Você recebeu uma cobrança ou um aviso de login que parece vir do ChatGPT, mas não sabe se é legítimo.
Ação mais rápida: não clique no link; confira o endereço completo do remetente e verifique a situação entrando pelo aplicativo oficial ou digitando manualmente o endereço do site que você já conhece. Uma mensagem que usa o nome ChatGPT não prova que a conta foi invadida. Um e-mail temporário também não identifica nem bloqueia phishing.
Este guia é para você que usa o ChatGPT e recebeu um aviso de pagamento, login ou verificação que não consegue confirmar. Também serve se você já abriu uma mensagem suspeita e precisa decidir o que proteger primeiro, ou se quer evitar expor seu endereço principal em cadastros de baixa confiança.
Última atualização: 22 de outubro de 2026. As informações sobre campanhas foram conferidas no relatório publicado pela Microsoft em 8 de junho de 2026; as verificações e medidas de segurança foram comparadas com as orientações oficiais da OpenAI.
No recebimento: separe a mensagem do estado real da conta
Um e-mail pode exibir o nome ChatGPT, usar um logotipo convincente e falar de uma assinatura sem ter sido enviado pelo serviço. O nome visível é apenas uma informação apresentada ao destinatário; não confirma quem enviou a mensagem nem se o aviso corresponde a uma alteração real na sua conta.
Da mesma forma, uma mensagem falsa usando o nome de um serviço não significa que esse serviço foi invadido. A Microsoft descreve o uso de marcas de inteligência artificial, incluindo ChatGPT, como isca em atividades de engenharia social. Isso é evidência de campanhas de imitação, não prova de que toda mensagem com esse nome seja falsa, nem de que a conta de cada pessoa que a recebeu tenha sido comprometida. Veja o relato da Microsoft sobre o uso de marcas de IA como isca.
Antes de fazer qualquer coisa, observe qual ação a mensagem exige: atualizar pagamento, validar uma entrada, informar um código ou baixar um arquivo. Essa distinção ajuda você a escolher a verificação adequada sem obedecer ao próprio e-mail.
| Momento | O que verificar | Decisão segura |
|---|---|---|
| A mensagem chegou | Nome exibido, endereço completo e ação solicitada | Não use o nome ou o logotipo como prova |
| Antes de abrir um link | Domínio real do remetente e destino do link | Não entre na conta pelo link recebido |
| Depois de conferir | Avisos e estado da conta no canal oficial | Só prossiga se a conta confirmar a mesma situação |
| Após uma interação | Que dado você digitou ou que arquivo abriu | Proteja primeiro a credencial ou o meio de pagamento exposto |
A página de verificação de comunicações da OpenAI é a referência para conferir as comunicações atuais. Evite guardar uma lista de endereços como regra permanente: os canais e as orientações oficiais podem mudar. Se houver dúvida, volte à página oficial em vez de confiar em uma lista copiada de uma mensagem ou publicação antiga.
Na conferência do remetente: examine o endereço completo
Como conferir o endereço de quem diz ser da OpenAI?
Abra os detalhes da mensagem e examine o endereço completo do remetente, não apenas o nome que aparece na caixa de entrada. Confira o domínio que vem depois do símbolo de arroba e procure diferenças sutis, como palavras acrescentadas, erros de grafia ou um domínio que apenas inclui o nome da marca em outra parte.
Não considere a mensagem legítima só porque o endereço parece familiar. O campo do remetente não confirma sozinho o estado da sua conta, e a aparência do cabeçalho pode ser enganosa. Compare a comunicação com as instruções atuais da página oficial de verificação de mensagens da OpenAI. Se não conseguir confirmar o endereço, trate a mensagem como não verificada e siga para a conta por um caminho independente.
| Elemento observado | O que ele informa | O que não comprova |
|---|---|---|
| Nome exibido | Como o remetente se identificou visualmente | Que a mensagem saiu de um canal oficial |
| Endereço completo | O endereço apresentado como remetente | Que o aviso corresponde à sua conta |
| Domínio do remetente | A parte do endereço que ajuda a conferir a origem | Que um link dentro da mensagem é seguro |
| Texto e logotipo | Como a mensagem foi formatada | Que o conteúdo foi enviado pela empresa citada |
| Destino do link | Para onde o botão ou endereço pode levar | Que você deve inserir senha, código ou pagamento |
Se o aplicativo de e-mail permitir, mantenha o cursor sobre o botão sem clicar para inspecionar o destino. No celular, não toque no link para “ver onde vai”: use a opção de copiar endereço apenas se souber fazer isso sem abri-lo, ou simplesmente ignore o botão e acesse a conta separadamente. O texto de um link pode mostrar um endereço conhecido enquanto o destino real é outro.
Um sinal suspeito merece cautela, mas um sinal isolado não determina a autenticidade. Pressa, erros de escrita ou um domínio estranho aumentam a necessidade de verificar; não substituem a confirmação da conta por um canal independente.
