Você pode receber um link que parece do banco, mas abre uma página falsa com logo e endereço quase idênticos. Fraudadores usam letras e símbolos semelhantes para enganar e roubar dados. Saiba como identificar e se proteger.
Imagine receber uma mensagem do banco avisando sobre uma movimentação suspeita e, ao clicar no link, ver um site com logotipo, visual e endereço que parecem corretos. O perigo, porém, pode estar em uma única letra trocada por um caractere parecido — e aí mora o chamado ataque homográfico.
O ataque homográfico, também conhecido como Homograph Attack, explora semelhanças visuais entre letras e símbolos de alfabetos diferentes para criar domínios que parecem pertencer a empresas ou serviços legítimos. Exemplos simples ajudam a entender: a letra “O” pode ser confundida com o número “0”; o “l” minúsculo pode se parecer com o “I” maiúsculo. Em versões mais sofisticadas, caracteres dos alfabetos cirílico, grego ou de outras línguas são usados porque, embora pareçam idênticos ao olho humano, são interpretados como símbolos distintos pelos computadores.
Com isso, criminosos conseguem registrar endereços eletrônicos visualmente quase idênticos aos reais de bancos, lojas e plataformas digitais. A vítima acredita estar em um site confiável e acaba fornecendo senhas, dados bancários e informações pessoais em uma página falsa preparada para coletar esses dados.
Os números mostram a capacidade de disseminação da técnica. Um estudo da empresa de cibersegurança Akamai identificou 6.670 domínios homográficos acessados durante um período de 32 dias, com cerca de 29 mil dispositivos consultando pelo menos um desses endereços nesse intervalo. A pesquisa também apontou uma média de 67 novos domínios homográficos por dia em parte do período analisado.
Uma investigação publicada em 2025 identificou mais de 600 domínios que usavam um caractere japonês para criar endereços enganadores. Outro levantamento, da Interisle Consulting Group, encontrou 2.655 domínios internacionalizados usados em 2.706 ataques de phishing entre 2024 e 2025 — cerca de 78% desses domínios apresentavam características de registros maliciosos. Ainda assim, esses domínios internacionalizados representaram apenas 0,17% dos domínios detectados em campanhas de phishing naquele estudo, o que mostra que os homográficos são uma parte significativa, mas não necessariamente predominante, do problema.
O ataque homográfico costuma vir junto com outras fraudes: mensagens de phishing, anúncios falsos e engenharia social são usados para levar o usuário ao link enganoso. Ferramentas de inteligência artificial também podem facilitar a criação de textos e páginas muito parecidas com as originais. Além disso, um site falso pode exibir o cadeado HTTPS no navegador, porque o certificado só garante que a conexão é criptografada, não que o dono do site seja legítimo.
Em ambiente corporativo, o risco é similar: um e-mail aparentemente enviado pelo departamento de tecnologia pode pedir atualização de senha e direcionar o funcionário a um domínio que imita o da própria empresa. Se as credenciais forem entregues, criminosos podem tentar acessar sistemas internos e dados sensíveis.
Dados do Anti-Phishing Working Group (APWG) mostram que os ataques de phishing cresceram 10,1% no segundo trimestre de 2026, chegando a 425.808 ocorrências em junho — um cenário que aumenta as chances de que técnicas como a homográfica sejam usadas em golpes maiores.
Para reduzir riscos, a recomendação principal é não acessar serviços sensíveis por links recebidos inesperadamente: prefira o aplicativo oficial ou endereços salvos. Mantenha navegadores atualizados, use autenticação resistente a phishing e desconfie de pedidos urgentes de informações pessoais. As empresas devem monitorar registros de domínios parecidos com os seus, reforçar mecanismos de autenticação e instruir funcionários sobre esse tipo de ameaça.
O ataque homográfico mostra como um recurso legítimo da internet pode ser transformado em armadilha: muitas vezes, basta uma aparência convincente para que a própria vítima entregue aquilo que deveria proteger.
