer relação.
Novos cenários de manipulação: ClickFix e CAPTCHA falsos
As técnicas de fraude evoluem para além do phishing clássico por e-mail. O cenário ClickFix baseia-se numa página que simula um erro técnico ou um CAPTCHA e, em seguida, pede ao utilizador que copie e execute um comando no próprio computador. A vítima pensa estar a resolver um problema técnico, quando, na realidade, está a instalar um programa malicioso.
A Google reagiu ao integrar no Chrome uma proteção específica: o navegador pode agora avisar o utilizador antes de colar um comando considerado perigoso. Este tipo de alerta do navegador faz parte dos sinais que nunca devem ser ignorados.
Pedidos de permissões invulgares na página
Um site legítimo não pede acesso às notificações logo na página inicial, nem autorização para ler a área de transferência. Estes pedidos prematuros revelam uma intenção de recolha agressiva de dados. Se uma página lhe pedir para autorizar notificações antes mesmo de ter consultado o conteúdo, feche o separador.
Verificação rápida da reputação de um site: método em três passos
A DGCCRF sugere uma abordagem simples: pesquisar o nome do site seguido da palavra «fraude» num motor de pesquisa. Este método, combinado com outras duas verificações, abrange a maioria dos casos.
- Pesquisar o nome do site ou do produto associado a «fraude» ou «opiniões» para encontrar eventuais comentários negativos de outros consumidores.
- Consultar uma ferramenta WHOIS para verificar a data de criação do domínio e a identidade do titular. Um domínio com poucas semanas associado a uma loja que apresenta preços muito baixos é um sinal de alerta fiável.
- Verificar se o site está presente nas redes sociais: uma atividade regular acompanhada de comentários autênticos é um indício positivo, embora não constitua uma garantia absoluta.
Estas três verificações demoram menos de um minuto e permitem filtrar a grande maioria dos sites fraudulentos antes de qualquer interação com a página de pagamento.
O cadeado HTTPS, muitas vezes visto como uma garantia de segurança, indica apenas que a ligação é encriptada. Um site de phishing pode ter um certificado SSL válido, obtido gratuitamente. Este critério, por si só, não tem qualquer valor como indicador de fiabilidade e deve ser sempre cruzado com os sinais acima referidos.
