O que o DNS faz — e o que não faz — contra phishing
A camada de nomes é boa em pegar algumas armadilhas e inútil em outras. Separar as duas é o que evita confiar demais em proteção nenhuma.
O phishing não usa só domínios falsos
Boa parte das páginas de phishing fica hospedada em endereços reais. O site oficial foi comprometido, um serviço legítimo foi enganado, ou o atacante registrou um nome quase igual ao original. Nesses casos o endereço resolve corretamente, o certificado é válido e a camada de nomes não tem o que bloquear.
Há também o golpe que não usa página falsa: um link enviado por mensagem que leva a um site verdadeiro com um pedido de pagamento falso. O endereço está certo, o cadeado está no lugar e o engano acontece todo na leitura. Nenhum filtro de nome protege contra isso.
O que uma lista anti-phishing consegue ver
O que a lista pega é o padrão do nome: domínios recém-registrados, nomes que imitam de perto outros conhecidos, endereços que já apareceram em campanhas conhecidas. Como o bloqueio acontece na consulta, a conexão com o servidor de phishing nem chega a ser aberta.
O que fica de fora são os casos em que o endereço é legítimo. Uma lista atualizada com atraso também deixa passar campanhas novas, e há campanhas que trocam de nome várias vezes justamente para escapar. Por isso a lista funciona como uma das camadas, e não como a única.
O que observar quando a lista não dá conta
Leia o endereço, não o desenho. A página pode ter a mesma identidade visual, a mesma cor e o mesmo logotipo do serviço original; o que não pode ser igual é o domínio. Um nome com um caractere trocado por outro quase igual é o sinal mais comum de armadilha.
Se o endereço chegou por mensagem, digite-o você mesmo em vez de seguir o link. Se a página pedir dados que o serviço original nunca pediria por mensagem, pare. E lembre que o cadeado apenas indica que a conexão está criptografada: existe um certificado válido para domínios sequestrados e para páginas falsas em endereços novos.