A engenharia social é um tipo de golpe que se baseia em sinais sociais, não digitais. Os golpistas usam um conhecimento profundo sobre a sua empresa, seus funcionários, seus projetos e muito mais para convencer você a redefinir uma senha ou aprovar um pagamento. Eles costumam combinar esse conhecimento com um senso de urgência, incentivando você a tomar uma decisão rápida.

Nenhuma lista de sinais de alerta prepara alguém para isso, pois a manipulação não acontece por meio da tecnologia. Ela acontece na cabeça de uma pessoa no momento em que ela toma uma decisão.

Já abordamos o que é a engenharia social em um nível básico: as definições, as categorias comuns de ataque e o funcionamento geral dos ataques baseados em manipulação em comparação aos puramente técnicos. Criar um programa eficaz de conscientização sobre segurança, como estruturar o treinamento, definir a frequência e avaliar se algo está funcionando, é um assunto separado sobre o qual também já escrevemos.

Este artigo fica entre os dois temas. Em vez de focar em definições ou na elaboração do programa, o foco aqui é o que realmente precisa fazer parte do treinamento dos seus funcionários: os mecanismos psicológicos nos quais os invasores confiam e como é a resistência na prática quando alguém está vivenciando a situação, e não apenas lendo sobre ela em um slide.

Por que a engenharia social funciona: seis gatilhos, um ponto cego

A engenharia social não é bem-sucedida porque os funcionários são descuidados. Ela funciona porque aproveita atalhos que o cérebro humano usa todos os dias para tomar decisões rotineiras com rapidez e os direciona para o alvo errado. A pesquisa de Robert Cialdini sobre persuasão identificou sete desses atalhos décadas atrás, e seis deles descrevem quase todas as tentativas de engenharia social que uma empresa pode enfrentar:

  • Reciprocidade
  • Escassez
  • Autoridade
  • Consistência
  • Prova social
  • Unidade

Autoridade

Os golpistas recorrem com mais frequência à autoridade. As pessoas atendem mais rápido a uma solicitação que parece vir de alguém de cargo mais alto, de um administrador de TI ou de um órgão externo, como um regulador ou fornecedor, muitas vezes sem verificar se essa autoridade é real.

Urgência

A urgência agrava o cenário: um prazo apertado, uma conta bloqueada ou um pagamento que precisa ser feito antes do fechamento do banco levam as pessoas a agir em vez de verificar a informação, pois pausar para checar parece que pode causar exatamente o problema com o qual o invasor está ameaçando.

Escassez

A escassez funciona da mesma forma, sob outra roupagem: uma oferta por tempo limitado, uma janela única de acesso ou uma mensagem que dá a entender que hesitar significa perder a oportunidade.

Prova social

A prova social convence as pessoas de que uma solicitação é legítima porque outros aparentemente já concordaram com ela, como “o restante do financeiro já aprovou isso” ou um tópico que parece uma conversa interna real. A simpatia explora o relacionamento: um invasor simpático, elogioso ou aparentemente familiarizado com a cultura do escritório diminui a guarda do alvo simplesmente por ser agradável.

Reciprocidade

A reciprocidade é o mais sutil dos seis princípios: um pequeno favor, uma informação aparentemente útil ou um elogio oferecido primeiro, que cria uma sensação leve e muitas vezes inconsciente de obrigação de retribuir o gesto.

Nenhum desses gatilhos é sofisticado. São os mesmos instintos que tornam possível a cooperação cotidiana no ambiente de trabalho. Qualquer solicitação que aplique um ou mais desses princípios se parece com um pedido normal e ligeiramente urgente; o tipo de situação para a qual as pessoas são treinadas ao longo de toda a carreira para responder de forma rápida e prestativa.

Os ataques que os funcionários realmente enfrentam no contexto corporativo

A maioria das organizações foca em medidas antiphishing, e já escrevemos sobre como se defender contra ataques de phishing. Porém, o treinamento de engenharia social que se limita ao e-mail ignora a maior parte do que os funcionários realmente enfrentam, principalmente em um escritório ou local de trabalho híbrido, onde chamadas telefônicas, visitantes e o acesso físico ainda fazem parte da rotina diária.

Vishing

O phishing por voz, ou vishing, depende de chamadas telefônicas ou mensagens de voz falsas. O autor da chamada pode se passar pelo suporte de TI pedindo para alguém confirmar a senha antes de uma atualização do sistema, por um banco verificando uma transação ou por um entregador precisando de um código de uso único para concluir uma entrega.

A voz de uma pessoa confere um nível de urgência e autoridade que textos não conseguem simular de maneira convincente, e é exatamente por isso que continua sendo eficaz até mesmo contra pessoas que se consideram atentas a e-mails de phishing. Cada vez mais, os invasores também usam ferramentas de clonagem de voz para imitar a voz real de um colega ou executivo, o que a NCSC destacou como um risco crescente(nova janela) tanto para pessoas físicas quanto para organizações. Também já escrevemos sobre a prevenção de deepfakes.

