Você já sofreu ou conhece alguém que sofreu um golpe virtual? Do tipo que clicamos em um link que parece legítimo para aproveitar uma promoção ou recebemos uma mensagem do banco informando que houve tentativa de acesso à conta bancária e que precisamos mudar as credenciais?
Esse modelo de manipulação no universo digital, que explora o erro ou a fraqueza humana para obter alguma vantagem, é o que chamamos de engenharia social.
Como funciona a engenharia social
O nome é bonito, mas não se engane: a engenharia social é uma tática fundamentada na ciência da motivação humana. As vítimas têm suas emoções manipuladas e acabam tomando atitudes que vão resultar em roubo de dados pessoais, credenciais, informações financeiras, entre outras, e que podem acabar culminando em grandes prejuízos.
Um ataque de engenharia social pode começar de várias formas:
- Simulando uma marca confiável oferecendo promoções ou cupons de desconto;
- Aparentando ser um órgão do governo (Receita Federal, Correios) ou agência bancária para despertar a atenção;
- Induzindo a curiosidade, o senso de urgência ou o medo;
- Simulando violações de segurança e dando o caminho (falso) para corrigir o problema;
- Entre outros.
Partindo dessas e de outras técnicas, os cibercriminosos levam os usuários a clicarem em links maliciosos ou inserirem dados pessoais e até informações financeiras em sites ou aplicativos fraudulentos. Os fins são diversos, podendo ser desde realizar compras ou solicitar empréstimos em nome da vítima ou até executar ataques cibernéticos de proporções maiores no segmento corporativo.
Fique atento para não ser enganado
Uma prática muito frequente da técnica de engenharia social é o phishing. Nessa modalidade, você recebe uma mensagem falsa, mas a identidade visual e o remetente parecem legítimos – normalmente se assemelhando aos de uma organização conhecida (bancos, plataformas de e-commerce, agências estatais, etc.).
Esses e-mails orientam a clicar em um link para verificar alguma pendência ou uma tentativa de login suspeita na sua conta, podem também induzir a baixar anexos infectados. O phishing é considerado a forma mais comum de crime cibernético, com cerca de 3,4 bilhões de e-mails de spam enviados todos os dias.
Outros formatos de phishing são o vishing, no qual o golpe é realizado via ligação telefônica, e o smishing, que se caracteriza pelo envio de um sms com conteúdo promocional – algo imperdível – ou relatando uma situação alarmante/problema grave que precisa ser resolvido com urgência.
O baiting é mais um exemplo de ação de engenharia social. Por meio dela, os usuários são induzidos a fazerem downloads de softwares, normalmente gratuitos, mas que estão infectados por malware.
E claro que ousadia não falta aos atores das ameaças cibernéticas: outro tipo de ataque de engenharia social que causa muitos estragos é o BEC (Business E-mail Compromise ou ataque de comprometimento de e-mail empresarial). Por meio dele, colaboradores de organizações são enganados e induzidos a realizar ações que resultam em perdas financeiras ou vazamento de dados confidenciais. Isso ocorre porque os ataques BEC enviam e-mails falsificados, que parecem vir de fontes confiáveis, como fornecedores, executivos ou departamentos internos da própria organização, comprometendo a segurança e causando prejuízos para usuários e para toda a empresa.
Foi assim que a Toyota Corporation, fornecedora de peças automotivas, perdeu US$ 37 milhões em 2019. Invasores persuadiram um executivo financeiro a alterar informações da conta bancária do destinatário em uma transferência eletrônica.
Como se proteger de investidas de engenharia social
Ao contrário dos ciberataques tradicionais, a engenharia social não depende de falhas técnicas e não precisa superar nenhum controle de segurança cibernética. Basta um momento de confiança e uma ação impulsiva para que o ataque funcione.
Um recente ataque cibernético a uma empresa de softwares do Brasil, que atua como integradora dos serviços de Pix, deixou um prejuízo de aproximadamente R$ 800 milhões. Segundo informações da própria empresa, há evidências de que o ataque foi viabilizado por meio de técnicas de engenharia social.
Para prevenir situações como essa, conhecimento e conscientização são as principais chaves. Além de contar com ferramentas de proteção, é preciso saber identificar sinais de alerta e desconfiar de solicitações incomuns, atrativas ou que tenham relação com informações sensíveis. As orientações a seguir podem ajudar:
- Tenha em mente quais são as informações sobre você ou sobre a empresa que você trabalha que não podem ser compartilhadas.
- Desconfie se receber qualquer mensagem que explore a temática de informações sensíveis ou que oriente, caso você não tenha solicitado, confirmação ou alteração de credenciais.
- Ao receber e-mails, mensagens ou visualizar anúncios nas redes sociais, não abra ou acesse de forma automática. Faça uma breve pausa e analise o remetente, o assunto e as demais informações prévias sobre o conteúdo.
- Em caso de solicitações para clicar em links ou abrir anexos, avalie se você está familiarizado com o contexto (quem enviou, motivo, o que contém no anexo) e evite abrir se houver qualquer sinal de anormalidade.
- Se ainda assim você perceber que foi vítima de um ataque de engenharia social, alerte o setor de segurança cibernética de sua organização
A TI Safe conta com um time de especialistas preparados para lidar com todos os tipos de ameaças cibernéticas e contribuir com o aumento do nível de segurança de sua organização! Clique aqui e fale com a nossa equipe.
