Engenharia Social

A Engenharia Social é um dos métodos mais eficazes e perigosos utilizados por criminosos. Ao contrário do que se pensa, muitos ataques cibernéticos de sucesso não dependem de software sofisticado, mas sim da manipulação psicológica de pessoas.

Em sua essência, a Engenharia Social é a arte de enganar, manipular ou explorar a confiança humana para obter informações confidenciais, acesso a sistemas ou realizar fraudes. O "engenheiro social" cria cenários falsos, conhecidos como pretextos, explorando emoções como o medo, a urgência ou a curiosidade para levar a vítima a cometer um erro de segurança – seja clicando em um link malicioso (phishing) ou revelando dados importantes como por exemplo as senhas.

Como funciona a Engenharia Social

A Engenharia Social é um processo que transforma a vulnerabilidade humana em uma brecha de segurança. Ela funciona seguindo etapas lógicas para construir a confiança e, depois, explorar a vítima .

Os ciberataques exploram, principalmente, as falhas humanas. Estatísticas apontam que as violações de segurança são iniciadas por erros simples, como o clique em phishing ou o uso de senhas repetidas.

É por isso que os funcionários são a primeira linha de defesa.

A conscientização em cibersegurança capacita a equipe a reconhecer e evitar ameaças, promovendo uma postura preventiva. Ao reduzir ações de risco, os colaboradores diminuem drasticamente a probabilidade de incidentes.

Veja as Quatro Fases de um Ataque de Engenharia Social

A maioria dos ataques segue uma estrutura de quatro etapas para garantir o sucesso:

Fase 1: Coleta de Informações (Pesquisa)

O atacante começa pesquisando a vítima ou a organização.

Objetivo: Obter o máximo de dados públicos (redes sociais, sites da empresa, notícias) para criar um cenário possível.
Informações Coletadas: Nomes de funcionários, hierarquia da empresa, cargos, projetos atuais, rotinas e até dados pessoais (aniversário, pets, locais de lazer).

Fase 2: Estabelecimento de Confiança (Pretexto)

O atacante usa as informações coletadas para construir uma história (o pretexto) que pareça legítimo e urgente.

Tática: O criminoso se passa por uma autoridade (TI, banco, polícia) ou alguém de confiança (colega, fornecedor).
Exemplo: Liga para a vítima dizendo: "Sou da área de suporte e preciso confirmar seu nome de projeto (dado coletado na Fase 1) para resolver uma falha crítica no servidor."

Fase 3: Exploração (O Ataque)

Uma vez que a confiança é estabelecida, o atacante manipula a vítima para realizar a ação desejada.

O que o atacante faz: Aplica um gatilho psicológico (urgência, medo) para desativar o senso crítico da vítima.
Ação da Vítima: A vítima fornece a senha, clica no link, faz a transferência bancária ou permite o acesso físico.

Fase 4: Desconexão e Fuga

O atacante encerra a interação rapidamente após obter o que queria, para evitar suspeitas.

Tática: A conversa é finalizada de forma abrupta, mas com uma desculpa lógica ("O sistema voltou, preciso desligar agora!"), garantindo que a vítima não desconfie até que seja tarde demais.

Tipos de Ataques de Engenharia Social

Ataques Baseados em Comunicação Digital

Estes ataques utilizam e-mails, mensagens de texto ou sites falsos para enganar a vítima.

Phishing (Pesca)

É o tipo mais comum.

O criminoso envia mensagens (geralmente por e-mail) para um grande número de pessoas, fingindo ser uma instituição confiável (banco, empresa de e-commerce, serviço de streaming, etc.).

Objetivo: Induzir a vítima a clicar em um link malicioso ou a fornecer dados confidenciais (senhas, números de cartão) em uma página falsa.

Spear Phishing

(Pesca com Lança)

Uma forma muito mais direcionada de Phishing.

O atacante pesquisa a fundo um indivíduo ou grupo específico para criar uma mensagem altamente personalizada e convincente.

Exemplo: Um e-mail que parece vir do CEO da sua empresa, mencionando um projeto interno e solicitando a transferência urgente de fundos.

Whaling

(Caça à Baleia)

Um tipo de Spear Phishing direcionado especificamente a altos executivos (CEO, CFO, diretores) de uma organização, pois eles têm acesso às informações mais críticas.

Smishing e QRishing

Smishing: Phishing realizado via SMS (mensagem de texto), muitas vezes alertando sobre uma suposta fraude bancária para que a vítima ligue para um número falso ou clique em um link.

