Engenharia social física: tailgating e isca

Nem todos os ataques acontecem remotamente. A engenharia social física envolve manipular pessoas e contornar controles de Security física para obter acesso não autorizado a edifícios, salas de servidores ou áreas confidenciais. As consequências podem ser graves: um invasor com acesso físico a um servidor pode instalar um registrador de teclas de hardware, roubar Drives, conectar um dispositivo não autorizado à rede interna ou sair levando fitas de backup não criptografadas. A Security física e a lógica devem ser consideradas em conjunto — uma defesa de rede perfeita é comprometida por uma porta destrancada do centro de dados.

O acesso por acompanhamento ocorre quando uma pessoa não autorizada segue um funcionário autorizado por uma porta protegida antes que ela se feche, sem o conhecimento do funcionário. O invasor pode carregar caixas, usar um uniforme ou simplesmente parecer pertencer ao local para evitar ser questionado. A entrada autorizada por engano é semelhante, mas ocorre com o conhecimento e o consentimento (equivocado) da pessoa autorizada — por exemplo, quando um funcionário segura a porta aberta para alguém que afirma ser um visitante aguardando o processamento de seu crachá. Ambos contornam os controles de acesso físico sem qualquer exploração técnica. As áreas de acesso controlado eliminam ambos os riscos ao garantir que apenas uma pessoa passe por vez.

A prática de usar iscas explora a curiosidade humana ao deixar mídias físicas maliciosas — unidades USB, CDs ou cartões SD — em locais onde os alvos as encontrarão. Um estudo de 2016 constatou que 48% das unidades USB deixadas em estacionamentos de Organizações foram conectadas por funcionários. As unidades podem receber rótulos atraentes (“Salários do 4º trimestre”, “Projeto X confidencial” ou o nome da empresa) para aumentar a curiosidade. Quando conectadas, podem executar malware automaticamente, exibir uma pesquisa falsa que captura credenciais ou instalar silenciosamente um cavalo de Troia de acesso remoto. A defesa consiste em Policies rigorosas para mídias removíveis e na desativação da execução automática.

A busca em lixo envolve procurar informações confidenciais em materiais descartados — documentos em papel, discos rígidos, unidades USB, quadros brancos e notas adesivas. As Organizações descartam enormes quantidades de informações úteis: organogramas, números de contas, diagramas de rede, impressões de código-fonte e senhas anotadas. Documentos triturados e mídias desmagnetizadas ou destruídas eliminam esse risco. As Policies de Security devem abranger o descarte de dados em todos os tipos de mídia, e os funcionários devem entender que documentos físicos contendo informações confidenciais exigem destruição, não reciclagem.

Shoulder: observação por cima do ombro consiste em observar a tela ou o teclado de alguém para capturar informações confidenciais — senhas, PINs e documentos sigilosos — sem que a pessoa saiba. Isso pode acontecer pessoalmente (olhando por cima do ombro de alguém em uma sala de espera de aeroporto) ou por meio de câmeras ocultas. Áreas públicas movimentadas, como cafeterias, aeroportos e escritórios de plano aberto, apresentam um risco significativo de observação por cima do ombro. Entre as defesas estão telas de privacidade, que reduzem o ângulo de visão; Políticas de bloqueio de tela (bloqueio automático após um período de inatividade); a digitação rápida de PINs, bloqueando o teclado numérico com a mão; e o posicionamento das telas longe da visibilidade do público.

Engenheiros sociais que atuam fisicamente frequentemente fingem ser figuras de autoridade ou prestadores de serviços para justificar sua presença em áreas restritas. Entre as identidades mais comuns estão técnicos de suporte de IT, profissionais de manutenção de HVAC ou elevadores, inspetores de segurança contra incêndios, entregadores e funcionários da administração do edifício. Acessórios como uniformes, pranchetas, bolsas de ferramentas e crachás de ID (falsificações de aparência autêntica) aumentam drasticamente a credibilidade da falsificação de identidade. O invasor aposta que os funcionários não questionarão alguém que parece e age como se pertencesse ao local, especialmente se demonstrar confiança e autoridade.

Incidentes de Security criam oportunidades únicas para a engenharia social. Durante um exercício de incêndio ou uma emergência, os funcionários saem rapidamente e deixam portas abertas — uma janela ideal para tailgating. Durante uma grande interrupção de IT, os funcionários podem ser especialmente receptivos a uma “equipe de suporte” que oferece ajuda. Os invasores acompanham as notícias em busca de crises organizacionais (fusões, demissões e violações de dados) e programam campanhas de engenharia social quando a organização está distraída ou sob estresse. Os procedimentos de Security devem ser mantidos rigorosamente mesmo durante emergências aparentes — especialmente porque as emergências podem ser provocadas pelos invasores.

Wardriving consiste em percorrer uma área de carro (ou a pé) enquanto se procuram redes sem fio. Os invasores registram nomes de rede, configurações de Security e padrões de intensidade do sinal. Esse reconhecimento orienta ataques posteriores — identificando redes WEP ou abertas, confirmando nomes de SSID para ataques de gêmeo malicioso ou localizando APs clandestinos. As variantes modernas incluem warwalking e warflying (drones com adaptadores sem fio). Além das redes sem fio, o reconhecimento físico pode incluir fotografar pontos de entrada, modelos de crachás, locais de salas de servidores e a disposição das câmeras de Security antes de uma tentativa planejada de invasão física.

Uma política de mesa limpa exige que os funcionários protejam todos os materiais confidenciais ao deixar seu espaço de trabalho — mesmo que por pouco tempo. Os documentos devem ser guardados em gavetas trancadas, as telas dos computadores devem ser bloqueadas, os quadros brancos devem ser apagados e as mídias removíveis devem ser protegidas. Uma política de tela limpa concentra-se especificamente no bloqueio das estações de trabalho quando estão sem supervisão. Essas Políticas impedem tanto o roubo oportunista de informações (quando alguém que passa vê um documento confidencial) quanto o reconhecimento físico direcionado por um invasor que se infiltrou no escritório. Inspeções regulares e não anunciadas auditam a conformidade.

Os agentes humanos de Security são a última linha de defesa contra tailgating e falsificação de identidade. Uma gestão eficaz de visitantes inclui o pré-cadastro de todos os visitantes esperados, a verificação do documento de ID com foto na chegada, a emissão de um crachá de visitante distinto com limitações de horário e o acompanhamento obrigatório por um funcionário em todas as áreas seguras. Todas as visitas devem ser registradas em um registro de acesso. Prestadores de serviços e fornecedores terceirizados exigem verificações de antecedentes e só devem receber acesso às áreas e aos sistemas específicos necessários para seu trabalho, com o acesso revogado imediatamente após a conclusão.

Os controles de Security física devem ser testados regularmente por meio de exercícios de equipe vermelha e testes de intrusão física. Os profissionais que realizam testes de intrusão física tentam entrar nas instalações usando as mesmas técnicas que os invasores usariam — tailgating, falsificação de identidade, arrombamento de fechaduras ou contorno de leitores RFID. Os resultados frequentemente revelam que os funcionários questionam visitantes com menos frequência do que a Política exige ou que saídas laterais são deixadas abertas por fumantes. As descobertas orientam atualizações de treinamento, revisões de Políticas e melhorias nos controles físicos. Nunca deixe de testar a Security física ao avaliar a postura geral de Security de uma organização.

Teste sua compreensão dos conceitos do CompTIA Security+ (SY0-701) apresentados nesta lição.

Nesta lição, você aprendeu que: tailgating e piggybacking obtêm acesso físico seguindo usuários autorizados por portas protegidas e são impedidos por eclusas de segurança e por uma cultura de questionamento; baiting explora a curiosidade com unidades USB ou outras mídias maliciosas e é combatido pela desativação da execução automática e pelo bloqueio de dispositivos de armazenamento não autorizados; e dumpster diving e Shoulder: observação por cima do ombro extraem informações confidenciais de materiais descartados ou da observação visual — medidas de proteção incluem trituração, Políticas de mesa limpa e telas de privacidade. A seguir, exploraremos o treinamento de conscientização sobre Security e os controles antiphishing.