Antes do clique: confirme a notificação fora do e-mail
O link de uma mensagem com código de verificação pode ser aberto?
Não use o link da mensagem para iniciar sessão ou validar uma alteração que você não solicitou. Abra o aplicativo oficial ou digite manualmente o endereço do site que você já conhece. Depois, confira se há um aviso correspondente, como uma tentativa de login, uma solicitação de confirmação ou uma mudança na assinatura.
A OpenAI explica quando uma pessoa pode receber uma mensagem de verificação de login e como interpretar esse processo em sua orientação sobre solicitações para verificar o login. Use essa informação junto com o estado da sua conta, não como motivo para clicar automaticamente em qualquer link que prometa validar um acesso.
Se não houver uma notificação correspondente na conta, não envie senha, código de verificação nem informação de pagamento em resposta ao e-mail. Se você pediu um código, use apenas o fluxo iniciado por você no aplicativo ou no site oficial. Nunca encaminhe um código a alguém que entrou em contato por mensagem: ele pode permitir que outra pessoa conclua uma tentativa de acesso.
A mensagem de atualização de pagamento corresponde à sua assinatura?
Confira a assinatura e o método de pagamento entrando na conta por um caminho independente. Compare o pedido do e-mail com o que aparece ali. Se a mensagem disser que o pagamento falhou, mas a conta não mostrar aviso correspondente, não atualize seus dados pelo link recebido. Se existir uma pendência real no canal oficial, siga as instruções apresentadas dentro da conta.
Uma cobrança inesperada também pode ser um indício de fraude, mas não basta, por si só, para concluir que a conta foi invadida. Verifique se você reconhece a assinatura e se o lançamento aparece na instituição que administra o pagamento. Quando houver uma transação que você não reconhece, fale com o banco ou provedor de pagamento usando os canais oficiais que você já utiliza.
| Situação observada | O que fazer fora do e-mail | O que evitar |
|---|---|---|
| Aviso de login que você reconhece | Confira a atividade pela conta e siga o fluxo oficial iniciado por você | Informar o código em resposta à mensagem |
| Pedido de atualização de pagamento | Confira a assinatura e a cobrança na conta oficial | Digitar dados de pagamento na página aberta pelo e-mail |
| Aviso sem equivalente na conta | Não interaja e use os canais oficiais para esclarecer | Presumir que a urgência do texto confirma a cobrança |
| Código que você não solicitou | Não o compartilhe e confira a atividade da conta | Aprovar uma tentativa que você não iniciou |
Depois de abrir a mensagem: aja conforme o que foi exposto
Abrir um e-mail, visitar uma página, preencher um formulário e baixar um arquivo não têm o mesmo risco. Não presuma que todos esses casos exigem a mesma resposta; identifique o que aconteceu e proteja primeiro a informação que você realmente forneceu.
Se você só abriu o e-mail ou a página
Se apenas visualizou a mensagem ou abriu uma página sem inserir dados nem baixar arquivos, feche-a e não continue. Acesse a conta por um canal independente e confira a atividade. O simples fato de abrir uma página não confirma que alguém entrou na sua conta; ao mesmo tempo, não use essa ausência de confirmação para ignorar uma atividade desconhecida.
Se a página solicitou permissão para notificações, acesso à conta ou instalação de algo, não aceite. Se você aceitou, anote qual permissão concedeu e revogue-a nas configurações pertinentes do navegador, do dispositivo ou da conta, conforme o caso. Não retorne ao link para tentar investigar.
Se você digitou sua senha ou compartilhou um código
Entre pelo aplicativo ou endereço oficial, altere a senha afetada e verifique as sessões ou atividades que você não reconhece. Se você usa a mesma senha em outros serviços, troque-a também nesses serviços: a exposição de uma credencial reutilizada pode afetar contas diferentes. Ative os recursos de proteção disponíveis na conta e não compartilhe códigos recebidos por e-mail.
A OpenAI reúne orientações para proteger a conta em sua página de segurança da conta. Se você observar acessos ou mudanças que não reconhece, use também o procedimento oficial para atividade não reconhecida na conta. Não siga instruções de recuperação fornecidas pelo próprio e-mail suspeito.
Se você informou dados de pagamento ou baixou um arquivo
Se você enviou dados de cartão ou confirmou uma transação, contate a instituição financeira pelo aplicativo ou número que já conhece. Peça orientação sobre bloqueio, contestação ou substituição do meio de pagamento, conforme o que foi exposto. Não use um telefone ou endereço de suporte indicado na mensagem suspeita.
