A engenharia social é um tipo de burla que se baseia em pistas sociais, e não digitais. Os burlões utilizam um conhecimento profundo da sua empresa, dos seus colaboradores, dos seus projetos e muito mais, para o convencer a repor a sua palavra-passe ou a aprovar um pagamento. Frequentemente, combinam este conhecimento com um sentido de urgência, incentivando-o a tomar uma decisão rápida.

Nenhuma lista de sinais de alerta prepara alguém para isto, porque a manipulação não está a acontecer através da tecnologia. Está a acontecer na mente de alguém enquanto toma uma decisão.

Já abordámos o que é a engenharia social a um nível fundamental: as definições, as categorias de ataque comuns, os mecanismos gerais dos ataques baseados em manipulação versus os puramente técnicos. Criar um programa eficaz de sensibilização para a segurança, como estruturar a formação, definir a cadência e medir se está a resultar, é um assunto à parte sobre o qual também já escrevemos.

Este artigo situa-se entre os dois. Em vez de definições ou conceção de programas, foca-se no que realmente precisa de fazer parte da formação dos seus colaboradores: os mecanismos psicológicos em que os atacantes se apoiam e como é a verdadeira resistência quando alguém se encontra no momento em vez de ler sobre o assunto num diapositivo.

Por que motivo funciona a engenharia social: seis alavancas, um ponto cego

A engenharia social não tem sucesso porque os colaboradores são descuidados. Tem sucesso porque se apropria de atalhos que o cérebro humano utiliza diariamente para tomar decisões normais rapidamente e, em seguida, direciona-os para o alvo errado. A investigação de Robert Cialdini sobre persuasão identificou sete destes atalhos há décadas, e seis deles descrevem quase todas as tentativas de engenharia social que uma empresa irá encontrar:

  • Reciprocidade
  • Escassez
  • Autoridade
  • Consistência
  • Prova social
  • Unidade

Autoridade

Os burlões recorrem com mais frequência à autoridade. As pessoas acatam mais rapidamente um pedido que parece vir de alguém superior, de um administrador de TI ou de uma entidade externa, como um regulador ou fornecedor, muitas vezes sem verificar se essa autoridade é real.

Urgência

A urgência intensifica-a: um prazo, uma conta bloqueada ou um pagamento que tem de sair antes do fecho do banco empurra as pessoas para a ação e afasta-as da verificação, porque colocar em pausa para verificar parece que pode causar o próprio problema com que o atacante está a ameaçar.

Escassez

A escassez funciona da mesma forma sob um disfarce diferente: uma oferta por tempo limitado, uma janela de acesso única, uma mensagem a sugerir que hesitar significa perder a oportunidade.

Prova social

A prova social persuade as pessoas de que um pedido é legítimo porque outros aparentemente já concordaram com ele, “o resto do departamento financeiro já aprovou isto”, ou um tópico que parece uma conversa interna real. A afinidade explora a empatia: um atacante amigável, elogioso ou aparentemente familiarizado com a cultura do escritório baixa a guarda do alvo simplesmente por ser agradável de lidar.

Reciprocidade

A reciprocidade é a mais subtil das seis: um pequeno favor, uma informação aparentemente útil ou um elogio oferecido primeiro, que cria um ligeiro e muitas vezes inconsciente sentimento de obrigação de retribuir o gesto.

Nenhuma destas alavancas é sofisticada. São os mesmos instintos que tornam possível a cooperação normal no local de trabalho. Qualquer pedido que implemente um ou mais destes princípios parece um pedido normal, ligeiramente urgente; do tipo a que as pessoas são treinadas ao longo de toda a sua carreira para responder de forma rápida e prestável.

Os ataques que os colaboradores realmente encontram num contexto empresarial

A maioria das organizações foca-se em medidas antiphishing e já escrevemos sobre a defesa contra ataques de phishing. No entanto, a formação em engenharia social que se limita ao e-mail ignora grande parte do que os colaboradores realmente enfrentam, especialmente num escritório ou local de trabalho híbrido onde chamadas telefónicas, visitantes e o acesso físico ainda fazem parte da rotina diária.

Vishing

O phishing por voz, ou vishing, baseia-se em chamadas telefónicas ou mensagens de voz falsas. O autor da chamada pode fazer-se passar pelo apoio ao cliente de TI a pedir a alguém que confirme a sua palavra-passe antes de atualizar o sistema, por um banco a verificar uma transação ou por um estafeta que precisa de um código de utilização única para concluir uma entrega.

A voz de uma pessoa confere uma urgência e autoridade que o texto não consegue simular de forma convincente, e é exatamente por isso que continua a ser eficaz mesmo contra pessoas que se consideram atentas a e-mails de phishing. Cada vez mais, os atacantes também utilizam ferramentas de clonagem de voz para imitar a voz de um colega ou executivo real, o que o NCSC assinalou como um risco crescente(nova janela) tanto para indivíduos como para organizações. Também escrevemos sobre a prevenção de deepfakes.

