2026-11-12

Como verificar se um link curto é seguro: reconhecendo o smishing e o que fazer

Uma mensagem dizendo "Confirme o endereço de entrega da sua encomenda", terminando com xxx.com/aB3kZ9. Remetente desconhecido, e nenhuma forma de ver para onde o link leva. É por isso que os links encurtados viraram uma espada de dois gumes em segurança: serviços legítimos os usam para organizar URLs longas, enquanto criminosos usam o mesmo recurso para esconder destinos perigosos.

Este guia cobre como inspecionar um link curto antes de clicar, como reconhecer o smishing e o que fazer se você já clicou.

Por que links encurtados são abusados

Como dito no nosso post anterior, um link curto é uma placa de sinalização. O problema é que a barra de endereço mostra só a placa, nunca o destino.

• Com uma URL longa (www.example.com/...), dá para perceber um domínio falsificado de relance, mas um slug de seis caracteres não dá pista nenhuma.
• A identidade do remetente em mensagens e redes sociais também pode ser forjada, então juntar um remetente falso a um link curto faz um golpe parecer oficial.
• É por isso que smishing de entrega de encomenda, multa, brinde e oferta de emprego depende tanto de links encurtados.

O ponto-chave: link encurtado não é perigoso em si — o que é perigoso é link curto de origem desconhecida.

Quatro formas de conferir o destino antes de clicar

1. A função de pré-visualização (consulta) do encurtador

Alguns encurtadores de link oferecem uma página de pré-visualização que revela o destino ou as estatísticas de um link.

• Serviços no estilo Bitly historicamente abriam uma página de estatísticas/destino quando você acrescentava + ao link (só para links emitidos por aquele serviço). O suporte e o mecanismo mudam com frequência, então confira a página de ajuda oficial do provedor.
• Sites gratuitos de "short URL checker" funcionam pelo mesmo princípio: cole o link curto e veja a URL final para a qual ele resolve. Trate qualquer consulta assim como indício, não como prova — os critérios de julgamento final estão no item 3 abaixo.

2. Use as pré-visualizações dos mensageiros

Ao colar um link no KakaoTalk ou num app de notas, muitas vezes aparece uma prévia com título e miniatura. Se o domínio real mostrado for diferente da instituição que está sendo imitada (uma "agência oficial" que resolve para xyz-login.top), é falso na hora.

3. Verifique o remetente e o contexto

Este passo é bom senso, não tecnologia. Não clique se qualquer um destes se aplicar:

• Mensagem de um número desconhecido, ou nome de remetente que parece conta pessoal
• Linguagem de pressão: "confirme agora", "expira em breve", "conta suspensa"
• Órgão público, banco ou transportadora te empurrando por link curto (por padrão eles direcionam para apps e sites oficiais)
• Um domínio que difere por um caractere do domínio real da empresa

4. Se tiver que clicar, isole a sessão

Se você precisa clicar só para conferir, abra numa janela anônima ou num navegador deslogado — nunca num navegador que tenha as suas sessões ativas. Se os redirecionamentos continuarem em cadeia, leia o domínio final na barra de endereço e feche na hora.

Já clicou? O que fazer por sintoma

Só visitou, não digitou nada — a menos que tenha aparecido um pedido de instalação ou de permissão de notificação, você está basicamente bem. Feche a janela; não volte, só feche.

Digitou credenciais de login

1. Troque a senha daquele serviço imediatamente
2. Troque todas as outras contas que reusavam a mesma senha
3. Ative a verificação em duas etapas (2FA)
4. Confira os lançamentos nos serviços de cartão/banco vinculados e congele-os se algo parecer estranho

Começou a instalar um app — apague-o imediatamente e revise o seu histórico de permissões de instalação.

Onde denunciar (Coreia): smishing/phishing vai para o centro de atendimento da KISA no 118; fraude vai para o sistema de registro de crimes cibernéticos da polícia (ecrm.police.go.kr) ou 182. Tire prints e guarde a mensagem — não apague a evidência.

Do lado de quem cria: como não ser bloqueado

Empresas e criadores legítimos que disparam links curtos em massa podem esbarrar nos filtros de spam de mensageiros e e-mails. As regras de credibilidade são claras.

• Use o seu próprio domínio (links de marca): links feitos com um domínio personalizado passam mais nos filtros do que links em domínios compartilhados aleatórios — e quem recebe consegue ver para onde o link vai antes de clicar, porque a sua marca está literalmente ali dentro.
• Aponte só para destinos HTTPS: um link curto que aponta para um alvo http puro é suspeito por definição.
• Use um serviço com contas e histórico: encurtadores anônimos, sem cadastro, têm os seus domínios compartilhados manchados reputacionalmente por outros abusadores. O mesmo princípio vale para usar links e QR codes em cartões de visita.
• Seja transparente na chamada para ação: "página de promoção de novembro da Loja OO" vence "confirme a sua encomenda" — menos bloqueios, menos reclamações.

Perguntas frequentes

P. Cliquei num link curto e fechei na hora. Estou seguro? Ataques modernos não se concretizam só com a visita. Se você só fechou a aba sem instalar nem digitar nada, quase certamente está bem.

P. Domínio .kr é seguro e todo o resto não? Não. A extensão do domínio não tem nada a ver com segurança. Sites falsos usam .kr, .com e novos gTLDs igualmente.

P. Links longos, não encurtados, são seguros? Não necessariamente. Golpistas colocam a marca real na frente: naver.com.shop-deal.top começa com naver.com mas é, na verdade, um subdomínio de shop-deal.top. Tudo até a primeira / (ou a porta :) é o host. Pergunte: "o domínio genuíno da empresa começa na posição zero ou é só enfeite?"

P. Os links da nossa empresa vivem sendo bloqueados. Se você compartilha um encurtador gratuito num domínio genérico com milhares de desconhecidos, os links maliciosos de um único abusador podem derrubar o domínio inteiro — culpa por associação de domínio. Migre para um domínio de marca.

Resumo

• Na dúvida, não clique. Se está curioso, use as funções de pré-visualização/consulta — mas tome a decisão final pelo remetente, contexto e a string completa do domínio.
• Ao criar links, encurtar sob o seu próprio domínio vence um compartilhado aleatório. Com um domínio personalizado rdurl, a sua marca vai dentro do link, então quem recebe consegue conferir a origem antes de clicar.