Pretexting

O pretexting consiste em criar uma história que o invasor utiliza para justificar uma solicitação incomum. Ele pode se passar por um novo fornecedor que precisa dos dados da conta para configurar um pagamento, por um auditor solicitando registros de acesso ou por um candidato a uma vaga pedindo a um contato do RH para confirmar detalhes pessoais para a verificação de antecedentes.

O cenário costuma ser construído a partir de pequenos fragmentos de informações públicas, como um cargo e o nome de um fornecedor combinados para parecerem plausíveis.

Baiting

O baiting oferece algo que um funcionário deseja: um recurso gratuito, um drive USB ou disco rígido com a marca da empresa, um documento intitulado revisão salarial do Q3, em troca de uma ação que comprometa um dispositivo ou conta. Isso funciona porque não depende de conquistar a confiança da mesma forma que um e-mail de phishing; em vez disso, conta com a curiosidade para fazer a persuasão.

Tailgating

O tailgating, ou piggybacking, é o único ataque desta lista que não envolve uma tela. Um invasor segue um funcionário por uma porta com controle de acesso por crachá, muitas vezes carregando caixas, usando algo que parece um uniforme ou simplesmente calculando sua aproximação para o momento em que segurar a porta aberta é um gesto de educação. Ele explora diretamente a gentileza no ambiente de trabalho, e é por isso que o treinamento de segurança física costuma ser negligenciado em programas criados exclusivamente em torno de caixas de entrada.

Como é a verdadeira resistência aos ataques de engenharia social

Apenas dizer aos funcionários para “ficarem mais desconfiados” não se sustenta sob pressão real. A desconfiança é uma sensação, e os invasores tentam especificamente anular esse sentimento. O treinamento precisa substituir essa instrução vaga por comportamentos específicos e repetíveis que não dependam de a pessoa perceber, no calor do momento, que está sendo manipulada.

Sempre verifique

A verificação por um canal separado é o hábito mais útil que uma empresa pode implementar. Se uma solicitação chegar por e-mail, confirme-a por telefone ou pessoalmente, usando um número ou contato já cadastrado em arquivo, e não o fornecido na própria mensagem. Esse comportamento simples frustra grande parte das tentativas de personificação, por mais convincente que tenha sido o contato inicial, pois retira o controle do invasor sobre a etapa de verificação.

Vá com calma

A urgência deve ser encarada como um sinal para desacelerar, não como um motivo para pular etapas. Os funcionários devem ser treinados para notar quando uma solicitação os pressiona a priorizar a velocidade em detrimento do processo, pois essa pressão raramente é por acaso. Uma solicitação legítima e genuinamente urgente consegue esperar uma chamada de verificação de dois minutos; uma que não resiste a essa checagem deve ser tratada com desconfiança, não importa de quem pareça vir.

Obtenha confirmação

Solicitações financeiras e de credenciais devem exigir a confirmação de uma segunda pessoa como prática padrão, e não como uma exceção reservada para grandes transações. Isso remove a pressão social na qual o invasor se apoia ao isolar um funcionário e pedir que ele aja sozinho, além de oferecer a esse funcionário uma maneira direta e sem constrangimentos de dizer “vou checar isso com outra pessoa”, sem parecer pouco prestativo ou desconfiado.

Relate os incidentes quase ocorridos

Relatar incidentes quase ocorridos fecha o ciclo. Um funcionário que atendeu a parte de uma solicitação, hesitou, mas acabou cedendo, ou mais tarde percebeu que algo parecia estranho, deve ser incentivado a relatar o fato, mesmo após o ocorrido e mesmo que aparentemente nada de errado tenha acontecido. Esses relatos costumam ser o primeiro aviso de que uma empresa está sendo visada, e eles só surgem em uma cultura onde reportar incidentes não gere vergonha ou culpa.

A mesma lógica se aplica quando dinheiro ou dados já foram movimentados: o Action Fraud(nova janela), centro nacional de denúncias de fraudes e crimes cibernéticos do Reino Unido, existe porque, quanto mais cedo um incidente é relatado, mais útil isso se torna para todas as outras pessoas visadas pelo mesmo padrão de ataque.

Por que apresentações de slides não criam resistência, mas simulações sim

Ler sobre os seis princípios de persuasão é útil para contextualização, mas não muda a forma como alguém se comporta sob pressão real, da mesma forma que ler sobre simulações de incêndio não prepara uma pessoa para encontrar a saída de emergência mais próxima. A resistência à manipulação é uma habilidade prática, não uma informação guardada após ver slides, e é por isso que os treinamentos mais eficazes em engenharia social se apoiam em simulações em vez de apenas instruções teóricas.

