---
title: "SEO poisoning: o que é e como proteger a sua marca"
description: "O SEO poisoning leva páginas maliciosas ao topo dos resultados de busca, onde você espera um software ou um login. Como detectar, denunciar e evitar."
url: https://proxynet.io/pt-br/blog/seo-poisoning
date: 2026-10-28
author: "Acar Diveroli"
category: "Proxy 101, Casos de uso"
lang: pt-BR
---

# SEO poisoning: o que é e como proteger a sua marca

Um funcionário configura um notebook novo, digita em um buscador o nome do cliente VPN da empresa e a palavra "download" e abre o primeiro resultado. A página parece a do fabricante, o instalador traz uma assinatura digital válida e a VPN conecta. Semanas depois, a equipe de segurança descobre que o instalador veio de uma cópia do site do fabricante e enviou em silêncio a senha da VPN para outro lugar.

Este artigo explica o que é SEO poisoning, como uma página nociva chega ao topo dos resultados, o que a vítima vê depois do clique, como reconhecer um resultado envenenado e o que marcas, equipes de segurança e donos de sites podem fazer. Ele foi escrito do lado de quem se defende; não há receita aqui.

> **Nota: Resposta rápida**
>
> SEO poisoning (envenenamento de SEO) é a manipulação do ranking de busca para que uma página controlada por um atacante apareça perto do topo dos resultados de uma pesquisa em que as pessoas confiam, como o download de um software ou uma página de login. A posição é conquistada com sites invadidos, domínios descartáveis, anúncios comprados ou domínios parecidos com o da marca; a página então entrega malware, um formulário de login falso ou um golpe. Você o reconhece lendo o domínio, não o título, e desconfiando de qualquer download fora do site do próprio fabricante.

## O que é SEO poisoning?

SEO poisoning, abreviação de search engine optimization poisoning e também chamado de envenenamento de SEO ou envenenamento de buscadores, é o uso de truques de ranking para colocar uma página nociva onde deveria estar uma confiável. O atacante não invade o buscador; ele trabalha sobre o que o buscador mede, palavras-chave, links e idade da página, até que a página dele apareça para as palavras que uma vítima provavelmente vai digitar.

O propósito é o que o separa do spam de busca comum. Um spammer quer o clique pela receita de anúncios; quem envenena quer o clique como primeiro passo de um ataque. As [políticas de spam](https://developers.google.com/search/docs/essentials/spam-policies?hl=pt-br) do Google descrevem as técnicas em comum, entre elas conteúdo invadido, cloaking, excesso de palavras-chave, abuso de domínio expirado e abuso de conteúdo em escala, e rebaixam ou removem as páginas que as usam; o que transforma o caso em envenenamento é a carga maliciosa, ou seja, o que a página entrega de fato ao visitante.

## Como funciona o SEO poisoning?

1. **Escolher a pesquisa.** Pesquisas com uma próxima ação previsível: o nome de um produto mais "download", o de um banco mais "login", o de um serviço mais "número do suporte".
1. **Fazer uma página ranquear.** Quatro caminhos sustentam a maioria das campanhas: uma página plantada em um site invadido, que herda a reputação dele; um domínio novo ou expirado cheio de texto carregado de palavras-chave; um anúncio pago; ou um domínio parecido com o da marca.
1. **Mostrar coisas diferentes a visitantes diferentes.** Cloaking: o rastreador do buscador vê um artigo comum, enquanto um visitante que chega por um resultado de busca, no dispositivo e no país esperados, é redirecionado ou vê o botão de download; assim a página pode ficar no topo por semanas antes que alguém reclame.
1. **A página de destino.** Uma cópia da página de download do fabricante, um formulário de login em um domínio parecido ou uma página de "seu computador está infectado" com um número de telefone.
1. **A carga maliciosa.** Um instalador que carrega um infostealer (malware que rouba senhas e dados salvos) ou um backdoor, um formulário que envia a senha ao atacante ou uma ligação que termina com acesso remoto ao seu computador.

## De onde vêm os resultados envenenados?

| Tipo de envenenamento | Como chega até você | Como reconhecer |
|---|---|---|
| Site legítimo invadido | Uma página ou um redirecionamento plantado em um site confiável, muitas vezes o de uma pequena empresa ou de uma prefeitura | O domínio não tem nada a ver com o assunto; a Pesquisa pode marcá-lo com "Este site pode ter sido invadido" |
| Domínio descartável ou expirado | Um site novo montado em torno de uma única pesquisa, ou um domínio antigo comprado depois de expirar | Páginas rasas, um nome genérico, assuntos sem relação lado a lado |
| Malvertising | Um resultado pago comprado para o nome de uma marca ou de um produto | O rótulo de patrocinado; uma URL exibida que não é o domínio da marca |
| Domínio parecido | Um domínio com uma letra diferente, uma palavra a mais ou outra terminação | Compare letra por letra; confira a terminação |
| Conteúdo de enchimento em escala | Milhares de páginas geradas cobrindo cada variação de uma pesquisa | Texto que não responde nada, sem autor, botões de download por toda parte |

**Sites invadidos** são o caminho mais valioso porque a reputação vem de graça: um site de dez anos com links reais consegue ranquear uma página plantada em poucos dias. As páginas ficam em uma pasta que o dono nunca olha, e ele descobre quando o Google ou um visitante avisa.