QRishing: Uso de códigos QR falsificados que, ao serem escaneados, direcionam a vítima para um site malicioso.

Ataques Baseados em Interação Humana Direta

Estes ataques envolvem contato direto, seja por voz ou pessoalmente.

Ataques Físicos e com Iscas

Estes ataques usam objetos físicos ou a presença do atacante no local.

Vishing (Phishing por Voz)

O criminoso utiliza chamadas telefônicas para manipular a vítima. Ele pode se passar por um técnico de suporte de TI, um funcionário de banco ou até um parente.

Tática: Usa um pretexto (história falsa) para extrair informações da vítima, como códigos de segurança ou senhas e ainda solicitar a instalação de aplicativos.

Pretexting

O atacante cria um cenário, identidade e história totalmente inventados (o pretexto) para ganhar a confiança da vítima. É o alicerce de muitos ataques Vishing.

Exemplo: Ligar para uma empresa de telefonia fingindo ser a esposa de um cliente e usando detalhes pessoais (coletados em pesquisa) para alterar a senha da conta.

Baiting (Isca)

Consiste em deixar uma "isca" física (como um pendrive USB infectado) em locais públicos (estacionamentos, banheiros), na esperança de que uma vítima curiosa o encontre e o conecte em seu computador.

Exemplo: Um pendrive rotulado como "Confidencial - Salários 2024".

Tailgating (Seguir a Pessoa)

O atacante entra em uma área de acesso restrito (como um escritório) seguindo de perto uma pessoa autorizada.

Tática: Eles podem fingir estar com as mãos ocupadas ou distraídos, esperando que o funcionário seja educado e segure a porta para eles.

Vishing: O Golpe da Manipulação por Voz

Vishing é um tipo de ataque de Engenharia Social que merece atenção especial por explorar a confiança na voz humana, utilizando a tecnologia de voz e o telefone para manipular vítimas e roubar informações confidenciais.

Ao contrário do Phishing tradicional (e-mail), o Vishing é extremamente eficaz porque se baseia na interação humana em tempo real e na criação de um intenso senso de urgência, dificultando o tempo de reação e de verificação da vítima.

Como um Ataque de Vishing Funciona

Um ataque de Vishing geralmente segue o protocolo do Pretexting (criação de uma história falsa) e pode ser iniciado de duas maneiras

Chamada Recebida (O Atacante Liga para a Vítima): O atacante se passa por um funcionário de uma instituição confiável, como:
- Segurança de um Banco: Alerta sobre uma "fraude urgente" na conta da vítima.
- Suporte Técnico (TI): Alega ter detectado um vírus no computador da vítima e precisa de acesso remoto ou da senha para "corrigir o problema".
- Órgão Governamental: Ameaça a vítima com multas ou intimações.
Chamada de Retorno (A Vítima Liga para o Atacante): A vítima recebe um SMS ou uma mensagem de voz automática, alertando sobre um problema crítico e instruindo-a a ligar para um número 0800 para "resolver" a situação. Ao ligar, ela cai diretamente no call center fraudulento operado pelos golpistas.

As Ferramentas Psicológicas do Vishing

O sucesso do Vishing se baseia em explorar gatilhos emocionais

Urgência: O golpista insiste que o problema é "agora ou nunca" (ex: "Se não agirmos em cinco minutos, sua conta será bloqueada").
Autoridade: Ele usa termos técnicos, nomes de setores ou até mesmo spoofing (falsificação) do número de telefone para que a identificação de chamada mostre o nome real do banco ou empresa.
Empatia: Em alguns casos, o golpista se passa por uma pessoa em perigo (como em golpes de falso sequestro) para induzir a vítima a agir por pena ou desespero.

Como se Proteger do Vishing (Defesa Essencial)

Nunca Confie na Identificação de Chamada: Os criminosos conseguem falsificar o número (spoofing) para que pareça ser o seu banco ou a central de TI.
Desligue e Verifique: Se receber uma ligação solicitando informações confidenciais, desligue imediatamente. Espere alguns minutos (para garantir que a linha do golpista esteja inativa) e ligue para o número oficial da empresa ou banco (o número que está no seu cartão, fatura ou no site oficial).
Jamais Forneça Senhas ou Códigos: Instituições legítimas (bancos, suporte técnico) nunca pedirão a sua senha completa, o código do token ou o código de autenticação de dois fatores (2FA) por telefone.
Recuse Acesso Remoto Não Solicitado: Se alguém ligar para você pedindo para instalar um software de acesso remoto ou digitar comandos no seu computador, recuse. Se o seu setor de TI precisar de acesso, isso deve ser agendado e solicitado através dos canais internos e seguros da empresa.

