2026: Quando a criança recebe um e-mail de recompensa de jogo, os pais devem deixá-la clicar ou verificar primeiro?

A FTC inclui uma lição sobre como reconhecer mensagens de phishing em seu material educativo para crianças (curso de identificação de phishing da FTC). A orientação prática para a família é simples: se chegar um e-mail sobre prêmio, alerta urgente ou pedido de acesso, a criança deve parar e chamar um responsável; depois, a família verifica por um canal oficial independente. Não use o link da mensagem para entrar na conta, não baixe anexos e não forneça senha ou código.

Este guia é para responsáveis por crianças que recebem mensagens relacionadas a jogos, por e-mail ou notificações.
Também ajuda quem quer ensinar a criança a reconhecer uma oferta suspeita sem presumir que toda recompensa seja fraude.
Se a criança já clicou ou compartilhou um código, há orientações para agir com calma e consultar os canais apropriados.

Recompensa anunciada por e-mail versus recompensa confirmada no jogo

Uma oferta de skin, moeda virtual ou item especial pode ser legítima. O problema é que o nome do remetente, o logotipo e o texto convincente não provam quem enviou a mensagem nem para onde um link realmente leva. Golpistas podem usar promessas de prêmio para incentivar uma ação apressada; a FTC descreve esse tipo de isca em sua orientação sobre falsas promoções e prêmios.

A regra não é acusar a mensagem sem verificar. É separar o que ela afirma do que a família consegue confirmar. Um e-mail pode dizer que a criança ganhou algo, mas a confirmação deve vir do aplicativo ou de um canal oficial que a família já conheça — não de uma página aberta pelo próprio e-mail.

Essa comparação é um filtro inicial, não um diagnóstico técnico. Uma mensagem bem escrita ainda pode ser falsa; uma mensagem estranha também não prova, por si só, que uma conta foi comprometida. Se o canal independente não confirmar a oferta ou o alerta, a família deve interromper a interação e procurar a ajuda oficial da plataforma.

Conferência da mensagem versus confiança na aparência

Na identificação de e-mails de phishing para crianças, vale ensinar que a aparência pode enganar. A criança e o responsável podem observar o endereço completo do remetente, o texto que aparece antes do domínio e o destino real do link, sem clicar nele. Um nome conhecido na caixa de entrada é apenas um rótulo: não substitui a verificação do endereço e da oferta.

No computador, é possível posicionar o cursor sobre um link e observar o destino exibido pelo programa de e-mail, sem selecioná-lo. Em celulares, em que essa conferência pode ser menos clara, a escolha mais simples é não tocar no link e abrir o jogo pelo aplicativo instalado. Em ambos os casos, não é necessário responder à mensagem para “testar” se ela é verdadeira.

Observe também pedidos que não combinam com a finalidade anunciada. Uma oferta de recompensa que exige senha, código recebido por e-mail ou mensagem, endereço residencial ou dados de pagamento merece pausa. A FTC recomenda que crianças não compartilhem informações pessoais com desconhecidos e procurem um adulto de confiança quando uma interação on-line as deixar em dúvida (recursos da FTC para segurança infantil). Isso não significa que toda plataforma nunca solicite dados: significa que a família deve conferir a necessidade e as regras no canal oficial, em vez de aceitar uma exigência enviada por remetente não verificado.

Uma forma prática de verificar a recompensa é fechar a mensagem, abrir o jogo pelo caminho habitual e consultar a área de notícias, eventos, mensagens ou suporte disponível no próprio serviço. Se não houver confirmação, os responsáveis podem consultar a central de ajuda oficial, digitando o endereço conhecido ou usando um atalho salvo anteriormente. Não use o telefone, o endereço nem o botão de atendimento fornecido pelo e-mail suspeito como meio de confirmação.

Alerta de conta versus redefinição solicitada

Uma mensagem sobre atividade incomum pode ser um aviso real, uma tentativa de assustar a criança ou um e-mail automático disparado por uma ação que ela mesma iniciou. Antes de mudar qualquer credencial, pergunte se a criança pediu uma redefinição de senha, tentou entrar em outro dispositivo ou solicitou um código. Essa conversa esclarece o contexto sem transformar um aviso isolado em prova de invasão.