**Domínios parecidos** miram uma marca, não um assunto. Uma letra trocada, um hífen ou o nome da marca com "login" colado se lê como verdadeiro em uma lista de resultados, onde o olho confere a palavra da marca e pula o resto; isso é typosquatting.

## O que a vítima vê depois do clique?

**Páginas de download falsas.** A página copia o design do fabricante e oferece um instalador que funciona, porque o programa real vem empacotado junto com o malware. Em meados de janeiro de 2026, o Microsoft Defender Experts identificou uma campanha em que usuários que procuravam software VPN legítimo eram redirecionados dos resultados de busca para sites falsificados, onde arquivos ZIP entregavam trojans assinados digitalmente que coletavam credenciais de VPN; a Microsoft a atribui ao [Storm-2561](https://www.microsoft.com/en-us/security/blog/2026/03/12/storm-2561-uses-seo-poisoning-to-distribute-fake-vpn-clients-for-credential-theft/) e aponta a autenticação multifator como primeira defesa.

**Páginas de login falsas.** Uma cópia do formulário de login de um banco, de um webmail ou de um SaaS em um domínio parecido envia o que você digita ao atacante; algumas repassam tudo ao site real para que você não perceba nada. A senha é testada em seguida nas suas outras contas, como descreve [O que é credential stuffing?](/pt-br/blog/what-is-credential-stuffing).

**Números de suporte falsos.** Um resultado para o nome de uma marca mais "atendimento ao cliente" mostra o telefone do atacante; quem liga é convencido a instalar um software de acesso remoto ou a ler um código em voz alta.

**Instruções falsas.** Algumas páginas ranqueiam para uma mensagem de erro e mandam você "corrigir" o problema pressionando Windows + R e colando um comando. Nenhuma solução real pede isso; o comando instala o malware.

## Quem é o alvo?

Downloads de software vêm primeiro, porque a vítima já espera instalar algo: ferramentas de acesso remoto, clientes VPN, drivers e tudo o que um administrador de TI baixa com pressa. Finanças vêm em segundo, com logins de bancos e corretoras de criptomoedas e portais de impostos perto dos prazos de declaração. Marcas com uma grande base de clientes vêm em terceiro, por meio de pesquisas que juntam o nome da marca a "login", "número do suporte" ou "cancelar assinatura".

## Como reconhecer um resultado envenenado

1. **Leia o domínio antes do título.** O título e o snippet são escritos por quem controla a página; o domínio é a única parte que essa pessoa não pode escrever livremente.
1. **Repare no rótulo de patrocinado.** O Google agrupa os anúncios de texto sob o título "Sponsored results" (resultados patrocinados) e deixa você ocultá-los; um anúncio de uma marca cuja URL exibida não é o domínio da marca é um sinal de alerta.
1. **Confira de onde vem um download.** A lista de downloads do navegador mostra o host; um ZIP de um domínio de que você nunca ouviu falar está errado mesmo que o arquivo dentro dele esteja assinado.
1. **Não faça login a partir de um resultado de busca.** Digite o endereço você mesmo, use um favorito ou deixe um gerenciador de senhas preencher o formulário; o gerenciador se recusa a preencher um domínio parecido.
1. **Dê ouvidos ao navegador.** A página vermelha **Site perigoso** do Chrome cobre phishing, malware e software indesejado, e os avisos **Site falso** e **Este é o site correto?** pegam domínios parecidos. Mantenha a Navegação segura ativada em **Mais** > **Configurações** > **Privacidade e segurança** > **Segurança**, onde **Proteção reforçada** é o nível mais rígido.
1. **Nunca cole um comando** que uma página da web peça para você executar, seja qual for a pesquisa em que ela aparece.

## SEO poisoning vs. malvertising vs. typosquatting

| Termo | O que é manipulado | Onde você encontra |
|---|---|---|
| SEO poisoning | O ranking orgânico de uma página | A lista de resultados de uma pesquisa |
| Malvertising | Um espaço pago ou o destino do anúncio | Resultados patrocinados, banners em sites |
| Typosquatting | O próprio nome de domínio | Endereços digitados errado, links em mensagens, resultados envenenados |
| Phishing | A página em que você cai | E-mail, mensagens, resultados envenenados e anúncios |

Os quatro se sobrepõem: uma única campanha pode comprar um resultado patrocinado para o nome de uma marca, apontá-lo para um domínio de typosquatting e hospedar ali um formulário de phishing.

