Já imaginou receber um alerta do tipo “intimação policial” direto do seu e-mail com o domínio @google.com? Só de ver isso, muita gente já entra em pânico. E é justamente esse o objetivo dos golpistas por trás de um novo e engenhoso golpe de phishing que está usando os próprios serviços do Google para parecer real demais.

Sim, você leu certo: o Google Sites, plataforma oficial da empresa, está sendo explorado por cibercriminosos para criar páginas falsas, mas com aparência legítima — e isso pode enganar até quem acha que nunca cairia em uma armadilha virtual.

Como o golpe funciona (e por que ele é tão perigoso)

A fraude começa com um e-mail vindo de um endereço como no-reply@google.com. A mensagem alega que autoridades estão solicitando dados da sua conta, e inclui um link para uma suposta “página oficial” do Google.

O problema? Essa página não é oficial, embora pareça. O domínio é mesmo do Google (porque foi feito no sites.google.com), mas o conteúdo é inteiramente falso e criado por criminosos para roubar suas informações.

E tem mais: o golpe consegue passar por sistemas de verificação de e-mail como o DKIM, que normalmente identificaria tentativas de falsificação. Como o e-mail é enviado através de um serviço legítimo do Google, ele parece confiável até para os filtros de segurança.

Já caíram nessa antes…

Casos parecidos já aconteceram com usuários do PayPal e até com desenvolvedores de tecnologia como Nick Johnson, do Ethereum Name Service. Ele foi vítima de um golpe parecido, que usava permissões falsas do Google OAuth para acessar dados privados.

Ou seja: ninguém está imune — nem quem entende do assunto.

Como se proteger de golpes assim?

Se até os experts já caíram, como se proteger? Aqui vão algumas dicas valiosas:

• 
  

  Ative a autenticação em dois fatores (2FA): Isso cria uma camada extra de segurança.

  
  


• 
  

  Desconfie de e-mails alarmantes, especialmente se pedirem ação imediata.

  
  


• 
  

  Não clique em links suspeitos, mesmo que venham de endereços “oficiais”.

  
  


• 
  

  Verifique a URL com atenção: sites do Google legítimos têm estrutura clara, e você pode checar a origem do conteúdo.

  
  


• 
  

  Use chaves de acesso (passkeys) quando possível — uma alternativa moderna e mais segura às senhas tradicionais.

  
  

Curiosidade: o nome “phishing” vem de onde?

O termo phishing (com “ph” mesmo!) é um trocadilho com a palavra “fishing” (pescar, em inglês). Os golpistas estão “pescando” suas informações pessoais — e a isca, nesse caso, é a aparência legítima do conteúdo.

Já imaginou isso?

O próprio Google sendo usado contra você? Golpes como esse mostram como a criatividade dos criminosos digitais está em constante evolução. E mais do que nunca, a melhor defesa é a informação.

Compartilhe esse post com quem você não quer ver caindo numa cilada dessas.