Imagine receber uma mensagem do seu banco informando que existe uma movimentação suspeita em sua conta. Você observa o endereço do site, confere o nome da instituição e percebe que tudo parece correto. O logotipo é conhecido, a página possui aparência profissional e até o endereço eletrônico parece verdadeiro. Entretanto, uma única letra pode ter sido substituída por um caractere visualmente semelhante, transformando aquele endereço em uma armadilha digital.
Como funciona o golpe dos caracteres parecidos
Essa é a lógica do chamado ataque homográfico, conhecido internacionalmente como Homograph Attack. Trata-se de uma técnica em que criminosos exploram a semelhança entre letras e caracteres de diferentes alfabetos para criar endereços eletrônicos que parecem pertencer a empresas legítimas.
Um exemplo simples é a semelhança entre a letra “O” e o número “0”, ou entre a letra “l” minúscula e a letra “I” maiúscula. Entretanto, a técnica pode ser muito mais sofisticada. Alguns caracteres dos alfabetos cirílico e grego são visualmente quase idênticos aos utilizados em português, embora sejam reconhecidos pelos computadores como símbolos completamente diferentes.
Isso permite que criminosos registrem domínios visualmente semelhantes aos de bancos, lojas, serviços de pagamento e plataformas digitais. A vítima acredita estar acessando o site verdadeiro, mas acaba entrando em página falsa preparada para capturar senhas, informações bancárias e dados pessoais.
O volume de ameaças e a evolução das fraudes
O problema é que nem sempre nossos olhos conseguem identificar a diferença e os números mostram que essa ameaça merece atenção. Um estudo da empresa de cibersegurança Akamai identificou 6.670 domínios homográficos acessados durante um período de apenas 32 dias. Nesse intervalo, aproximadamente 29 mil dispositivos realizaram consultas a pelo menos um desses endereços. A pesquisa também identificou, em parte do período analisado, uma média de 67 novos domínios homográficos por dia. Os dados são de um levantamento histórico, mas demonstram a capacidade de disseminação dessa técnica.
Uma investigação mais recente da Netcraft, publicada em 2025, identificou mais de 600 domínios relacionados a uma técnica que utilizava um caractere japonês para produzir endereços enganosos. O objetivo era fazer com que o usuário interpretasse visualmente o endereço de maneira diferente de como ele realmente estava registrado.
Outro levantamento, realizado pela Interisle Consulting Group, identificou 2.655 domínios internacionalizados utilizados em 2.706 ataques de phishing no período de 2024 a 2025. Aproximadamente 78% desses domínios apresentavam características de registros maliciosos. É importante destacar que nem todos eram necessariamente ataques homográficos, mas os dados mostram como endereços com caracteres internacionais também podem ser explorados por criminosos.
Esses números precisam ser interpretados corretamente. Embora existam milhares de ocorrências documentadas, os domínios internacionalizados representaram apenas 0,17% dos domínios utilizados em phishing naquele levantamento. Portanto, não é possível afirmar que os ataques homográficos sejam a modalidade predominante ou que estejam crescendo continuamente sem considerar períodos e metodologias comparáveis.
Riscos para empresas e o falso cadeado de segurança
A preocupação aumenta porque essa técnica pode ser combinada com outras modalidades de fraude digital. Criminosos utilizam mensagens de phishing, anúncios falsos e engenharia social para convencer a vítima a acessar o endereço fraudulento. A inteligência artificial também pode facilitar a criação de textos convincentes e páginas visualmente semelhantes às originais.
Outro detalhe importante é que um site falso pode apresentar o famoso cadeado de segurança no navegador. Isso acontece porque o certificado HTTPS protege a comunicação entre o usuário e o servidor, mas não garante que a empresa por trás daquele endereço seja legítima.
Ou seja, um site pode possuir conexão criptografada e, mesmo assim, ser uma fraude. No ambiente corporativo, os riscos também são relevantes. Um funcionário pode receber um e-mail aparentemente enviado pelo departamento de tecnologia solicitando a atualização de uma senha. O endereço pode imitar o domínio da própria empresa e direcionar o colaborador para uma página falsa. Caso as credenciais sejam fornecidas, os criminosos poderão tentar acessar sistemas internos, documentos confidenciais e informações de clientes.
A expansão do phishing reforça essa preocupação. Segundo o Anti-Phishing Working Group (APWG), os ataques de phishing cresceram 10,1% no segundo trimestre de 2026, chegando a 425.808 ocorrências somente em junho. Embora esse percentual não represente especificamente os ataques homográficos, demonstra a dimensão do cenário de fraudes digitais em que essa técnica pode ser utilizada.
Como se proteger contra o ataque homográfico
Para reduzir os riscos, a principal recomendação é evitar acessar serviços sensíveis por links recebidos inesperadamente. Em operações bancárias, por exemplo, é preferível utilizar o aplicativo oficial ou endereços previamente salvos. Também é importante manter navegadores atualizados, utilizar autenticação resistente a phishing e desconfiar de solicitações urgentes de informações pessoais.
As empresas, por sua vez, precisam monitorar o registro de domínios semelhantes aos seus, fortalecer os mecanismos de autenticação e orientar funcionários sobre os riscos de endereços visualmente falsificados.
O ataque homográfico demonstra como uma característica legítima da internet pode ser explorada por criminosos. A tecnologia que permite utilizar diferentes idiomas nos endereços eletrônicos também pode ser abusada para produzir imitações capazes de enganar até usuários atentos.
E talvez essa seja uma das maiores dificuldades da cibersegurança moderna: os criminosos não precisam necessariamente invadir um sistema para conseguir informações. Muitas vezes, basta criar uma aparência suficientemente convincente para que a própria vítima entregue aquilo que deveria proteger.
Na internet, duas letras podem parecer iguais aos nossos olhos, mas representar destinos completamente diferentes. E essa pequena diferença pode ser suficiente para transformar um simples clique em um grande prejuízo.
