O telefone toca. É do suporte de TI. A pessoa sabe seu nome, sabe o nome do seu gestor, usa os termos certos e está com pressa: há uma atualização crítica e ela precisa confirmar sua senha para não bloquear o seu acesso antes do fechamento do mês.
Se tudo soa como deveria soar, você provavelmente não vai parar para pensar. E é exatamente com isso que o engenheiro social conta.
As doutrinas de contrainteligência explicam por que esse tipo de ataque funciona tão bem com gente inteligente. A resposta não está na ingenuidade das vítimas. Está no funcionamento normal do cérebro.
O que é engenharia social
Engenharia social é um método usado para enganar, manipular ou explorar a confiança das pessoas. É uma forma de ataque sem violência física, que busca fazer com que a própria vítima realize, voluntariamente, ações que a prejudicam: divulgar uma informação sensível, abrir um anexo, transferir dinheiro.
Há uma distinção útil. Convencer alguém a revelar a senha é engenharia social. Obrigar alguém a revelar a senha sob ameaça de violência não é. O que define a técnica é que a vítima colabora sem perceber que está sendo manipulada.
E ela não é exclusiva de criminosos sofisticados. É usada desde serviços de inteligência de Estados até hackers amadores. O relatório de violações de dados da Verizon (DBIR 2024) encontrou o fator humano em 68% dos incidentes analisados. Um vendedor de empresa concorrente pode extrair muita informação de um fornecedor num bate-papo sem nunca ter ouvido a expressão “engenharia social”.
O que a maioria erra
A reação mais comum a um caso de engenharia social é culpar a vítima: “como alguém cai nisso?”. Essa reação é perigosa por dois motivos.
O primeiro é que ela cria uma falsa sensação de segurança. Quem acha que só os desatentos caem para de prestar atenção. O segundo é que ela desestimula o relato. Quem teme ser visto como ingênuo esconde o incidente, e a empresa perde a chance de conter o dano e alertar os colegas.
Engenharia social funciona com pessoas competentes porque explora mecanismos que todos temos e que, na maior parte do tempo, nos ajudam a trabalhar.
A falha de fábrica: o Sistema 1
Ajuda olhar para um modelo popularizado pelo psicólogo Daniel Kahneman, prêmio Nobel de Economia, no livro Rápido e Devagar. A maior parte do que fazemos no dia a dia é resolvida por um modo de pensar rápido e automático, o Sistema 1. Só quando algo parece estranho acionamos o modo lento e analítico, o Sistema 2.
Para decidir se algo é estranho, usamos modelos mentais de como as situações costumam acontecer. Sabemos como fala o suporte técnico, como escreve o financeiro, como pede o diretor. Se a situação se encaixa no modelo, seguimos no automático.
O engenheiro social trabalha exatamente aí. Ele não tenta vencer o seu raciocínio. Ele tenta evitar que o seu raciocínio seja acionado. Se o falso técnico falar de um jeito estranho, você desconfia. Se falar exatamente como um técnico fala, você passa a senha sem refletir.
Os três gatilhos
As fragilidades que o engenheiro social mais explora se resumem a três gatilhos:
- Urgência: sob pressão de tempo, a chance de acionar o Sistema 2 cai muito. Daí os prazos curtos (“preciso da ficha preenchida ainda hoje”) e as ameaças de perda (“atualize agora ou ficará sem acesso à sua conta”).
- Autoridade: especialmente eficiente em organizações hierarquizadas. “Sou a secretária do diretor e ele precisa dessa informação agora para tomar uma decisão.”
- Empatia e culpa: o engenheiro social cria uma história em que ajudar é a resposta natural e recusar pesa na consciência. “Se eu não entregar isso hoje, posso perder o emprego.”
Os três podem aparecer juntos, e costumam aparecer. Um dos casos mais conhecidos de fraude corporativa na Europa mostra a combinação. Em 2016, a fabricante austríaca de componentes aeronáuticos FACC perdeu cerca de 50 milhões de euros depois que um funcionário da área financeira recebeu e-mails de alguém se passando pelo presidente da empresa, pedindo transferências urgentes e confidenciais para uma suposta aquisição. Autoridade, urgência e sigilo. O presidente real foi demitido meses depois.
Os tipos de ataque
A engenharia social pode chegar por qualquer canal: pessoalmente, por telefone, por e-mail ou por redes sociais. As formas mais comuns ganharam nomes próprios:
- Phishing: mensagem genérica enviada em massa, à espera de que alguns caiam.
- Spear phishing: mensagem sob medida para um alvo específico, montada com informações sobre ele.
- Vishing: a mesma lógica por telefone, muitas vezes com número falsificado.
- Pretexto: uma história inventada que justifica o pedido, como o falso auditor ou o falso fornecedor.
- Isca: um objeto ou oferta que leva a vítima a agir, como o pen drive recebido de presente, que deve ser descartado sem conectar.
- Carona: entrar em área restrita logo atrás de quem tem crachá, aproveitando a gentileza de quem segura a porta.