## Como marcas e equipes de segurança protegem os termos da marca?

Comece pelas pesquisas: para cada mercado, liste as buscas que um cliente ou funcionário faz com o nome da sua marca, como login, download, número do suporte e cancelar, mais os nomes das suas ferramentas internas. São poucas o bastante para conferir à mão.

Depois olhe os resultados como os usuários os veem. A página muda conforme o país, a cidade, o idioma, o dispositivo e o estado de login, e o Search Console mostra só as suas próprias páginas, nunca o anúncio ou o site invadido acima delas; [Como verificar sua posição no Google com precisão](/pt-br/blog/check-google-ranking-accurately) explica como pesquisar deslogado e a partir da cidade certa.

Para os mercados em que você não mora, você precisa de um endereço de saída lá, porque uma página ou um anúncio envenenado costuma ser mostrado só a visitantes da região alvo. Equipes de verificação de anúncios carregam a página de resultados por meio dos [Proxies residenciais](https://proxynet.io/pt-br/residential-proxy) configurados para aquele país e aquela cidade, e assim veem o que um cliente em uma conexão doméstica vê; um endereço de datacenter pode receber a versão limpa.

A configuração está descrita na nossa página de [proteção de marca](/pt-br/brand-protection). Limite as verificações a um punhado de pesquisas de marca conferidas à mão ou com uma ferramenta que a política da sua empresa e os termos do buscador permitam; isso é monitoramento, não um projeto de scraping.

Não clique nos resultados patrocinados durante a verificação: a URL exibida basta para julgá-los, e cliques de teste no seu próprio anúncio contam como tráfego inválido, como explica [Fraude de cliques no Google Ads](/pt-br/blog/google-ads-click-fraud).

Denuncie o que encontrar onde alguém vai agir. Páginas de phishing e malware vão para o [formulário de denúncia da Navegação segura](https://safebrowsing.google.com/safebrowsing/report_phish/?hl=pt-BR) do Google, que alimenta os avisos exibidos pelos navegadores; uma vez listada, a página se torna inútil para o atacante antes mesmo de sair do ranking.

Um anúncio envenenado é denunciado a partir do próprio anúncio: abra o menu dele, selecione **Denunciar anúncio**, escolha o motivo e preencha o formulário, ou use o formulário independente linkado em [Como denunciar um anúncio](https://support.google.com/google-ads/answer/7660847?hl=pt-BR). Se o texto do anúncio usa a sua marca registrada, registre uma reclamação pela ferramenta "Denunciar conteúdo no Google"; o Google analisa o uso de marca no texto do anúncio, não nas palavras-chave.

Para um site invadido, escreva ao dono e à empresa de hospedagem; o contato de abuso da hospedagem consegue derrubar as páginas plantadas mais rápido do que qualquer mudança de ranking. Dentro da sua própria empresa, bloqueie os domínios no nível de DNS ou de proxy, envie aos funcionários os links de download oficiais e exija a autenticação multifator.

## O que os donos de sites devem fazer se o site for usado para envenenamento?

O primeiro sinal costuma ser uma mensagem do Google. O [Relatório de problemas de segurança](https://support.google.com/webmasters/answer/9044101?hl=pt-BR) do Search Console lista conteúdo invadido como **Invasão: injeção de código**, **Invasão: injeção de conteúdo**, **Invasão: injeção de URL** ou **Invasão: malware**, e a Pesquisa pode mostrar "Este site pode ter sido invadido" abaixo do seu resultado. Outros sinais: tráfego vindo de pesquisas sem relação com o seu negócio e uma busca `site:` que devolve páginas que você nunca escreveu.

1. **Coloque o site em quarentena.** Tire-o do ar ou mostre uma página de manutenção, para que visitantes e rastreadores parem de chegar às páginas plantadas.
1. **Limpe.** Restaure um backup anterior à invasão ou remova à mão os arquivos, as páginas e as regras de redirecionamento injetados.
1. **Feche a brecha.** Um CMS ou plugin desatualizado, uma senha de administrador roubada ou um login FTP fraco deixaram o atacante entrar; atualize tudo, troque todas as senhas e ative a autenticação de dois fatores no CMS e no painel da hospedagem.
1. **Solicite uma revisão.** Quando todos os problemas do relatório estiverem corrigidos em todas as páginas, selecione **Solicitar revisão** no Relatório de problemas de segurança; o Google diz que a análise leva de alguns dias a algumas semanas.
1. **Mantenha fechado.** Agende as atualizações, remova plugins e contas sem uso e olhe o relatório depois de cada lançamento.

