Três verificações chegam para apanhar quase qualquer falsificação. O canal: o Instagram nunca lhe fala da segurança da conta por mensagem direta, só por e-mail. O remetente: os e-mails de segurança verdadeiros chegam de um punhado de domínios oficiais. O histórico: Definições › E-mails recentes mostra tudo o que o Instagram lhe enviou de facto nos últimos 14 dias. Uma mensagem que exige um clique urgente para evitar um bloqueio ou uma eliminação falha pelo menos uma delas, e isso torna-a phishing.
Anatomia de uma falsificação
Para o Instagram, phishing é uma mensagem ou ligação suspeita pensada para lhe arrancar dados pessoais e assim entrar na sua conta, normalmente com a ameaça de um bloqueio ou de uma eliminação se não obedecer. Se o atacante conseguir, a sua conta costuma transformar-se num canhão de spam apontado aos seus seguidores.
Os disfarces vão mudando: um aviso de «violação de direitos de autor» ou das «diretrizes da comunidade» com uma ligação para «recorrer», uma contagem decrescente até à eliminação, um selo de verificação grátis, um prémio. Todos levam a uma página disfarçada de início de sessão do Instagram.
Verificação 1: o canal
Os avisos sobre a conta e os alertas de segurança nunca chegam pelo Direct; o Instagram di-lo claramente. Uma mensagem direta de algo chamado suporte ou segurança, com ou sem selo, nunca é verdadeira, por mais profissional que pareça. Denuncie o perfil e não responda.
Verificação 2: o remetente
Os e-mails de segurança só vão para o seu endereço de e-mail, diz o Instagram, e só a partir destes domínios:
| Domínio de envio verdadeiro |
|---|
| @mail.instagram.com |
| @support.instagram.com |
| @facebookmail.com |
| @support.facebook.com |
| @global.metamail.com |
Leia o endereço completo depois da @, e não o nome apresentado, que não custa nada falsificar. Palavras a mais, hífenes ou letras trocadas no domínio denunciam a falsificação.
Verificação 3: o histórico
A prova definitiva está na aplicação: o ecrã E-mails recentes, nas definições de palavra-passe e segurança, mostra os últimos 14 dias de e-mails do Instagram, com as mensagens de segurança e de início de sessão numa lista à parte. Se não estiver na lista, não foi o Instagram que o enviou.
Hábitos que o blindam contra o phishing
- Nunca inicie sessão a partir de uma ligação. Ignore o botão; abra você a aplicação. Os problemas reais aparecem no Estado da conta, na caixa de entrada do suporte ou nas suas notificações.
- Nunca escreva códigos numa página para onde o mandaram. Vale para a palavra-passe, os códigos de acesso e de recuperação, números de documentos e dados de cartão.
- Vá devagar. As três regras do Instagram perante uma possível burla: dê-se tempo, porque a urgência é a ferramenta do burlão; confirme os detalhes antes de clicar ou descarregar; e lembre-se de que nenhuma organização séria exige um pagamento imediato.
Caiu na armadilha? Controlo de danos
- Ainda tem acesso? Nova palavra-passe já, sessões desconhecidas terminadas, autenticação de dois fatores ativada. A lista de segurança percorre cada definição.
- Não consegue entrar? Vá diretamente aos passos para conta pirateada.
- Usava essa palavra-passe noutros sítios? Mude-a também no e-mail.
- Avise os seus seguidores de que o que foi enviado da sua conta entretanto não era seu.
- Reencaminhe o e-mail para phish@instagram.com, o endereço do Instagram para mensagens suspeitas; os perfis falsos denunciam-se na aplicação.
Pouco depois costumam aparecer «agentes de recuperação» pagos. Costumam ser o segundo ato da mesma burla: burlas de recuperação.
As suas perguntas
O Instagram vai escrever-me por mensagem direta sobre a minha conta?
Não. O Instagram diz que não usa o Direct para assuntos da conta nem para a segurança do perfil. Denuncie essas mensagens e não abra as ligações.
Que domínios enviam os e-mails de segurança verdadeiros do Instagram?
Só @mail.instagram.com, @support.instagram.com, @facebookmail.com, @support.facebook.com e @global.metamail.com, e só para o seu endereço de e-mail.
Qual é a forma mais segura de confirmar um e-mail?
Procure-o em E-mails recentes, nas definições de segurança. A lista cobre 14 dias de e-mails verdadeiros do Instagram; o que não aparecer lá não veio do Instagram.
Escrevi a minha palavra-passe numa página de phishing. E agora?
Com acesso: nova palavra-passe, sessões terminadas, autenticação de dois fatores ativada. Sem acesso: os passos para conta pirateada, já. Em ambos os casos, reencaminhe o isco para phish@instagram.com.
Clicou e agora não consegue entrar?
Descreva o isco e cada alteração que notou na conta. Uma resposta gratuita indica-lhe o seu caminho oficial realista. Palavra-passe e códigos ficam consigo.
Fontes
- Protect yourself from phishing on Instagram (Instagram Help Center) help.instagram.com
- Review recent emails sent from Instagram (Instagram Help Center) help.instagram.com
- Avoid getting scammed on Instagram (Instagram Help Center) help.instagram.com
- If you think your Instagram profile has been hacked (Instagram Help Center) help.instagram.com