Golpes e emails falsos comuns no Gmail: como reconhecer

Os filtros do Gmail barram a maior parte dos emails de golpe, mas mensagens de phishing mais bem-feitas podem chegar à caixa de entrada. Quase todas querem a mesma coisa: a senha do Google, um código de login ou os dados do cartão. Os tipos e sinais abaixo ajudam a reconhecê-las.

Falso alerta de segurança do Google

Segundo o email, alguém entrou na conta, a conta será “suspensa” ou uma autoridade pediu dados sobre a conta, e um botão permite “confirmar” ou “contestar” a decisão. Em 2025 circulou até uma versão que, aproveitando um sistema real do Google, vinha do endereço [email protected] e levava a uma página de ajuda falsa hospedada no Google Sites (sites.google.com).

• Como reconhecer: segundo a ajuda do Google, o Google não leva de um email para uma página de login para o usuário “se identificar”. As páginas de ajuda verdadeiras ficam em support.google.com, e o login é feito em accounts.google.com; um “suporte” em sites.google.com ou num domínio com nome parecido é golpe.
• O que fazer: digitar no navegador o endereço myaccount.google.com/security. Os eventos de segurança reais também aparecem ali, nas ocorrências de segurança recentes. Se não houver nada, o email é falso.

“Seu armazenamento está cheio”: falso email de armazenamento e assinatura

Segundo o email, o armazenamento do Google está cheio, as fotos e os emails serão excluídos ou uma assinatura venceu, e ele oferece uma ampliação “com desconto”. O link leva a uma página de pagamento que coleta os dados do cartão.

• Como reconhecer: remetente estranho, prazo apertado, dados diferentes do uso real e uma página de pagamento que não é do Google.
• O que fazer: o uso real aparece em one.google.com/storage, depois do login. Se o armazenamento estiver mesmo cheio, a solução é excluir emails e arquivos grandes: Armazenamento do Gmail cheio: como liberar espaço.

Falso suporte por telefone

Um “funcionário do Google” liga dizendo que a conta foi invadida e, ao mesmo tempo, chega um email ou SMS real do Google para redefinir a senha. Quem liga pede o código recebido “para verificação” – na verdade, é ele que está tentando entrar e, com o código, toma a conta.

• Como reconhecer: o Google não oferece recuperação de conta por telefone e nunca pede senha ou código de verificação. Um código não solicitado significa que outra pessoa está tentando entrar ou recuperar a conta.
• O que fazer: desligar, não passar o código para ninguém e recusar a solicitação de recuperação não pedida que aparecer no celular. Se o código já foi revelado: Minha conta do Gmail foi hackeada: primeiros passos.

Prêmio, “sorteio do Google” e dinheiro inesperado

Segundo o email, o destinatário ganhou um sorteio do Google ou um concurso de “aniversário”, ou há uma herança, um reembolso ou um valor “a ser liberado” esperando por ele. Para receber, pedem antes uma taxa, um imposto ou dados pessoais.

• Como reconhecer: a ajuda do Google sobre golpes cita especificamente sorteios que usam indevidamente o nome do Google. Quem não participou de sorteio não pode ter ganhado, e um prêmio de verdade não exige pagamento antecipado.
• O que fazer: não responder e não enviar dados nem dinheiro. O email deve ser denunciado como spam ou phishing.

Documento compartilhado, convite de agenda, fatura falsa

Os golpistas também usam os próprios serviços do Google: compartilham um documento, um convite de agenda ou um álbum de fotos com uma “fatura”, um número de telefone ou um link. Como a notificação é mesmo enviada pelo Google, o email pode parecer autêntico.

• Como reconhecer: um remetente desconhecido compartilha algo, e no documento ou no convite há um texto com pressa, um pedido de pagamento ou um telefone de “suporte”.
• O que fazer: não usar o link nem o telefone que aparecem no arquivo compartilhado. Um compartilhamento desconhecido pode ser denunciado como abuso no documento ou no Drive, e na agenda dá para configurar que só os convites de remetentes conhecidos sejam adicionados automaticamente.

Sinais de alerta à primeira vista

• O endereço real do remetente: o nome exibido pode ser qualquer um (“Google Support”, “Equipe do Gmail”). É preciso olhar o endereço ao lado ou abaixo do nome; a indicação “via” mostra que o email chegou por outro domínio.
• O aviso do Gmail: se aparecer uma faixa de aviso amarela ou vermelha acima do email, segundo a ajuda do Gmail não se deve clicar nos links, baixar anexos nem informar dados pessoais.
• Remetente gmail.com não verificado: se um email de um endereço @gmail.com não puder ser autenticado, o Gmail avisa que talvez não tenha sido enviado por essa pessoa.
• Link disfarçado: no computador, passar o mouse sobre o link; no celular, tocar e segurar, e conferir o endereço real. Uma diferença de uma ou duas letras (por exemplo, “g00gle” ou “google-security-account”) indica golpe.
• Pressa e ameaça: “em 24 horas”, “suspenderemos imediatamente”, “tomaremos medidas legais”. Segundo a ajuda do Google sobre golpes, é justamente nessas horas que se deve ir com calma.
• Forma de pagamento estranha: vale-presente, criptomoeda ou transferência para conta de pessoa física – nenhum serviço oficial pede isso.
• Anexo: arquivo ZIP, HTML ou do Office inesperado, que pede senha para abrir ou pede para habilitar macros.

Como denunciar um email suspeito

A denúncia ajuda os filtros do Gmail a impedir que outras pessoas recebam emails parecidos.

1. No computador, abrir o email suspeito.
2. Clicar no ícone “Mais” (três pontos), ao lado do botão Responder.
3. Escolher “Denunciar phishing”. Para propaganda indesejada comum, “Denunciar spam” basta.
4. No app Gmail do celular, a denúncia fica no menu do canto superior direito do email.
5. Se um email confiável foi parar no spam por engano, dá para devolvê-lo com “Não é spam” ou “Não é phishing”.

Se o estrago já foi feito

• A senha do Google ou um código foi revelado: é preciso trocar a senha imediatamente, desconectar os dispositivos desconhecidos e revisar as configurações de encaminhamento e de filtros do Gmail: Minha conta do Gmail foi hackeada: primeiros passos.
• Os dados do cartão foram revelados: é preciso ligar imediatamente para o banco e bloquear o cartão.
• Anexo baixado ou aberto: rodar uma verificação completa de vírus e só depois, num dispositivo limpo, trocar a senha.
• Prejuízo financeiro: dá para registrar ocorrência na polícia local; convém guardar o email e os dados do pagamento.
• Prevenção: as páginas de login falsas não funcionam contra a chave de acesso, porque ela só funciona na página verdadeira do Google: Como entrar no Gmail: senha, chave de acesso e confirmação no celular.