O Que é o Spoofing de Websites (Clonagem de Sites)?

A clonagem de sites é uma das fraudes mais refinadas da web. Criminosos copiam integralmente o código-fonte HTML, folhas de estilo CSS, logotipos e textos de um site verdadeiro (seja o portal de um grande banco, uma loja de departamento ou um órgão público como o Detran ou Receita Federal) e hospedam essa cópia em um domínio fraudulento.

A vítima acredita estar na página oficial, insere seus dados de login, senha ou dados de pagamento e entrega tudo de bandeja para os fraudadores.

⚠️ A Armadilha dos Links Patrocinados no Google e Buscadores

Muitos usuários confiam cegamente que o primeiro resultado retornado no Google é o site oficial. Os golpistas exploram essa confiança comprando anúncios patrocinados (Google Ads) para palavras-chave como "segunda via fatura banco X" ou "renovação CNH Detran".

O anúncio aparece no topo dos resultados com o título oficial, mas ao clicar, o link direciona para o site clonado.

🔍 Como Descobrir se um Site é Clonado em 6 Etapas

1. Inspecione Rigorosamente a Barra de Endereço (URL)

Criminosos precisam registrar nomes parecidos com o oficial, utilizando técnicas de Typosquatting (troca sutil de letras) ou domínios homógrafos:
  • Site Oficial: www.itau.com.br
  • Site Clonado: www.itau-seguranca-portal.com ou www.ita-u.com.br
  • Se o endereço possui hífens estranhos, palavras adicionais ("atendimento", "portal", "atualizacao") ou terminações incomuns, feche imediatamente.

    • 2. Cuidado com o Mito do "Cadeado Verde" (HTTPS)

    Ter o cadeado de segurança HTTPS NÃO significa que o site é confiável. O HTTPS apenas garante que a comunicação entre o seu computador e o servidor do site é criptografada. Hackers conseguem emitir certificados SSL gratuitos em segundos para seus sites falsos. O cadeado comprova a criptografia, não a idoneidade moral do dono do site!

    3. Verifique a Extensão do Domínio

  • Órgãos do governo brasileiro sempre utilizam a terminação oficial .gov.br (que exige autorização governamental para registro). Se um site promete emitir certidões do governo mas tem terminação .com ou .net, é fraude!
  • Instituições de ensino usam .edu.br.
  • Domínios .com e .com.br podem ser registrados por qualquer pessoa física ou jurídica.

    • 4. Teste Links Secundários na Página

    Em sites clonados, os criminosos normalmente programam apenas o formulário onde você digita a senha. Clique nos links de rodapé como "Trabalhe Conosco", "Imprensa" ou "Sobre a Empresa": se nada acontecer ou a página der erro 404, trata-se de uma página falsa montada às pressas.

    5. Utilize Extensões de Reputação Web (WOT / Netcraft)

    Instale extensões de segurança no navegador como o Web of Trust (WOT) ou a extensão antifraude da Netcraft, que bloqueiam automaticamente o carregamento de páginas denunciadas pela comunidade mundial de segurança.

    🛡️ Checklist Prático de Proteção e Resposta Rápida a Incidentes

    Para garantir que você ou sua organização não se tornem vítimas vulneráveis a este tipo de ameaça, adote imediatamente este protocolo de segurança cibernética:

  • Autenticação em Duas Etapas (2FA): Ative 2FA em todas as contas digitais críticas, utilizando preferencialmente aplicativos autenticadores (como Google Authenticator, Bitwarden ou chaves físicas FIDO2/YubiKey) em vez de SMS, que é suscetível a golpes de SIM swap.
  • Verificação de Canais Oficiais: Nunca clique em links recebidos por mensagem instantânea ou e-mail com caráter de urgência. Acesse sempre o serviço digitando o endereço oficial diretamente no navegador.
  • Monitoramento e Alertas Ativos: Ative notificações de transações financeiras em tempo real no aplicativo do seu banco e verifique periodicamente extratos e relatórios no sistema Registrato do Banco Central.
  • Atualização Contínua de Software: Mantenha sistemas operacionais, antivírus e navegadores sempre atualizados com os últimos patches de segurança para mitigar vulnerabilidades de dia zero (zero-day).

    • ❓ Perguntas Frequentes sobre Segurança da Informação (FAQ)

    O que fazer imediatamente caso tenha compartilhado dados ou senhas acidentalmente? Entre em contato imediatamente com a instituição bancária para bloquear cartões e credenciais de acesso, registre um Boletim de Ocorrência na Delegacia Eletrônica e altere imediatamente todas as senhas de e-mails e contas vinculadas a partir de outro dispositivo confiável.

    Como denunciar tentativas de golpe e páginas falsas? Encaminhe mensagens e e-mails suspeitos para os canais oficiais de denúncia (CERT.br e canais de segurança das instituições afetadas) e registre a ocorrência nos órgãos de defesa do consumidor (como o Procon e o portal consumidor.gov.br).