Um e-mail diz ser da Amazon.co.jp. Agradece pela preferência, menciona a segurança da conta e pede que você clique para confirmar os dados. Tem nome da empresa, aviso de mensagem automática e direitos autorais. Parece até que o golpista fez curso de comunicação corporativa.
Mas o domínio de destino indicado na URL não é da Amazon. É uma mensagem altamente suspeita de phishing. Não faça login pelo link do e-mail: abra por conta própria o aplicativo oficial ou um endereço da Amazon em que você já confia.
1. O suposto problema nunca é explicado
O texto anuncia um “aviso importante”, mas não esclarece se houve acesso desconhecido, erro de pagamento ou mudança na conta. Só afirma que a verificação não alterará seus dados.
Imagine um estranho na portaria dizendo: “É pela segurança do prédio. Me empresta sua chave, vou só conferir.” A palavra “só” não transforma o sujeito em funcionário.
Nomes oficiais, avisos legais e linguagem formal podem ser copiados. Um rodapé impecável não é certificado de autenticidade.
2. A parte anterior ao @ pode ser apenas uma fantasia
Este é um exemplo neutralizado para explicação, não um endereço utilizável:
URLs podem seguir o padrão informações-do-usuário@host. A expressão parecida com Amazon antes do @ fica na parte de informações do usuário, e não é o domínio do site. O host neste exemplo é share.google, depois do @. O MDN explica essa sintaxe.[1]
A armadilha depende da pressa: o leitor vê Amazon no começo e não percebe a identificação real mais adiante. É o equivalente digital de vestir o uniforme de uma loja e usar crachá de outra.
3. share.google é legítimo — isso não torna o e-mail legítimo
Um detalhe importante: share.google é de fato um domínio oficial de links encurtados do Google. O próprio Google confirma isso.[2]
O problema está em usar esse encurtador, mais um trecho enganoso antes do @, para pedir acesso a uma conta da Amazon. Links curtos dificultam identificar o destino final só pela leitura da mensagem.
Não acessamos esse link específico. Portanto, não confirmamos o redirecionamento final, a presença de uma tela falsa ou qualquer roubo de informações. A estrutura observada já é motivo suficiente para interromper a interação.
4. Assinatura, copyright e opção de cancelar inscrição não provam nada
O rodapé cita a empresa e oferece algo parecido com um link para cancelar o recebimento. Esses textos podem estar em qualquer e-mail falsificado. Um domínio famoso em outro link também não valida toda a mensagem.
Não examinamos os cabeçalhos originais nem a autenticação técnica do remetente. A avaliação é limitada ao conteúdo fornecido e à estrutura da URL.
5. O que fazer agora?
Não clicou: ignore os links de confirmação e cancelamento, consulte a conta pelo app oficial e denuncie a mensagem como phishing.
Só abriu a página: feche-a e verifique se houve download ou instalação. O clique, isoladamente, não comprova invasão da conta.
Digitou a senha: acesse a Amazon por um canal confiável, troque a senha, altere senhas reutilizadas e verifique autenticação em duas etapas, pedidos e pagamentos.
Digitou dados do cartão: fale rapidamente com a administradora pelos canais oficiais. A FTC recomenda confirmar alertas inesperados usando um contato legítimo obtido por você mesmo.[3]
Conclusão
O e-mail fala Amazon, assina Amazon e se veste de Amazon. Já o endereço mostra outra identificação. A melhor verificação não é confiar na fantasia: é entrar no serviço por conta própria.
[1] MDN: https://developer.mozilla.org/en-US/docs/Web/URI/Reference/Authority
[2] Google: https://support.google.com/websearch/answer/7013866?hl=en-AU
[3] FTC: https://consumer.ftc.gov/consumer-alerts/2025/04/protect-yourself-phishing-scams
