Muitos ataques bem-sucedidos começam com uma pessoa, não com código. Um funcionário que clica em um link de phishing, aprova um pagamento pedido por um "diretor" ou fornece a senha por telefone abre uma brecha que nenhum firewall teria bloqueado. O Verizon Data Breach Investigations Report, um dos relatórios de violações mais citados do mundo, aponta ano após ano que a maior parte das violações envolve o fator humano, seja erro, credencial roubada ou engenharia social.
O Que É Engenharia Social?
Engenharia social é a manipulação psicológica de pessoas para que realizem ações que beneficiam o atacante. Em vez de explorar uma vulnerabilidade técnica, o atacante explora confiança, urgência, medo ou autoridade.
Exemplos que se repetem:
- Um e-mail do "CEO" pedindo transferência urgente para um fornecedor
- Uma ligação do "suporte de TI" pedindo a senha para "resolver um problema"
- Um pen drive deixado no estacionamento e conectado por curiosidade
- Um e-mail do "RH" com planilha de salários em anexo, que na verdade contém malware
Técnicas Mais Usadas
Phishing: e-mails falsos com links ou anexos maliciosos. É o vetor mais comum, e o mais eficaz quando a empresa não tem treinamento.
Vishing (voice phishing): ligações fingindo ser banco, TI interna ou parceiro. O atacante usa informações públicas, como o LinkedIn e o site da empresa, para parecer legítimo.
Pretexting: criação de um cenário falso para justificar o pedido de informação. Exemplo: "sou do jurídico, preciso urgente do contrato X para uma reunião agora".
Baiting: deixar mídia física, como um pen drive ou um QR code, em locais de acesso da empresa esperando que alguém use.
As Variações Que Mais Aparecem no Brasil
- Troca de dados bancários do fornecedor: o atacante invade ou imita o e-mail de um fornecedor e avisa que "a conta mudou". O boleto ou a transferência seguinte vai para o golpista. É a versão brasileira do golpe que lá fora se chama BEC (Business Email Compromise).
- Mensagem de WhatsApp de "novo número": alguém se passa por um diretor ou cliente, com foto copiada do perfil real, e pede um pagamento ou um código de verificação.
- Falso help desk no Teams: o atacante chama a vítima pelo Teams se passando pelo suporte de TI ou pela Microsoft, alega um problema urgente na conta e pede para instalar uma ferramenta de acesso remoto "para resolver". Detalhamos o golpe em golpes via Microsoft Teams.
- Voz clonada: áudios ou ligações com a voz de um executivo gerada por IA a partir de vídeos públicos. Veja deepfake de voz.
- QR code malicioso: um QR code num e-mail ou num cartaz leva para uma página falsa de login. Como é aberto no celular, escapa de parte das proteções do computador.
- Golpe com dados de processos: criminosos usam informações reais de processos judiciais para se passar por advogados e pedir pagamentos. É o golpe do falso advogado.
Como Proteger Sua Empresa
1. Treinamento de conscientização: todos os colaboradores precisam saber identificar tentativas. Não é um treinamento único, é contínuo, com exemplos atuais e do próprio setor.
2. Simulações de phishing: enviar e-mails de phishing simulados mede a vulnerabilidade real da equipe e cria aprendizado prático sem risco real.
3. Processos de verificação: pedidos financeiros urgentes, troca de dados bancários e pedidos de acesso a sistemas sensíveis precisam de confirmação por outro canal. A regra é ligar para um número que você já tinha, nunca para o número que veio na mensagem.
4. Aprovação em duas pessoas: pagamentos acima de um valor definido e qualquer mudança de conta de fornecedor passam por uma segunda pessoa.
5. Cultura de reporte: funcionários precisam se sentir seguros para reportar cliques acidentais sem medo de punição. O tempo de resposta a incidentes depende disso.
6. Barreiras técnicas: verificação em duas etapas resistente a phishing, como chaves de segurança e passkeys, aviso visível em e-mails vindos de fora da empresa e SPF, DKIM e DMARC configurados para que ninguém envie e-mail usando o seu domínio.
Como Medir Se o Treinamento Funciona
A taxa de cliques nas simulações é a métrica mais conhecida, mas não a mais útil. Ela varia muito com a dificuldade do e-mail escolhido. Acompanhe também:
- Taxa de reporte: quantas pessoas avisaram a segurança sobre o e-mail simulado. Uma equipe que reporta rápido compensa o colega que clicou.
- Tempo até o primeiro reporte: em um ataque real, é esse intervalo que define se a segurança consegue bloquear a campanha antes que outras pessoas caiam.
- Reincidência: quem clicou em mais de uma simulação precisa de um acompanhamento diferente, não de mais do mesmo.
Engenharia Social e Red Team
Em exercícios de Red Team, a LDL Security inclui vetores de engenharia social, como phishing direcionado, vishing e testes físicos, para medir a resistência real da organização. É a forma mais realista de entender a exposição humana da empresa e de testar se os processos de verificação funcionam quando alguém está sob pressão.
Perguntas Frequentes
Treinamento anual resolve?
Raramente. Um treinamento por ano é esquecido em semanas. Funciona melhor com conteúdo curto ao longo do ano, simulações periódicas e retorno imediato para quem clicou.
Simular phishing com os funcionários é ético?
É, desde que o objetivo seja educar e não punir. As simulações devem ser autorizadas pela liderança, não devem usar temas que causem dano real, como demissão ou saúde, e o resultado individual deve virar orientação, não advertência.