O endereço na barra do navegador diz o nome da loja que você conhece. O cadeado está lá. E ainda assim você não está no site dela.
O truque tem nome técnico — ataque homográfico — e explora uma característica dos endereços de internet que existe por um bom motivo.
Por que isso é possível
Desde 2003 é possível registrar domínios com caracteres de outros alfabetos, para que quem escreve em russo, grego, árabe ou chinês possa ter um endereço no próprio idioma. É uma decisão correta: a internet não pertence a quem usa alfabeto latino.
O problema é que alguns desses caracteres são desenhados exatamente igual aos nossos. O "а" do alfabeto cirílico e o "a" do latino ocupam pontos diferentes na tabela Unicode, mas na tela são o mesmo traço.
Para o computador, são dois domínios completamente distintos. Para o olho humano, são o mesmo endereço.
O mesmo vale para o "о" cirílico, o "е", o "р", o "с", o "х" — e para o grego "ο", "ρ", "τ". Um domínio pode ter uma única letra trocada e ficar visualmente idêntico ao original.
Onde isso costuma aparecer
Raramente você digita o endereço falso. O ataque chega até você:
- Link recebido no WhatsApp, geralmente com urgência ("sua conta será bloqueada")
- Anúncio patrocinado no topo do resultado de busca
- E-mail que imita a comunicação do banco
- Link na descrição de um perfil falso de rede social
Em todos, o endereço parece certo. É justamente esse o ponto.
Como se proteger em cinco segundos
Copie o endereço e cole num campo de texto qualquer. Bloco de notas, campo de busca, qualquer coisa. Caracteres de outros alfabetos costumam aparecer com destaque quando saem do navegador — a fonte muda, ou o caractere fica com aspecto diferente.
Digite o endereço você mesmo. Sempre que a mensagem envolver banco, cobrança ou prêmio, ignore o link e vá pelo caminho que você já conhece: o aplicativo do banco, o site digitado à mão, o número do cartão.
Desconfie de urgência. O golpe de homografia quase nunca vem sozinho — vem com prazo, ameaça ou prêmio. É a pressa que impede você de olhar o endereço com calma.
Ative a verificação em duas etapas em tudo que permitir. Mesmo que a senha seja capturada, ela sozinha não basta.
O que fazemos aqui
A checagem de homografia é um dos critérios que rodam automaticamente em toda análise do Avaliarsite. Reduzimos o endereço à sua "forma esqueleto" — todo caractere que se parece com outro vira o mesmo — e comparamos com uma lista de marcas frequentemente imitadas.
Quando um domínio se reduz exatamente ao nome de uma marca conhecida mas usa caracteres de outro alfabeto, ele é classificado como perigoso, e esse sinal sozinho define o veredito. Não há certificado válido nem site bem feito que compense se passar por outra empresa.