Como reconhecer um email de phishing?

Peguei um email de phishing justamente no mês passado enquanto estava viajando a trabalho, e me assustou bastante. Dizia que minha conta Amazon tinha sido comprometida e eu precisava "verificar já", com um link super suspeito. Não cliquei, óbvio, mas me fez refletir sobre como é fácil cair nessas pegadinhas se você não ficar atento.

O que me salvou foi não confiar no link direto. Em vez de clicar, fui ao site da Amazon digitando o endereço na barra manualmente, e lá não havia nenhum aviso de segurança. Se você não reconhece quem enviou ou a mensagem parece estranha no tom - tipo tem erros de digitação, usa frases formais que nunca usa, ameaça coisas - liga o antifurto mental. Vê também se quem enviou pede dados pessoais tipo senha, número de cartão ou códigos. As empresas de verdade nunca pedem essas coisas por email. E se você vê urgência artificial ("DENTRO DE DUAS HORAS!" e tal), é quase sempre um sinal de alerta.

O endereço de quem enviou que você menciona é bem certo, mas nem sempre é tão óbvio assim. Às vezes os phishers usam domínios que parecem muito com o original, só uma letra diferente ou um 0 no lugar de um O. O truque que me é útil é passar o mouse por cima do nome de quem enviou (sem clicar!) para ver o email de verdade por trás. E se a mensagem tem anexos estranhos que você não esperava? Ignora completamente.