Phishing PayPal: truques comuns e como os reconhecer

As páginas de login falsas parecem-se muito com o design do PayPal. Podem estar em sites WordPress comprometidos, domínios registados de novo ou páginas de armazenamento na nuvem com redirecionamentos. O sinal está quase sempre no URL: só `paypal.com` e subdomínios regionais documentados são legítimos para acesso à conta. Tudo como `paypal-secure-login.net` ou `paypa1-verify.shop` é fraudulento.

Nunca inicies sessão através de links em mensagens não solicitadas. Abre a app PayPal ou escreve o endereço tu mesmo. Se já introduziste dados numa página suspeita, altera a palavra-passe a partir de um dispositivo limpo e revê a atividade da conta de imediato.

As iscas por e-mail costumam alegar transações não autorizadas, confirmações de envio de artigos que não compraste ou violações de política. Incluem cabeçalhos e rodapés copiados de mensagens reais. Verifica o domínio do remetente — não só o nome apresentado — e inspeciona os destinos dos links antes de clicares.

• Saudações genéricas («Caro cliente») junto de ameaças urgentes
• Anexos que não pediste (faturas, ficheiros HTML)
• Botões que ligam a domínios sem relação com o PayPal
• Erros ortográficos em instruções críticas de segurança

As mensagens SMS comprimem o tempo de decisão: «Pagamento de 482 € em processamento — toca para cancelar.» Os ecrãs de telemóvel escondem o URL completo, o que torna o smishing especialmente eficaz. Não toques; abre o PayPal de forma independente. Reporta smishing ao teu operador e aos canais nacionais de denúncia de fraude quando existirem.

«Verifica em 24 horas ou a tua conta será limitada» é um guião de pressão para contornar o ceticismo. Problemas reais de conta aparecem na app oficial sem links secretos. Os burlões também pedem fotos de cartão de cidadão, cartões ou códigos SMS — os prestadores legítimos não pedem imagens completas do cartão por e-mail.

O phishing clássico captura e-mail e palavra-passe num formulário falso. Fluxos avançados acrescentam prompts 2FA falsos, kits de proxy inverso que reencaminham o teu OTP real para a sessão do atacante, ou chamadas de seguimento em que se fazem passar pelo departamento de fraude. Uma vez dentro, os criminosos enviam dinheiro, compram bens ou recolhem métodos de pagamento guardados.

As burlas em marketplaces por vezes combinam marca PayPal com mensagens de comprador/vendedor falsas — confirma sempre o estado do pagamento no próprio PayPal, não através de capturas de ecrã no chat.

• Links que não levam a um domínio PayPal oficial
• Pedidos de palavras-passe, PINs ou códigos de autenticador por mensagem
• Ameaças de encerramento imediato se não agires já
• Pagamentos para contas pessoais com mitos de «proteção ao comprador»
• Páginas de pagamento que mencionam PayPal mas redirecionam para outro sítio

Para além de páginas de login, os criminosos enviam faturas e etiquetas de envio falsas via marketplaces e sites de classificados. A mensagem diz que um comprador pagou via PayPal e inclui um link para «reclamar» o dinheiro. O link leva a um formulário falso de cartão ou a uma taxa de «upgrade». As transações PayPal reais aparecem na tua conta quando inicias sessão diretamente — nunca através de um link de terceiros no chat.

Outra variante finge ser serviços para comerciantes e ameaça reter pagamentos até «reverificares» os dados da empresa. Pequenos vendedores sob pressão de tempo são alvos frequentes. Mantém uma checklist escrita: inicia sessão na app, compara IDs de transação e liga ao apoio pelo número no site oficial PayPal — não um número no e-mail.

Altera a palavra-passe de imediato num dispositivo em que confias, ativa autenticação de dois fatores forte e revê as contas de e-mail associadas. Procura regras de reencaminhamento automático que os atacantes possam ter adicionado para esconder reposições de palavra-passe. Informa o teu banco se introduziste dados do cartão. Reporta phishing ao PayPal através dos formulários oficiais e aos portais nacionais de cibercrime onde vives.

Guarda captura do URL de phishing e da mensagem para denúncias, mas não visites a página outra vez sem necessidade. Partilhar indicadores ajuda as plataformas a bloquear campanhas mais depressa.

Copia o destino do link (mantém premido ou «copiar endereço do link») e cola-o no verificador gratuito da Fraudly. Vê contexto de segurança e phishing e compara com canais oficiais. Vê exemplos em últimas verificações para perceberes como os domínios de imitação aparecem em análises públicas.

Para hábitos gerais de verificação — limites do HTTPS, reputação, avisos de malware — lê verificar se um site é seguro. Para burlas de loja que mencionam PayPal no pagamento, vê detetar lojas online falsas.

Mantém-te informado com alertas de fraude quando campanhas com tema PayPal disparam. A Fraudly é informativa, não afiliada ao PayPal — mas ajuda-te a decidir se um URL merece as tuas credenciais.