Um convite para assinar merece duas conferências: se o pedido veio de quem diz ter enviado e se o documento corresponde ao que você negociou. Logotipo, cadeado e nome conhecido não bastam. Quando houver dúvida, confirme por um contato que você já tinha, sem usar o telefone informado na mensagem suspeita.
Confira o contexto do convite
Você esperava aquele documento? Conhece a empresa e o assunto? A urgência faz sentido? O CERT.br explica que golpistas usam engenharia social, temas cotidianos e informações reais para tornar pedidos convincentes. Por isso, saber seu nome ou parte dos seus dados não comprova a origem da mensagem. [CERT.br: Golpes, não se deixe enganar]
Imagine um exemplo: você está negociando uma locação e recebe um aviso de assinatura com ameaça de perder o imóvel em minutos. O contexto pode ser verdadeiro e o link, falso. Confirme o envio com a imobiliária pelo número já utilizado na negociação, não por um contato que apareceu junto do novo aviso.
Leia o endereço sem confiar no desenho da página
Confira o domínio de destino antes de fornecer qualquer dado. Em computadores, a prévia do endereço pode aparecer ao passar o ponteiro sobre o link; em celulares, as opções variam. Não abra uma página só para "ver se parece legítima" quando o destino já é suspeito. Se houver encurtador ou redirecionamento que impeça entender a origem, peça confirmação ao remetente por outro canal.
O HTTPS protege a conexão com aquele endereço; não comprova que o dono do site seja a organização que você procura. Também não trate toda diferença de domínio como prova de fraude: plataformas de assinatura podem operar em um endereço diferente do remetente. A resposta útil vem da confirmação do fluxo esperado.
Código de autenticação não é informação para o atendente
Um pedido de código pode fazer parte de um fluxo legítimo, mas não deve ser atendido no automático. Leia a mensagem que acompanha o código e confira a ação autorizada. Não o envie a alguém que diz estar "liberando o documento" pelo chat. O CERT.br inclui autenticação forte e cuidado com códigos de verificação em suas orientações de proteção de contas. [CERT.br: fascículos de segurança]
No caso do gov.br, o roteiro oficial de assinatura descreve login na própria conta e autorização da operação. Ele não exige entregar sua senha a quem enviou o documento. A conta deve ser utilizada pelo titular no ambiente oficial. [Governo Digital: roteiro oficial de assinatura eletrônica]
Revise o que será assinado
Com a origem confirmada, leia o arquivo inteiro. Confira nomes, valores, prazo, anexos e cláusulas que mudaram desde a última versão. Um convite autêntico pode conter um documento errado. A verificação de origem e a revisão do contrato são controles diferentes.
Interrompa se o arquivo estiver incompleto, ilegível ou diferente do combinado. Peça uma nova versão e confirme qual convite deverá ser descartado. Não assine um documento com a expectativa de que alguém corrigirá o conteúdo depois.
Se você já clicou
Clicar, preencher dados e confirmar uma assinatura são situações distintas. Registre o que aconteceu sem continuar interagindo com a página. Se informou credenciais, procure o serviço verdadeiro por um canal conhecido e siga seu procedimento de recuperação; numa conta de trabalho, avise a equipe responsável. Se baixou ou executou um arquivo, peça orientação técnica antes de prosseguir.
Preserve a mensagem e o endereço como evidência, sem encaminhar o link suspeito para colegas clicarem. Quando houver exposição financeira ou de dados, procure os canais oficiais das instituições envolvidas. Este guia adapta recomendações gerais de segurança ao recebimento de convites; não é um diagnóstico de fraude sobre uma mensagem específica.