Pretexting

O pretexting envolve a criação de uma história que um atacante utiliza depois para justificar um pedido invulgar. Podem fazer-se passar por um novo fornecedor que precisa dos detalhes da conta para configurar um pagamento, por um auditor a solicitar registos de acesso ou por um candidato a emprego a pedir a um contacto dos RH que confirme dados pessoais para a verificação de antecedentes.

O cenário é muitas vezes construído a partir de pequenos fragmentos de informação pública, como um cargo e o nome de um fornecedor combinados para parecerem plausíveis.

Baiting

O baiting oferece algo que um colaborador deseja: um recurso gratuito, uma unidade USB ou disco rígido de marca, um documento intitulado revisão salarial do Q3, em troca de uma ação que compromete um dispositivo ou uma conta. Funciona porque não pede confiança da forma que um e-mail de phishing faz; em vez disso, depende da curiosidade para fazer a persuasão.

Tailgating

O tailgating, ou piggybacking, é o único ataque desta lista que nada tem a ver com um ecrã. Um atacante segue um colaborador através de uma porta controlada por cartão de acesso, muitas vezes a carregar caixas, a vestir algo parecido com um uniforme ou simplesmente a cronometrar a sua aproximação para um momento em que segurar a porta é o gesto educado a fazer. Explora diretamente a cortesia no local de trabalho, razão pela qual a formação em segurança física tende a ser negligenciada em programas construídos inteiramente em torno de caixas de entrada.

Como é realmente a resistência aos ataques de engenharia social

Dizer simplesmente aos colaboradores para “terem mais desconfiança” não funciona sob pressão real. A desconfiança é um sentimento e os atacantes tentam especificamente sobrepor-se a ela. A formação precisa de substituir essa instrução vaga por comportamentos específicos e reproduzíveis que não dependam de alguém se aperceber de que está a ser manipulado no momento.

Verifique sempre

A verificação através de um canal separado é o hábito mais útil que uma empresa pode instalar. Se um pedido chegar por e-mail, confirme-o por telefone ou pessoalmente, utilizando um número ou contacto já existente em ficheiro e não um fornecido na própria mensagem. Este único comportamento neutraliza grande parte das tentativas de usurpação de identidade, independentemente de quão convincente tenha sido o contacto inicial, porque remove o controlo do atacante sobre a etapa de verificação.

Abrande

A urgência deve ser tratada como um sinal para abrandar, e não como uma razão para ignorar uma etapa. Os colaboradores devem ser treinados para notar quando um pedido os pressiona para a rapidez em detrimento do processo, porque essa pressão raramente é acidental. Um pedido legítimo genuinamente urgente consegue sobreviver a uma chamada de verificação de dois minutos; um que não consiga sobreviver a essa demora deve ser tratado com desconfiança, independentemente de quem pareça ser o remetente.

Obtenha confirmação

Os pedidos financeiros e de credenciais devem exigir a confirmação de uma segunda pessoa como prática padrão, e não como uma exceção reservada a grandes transações. Isto remove a pressão social em que o atacante se apoia quando isola um único colaborador e lhe pede para agir sozinho, e dá a esse colaborador uma forma simples e isenta de culpas de dizer “deixe-me verificar com alguém” sem parecer pouco prestável ou desconfiado.

Comunique os quase-incidentes

A comunicação de quase-incidentes fecha o ciclo. Um colaborador que tenha cumprido parte de um pedido, hesitado mas acabado por ceder, ou percebido mais tarde que algo parecia errado, deve ser incentivado a comunicar a situação mesmo após o sucedido e mesmo que nada pareça ter corrido mal. Estes relatórios são frequentemente o primeiro aviso de que uma empresa está a ser alvo de um ataque e só surgem numa cultura em que a comunicação não acarreta constrangimento nem culpa.

O mesmo instinto se aplica quando o dinheiro ou os dados já foram transferidos: o Action Fraud(nova janela), o centro nacional de denúncias de fraudes e cibercrime do Reino Unido, existe porque quanto mais cedo um incidente for comunicado, mais útil será para todas as outras pessoas visadas pelo mesmo padrão.

Por que motivo os diapositivos não desenvolvem resistência, mas a simulação sim

Ler sobre as seis alavancas de persuasão é útil para contextualização, mas não muda a forma como alguém se comporta sob pressão real, tal como ler sobre um simulacro de incêndio não prepara ninguém para encontrar a saída mais próxima. A resistência à manipulação é uma competência que se pratica, não um facto retido a partir de uma apresentação de diapositivos, razão pela qual a formação mais sólida em engenharia social assenta na simulação e não apenas na instrução.

