Porque vê a burla e quem revê o anúncio não: o que é o cloaking
Em resumo: muitos anúncios de burlas passam a revisão porque a página não mostra o mesmo a toda a gente. Um programa decide em décimas de segundo quem é o visitante. Se parecer uma vítima, vê a notícia falsa com o famoso. Se parecer um revisor, um antivírus ou um investigador, vê um blogue inocente ou um erro. Chama-se cloaking («encobrimento») e explica porque, às vezes, denuncia um site e quem o revê não vê nada.
Como decide quem é
Quando clica no anúncio, a sua visita passa por um sistema intermédio que analisa vários dados: de que país entra, com que dispositivo e navegador, de onde vem e se a sua ligação parece a de uma empresa de segurança. Com isso, envia-o para um sítio ou para outro.
Não é precisa tecnologia rara. Costuma usar-se software comercial de medição publicitária, o mesmo tipo de ferramenta que qualquer agência usa para distribuir tráfego. Em março de 2026, a Confiant e a Infoblox publicaram quatro meses de investigação sobre o abuso de um destes programas: 15.500 domínios maliciosos, cerca de 9.000 deles registados de propósito, com páginas limpas para quem parecia um revisor. A categoria dominante era a das burlas de investimento.
Truques documentados
- Uma pré-visualização que não é a real. A Bitdefender analisou 310 campanhas na Meta em fevereiro e março de 2026, com mais de 26.000 aparições de anúncios. Em Itália, os anúncios mostravam como pré-visualização o site de restaurantes reais de Florença. O sistema automático via um restaurante, e a vítima acabava noutro sítio.
- Medir se lê. A Whalebone estudou em julho de 2026 mais de 400 domínios de falsos meios de comunicação. A página registava até onde descia, quanto lia, se mudava de separador e em que ponto saía.
- Mudar de domínio sem parar. Quando um domínio cai, entra outro. Vimo-lo em direto: menos de 14 horas entre a suspensão de um domínio e o seu substituto.
O que vemos
Os nossos dados encaixam nisto, embora não possamos ver a parte interna desses sistemas.
- Endereços descartáveis. Em 398 ligações de anúncios há 294 domínios diferentes. Uma parte parece gerada por uma máquina: séries de letras e números sem sentido. Menos de metade termina em .com. Seguem-se .info, .top, .click e .pro.
- Ligações que respondem «não encontrado». Muitas ligações dos vídeos e blogues promocionais dão erro se as abrir diretamente, como contámos aqui. Não podemos garantir que seja cloaking, porque também pode ser uma ligação quebrada. Mas é o que veríamos se fosse, e por norma não tentamos enganar esses sistemas para que nos mostrem mais.
Porque lhe interessa
1. O site «já não existir» não significa que tenha fechado. Se um familiar lhe mostrar uma ligação e a si aparecer um erro ou uma página normal, pode ser que o sistema o tenha descartado: outro país, outro dispositivo, sem vir do anúncio.
2. Guarde provas no momento. Se vai denunciar, faça capturas do que vê, com o endereço à vista. Pode ser que a polícia ou a plataforma não vejam o mesmo depois. Anote também a data e como lá chegou.
3. Denuncie o anúncio, não apenas o site. Use a opção de denúncia da rede social a partir do próprio anúncio. Assim, a plataforma identifica-o mesmo que a página esteja encoberta.
4. Um anúncio estar publicado não significa que esteja verificado. A revisão pode ter visto algo muito diferente.
5. Passar uma análise de segurança não prova nada. Um verificador de sites pode dizer que a página está limpa porque lhe mostraram a versão limpa.
Se já deixou os seus dados, siga o guia para vítimas.
Limites
Os números da Confiant, da Infoblox, da Bitdefender e da Whalebone são deles e correspondem às suas amostras. Não verificámos por dentro como decide cada sistema dos que aparecem nos nossos dados.