Recebi um e-mail dizendo que meu site está inseguro. É golpe?
A mensagem pode ser um golpe tentando vender “limpeza”, roubar sua senha ou induzir um pagamento. Também pode apontar um problema real. O erro é decidir pelo susto, clicando no link ou ignorando sem verificar.
O link da mensagem não é o lugar de confirmar a mensagem. A validação precisa começar por um canal que você iniciou e já confia.
Como validar o alerta sem se expor
Confirme pelo canal oficial iniciado por você.
Leia domínio, remetente e contexto.
Busque URL, versão ou comportamento reproduzível.
Senha e painel não são prova de boa-fé.
Guarde remetente, horário e conteúdo.
Trate a exposição e procure sinais de exploração.
Sinais de que o e-mail pode ser golpe
Desconfie de urgência artificial, ameaça de bloqueio, cobrança imediata, pedido de senha, instalação de plugin ou acesso administrativo. Domínios parecidos, remetentes gratuitos e links encurtados também aumentam o risco.
O remetente pode usar termos técnicos verdadeiros para tornar a abordagem convincente. Isso não prova que ele tenha encontrado uma vulnerabilidade real.
Sinais de que pode existir um problema real
Um alerta merece investigação quando cita uma URL pública específica, comportamento que você consegue reproduzir por conta própria, versão realmente desatualizada ou exposição que pode ser confirmada sem executar o link do remetente.
Mesmo assim, valide por um canal independente. Uma mensagem maliciosa pode misturar um fato verdadeiro com uma tentativa de venda ou roubo de acesso.
Como confirmar sem clicar no e-mail
Digite o endereço do seu site diretamente no navegador, consulte o painel da hospedagem, o Search Console e ferramentas que você já usa. Se a mensagem menciona uma página específica, copie o caminho como texto e verifique por conta própria.
Não faça login pelo botão da mensagem e não entregue credenciais para o remetente “confirmar” o problema.
A validação precisa começar por um canal que você iniciou e já confia.
O falso diagnóstico usado para vender serviço
Alguns contatos fazem varreduras automáticas e enviam resultados genéricos como se fossem uma emergência. Outros inventam malware, blacklist ou “falha crítica” e oferecem a correção imediatamente.
Peça evidência verificável, escopo, impacto e forma de reprodução. Não aceite acesso administrativo como condição para entender o alerta.
Quando não ignorar o alerta
Se você confirmar redirecionamento, página estranha, usuário novo, versão vulnerável, arquivo público indevido ou aviso legítimo do navegador, trate como exposição real e preserve os registros.
Se clientes já foram afetados, a prioridade aumenta e pode ser necessário envolver hospedagem, segurança e comunicação.
Como responder com segurança
Você não é obrigado a continuar a conversa com o remetente. Se decidir responder, não envie senha, chave, backup, log sensível ou dado de cliente. Peça detalhes técnicos mínimos e valide tudo independentemente.
Quando o alerta for legítimo, agradeça a comunicação e encaminhe para o processo interno. Quando for fraude, preserve a mensagem e bloqueie o contato.
Perguntas frequentes
Todo e-mail sobre vulnerabilidade é golpe?
Não. Pesquisadores e empresas podem avisar sobre problemas reais, mas a validação deve acontecer de forma independente.
Posso clicar para ver a prova?
Evite. Copie a informação necessária e confirme pelo seu próprio navegador, painel ou processo técnico.
Devo dar acesso ao WordPress para o remetente?
Não para simplesmente validar a alegação. Um diagnóstico inicial pode ser feito sem entregar credenciais administrativas.
E se o alerta estiver correto?
Preserve a evidência, corrija a exposição com método e revise se houve exploração ou alteração no ambiente.
Organize o próximo passo sem perder evidências.
Se existe risco real, preserve os registros e siga o caminho de atendimento indicado neste guia.
Leandro Lucio
Especialista em Cyber Security e Digital Forensics, atua com gestão de vulnerabilidades, investigação digital, resposta a incidentes, pentest autorizado e proteção de ambientes online. Este conteúdo transforma segurança da informação em orientação prática para pessoas, famílias e negócios.
Conheça minha trajetória técnica →