Como evitar ataques de Engenharia Social

Evitar ataques de Engenharia Social envolve, primariamente, o desenvolvimento de um pensamento crítico e uma postura de desconfiança saudável no ambiente digital e físico.

Como o ataque mira o fator humano, a melhor defesa é a conscientização.

Aqui estão as principais estratégias e práticas.

Desconfiança e Verificação (O "Pense Antes")

Esta é a defesa mais importante, pois desarma a principal arma do atacante: a manipulação emocional.

Desconfie da Urgência e da Emoção: Engenheiros sociais sempre tentam provocar medo, urgência ou ganância para forçar uma decisão impulsiva.
- Regra de Ouro: Nenhuma empresa ou banco sério pedirá seus dados confidenciais ou solicitará uma ação imediata sob ameaça de bloqueio de conta.
Verifique a Fonte por um Canal Independente: Se receber um pedido incomum (transferência ou senha), NUNCA use os contatos fornecidos na própria mensagem suspeita (e-mail, SMS ou ligação).
- Ligue para o número oficial do seu banco, use o site oficial da empresa, ou pergunte ao colega de trabalho pessoalmente ou por um canal de comunicação interno.
Analise a Mensagem e a URL:
- Procure por erros de português ou formatação estranha.
- Passe o mouse sobre links (sem clicar) para ver o endereço real que aparece na parte inferior da tela. O domínio deve ser o oficial (ex: banco.com.br e não banco.seguranca.com.br).
Suspeite de Ofertas "Boas Demais": Se algo é um prêmio, uma oferta exclusiva ou um lucro inesperado que exige uma ação rápida (e dados pessoais), é quase sempre um golpe.

Proteção de Contas e Dispositivos

Boas práticas de segurança digital minimizam o dano, mesmo que você caia no golpe.

Ative a Autenticação de Dois Fatores (2FA/MFA): Use 2FA em todas as suas contas críticas (e-mail, redes sociais, banco). Mesmo que um atacante roube sua senha (Fator 1), ele não terá o código gerado no seu celular (Fator 2).
Use Senhas Fortes e Únicas: Nunca use a mesma senha para mais de uma conta. Use um Gerenciador de Senhas para criar e armazenar senhas complexas.
Mantenha Softwares Atualizados: Mantenha o sistema operacional, antivírus e aplicativos atualizados. As atualizações corrigem vulnerabilidades que malwares de Engenharia Social poderiam explorar.
Cautela com Redes Públicas: Evite fazer transações bancárias ou acessar contas sensíveis em redes Wi-Fi públicas. Se precisar usar, utilize uma VPN.

Cuidado com a Exposição de Dados

Menos informação disponível publicamente significa menos material para o atacante criar um pretexto palpável.

Controle o que você publica nas Redes Sociais: Evite publicar detalhes que um atacante possa usar para personalizar um golpe, como fotos do seu crachá, informações detalhadas sobre sua rotina de trabalho, viagens ou datas específicas.
Gerenciamento de Amizades Online: Desconfie de solicitações de amizade de pessoas desconhecidas que alegam ter amigos em comum. Perfis falsos são frequentemente usados para pesquisa e posterior ataque.

Quem são esses "engenheiros"?

Na Engenharia Social (no contexto de Segurança da Informação), o termo "engenheiros" não se refere a profissionais de TI ou pessoas com formação técnica, mas sim aos atacantes ou criminosos que executam o golpe.

Eles são chamados de "engenheiros" porque "projetam" e "constroem" um cenário de manipulação, explorando a psicologia humana.

Esses indivíduos ou grupos são, na verdade, os golpistas, fraudadores ou cibercriminosos que utilizam a persuasão e a influência para enganar as vítimas.

Criminosos Externos (Os mais comuns)

São indivíduos ou grupos organizados de cibercrime cujo objetivo é:

Roubar Dados: Credenciais de login, senhas, números de cartão.
Obter Ganhos Financeiros Diretos: Fazer a vítima realizar transferências bancárias (fraude do PIX, fraude do boleto falso).
Sabotagem ou Espionagem: Comprometer sistemas de uma empresa para obter informações sigilosas ou causar danos.

