Não é de hoje que o avanço das ferramentas de inteligência artificial (IA) e de outros recursos tecnológicos tem transformado até mesmo ações simples em possíveis riscos de segurança digital. Hoje, algo aparentemente inocente — como pré-visualizar um link no celular — pode se tornar motivo de preocupação.
Isso acontece porque já existem diversos golpes digitais em circulação que exploram o chamado ataque de clique zero. Nesse tipo de ataque, criminosos conseguem roubar dados do usuário sem que ele precise clicar em nada.
- Leia também: Como a performance dos dispositivos influencia o carregamento do site
- Leia também: Velocidade do site e SEO: por que o carregamento rápido melhora o ranking
- Leia também: Velocidade do site: o que é, como medir e como melhorar o desempenho
Pode parecer coisa de filme de ficção científica, mas casos de roubo de informações sigilosas a partir da pré-visualização de links em aplicativos de mensagem estão se tornando cada vez mais comuns. Em alguns cenários, basta visualizar um link malicioso para que dados sensíveis sejam expostos.
Muitas vezes, esses ataques surgem de onde menos esperamos. Criminosos utilizam ferramentas de inteligência artificial e exploram falhas em assistentes virtuais por meio de técnicas como injeção de prompt. Esse método manipula o comportamento da IA para coletar ou expor informações sensíveis dos usuários.
Assim, os criminosos conseguem montar uma armadilha digital sofisticada. O usuário pode ter seus dados sequestrados sem sequer clicar no link ou interagir com a mensagem.
Mas como isso é possível?
A resposta está em um recurso bastante comum da internet chamado link unfurling.
Para entender melhor o assunto, veja a seguir como o desdobramento de links pode se transformar em uma ferramenta poderosa para golpes digitais.
O que é link unfurling?
Se você usa aplicativos de mensagem com frequência, provavelmente já percebeu que, ao colar um link em plataformas como WhatsApp, Slack ou Discord, surge automaticamente uma pequena pré-visualização do conteúdo.
Essa prévia geralmente mostra:
- uma imagem
- o título da página
- um pequeno resumo do conteúdo
Esse recurso é conhecido como link unfurling.
Em termos simples, o link unfurling é um mecanismo que transforma URLs simples em pré-visualizações visuais dentro de chats ou redes sociais. Em vez de exibir apenas o endereço do site, o aplicativo gera um card informativo que oferece uma ideia do conteúdo antes do clique.
Na prática, o link deixa de ser apenas uma sequência de caracteres e passa a se tornar um elemento visual interativo.
Apesar de ser um recurso legítimo e muito útil no dia a dia, ele também pode apresentar riscos. Isso acontece porque o processo de geração da pré-visualização exige que o aplicativo acesse o site do link automaticamente para coletar informações.
Se esse processo for explorado por criminosos, o mecanismo pode se transformar em uma porta de entrada para ataques digitais.
O comando secreto
Uma tendência preocupante no cenário atual é o uso de inteligência artificial por cibercriminosos para automatizar golpes.
Um dos métodos utilizados é a injeção de prompt, técnica que manipula o comportamento de assistentes de IA para executar ações inesperadas ou maliciosas.
Nesse tipo de ataque, o hacker nem precisa enviar o link diretamente para a vítima.
Em vez disso, ele envia um comando malicioso para uma IA integrada a um aplicativo de mensagens — como sistemas baseados em ChatGPT, Claude ou Gemini.
O script pode instruir a IA, por exemplo, a enviar uma mensagem fingindo ser o suporte técnico de algum serviço. Na mensagem, aparece um link aparentemente legítimo.
O truque está na forma como a URL é apresentada. A pré-visualização gerada pelo aplicativo pode ocultar o endereço real do site, dificultando a identificação do golpe.
Quando a mensagem é enviada, o aplicativo verifica automaticamente o link para gerar a pré-visualização. Durante esse processo, o sistema acessa o site indicado para coletar metadados e montar o card informativo.
Se o site estiver comprometido, esse simples processo de verificação já pode iniciar o ataque.
Assim, em alguns cenários, basta visualizar a mensagem para que dados sejam expostos, mesmo sem clicar no link.
Como os dados vazam sem login?
O vazamento de informações por meio da pré-visualização de links pode parecer algo extremamente sofisticado, mas o funcionamento do ataque é relativamente direto.
Quando um aplicativo gera a pré-visualização de um link, ele precisa enviar uma requisição automática ao servidor do site para coletar metadados, como:
- título da página
- descrição
- imagens associadas
- informações do servidor
Durante esse processo, alguns dados do ambiente podem ser expostos, dependendo da configuração do sistema.
Em ataques mais elaborados, criminosos exploram essa requisição automática para tentar capturar informações como:
- credenciais armazenadas
- tokens de autenticação
- chaves de API
- dados de sessão
Em ambientes corporativos, o risco pode ser ainda maior. Isso acontece porque links internos de empresas podem ser acessados automaticamente por sistemas integrados ou bots de IA comprometidos.
Além disso, os criminosos podem parametrizar dinamicamente a URL maliciosa. Dessa forma, o próprio sistema executa as requisições necessárias para concluir o ataque sem qualquer interação do usuário.
O que fazer para se proteger
A pré-visualização de links torna as conversas mais práticas e visuais. No entanto, como vimos, o recurso também pode ser explorado por cibercriminosos.
Por isso, adotar algumas medidas de segurança é fundamental para proteger seus dados.
Uma das estratégias mais importantes é aplicar o conceito de Zero Trust, que pode ser resumido na seguinte regra:
“Nunca confie, sempre verifique.”
Isso significa assumir que qualquer mensagem, link ou arquivo pode representar uma ameaça — mesmo que pareça vir de uma fonte confiável.
Algumas boas práticas incluem:
- desconfiar de links inesperados enviados por mensagens
- verificar manualmente o endereço do site antes de acessar
- evitar clicar em links encurtados ou suspeitos
- manter aplicativos e sistemas sempre atualizados
Outra medida importante é desativar a pré-visualização automática de links sempre que possível. Essa configuração impede que o aplicativo acesse automaticamente páginas externas apenas para gerar a prévia do conteúdo.
Embora a funcionalidade seja conveniente, desativá-la pode reduzir significativamente o risco de exposição a ataques baseados em link unfurling.