## Onde isso importa mais

Equipes de segurança e TI, que decidem qual software os funcionários podem instalar e de onde; equipes de proteção de marca e marketing, donas das pesquisas de marca e da marca registrada; agências e empresas de hospedagem, cujos clientes têm os sites invadidos da tabela acima; equipes de finanças e suporte, cujas páginas de login e de atendimento são copiadas; e qualquer um que publique software, porque a página de download falsa mira primeiro os usuários dele.

## Erros comuns

- **Confiar no primeiro resultado porque ele é o primeiro.** A posição mede esforço, não segurança.
- **Julgar um resultado pelo título e pelo snippet.** Os dois são escritos pelo dono da página.
- **Tratar uma assinatura digital como prova.** Os instaladores do Storm-2561 estavam assinados.
- **Bloquear só o domínio que você viu.** As campanhas trocam de domínio; denuncie a página para que o aviso do navegador a siga.
- **Conferir as pesquisas de marca só do escritório.** Uma página com cloaking por país mostra a versão limpa ao observador errado.
- **Dono do site: apagar a página plantada sem fechar a brecha.** Ela volta em poucos dias.

## Guia de decisão

| A sua situação | O que fazer |
|---|---|
| Uma página de download ou de login falsa ranqueia para a sua marca | Denuncie à Navegação segura, escreva à hospedagem, avise os seus clientes |
| Um resultado patrocinado usa a sua marca e aponta para outro lugar | Denuncie o anúncio; registre uma reclamação de marca se ela estiver no texto do anúncio |
| Você instalou algo de um resultado de busca e agora desconfia | Desconecte, faça uma verificação, troque as senhas em um dispositivo limpo, avise a TI |
| O Search Console mostra problemas de "Invasão" | Quarentena, limpeza, fechar a brecha e depois solicitar uma revisão |
| Você atende clientes em vários países | Confira as suas pesquisas de marca em cada mercado, deslogado, por uma conexão doméstica de lá |
| Funcionários instalam ferramentas por conta própria | Publique os links de download oficiais e bloqueie instaladores desconhecidos |

## Perguntas frequentes

### Qual é o objetivo do SEO poisoning?

Um clique de alguém prestes a instalar, fazer login ou ligar, para que o atacante possa entregar malware, capturar uma senha ou aplicar um golpe. O ranking em si não rende nada; ele só coloca a página de destino na frente da pessoa certa.

### SEO poisoning é crime?

Os truques de ranking por si só violam as políticas dos buscadores, não a lei. O que vem depois, distribuir malware, roubar credenciais e enganar quem liga, é crime segundo as leis de crimes informáticos e de fraude da maioria dos países.

### Qual a diferença entre SEO poisoning e malvertising?

O SEO poisoning manipula o ranking orgânico de uma página; o malvertising compra um espaço pago ou esconde um destino nocivo atrás de um anúncio de aparência legítima. Em uma página de resultados os dois ficam a poucos centímetros de distância, e uma mesma campanha costuma usar ambos.

### Um antivírus ou um bloqueador de anúncios impede o SEO poisoning?

Em parte. Um bloqueador de anúncios remove o caminho patrocinado, mas não o orgânico; um antivírus pode pegar a carga maliciosa, mas não um formulário de login falso, que não carrega malware. Os avisos do navegador, um gerenciador de senhas e a autenticação multifator fecham uma parte maior da brecha.

### O Google remove resultados de busca envenenados?

Sim, assim que fica sabendo: páginas que violam as políticas de spam são rebaixadas ou removidas, páginas invadidas e de phishing recebem um rótulo de aviso, e anúncios que distribuem malware levam o anunciante à suspensão. O intervalo entre o ranking e a ação é o que sustenta o atacante, e é por isso que denunciar importa.

### Como denuncio um resultado de busca envenenado?

Páginas de phishing e malware vão para o formulário de denúncia da Navegação segura do Google; spam que não é perigoso vai para a denúncia de spam da Pesquisa; um anúncio é denunciado pelo próprio menu com **Denunciar anúncio**. Avise também a empresa de hospedagem se a página estiver em um site invadido.

## Em resumo

O SEO poisoning transforma um buscador em um canal de distribuição: um atacante ranqueia ou compra um resultado para uma pesquisa em que as pessoas confiam, e a página por trás dele serve malware, um formulário de login falso ou um telefone de golpe. Os leitores se protegem lendo o domínio, desconfiando de downloads fora do site do fabricante e nunca colando comandos de uma página da web; as marcas acompanham as suas pesquisas de marca como os usuários de cada mercado as veem e denunciam páginas e anúncios envenenados; os donos de sites mantêm o CMS atualizado e agem conforme o Relatório de problemas de segurança. Para ver a página de resultados por uma conexão doméstica em outro país ou cidade, os nossos [serviços de proxy](/pt-br/proxy) fornecem o endereço de saída.