Se baixou um arquivo, não o abra. Se já o executou, interrompa o uso do dispositivo para operações sensíveis até verificar o que ocorreu e siga as instruções de segurança do sistema ou de um profissional de confiança. Se o dispositivo também contém senhas ou acesso ao e-mail principal, avalie a partir de outro dispositivo confiável a troca das credenciais relevantes.
| O que aconteceu | Prioridade | Próxima medida |
|---|---|---|
| Você só leu ou abriu a página | Interromper a interação | Fechar a página e conferir a conta pelo canal oficial |
| Você digitou uma senha | Proteger a credencial | Alterar a senha e conferir atividades desconhecidas |
| Você compartilhou um código | Proteger o acesso | Conferir a conta e encerrar acessos que não reconhece |
| Você informou dados de pagamento | Limitar o risco financeiro | Contatar a instituição financeira por um canal conhecido |
| Você baixou ou executou um arquivo | Proteger o dispositivo e as contas | Não abrir o arquivo e buscar orientação de segurança adequada |
Se você não sabe exatamente o que foi enviado, não tente repetir o processo para descobrir. Revise o histórico do navegador e da conta, sem abrir de novo a mensagem, e trate como exposto qualquer dado que você efetivamente digitou ou compartilhou.
Nas próximas mensagens: reconheça sinais de pressão sem tirar conclusões apressadas
Mensagens de phishing costumam tentar acelerar sua decisão. Podem alegar que o pagamento será interrompido, que a conta será bloqueada ou que uma verificação precisa acontecer imediatamente. Também podem pedir senha, código de acesso ou dados financeiros. Esses sinais justificam parar e confirmar por outra via; nenhum deles, sozinho, prova que a mensagem seja falsa.
O contexto importa. Um aviso verdadeiro pode mencionar login ou cobrança, enquanto uma mensagem fraudulenta pode copiar a linguagem de uma comunicação legítima. Por isso, use uma sequência consistente: examine o remetente, não use o link recebido e compare a alegação com o que aparece na conta aberta separadamente. A Microsoft documenta o uso de marcas de IA em atividades de engenharia social, mas esse relato não permite estimar a probabilidade de uma mensagem específica ser fraudulenta nem de um destinatário individual ter sido afetado.
Para reduzir erros, você pode aplicar esta decisão:
- Se você reconhece a ação e a conta mostra o mesmo aviso, então continue pelo aplicativo ou site oficial, não pelo botão do e-mail.
- Se você não iniciou a ação ou não encontra aviso correspondente, então não forneça dados; verifique a atividade da conta e procure ajuda por canais oficiais.
- Se você já enviou uma senha, código ou dado de pagamento, então siga a medida específica para essa exposição antes de responder à mensagem.
- Se a mensagem pede que você ignore o processo oficial ou compartilhe um código, então interrompa a interação e trate o conteúdo como não verificado.
Em novos cadastros: use isolamento de endereço sem confundir proteção
Um endereço separado pode limitar quantos sites de baixa confiança recebem seu e-mail principal. Se um cadastro começar a gerar mensagens indesejadas, o endereço usado também pode ajudar você a identificar onde o contato surgiu. Isso é uma medida de redução de exposição, não uma ferramenta para autenticar remetentes.
Um e-mail temporário não verifica se uma mensagem veio realmente da OpenAI, não bloqueia links de phishing e não protege uma conta de pagamento. Também pode não ser adequado para serviços que exigem recuperação futura, histórico de conversas ou acesso continuado. Para o ChatGPT e outras contas importantes, use um endereço que você controle a longo prazo e mantenha as opções de recuperação atualizadas.
Para escolher entre endereço temporário, alias e endereço principal, pense no tempo de acesso que você precisará:
- Se o cadastro for pontual, de baixa confiança e não depender de recuperação futura, então um endereço temporário pode reduzir a exposição do seu endereço principal.
- Se você quiser separar mensagens de vários serviços e continuar recebendo respostas, então um alias controlado por você pode ser mais apropriado.
- Se a conta for importante, envolver pagamentos ou exigir recuperação, então use um endereço duradouro que você monitore.
- Se a mensagem for suspeita, então nenhuma dessas opções substitui a verificação do remetente e da conta por um canal independente.
Para comparar melhor essas alternativas antes de criar contas, consulte o guia sobre limites de privacidade entre e-mail temporário e alias. Se você optar por um endereço descartável em cadastros de baixo risco, o guia de e-mail temporário ajuda a avaliar o uso sem confundi-lo com proteção contra phishing. No caso de uma mensagem já suspeita, a lista de verificação para avaliar e-mails complementa a conferência do remetente.
A decisão principal continua sendo a mesma: para identificar e-mails falsos do ChatGPT, não confie na aparência nem entregue credenciais pelo link recebido. Confira o domínio, confirme o estado da conta por um caminho independente e aja de acordo com o que você expôs. O MaskSend pode ser considerado para cadastros pontuais em sites de baixa confiança, quando você não precisa manter aquele endereço como canal de recuperação. Não o use para login, avisos de pagamento ou recuperação da conta do ChatGPT: nesse caso, um endereço duradouro que você controla é a opção mais segura.
Teste o recebimento agora
Use uma caixa de entrada descartável para cadastros de curto prazo e um alias de encaminhamento independente para relacionamentos duradouros. Reserve seu e-mail real para comunicações confiáveis.