Uma simulação eficaz coloca os colaboradores perante uma versão realista da pressão que irão realmente enfrentar: uma chamada simulada de um fornecedor a solicitar alterações de conta, um pedido urgente forjado de alguém que alega ser gestor ou um visitante encenado a pedir para passar por uma porta segura, fornecendo de seguida comentários imediatos e específicos em vez de uma pontuação de aprovado/reprovado.

O objetivo é permitir que os colaboradores vivenciem o momento de pressão num ambiente seguro, percebam que alavanca estava a ser acionada e criem o instinto de colocar em pausa e verificar antes que seja tarde.

A dificuldade deve aumentar gradualmente e os cenários devem refletir cargos reais. Alguém na área financeira enfrenta pretextos diferentes de alguém na receção, e o exercício deve terminar com uma sessão de esclarecimento que explique o mecanismo utilizado, e não apenas se a pessoa passou no teste.

Quando bem executada, a simulação transforma as seis alavancas psicológicas em conceitos compreensíveis e identificáveis que os colaboradores conseguem reconhecer, o que é precisamente o objetivo de uma formação concebida para ser eficaz fora da sala de aula.

Formar pessoas, não apenas políticas

A engenharia social tem sucesso ao atingir instintos que tornam possível o trabalho de equipa normal: a confiança na autoridade, a prontidão perante a urgência, o desconforto de questionar alguém que parece ser superior ou amigável. A formação que se limita a definir estes ataques ou a listar as suas categorias deixa os colaboradores exatamente tão expostos como antes, porque reconhecer uma definição e reconhecer uma tentativa de manipulação em tempo real são competências completamente diferentes.

Um plano de formação que identifica as seis alavancas psicológicas, explica como o vishing, o pretexting, o baiting e o tailgating se manifestam concretamente no ambiente de trabalho e proporciona aos colaboradores comportamentos práticos e ensaiados (verificar separadamente, tratar a urgência como um sinal de alerta e não como um prazo, envolver uma segunda pessoa, comunicar até os quase-incidentes) dá às pessoas ferramentas que podem realmente utilizar sob pressão.

Reforçada através de simulações em vez de diapositivos e apoiada por palavras-passe exclusivas e MFA que limitam o alcance de uma tentativa bem-sucedida, essa combinação é o que transforma a sensibilização em resistência.

Nada disto substitui o trabalho de criar o próprio programa de formação: cadência, estrutura, frequência com que se repete, como mede se está a ter impacto. Esse é o âmbito abrangido pelo nosso guia complementar sobre como criar um programa de sensibilização para a segurança. O que aqui se inclui é a camada subjacente ao programa: a psicologia que os colaboradores realmente enfrentam e os hábitos específicos e ensaiados que se mantêm eficazes quando a pressão é real e não hipotética.

Uma equipa que consegue identificar uma tática de persuasão enquanto está a ser aplicada e que sabe exatamente qual é a segunda pessoa a contactar antes de agir é um alvo fundamentalmente mais difícil do que uma equipa à qual simplesmente se disse para se manter alerta. É essa a lacuna que pode fechar com este tipo de formação.

A ligação às credenciais: por que motivo a contenção continua a ser importante após um erro

A formação reduz a frequência com que a engenharia social tem sucesso, mas não consegue reduzir esse número a zero. Um programa concebido com esse objetivo estará sempre condenado ao fracasso. Alguém irá, a dada altura, fornecer uma palavra-passe por telefone, clicar numa página de início de sessão falsa ou confirmar um detalhe que não devia. O que limita os danos nesse momento não é a sensibilização — são os controlos de acesso que já estavam implementados antes de a chamada começar.

Uma credencial obtida através de engenharia social é muito menos útil para um atacante se for exclusiva de um único serviço e estiver protegida por autenticação multifator (MFA). As palavras-passe exclusivas evitam que uma credencial comprometida seja reutilizada para aceder a outros serviços, enquanto o MFA pode impedir que a palavra-passe roubada por si só dê acesso até à conta a que pertence.

Esta é a mesma lógica de contenção abordada nos nossos guias sobre como criar uma forte cultura de segurança no local de trabalho e definir políticas de palavras-passe robustas, e vale a pena repetir aqui porque a engenharia social e a higiene das palavras-passe são habitualmente tratadas como problemas distintos, quando na verdade são duas fases do mesmo ataque.

Um gestor de palavras-passe empresarial como o Proton Pass for Business torna essa contenção realista de manter em escala, em vez de depender de colaboradores individuais se lembrarem de seguir a política.

Quando as credenciais são armazenadas, geradas e partilhadas em segurança através de um cofre de palavras-passe gerido, em vez da memória, de navegadores ou de folhas de cálculo, uma única tentativa bem-sucedida de engenharia social deixa de ser uma via de acesso a todos os sistemas a que um colaborador acede.

O Proton Pass for Business torna a gestão de credenciais fácil para todos os membros da equipa, não apenas para a sua equipa de TI:

Reduza a exposição da sua equipa à engenharia social com um gestor de palavras-passe empresarial seguro.