- Entrevista (elicitação): conversa conduzida para obter informação sem que a vítima perceba. É o tema do próximo artigo.
Cada um desses tipos terá espaço próprio nesta série. O que eles têm em comum é mais importante do que o que os diferencia: todos dependem de uma pessoa agir no automático.
Como se proteger
Sete medidas resolvem a maior parte dos casos. Resumo cada uma no que ela exige na prática:
- Desconfie. Sem desconfiança, não há pausa. E sem pausa, não há verificação.
- Verifique. Exija comprovação. A forma mais simples é ligar de volta, no número que você sabe ser verdadeiro, nunca no que o interlocutor forneceu.
- Desapegue do “abrir por hábito”. Você precisa mesmo abrir aquele anexo? A nota fiscal do estacionamento de ontem não precisa ser aberta.
- Evite links. Se dá para chegar à mesma página navegando pelo site, não clique no link.
- Limite as informações disponíveis. Um exemplo preciso: pelo LinkedIn, descobre-se que você chefia o RH; pelo Instagram, que está de férias num resort. Com isso, alguém liga para a sua equipe dizendo que falou com você antes da viagem e envia um “currículo” com anexo.
- Saiba o que pode ser compartilhado. Defina antes o que não se comenta. Fica mais fácil perceber quando uma conversa está sendo conduzida.
- Alerte a segurança. Outras pessoas podem ter recebido a mesma abordagem. Basta que uma aja sem pensar para a informação sair.
O protocolo dos 10 segundos
Para transformar isso em hábito, proponho um filtro simples, aplicado a qualquer pedido fora do padrão. São três perguntas:
- O pedido chegou por um canal que eu não iniciei?
- Há pressa, autoridade ou culpa na conversa?
- Consigo confirmar por outro canal antes de agir?
Se as duas primeiras respostas forem “sim”, a terceira é obrigatória. Dez segundos de pausa são suficientes para tirar a decisão do Sistema 1, e é só disso que a defesa precisa.
Pontos-chave
- Engenharia social é manipulação sem violência: a vítima colabora sem perceber.
- Funciona com pessoas competentes porque explora o pensamento automático, não a ingenuidade.
- Urgência, autoridade e culpa são os três gatilhos mais explorados, e costumam aparecer juntos.
- Culpar a vítima desestimula o relato e piora o dano.
- Uma pausa curta com verificação por outro canal neutraliza a maior parte dos ataques.
O engenheiro social não precisa ser mais inteligente do que você. Precisa apenas que você esteja ocupado, com pressa e querendo ajudar, que você esteja trabalhando normalmente.
A defesa, portanto, não é desconfiar de tudo o tempo todo. É reconhecer os poucos momentos em que a pausa vale a pena. No próximo artigo, mostro a técnica mais sutil do repertório: como alguém extrai informação sensível de você numa conversa agradável, sem fazer uma única pergunta.
Qual dos três gatilhos você acha que funcionaria melhor na sua empresa: urgência, autoridade ou culpa?
Perguntas frequentes
O que é engenharia social?
É um método para enganar, manipular ou explorar a confiança das pessoas, sem violência física, para que a própria vítima realize ações que a prejudicam, como revelar uma senha, abrir um anexo ou transferir dinheiro.
Quais são os tipos de ataque de engenharia social?
Os mais comuns são phishing, spear phishing, vishing (por telefone), pretexto, isca (como pen drives de presente), carona em áreas restritas e entrevista, também chamada de elicitação.
Por que a engenharia social funciona?
Porque explora o pensamento rápido e automático que usamos no dia a dia. Quando o pedido se encaixa no que esperamos, não paramos para analisar. Urgência, autoridade e culpa reduzem ainda mais a chance de reflexão.
Como se proteger da engenharia social?
Desconfiando de pedidos fora do padrão, verificando por outro canal (ligando de volta num número conhecido), evitando abrir anexos e links por hábito, limitando informações públicas, sabendo o que não pode ser compartilhado e alertando a segurança.
Sua equipe reconhece um engenheiro social?
A Infinity Safe estrutura programas de contrainteligência corporativa: avaliação de risco, investigação, treinamento de equipes e proteção do conhecimento sensível.
Série Ativo Invisível · 5 de 16. Leia também: A pasta sai junto com a carta de demissão; Seu concorrente faz as contas. Um Estado, não. Veja todos os artigos.
Fontes: cartilhas do Programa Nacional de Proteção do Conhecimento Sensível (PNPC, 2021); Verizon, Data Breach Investigations Report 2024; Daniel Kahneman, Rápido e Devagar; caso FACC (2016).
Continue lendo
- O espião não entra pelo duto de ar. Ele liga para a recepção
- A pasta sai junto com a carta de demissão
- O ativo mais cobiçado da sua empresa não aparece no balanço
Sobre o autor: Brian Benigno é Sócio-Diretor Executivo da Infinity Safe e especialista em Inteligência e Contrainteligência Corporativa, Contraespionagem e TSCM.
