Colar um endereço suspeito numa página que devolve um veredicto — “seguro”, “suspeito”, “malicioso” — tornou-se um hábito recomendado a cidadãos e trabalhadores. Existem dezenas destes verificadores gratuitos, de fabricantes de segurança a serviços comunitários, e são úteis: ajudam a expandir links encurtados, mostram a reputação do domínio e sinalizam páginas já conhecidas como fraudulentas. Mas há dois pontos que raramente aparecem nas descrições destas ferramentas: nenhuma deteta tudo, e o próprio ato de submeter um URL pode, em certos serviços, tornar público um endereço que devia permanecer privado. Este artigo explica como funcionam, o que não conseguem ver e como usá-los sem criar um novo problema.
Resposta rápida: Os verificadores de links gratuitos analisam um endereço antes de o abrir, cruzando bases de reputação e, nalguns casos, carregando a página num ambiente isolado. Reduzem risco, mas não substituem desconfiança: campanhas novas e páginas que só mostram conteúdo malicioso a certas vítimas escapam frequentemente. Nunca submeta URLs que contenham tokens, convites, faturas ou ligações de recuperação de palavra-passe — em plataformas de análise pública esses endereços podem ficar pesquisáveis por terceiros.
Porque é que o “clique” continua a ser o principal ponto de entrada
A popularidade destas ferramentas acompanha a dimensão do problema. No Threat Landscape 2025, a ENISA analisou 4 875 incidentes, sobretudo a partir de fontes abertas e de informação anonimizada partilhada pelos Estados-Membros e por membros do programa de parcerias da agência, num período que decorreu entre 1 de julho de 2024 e 30 de junho de 2025. A conclusão sobre vetores de intrusão é clara: o phishing mantém-se como vetor dominante, com cerca de 60%, e evolui através de técnicas usadas em campanhas de larga escala, sendo que aproximadamente 27% dos casos de phishing conduziram efetivamente a intrusões.
A ENISA sublinha ainda a industrialização do fenómeno: a disponibilidade de plataformas de phishing-as-a-service permite que atacantes de qualquer nível de competência lancem campanhas complexas. Em Portugal, o Observatório de Cibersegurança do CNCS, no relatório publicado em setembro de 2025, registou subidas expressivas em várias técnicas de engenharia social, com destaque para o vishing, identificado em 170 incidentes (18,31% do total), a fraude ao CEO com 166 incidentes (17,89%), os falsos recrutamentos com 108 casos (11,64%) e o esquema “Olá, Pai… Olá, Mãe” com 81 incidentes (8,73%). Historicamente, o CERT.PT já tinha assinalado que o phishing e o smishing foram os tipos de incidente mais registados, correspondendo a 31% em 2019 e a 43% em 2020.
Como funcionam, afinal, estes verificadores
Nem todos fazem a mesma coisa, e essa distinção é decisiva para interpretar o resultado. Há essencialmente três famílias de serviços.
| Tipo de ferramenta | Como decide | Exemplos públicos | Principal limitação |
|---|---|---|---|
| Listas de reputação e bloqueio | Consulta bases de sites já reportados como maliciosos | Google Safe Browsing (Transparency Report), Norton Safe Web | Cega perante domínios criados há horas |
| Agregadores multi-motor | Cruza veredictos de dezenas de motores antivírus e serviços | VirusTotal | Consenso lento; falsos negativos em campanhas novas |
| Análise dinâmica (sandbox web) | Carrega a página e observa comportamento, pedidos e conteúdo | urlscan.io e verificadores de fabricantes | Pode ser enganada por cloaking e filtros geográficos |
No primeiro grupo, o modelo é simples: o serviço responde com base no que já é conhecido. Segundo a Google, a tecnologia de Navegação Segura analisa milhares de milhões de URL por dia à procura de sites inseguros e deteta diariamente milhares de novos sites com problemas de segurança, muitos deles legítimos e comprometidos. No segundo grupo, o VirusTotal destaca-se por analisar sites com mais de 70 soluções antivírus diferentes.