Se a criança não iniciou a solicitação, não siga o botão do e-mail. Acesse a conta pelo aplicativo ou por um endereço oficial conhecido e procure avisos de segurança, sessões conectadas e opções para proteger o acesso. Os nomes dessas funções variam conforme a plataforma; por isso, siga as instruções atuais da central oficial do jogo. Se o acesso estiver bloqueado ou houver sinais de alteração, use o processo de recuperação indicado pela plataforma.

A orientação da FTC para recuperar uma conta de e-mail ou rede social invadida oferece medidas gerais de recuperação, mas não substitui as instruções específicas do serviço de jogos. Não envie senha, código de verificação ou documento a um contato encontrado dentro da mensagem suspeita. Se for necessário falar com o suporte, localize o canal oficial independentemente e confirme quais informações ele pede.

Códigos e dados pessoais versus pedidos enviados por mensagem

Combine uma regra familiar que não dependa de avaliar se a promessa parece convincente: senha e código de acesso não são compartilhados com remetentes de e-mail, colegas de jogo ou pessoas que prometem itens. A regra também vale para dados de pagamento e informações como endereço residencial. Uma solicitação inesperada não se torna confiável só porque parece vir de alguém conhecido no jogo.

Códigos de verificação podem permitir uma etapa de acesso ou recuperação, conforme o serviço. Se alguém pede esse código, a criança deve parar de conversar, não copiar o número e avisar um responsável. O adulto pode conferir, pela página oficial de ajuda, para que serve aquele código e qual procedimento a plataforma recomenda. Não há motivo para contornar a verificação de idade ou qualquer limite de cadastro: a família deve seguir as regras do serviço e buscar uma opção adequada à idade da criança.

A tabela ajuda a decidir o próximo passo, mas não garante que um e-mail seja malicioso ou legítimo. Se houver dúvida, preservar a mensagem para análise pode ajudar o responsável, desde que a criança não clique, responda ou baixe arquivos. A família pode consultar as recomendações da CISA para reconhecer e evitar phishing e aplicar o mesmo cuidado a mensagens sobre jogos.

Dúvidas frequentes sobre mensagens de jogos

Uma mensagem que oferece uma skin grátis é necessariamente falsa?

Não. Algumas promoções podem ser legítimas, mas o texto do e-mail não é prova suficiente. Feche a mensagem e procure a oferta no aplicativo ou em um canal oficial acessado de forma independente. Se não houver confirmação, não forneça dados nem continue pela página indicada no e-mail. A decisão correta é tratar a oferta como não verificada, não declarar que ela é fraude sem evidências.

É seguro clicar no link para descobrir se a recompensa existe?

Não use o link da mensagem como teste. Ele pode levar a uma página que imita o acesso ao jogo ou solicitar informações que não deveriam ser entregues ali. Abra o aplicativo ou um endereço oficial conhecido e procure a oferta por esse caminho. Se a recompensa não aparecer ou a plataforma não a confirmar, peça ajuda ao suporte oficial antes de qualquer ação.

Como agir se a criança já compartilhou um código?

Peça que ela pare de responder e conte exatamente o que aconteceu, sem repreensão. Acesse a conta pelo canal oficial, nunca pelo link recebido, e siga as instruções da plataforma para proteger ou recuperar o acesso. Se a senha também foi compartilhada, altere-a conforme as orientações oficiais e revise as opções de segurança. Se houve dados de pagamento, contate o serviço financeiro correspondente pelos canais conhecidos.

Como praticar o reconhecimento de mensagens suspeitas sem assustar a criança?

Use exemplos fictícios ou mensagens com informações pessoais removidas e peça à criança que explique o que faria antes de clicar. Conversem sobre urgência, prêmios condicionados a dados e pedidos de códigos, mas deixem claro que ela não precisa resolver tudo sozinha. A regra é parar e chamar um adulto. A FTC também reúne sugestões para responsáveis sobre segurança digital infantil em seu guia sobre celulares e crianças.

