Um instalador falso muitas vezes se parece com o verdadeiro: mesmo nome, mesmo logotipo, às vezes até o mesmo número de versão. Basta um link recebido em uma conversa ou um resultado de busca mal escolhido para abri-lo. Este guia propõe verificações gerais, válidas para qualquer jogo, antes de executar um arquivo baixado.
Verificar o domínio
Comece pelo endereço do site, não pela aparência. O Cybermalveillance.gouv.fr, em sua ficha sobre phishing, aconselha ler o endereço exibido no navegador: se ele não corresponder exatamente ao site em questão, muito provavelmente se trata de um site fraudulento, e às vezes apenas um caractere muda. A ficha também recomenda passar o cursor sobre um link, sem clicar, para ver o destino real, ou usar um favorito criado por você mesmo.
Para os jogos da Ankama, o suporte publica uma lista dos sites oficiais (atualizada em 20 de maio de 2026), que inclui, entre outros, www.dofus.com, account.ankama.com e support.ankama.com. Um nome de domínio parecido com esses, mas ausente da lista, merece desconfiança. Em seu artigo sobre phishing, o suporte pede que não se procure um site a partir de palavras-chave fornecidas por um jogador dentro do jogo e que nunca se baixem arquivos relacionados aos seus jogos a partir de um site não oficial. Guarde o princípio, que vale tanto para um servidor privado quanto para uma editora: a fonte legítima é aquela que o próprio projeto publica em seu próprio site.
Distinguir anúncio e espelho de download
Um anúncio em um fórum, um vídeo, um diretório ou uma rede social indica que um projeto existe; ele não é o projeto. Um espelho é uma cópia de um arquivo hospedada em outro lugar, que você não consegue vincular ao seu autor. Algumas referências:
- Sempre volte do anúncio para o site do projeto e procure o link de download nesse site, não nos comentários.
- Desconfie de uma página de download diferente da que o projeto divulga, de um link encurtado ou de um arquivo oferecido “mais rápido” em outro lugar.
- Para as atualizações, o Cybermalveillance.gouv.fr, em sua ficha sobre gerenciamento de atualizações, recomenda baixá-las apenas dos sites ou mecanismos oficiais das editoras, desconfiar de falsos alertas de atualização exibidos em sites ou em janelas e ler as caixas pré-marcadas que podem valer como aceitação de um software adicional.
Para o Togu, a página Baixar é a fonte do launcher, disponível para macOS Apple silicon e Windows x64. O acesso à alfa fechada é gratuito por convite e exige um código que você pode pedir no Discord do Togu. Baixe o arquivo somente desta página: um espelho não comprova sua origem.
Conferir assinatura e hash se a editora os publicar
Existem duas verificações complementares, desde que a editora publique os elementos de referência.
A assinatura. A Apple explica, em sua página Safely open apps on your Mac (publicada em 27 de maio de 2026), que o macOS verifica a assinatura Developer ID dos softwares instalados fora da App Store para garantir que venham de um desenvolvedor identificado e não tenham sido modificados. Desde o macOS Catalina, a notarização é exigida por padrão: nela, a Apple verificou a ausência de software malicioso conhecido. Antes da primeira abertura de um software baixado, o macOS também pede sua autorização. Essa verificação é uma rede de segurança; ela não substitui a verificação da fonte. Ela também não diz que um software assinado está livre de defeitos.
O hash. Um hash (ou soma de verificação) é uma sequência de caracteres calculada a partir do conteúdo de um arquivo. Se a editora publicar um em sua página oficial, você pode calcular o do seu arquivo e comparar: se uma única letra for diferente, o arquivo não é o anunciado. No macOS, o comando shasum -a 256 nome-do-arquivo no aplicativo Terminal calcula o hash SHA-256. Comparar dois hashes só faz sentido se o valor de referência vier da página oficial; um hash fornecido por terceiros não prova nada. [INFERÊNCIA: quando a página e o arquivo vêm da mesma hospedagem, o hash detecta uma corrupção ou um arquivo substituído em outro lugar, não uma página que tenha sido ela própria comprometida.]
A página de download do Togu informa o hash SHA-256 de cada versão publicada do launcher. Compare-o com o do arquivo baixado; este artigo não copia esses valores, que mudam a cada versão.
Reagir a um arquivo inesperado
Se o macOS exibir um aviso, leia-o antes de agir. A Apple distingue vários casos: aplicativo baixado da Internet, desenvolvedor não verificado, software que a Apple não consegue verificar, aplicativo danificado ou contendo software malicioso. Neste último caso, o sistema informa que o aplicativo não pode ser aberto e pode movê-lo para o lixo. Nos casos não verificados, a Apple recomenda entrar em contato com o desenvolvedor, procurar uma versão atualizada ou uma alternativa na App Store, e lembra que executar um software não assinado nem notarizado pode expor seu computador e seus dados. Não desative as proteções do seu sistema para contornar um aviso que você não entende.
Se você abriu um arquivo do qual desconfia:
- Proteja suas contas: a partir de outro dispositivo, troque a senha dos serviços nos quais você estava conectado, começando pelo e-mail.
- Faça uma verificação: o suporte da Ankama recomenda, após um download possivelmente corrompido, uma verificação com antivírus, antispyware e antirootkit.
- Exclua o arquivo e não o repasse a ninguém.
- Denuncie o site ou a mensagem: o Cybermalveillance.gouv.fr orienta guardar a mensagem recebida e denunciar um site de phishing ao Phishing Initiative.
Para saber mais sobre senhas e autenticação de dois fatores, leia nosso guia sobre como proteger uma conta de jogo. As regras da comunidade Togu estão na página regras.