O terceiro grupo é o mais informativo para quem tem conhecimentos técnicos. O urlscan.io, por exemplo, executa uma sessão de navegação automatizada quando um URL é submetido, registando domínios e IP contactados, recursos pedidos, cookies definidos e o conteúdo do DOM, capturando ainda uma imagem da página — o que permite analisar sites suspeitos sem interagir diretamente com eles. Também existem opções pensadas para consumidores: em Portugal, a DECO PROTESTE disponibiliza, em parceria com o ScamAdviser, a ferramenta “Este site é seguro?”, que ajuda a determinar se um site ou um link recebido por SMS ou email é seguro antes de ser visitado. Vários fabricantes mantêm serviços equivalentes; a Bitdefender, por exemplo, indica que o seu verificador expande URL encurtados para revelar o destino real, procurando malware, tentativas de phishing ou conteúdo suspeito.
O detalhe que quase ninguém repara: o URL que submete pode ficar público
Este é o ponto mais negligenciado. Em plataformas de análise partilhada, as submissões podem ser públicas por defeito. A documentação de terceiros sobre o urlscan.io é explícita: por defeito as análises são públicas e, se um URL contiver informação sensível, é aconselhável alterar a visibilidade.
As consequências práticas foram documentadas pela empresa alemã Positive Security. Segundo os investigadores, URL sensíveis para documentos partilhados, páginas de reposição de palavra-passe, convites de equipa e faturas estavam listados publicamente e podiam ser pesquisados, tendo parte dos dados sido divulgada de forma automatizada por outras ferramentas de segurança que tornaram públicas as suas análises. A investigação nasceu de um caso concreto: o alerta enviado pelo GitHub em fevereiro de 2022 a utilizadores cujos nomes de utilizador e repositórios privados tinham sido partilhados com o urlscan.io para análise de metadados, num processo automatizado. A causa raiz identificada foi de configuração: ferramentas de segurança mal configuradas que submetiam como análises públicas os links recebidos em mensagens de correio eletrónico.
| Data | Acontecimento |
|---|---|
| Fevereiro de 2022 | GitHub notifica utilizadores sobre partilha de URL de páginas privadas com o serviço de análise |
| Julho de 2022 | Positive Security comunica as conclusões ao urlscan.io após concluir a avaliação |
| 2 de novembro de 2022 | Publicação do relatório público com as conclusões |
| Após a divulgação | Serviço acrescenta regras de eliminação e listas de bloqueio de domínios e padrões de URL |
O problema não é exclusivo de um serviço. Um estudo académico recente que mediu fugas em repositórios públicos de URL analisou 6 094 475 endereços recolhidos em plataformas de análise, sites de partilha de texto e arquivos web, identificando 12 331 potenciais exposições em domínios ligados a autenticação, dados financeiros, dados pessoais e documentos, tendo como fontes VirusTotal, URLScan.io, Hybrid Analysis, Wayback Machine e RedHunt. Para uma empresa portuguesa, colar num serviço público um endereço com identificadores de cliente, número de processo ou token de acesso pode configurar um tratamento — e uma exposição — de dados pessoais.
O que estas ferramentas não conseguem ver
- Domínios acabados de registar. As bases de reputação dependem de reportes anteriores; um domínio criado para uma campanha de dois dias tende a aparecer como desconhecido.
- Páginas que se comportam de forma diferente consoante a vítima. Filtros por país, dispositivo, hora ou parâmetro do link fazem com que o scanner veja uma página inofensiva.
- Ataques que não dependem de malware. A ENISA observa que o phishing conduz à instalação de código malicioso em 23% dos casos, o que sugere que é usado sobretudo para objetivos sem malware — ou seja, roubo de credenciais e de sessões.
- Técnicas emergentes. A agência europeia destaca o método de engenharia social ClickFix, que usa falsas verificações CAPTCHA em sites comprometidos ou fraudulentos para levar o utilizador a executar comandos PowerShell, além do crescimento do quishing através de códigos QR.