Atores Internos (Os mais perigosos para empresas)

São funcionários, ex-funcionários ou terceirizados de uma organização. Eles são considerados perigosos porque:

Conhecem o Terreno: Têm acesso padrão, conhecem a hierarquia, os sistemas e os pontos fracos de segurança interna.
Exploram a Confiança: Podem se passar facilmente por colegas de outros departamentos para obter acesso a informações que não teriam.

A Habilidade do Engenheiro Social

A principal "ferramenta" desses "engenheiros" não é o código de programação, mas sim o profundo conhecimento da psicologia humana. Eles são mestres em:

Imitação e Atuação: Fazer-se passar por figuras de autoridade (TI, CEO, Polícia).
Pesquisa (Reconnaissance): Coletar informações detalhadas sobre a vítima para criar um pretexto altamente crível (personalizado).
Gatilhos Emocionais: Usar a urgência, o medo, a curiosidade ou o desejo de ajudar para fazer a vítima ignorar o pensamento crítico.

O mais famoso "engenheiro social" da história da cibersegurança é Kevin Mitnick, que ficou famoso por invadir sistemas de grandes corporações na década de 90 usando quase exclusivamente a Engenharia Social para obter as informações necessárias.

Como Comunicar um Incidente ou Suspeita de Golpe à Área de Segurança

A rapidez e a precisão da sua comunicação são vitais para conter um ataque de Engenharia Social. Siga estas etapas para reportar uma suspeita ou incidente de forma eficiente, contate a Área de Segurança da Informação através do

E-mail si@tramontina.com ou com o Operador de TI de sua unidade:

1. Pare a Ação Imediatamente (Prioridade Máxima)

Ação: Se você clicou em um link, inseriu uma senha, ou fez qualquer ação suspeita, pare imediatamente.

Não apague o e-mail, mensagem ou histórico da ligação. Ele é a prova do ataque.
Se digitou a senha, não tente fazer login novamente. Se possível, troque a senha imediatamente usando um dispositivo ou canal diferente e seguro (ex: pelo aplicativo móvel).
Se inseriu um pendrive suspeito, remova-o do dispositivo (sem usar a opção de "ejetar com segurança" se o computador já estiver lento ou estranho).

2. Escolha o Canal de Comunicação Correto

Não use o e-mail ou o chat da empresa se você suspeitar que a sua conta pode ter sido comprometida.

Canal Preferencial: Ligue para o ramal da equipe de TI da empresa (o número que você sabe ser correto, não o que estava no e-mail suspeito).
Alternativa: Vá pessoalmente até o setor de Segurança ou TI, se for um ambiente de escritório.
Jamais responda o e-mail suspeito ou use o link "clique aqui para cancelar" do próprio golpe.

3. Seja Detalhado (O que Informar)

A equipe de Segurança precisa de dados frios e factuais para agir. Estruture sua comunicação com as seguintes informações:

O Tipo de Ataque
- - Phishing (e-mail);
  - Vishing (telefone);
  - Smishing (sms).
Dispositivo envolvido
- - Usei meu computador do trabalho;
  - Celular Pessoal;
  - Computador particular.
A hora do Incidente
- - "A mensagem chegou às 14:15h e cliquei no link por volta das 14:30h."
Identidade do Atacante
- - Quem o atacante alegou ser?
    - Ex: Fingiu ser um técnico de TI, ou gerente de um banco
Conteúdo da mensagem
- - Qual era a história (pretexto)?
    - Ex: "Dizia que precisava instalar uma ferramenta de segurança, ou, pedia transferência de um valor urgente."
A ação tomada
- - Ex: Cliquei no Link, entreguei minha senha, baixei arquivos ou fiz a transferência de dinheiro.

4. Mantenha a Calma e Colabore

É natural sentir-se constrangido ou assustado, mas lembre-se: você é a vítima e está ajudando a proteger a empresa.

Evite Conclusões: Não tente deduzir o que aconteceu ("Acho que é um vírus"). Deixe que a equipe técnica faça a análise.
Siga as Instruções: A equipe de Segurança pode precisar isolar seu computador da rede, monitorar sua conta ou solicitar a troca imediata de todas as suas senhas. Colabore integralmente.

Fique atento nas nossas comunicações e publicações para minimizar o impacto financeiro e operacional de ataques.

Uma equipe informada fortalece a cultura de segurança e a resiliência empresarial. Investir em conhecimento é, portanto, primordial para uma gestão de riscos cibernéticos estratégico e eficiente.

Conheça também o material sobre Phishing e outros Golpes do Cert.br com vários fascículos sobre o assunto.

Page updated

Report abuse