Clique acidental versus exposição de dados

Se a criança abriu uma página, mas não preencheu nada nem baixou arquivos, feche a página e não continue a interação. Em seguida, confira a conta pelo aplicativo ou canal oficial, especialmente se a mensagem dizia que havia um problema. Não presuma que um clique, sozinho, confirma uma invasão; também não use a ausência de sinais visíveis para concluir que tudo está resolvido.

Se a criança digitou uma senha, um código ou dados pessoais, a prioridade é contar ao responsável e seguir o procedimento oficial do serviço. O adulto deve alterar a senha quando ela tiver sido exposta, especialmente se a mesma senha também for usada em outros serviços, e verificar as opções de segurança disponíveis. Não é necessário compartilhar aqui os dados comprometidos nem enviá-los a um contato da mensagem. O guia da FTC sobre o que fazer após um golpe reúne orientações gerais; para uma conta específica, prevalece o processo oficial da plataforma.

Se houve informação de pagamento, contate o banco, a administradora ou o serviço de pagamento pelo aplicativo, telefone ou endereço já conhecido. Se a criança baixou um arquivo, não o abra e peça ajuda para seguir as recomendações oficiais do dispositivo ou da plataforma de segurança utilizada pela família. Guarde a mensagem suspeita apenas se isso puder ser feito sem interagir com seus links ou anexos.

O mais importante é que a criança fale logo, inclusive se tiver clicado por curiosidade ou medo de perder uma recompensa. Repreendê-la pode tornar mais difícil descobrir o que foi compartilhado e quando. Uma conversa calma permite agir com mais clareza: identificar a mensagem, entender se houve preenchimento de dados e escolher o canal oficial de recuperação adequado.

Regra familiar versus análise improvisada

Uma regra curta é mais fácil de aplicar quando a criança está animada ou preocupada com a conta: pausar, contar a um responsável e verificar por um canal independente. Não depende de a criança distinguir sozinha todo e-mail verdadeiro de toda tentativa de fraude. A FTC também usa atividades educativas para ajudar crianças a reconhecer iscas e pedir apoio a adultos confiáveis (material de educação infantil da FTC).

Transforme essa orientação em uma prática familiar, sem exigir que a criança decore nomes técnicos:

• [ ] A criança fecha a mensagem ou deixa de interagir com ela.
• [ ] Ela avisa o responsável antes de tocar em links, baixar anexos ou responder.
• [ ] O adulto confere o remetente e o contexto, sem tratar o nome de exibição como prova.
• [ ] A família abre o jogo pelo aplicativo ou por um endereço oficial já conhecido.
• [ ] A oferta, o alerta ou a redefinição só é tratado como confirmado quando o canal oficial esclarece o caso.
• [ ] Se algum dado foi compartilhado, o responsável segue as instruções oficiais de proteção e recuperação.

Pratique com exemplos sem endereço de e-mail, nome de usuário, código ou informação pessoal da criança. Peça que ela diga qual seria o primeiro passo e elogie o ato de parar para perguntar, mesmo que a mensagem acabe sendo legítima. Esse exercício ensina uma decisão segura, em vez de criar a expectativa irreal de que toda mensagem suspeita será identificada apenas pela aparência.

Para famílias que querem organizar o fluxo de cadastros, separar mensagens de inscrição das comunicações pessoais pode facilitar a revisão de avisos. Isso não autentica o remetente nem torna um e-mail suspeito seguro. Antes de escolher um endereço para uma conta infantil, vale conferir as orientações sobre segurança do e-mail usado em cadastros e sobre exposição da caixa de entrada. Se a família usar um endereço acompanhado por um adulto, isso deve permitir uma supervisão adequada e respeitar as regras do jogo, não substituir a confirmação de cada mensagem.

Para um cadastro pontual e de baixo risco, um serviço de e-mail temporário como o SendHide pode ser considerado como uma forma de não usar o endereço familiar principal; isso, por si só, não bloqueia phishing nem confirma a legitimidade de uma recompensa. Contas que exigem recuperação contínua, contato com o suporte ou uso importante devem manter um endereço que o responsável possa acompanhar a longo prazo. Antes de criar a próxima conta, leiam juntos o guia de segurança de e-mail para cadastros e combinem a regra: primeiro avisar, depois verificar por um canal oficial.