- Contexto. Um site legítimo comprometido pode ter reputação impecável no momento da verificação.
Como usar um verificador de links sem criar outro risco
- Verifique apenas o domínio quando o endereço completo contiver parâmetros: em vez de colar
https://portal.exemplo.pt/reset?token=ABC123, testeportal.exemplo.pt. - Se usar plataformas de análise partilhada, confirme a definição de visibilidade antes de submeter e trate como pública qualquer submissão anónima.
- Nas organizações, reveja as integrações automáticas de gateways de email e plataformas SOAR — foi precisamente aí que nasceram as exposições documentadas.
- Interprete “desconhecido” como não confiável, e não como seguro.
- Confirme sempre o pedido por um canal independente. O CNCS recomenda não clicar em anexos ou links de emails, mensagens instantâneas ou SMS suspeitos, confirmar a veracidade do endereço de origem e não seguir instruções sem verificar o pedido noutras fontes, por exemplo junto do gestor de conta do banco ou de um superior hierárquico.
- Perante um site fraudulento, reporte. O CERT.PT indica que devem ser comunicados casos como a descoberta de um website fraudulento que procura captar informação de eventuais vítimas ou realizar burlas.
Porque é que isto importa em Portugal
Para o cidadão, um verificador de links é uma camada extra barata e imediata, sobretudo perante SMS de entregas, avisos bancários ou falsas notificações do Estado. Para as PME, a leitura tem de ser diferente: uma ferramenta manual não é um controlo de segurança organizacional. Com o Regime Jurídico da Cibersegurança (Decreto-Lei n.º 125/2025), que transpõe a diretiva NIS2, as entidades abrangidas passam a ter de demonstrar medidas de gestão de risco e formação de sensibilização — e a distinguir entre boas práticas individuais e controlos verificáveis, como filtragem de URL, autenticação multifator resistente a phishing e procedimentos de reporte de incidentes.
Há também uma dimensão de proteção de dados. Submeter para um serviço externo um endereço que contém dados de clientes é, na prática, uma transferência de informação para um terceiro, com potencial exposição pública. À luz do RGPD, essa prática deve ser avaliada quanto a base legal, minimização e eventuais transferências internacionais, e integrada nas regras internas de utilização de ferramentas online. A recomendação prudente é simples: verificar domínios, nunca segredos.
Perguntas frequentes
Um verificador de links garante que a página é segura?
Não. Estes serviços reduzem o risco, mas dependem de bases de reputação e de análise automática. Domínios criados há poucas horas ou páginas que só mostram conteúdo malicioso a determinadas vítimas podem passar despercebidos. Um resultado “seguro” ou “desconhecido” não substitui a verificação do pedido por um canal independente.
Posso colar qualquer URL nestas ferramentas?
Não é aconselhável. Em plataformas de análise partilhada as submissões podem ficar públicas e pesquisáveis, incluindo endereços de reposição de palavra-passe, convites, faturas ou documentos partilhados. Sempre que o endereço contenha parâmetros ou identificadores, teste apenas o domínio.
Qual é a diferença entre verificar reputação e analisar a página?
A verificação de reputação consulta listas de sites já reportados. A análise dinâmica carrega efetivamente a página num ambiente isolado e regista o seu comportamento, como domínios contactados, recursos pedidos e conteúdo apresentado. A segunda abordagem deteta mais ameaças recentes, mas também pode ser enganada por páginas que se escondem de scanners.
Onde reportar um site fraudulento em Portugal?
Ao CERT.PT, serviço do Centro Nacional de Cibersegurança, através do formulário e dos contactos disponíveis no site do CNCS. Se houver crime, a comunicação ao CERT.PT não substitui a apresentação de queixa junto das autoridades judiciárias ou de polícia criminal competentes.
Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pela ENISA, pelo CNCS/CERT.PT, pela DECO PROTESTE, por investigadores da Positive Security e pela documentação pública dos serviços de análise de URL mencionados.