Uma simulação eficaz submete os funcionários a uma versão realista da pressão que realmente enfrentarão: uma ligação simulada de fornecedor solicitando alterações de conta, um pedido urgente forjado vindo de alguém alegando ser um gestor ou um falso visitante pedindo para passar por uma porta de acesso restrito, e então fornece feedback imediato e específico, em vez de uma simples nota de aprovação ou reprovação.

O objetivo é permitir que os funcionários vivenciem o momento de pressão em um ambiente seguro, percebam qual gatilho estava sendo usado e desenvolvam o instinto de pausar e verificar antes que isso se torne um problema real.

O nível de dificuldade deve aumentar gradualmente e os cenários devem refletir as funções reais. Alguém do setor financeiro enfrenta pretextos diferentes de quem atua na recepção, e o exercício deve terminar com uma análise detalhada que explique o mecanismo utilizado, e não apenas se a pessoa passou no teste.

Quando bem executadas, as simulações transformam os seis gatilhos psicológicos em conceitos compreensíveis que os colaboradores conseguem identificar, o que é o objetivo principal de um treinamento projetado para funcionar fora da sala de aula.

Treinar pessoas, não apenas políticas

A engenharia social tem sucesso ao atingir instintos que tornam o trabalho em equipe possível no dia a dia: a confiança na autoridade, a prontidão diante da urgência e o desconforto de questionar alguém em cargo de liderança ou que pareça amigável. Treinamentos que apenas definem esses ataques ou listam suas categorias deixam os funcionários tão expostos quanto antes, pois reconhecer uma definição e reconhecer uma tentativa real de manipulação são habilidades totalmente distintas.

Um programa de capacitação que nomeia os seis princípios psicológicos, demonstra como o vishing, o pretexting, o baiting e o tailgating se manifestam no ambiente de trabalho e oferece aos funcionários comportamentos concretos e ensaiados (verificar por canais separados, tratar a urgência como um sinal de alerta em vez de um prazo fatal, envolver uma segunda pessoa e relatar até mesmo tentativas quase consumadas) dá às pessoas ferramentas práticas para agir sob pressão.

Reforçada por meio de simulações em vez de slides e respaldada por senhas exclusivas e MFA, que restringem o alcance de uma tentativa bem-sucedida, essa combinação é o que transforma a conscientização em verdadeira resistência.

Nada disso substitui o trabalho de estruturação do programa de treinamento em si: frequência, formato, periodicidade e como medir os resultados. Esse é o tema abordado no nosso guia complementar sobre como criar um programa de conscientização em segurança. O que apresentamos aqui é a base desse programa: a psicologia que os funcionários realmente enfrentam e os hábitos específicos e praticados que funcionam quando a pressão é real, e não hipotética.

Uma equipe capaz de identificar uma tática de persuasão no exato momento em que ela está sendo usada e que sabe perfeitamente quem consultar antes de agir é um alvo infinitamente mais difícil do que uma equipe que apenas foi orientada a ficar atenta. Esse é o ponto que você pode transformar com esse tipo de treinamento.

A relação com as credenciais: por que a contenção continua sendo importante após um erro

O treinamento diminui a frequência com que a engenharia social tem sucesso, mas não é capaz de zerar esse número. Um programa criado com esse objetivo inevitavelmente falhará. Em algum momento, alguém acabará informando uma senha por telefone, clicando em uma página de login falsa ou confirmando um detalhe que não deveria. O que limita o estrago nesse momento não é o nível de conscientização, mas sim os controles de acesso que já estavam implementados antes do início da chamada.

Uma credencial obtida por meio de engenharia social é muito menos útil para um invasor se for exclusiva para um único serviço e estiver protegida por autenticação multifator (MFA). Senhas exclusivas impedem que uma credencial comprometida seja reutilizada para acessar outros serviços, enquanto o MFA pode impedir que a senha roubada, por si só, forneça acesso até mesmo à conta a que pertence.

Essa é a mesma lógica de contenção abordada em nossos guias sobre como criar uma forte cultura de segurança no ambiente de trabalho e estruturar políticas de senhas sólidas. Vale reforçar isso aqui porque a engenharia social e o gerenciamento de senhas costumam ser tratados como problemas distintos, quando na verdade são duas etapas do mesmo ataque.

Um gerenciador de senhas corporativo como o Proton Pass for Business torna essa contenção prática e escalável, em vez de depender da memória individual de cada funcionário para seguir as políticas estabelecidas.

Quando as credenciais são armazenadas, geradas e compartilhadas de forma segura por meio de um cofre de senhas gerenciado, em vez de depender da memória, de navegadores ou de planilhas, uma única tentativa bem-sucedida de engenharia social deixa de ser uma porta de entrada para todos os sistemas aos quais o funcionário tem acesso.

O Proton Pass for Business facilita o gerenciamento de credenciais para todos os membros da equipe, e não apenas para o setor de TI:

Reduza a exposição da sua equipe à engenharia social com um gerenciador de senhas corporativo seguro.