Chrome passa a avisar sobre golpe do comando copiado e sites sem HTTPS; veja como ativar a proteção
O Google reforçou a segurança do Chrome com um alerta contra o golpe do comando copiado (ClickFix), uma análise de golpes feita pelo Gemini e um pedido de confirmação antes de abrir sites sem HTTPS. Parte disso só funciona com a Proteção reforçada ligada, e explicamos como ativá-la.
O Google anunciou nos dias 20 e 21 de outubro de 2026 um conjunto de mudanças de segurança no Chrome voltado a golpes comuns na web. A principal novidade mira o chamado ClickFix, ataque em que uma página falsa convence a vítima a copiar um comando e colá-lo no terminal do próprio computador. Junto dele chegam um novo tipo de aviso para sites suspeitos, um modelo do Gemini rodando nos servidores do Google para identificar páginas fraudulentas e, para todos os usuários, um aviso antes de qualquer conexão sem criptografia.
O que é o golpe do comando copiado
O ClickFix costuma começar com uma tela que imita uma verificação conhecida, como um falso desafio de "não sou um robô" ou um suposto erro de navegador, e oferece uma solução rápida: copiar uma linha de comando e colá-la na janela Executar ou no PowerShell do Windows. O texto que vai para a área de transferência quase nunca é o mesmo que aparece na tela. Na prática, a vítima roda um comando que usa ferramentas legítimas do sistema, como o PowerShell e o cmd.exe, para baixar programas maliciosos. Como o download acontece pelo terminal, as proteções que o Chrome aplica aos downloads comuns não entram em ação, e foi esse ponto cego que o Google decidiu atacar.
Como o Chrome passa a reagir
Com a Proteção reforçada ativada, quando o usuário copia um comando considerado suspeito, o Chrome remove informações pessoais do conteúdo copiado e o envia para análise na Navegação segura do Google. Se o veredito for de perigo, o navegador exibe um alerta na tela. Segundo a empresa, o sistema foi calibrado para ter alta precisão e não atrapalhar desenvolvedores, que copiam comandos legítimos o tempo todo.
Para quem usa a Proteção reforçada, os avisos de sites também mudaram. A tradicional tela vermelha de "site perigoso" continua reservada a casos em que o Google tem alta certeza de que a página é maliciosa. Agora existe um segundo nível, o de site suspeito, para páginas que usam táticas enganosas parecidas com as de golpes conhecidos, mas sem confirmação definitiva. Esse alerta tem visual e cores próprios, para que o usuário perceba o risco menor e decida se quer continuar.
Por trás desses alertas está o Gemini. A versão que rodava no próprio aparelho, focada em golpes de falso suporte técnico, deu lugar a um modelo mais capaz, executado nos servidores do Google e liberado para todos que usam a Proteção reforçada. O modelo avalia qual marca a página tenta representar, qual é a intenção dela e a probabilidade de ser golpe, e agora também identifica falsos antivírus e falsas atualizações de navegador. A empresa afirma que o texto da página só é enviado quando há fortes indícios de fraude e que esse conteúdo não fica registrado nem é usado para treinar modelos.
Aviso antes de sites sem HTTPS vale para todos
A outra mudança não depende de configuração. O Chrome passou a pedir confirmação antes de abrir uma página por HTTP, a versão sem criptografia da web, em vez de apenas mostrar o selo de "não seguro" depois que a página já carregou. O recurso tinha sido ligado no início de 2026 para quem usa a Proteção reforçada e agora está ativo por padrão para todos. O aviso aparece na primeira visita, e depois de aprovado o site só volta a gerar alerta se o usuário ficar ao menos duas semanas sem acessá-lo. Endereços que não conseguem obter um certificado HTTPS público, como o IP do roteador de casa e nomes de rede interna, ficam de fora. Pelos dados iniciais do Google, cerca de 95% dos usuários do Chrome no computador não veem nenhum desses avisos numa semana comum.
Como ativar a Proteção reforçada
No computador, abra o Chrome, clique no menu de três pontos no canto superior direito e entre em Configurações. Na coluna da esquerda, escolha Privacidade e segurança, depois Segurança, e em Navegação segura marque a opção Proteção reforçada. No Android o caminho é parecido: no aplicativo do Chrome, toque no menu de três pontos, vá em Configurações, depois em Privacidade e segurança e em Navegação segura, e selecione Proteção reforçada.
Vale saber o que se troca por essa camada extra. Segundo a página de ajuda do Google, nesse modo o Chrome envia à Navegação segura os endereços visitados, pequenas amostras do conteúdo das páginas, dados sobre extensões e informações do sistema, que ficam associados à conta Google quando ela está conectada. Com a função contra o ClickFix, trechos copiados que parecem suspeitos também passam por análise. O Google diz que tudo é usado só para segurança; cabe a cada pessoa pesar esse equilíbrio.
Independentemente da configuração, a regra mais simples continua valendo: nenhum site legítimo pede para você copiar um comando e colá-lo no Executar, no PowerShell ou no terminal para provar que é humano ou para corrigir um erro. Daqui para frente, vale acompanhar se o Google vai estender o alerta de comandos copiados a quem usa a proteção padrão e se outros navegadores vão seguir o mesmo caminho do aviso obrigatório antes de páginas sem HTTPS.
Fontes consultadas:
