Engenharia Social e Phishing

A engenharia social ataca pessoas, não a tecnologia. Em vez de atravessar firewalls, o atacante engana alguém para obter informações, acesso ou dinheiro, explorando confiança, medo, curiosidade ou disposição para ajudar.

Muitas vezes, essa é a forma mais fácil de entrar: por que quebrar uma senha quando é possível convencer alguém a simplesmente entregá-la? Os seres humanos são frequentemente o elo mais fraco da segurança.

Phishing é o ataque de engenharia social mais comum: e-mails ou mensagens fraudulentos que parecem vir de uma fonte confiável e induzem as vítimas a clicar em links maliciosos, abrir anexos infectados ou inserir credenciais em sites falsos.

Um e-mail de phishing pode imitar o seu banco ou o departamento de TI, criando um senso de urgência para que você aja antes de pensar. Ele lança uma rede ampla e é enviado para muitas pessoas de uma só vez.

As variantes direcionadas são mais perigosas. O phishing direcionado adapta a mensagem a uma pessoa específica usando detalhes sobre ela, o que a torna muito mais convincente. O whaling tem como alvo executivos de alto nível, como diretores executivos.

Como essas mensagens são personalizadas e baseadas em pesquisa detalhada, é muito mais difícil identificá-las do que identificar um phishing genérico. Elas costumam ser bem-sucedidas onde campanhas em massa falham.

Phishing não ocorre apenas por e-mail. O vishing (phishing por voz) usa chamadas telefônicas, como um falso agente de suporte que tenta obter senhas. O smishing (phishing por SMS) usa mensagens de texto com links maliciosos.

Os atacantes se espalham por vários canais porque as pessoas podem desconfiar de um e-mail suspeito, mas atender prontamente a uma chamada ou tocar em um link de mensagem de texto, especialmente quando ele parece urgente.

Pretexting inventa um cenário plausível para obter informações, como um invasor que se passa pelo suporte de IT e precisa verificar seu login para corrigir um problema. Personificação significa fingir ser alguém de confiança, pessoalmente ou remotamente.

O contexto fabricado reduz a vigilância da vítima, fazendo com que ela atenda a solicitações que normalmente questionaria.

Parte da engenharia social é física. Tailgating (ou piggybacking) consiste em seguir uma pessoa autorizada por uma porta segura sem passar o crachá. Surfe de ombro é observar alguém digitar uma senha ou um PIN.

Mergulho em lixeiras recupera informações confidenciais de papéis e dispositivos descartados. Isso nos lembra que a segurança inclui atenção ao ambiente físico, não apenas aos computadores.

Isca oferece algo tentador, como um dispositivo USB com a etiqueta Folha de pagamento deixado em um estacionamento, na esperança de que uma pessoa curiosa o conecte e infecte a própria máquina.

Troca de favores oferece um benefício em troca de informações ou acesso, como um falso suporte técnico que promete ajuda se você conceder acesso remoto. Ambos exploram o desejo humano de obter vantagens ou assistência.

A engenharia social é bem-sucedida ao explorar a psicologia: autoridade (obedecemos a quem parece estar no comando), urgência (agimos rapidamente sob pressão), medo, confiança e disposição para ajudar.

Reconhecer esses gatilhos é a primeira defesa. Quando uma mensagem pressiona você a agir imediatamente ou contornar o procedimento normal, essa própria pressão é um sinal de alerta que merece uma pausa.

As melhores defesas são humanas e baseadas em procedimentos:

• Treinamento de conscientização sobre segurança para que os usuários reconheçam ataques.
• Procedimentos de verificação, como ligar de volta para um número conhecido antes de atender a uma solicitação.
• Autenticação multifator, para que uma senha roubada sozinha não seja suficiente.
• Uma cultura em que questionar solicitações suspeitas seja incentivado, não punido.

Os sinais de alerta incluem urgência inesperada, saudações genéricas, erros de ortografia e gramática, endereços de remetentes incompatíveis ou estranhos, links cujo destino real é diferente do texto e solicitações de credenciais ou pagamento.

Passar o cursor sobre um link para verificar seu URL real antes de clicar e confirmar solicitações incomuns por um canal separado interrompem a maioria das tentativas de phishing de imediato.

A engenharia social ataca pessoas, não máquinas, usando phishing (incluindo spear phishing, whaling, vishing e smishing), pretexting, isca, tailgating e outras técnicas. Ela explora autoridade, urgência, medo e confiança. As defesas são principalmente humanas: treinamento de conscientização, procedimentos de verificação e autenticação multifator.

Teste seus conhecimentos sobre engenharia social.

A engenharia social manipula pessoas em vez de tecnologia. O phishing e suas variantes (spear phishing, whaling, vishing e smishing), além de pretexting, isca e tailgating, exploram autoridade, urgência e confiança. As defesas são humanas: treinamento de conscientização, procedimentos de verificação e autenticação multifator.