O que faz o engenheiro social?

Engenharia social é termo utilizado para descrever um método de ataque, onde alguém faz uso da persuasão, muitas vezes abusando da ingenuidade ou confiança do usuário, para obter informações que podem ser utilizadas para ter acesso não autorizado a computadores ou informações. 

Os dois primeiros exemplos apresentam casos onde foram utilizadas mensagens de e-mail. O último exemplo apresenta um ataque realizado por telefone.

Exemplo 1: você recebe uma mensagem e-mail, onde o remetente é o gerente ou alguém em nome do departamento de suporte do seu banco. Na mensagem ele diz que o serviço de internet Banking está apresentando algum problema e que tal problema pode ser corrigido se você executar o aplicativo que está anexado à mensagem. A execução deste aplicativo apresenta uma tela análoga àquela que você utiliza para ter acesso a conta bancária, aguardando que você digite sua senha. Na verdade, este aplicativo está preparado para furtar sua senha de acesso a conta bancária e enviá-la para o atacante.

Exemplo 2: você recebe uma mensagem de e-mail, dizendo que seu computador está infectado por um vírus. A mensagem sugere que você instale uma ferramenta disponível em um site da internet, para eliminar o vírus de seu computador. A real função desta ferramenta não é eliminar um vírus, mas sim permitir que alguém tenha acesso ao seu computador e a todos os dados nele armazenados.

Exemplo 3: algum desconhecido liga para a sua casa e diz ser do suporte técnico do seu provedor. Nesta ligação ele diz que sua conexão com a internet está apresentando algum problema e, então, pede sua senha para corrigi-lo. Caso você entregue sua senha, este suposto técnico poderá realizar uma infinidade de atividades maliciosas, utilizando a sua conta de acesso a internet e, portanto, relacionando tais atividades ao seu nome.

Estes casos mostram ataques típicos de engenharia social, pois os discursos apresentados nos exemplos procuram induzir o usuário a realizar alguma tarefa e o sucesso do ataque depende única e exclusivamente da decisão do usuário em fornecer informações sensíveis ou executar programas.

De fato, é uma técnica de espionagem que teve um grande crescimento na utilização por cibercriminosos. Veja abaixo, o que é Engenharia Social e quais são os motivos e formas de utilização por bandidos para executar fraudes e hackear computadores pessoais e empresariais. Quem se expõe em excesso na web é um alvo mais fácil para a técnica.

• O que é um hacker?
• O que é o Pegasus spyware e o que ele afeta?

O que é Engenharia Social? (Imagem: Chris Yang/Unsplash)

O que é Engenharia Social?

Em uma definição simples e direta, a engenharia social é uma técnica de manipulação que explora o erro humano para obter informações privadas, acessos ou objetos de valor. 

Nos crimes virtuais, esses golpes de “hacking humano” atraem usuários desavisados para a exposição de dados, espalhar infecções por malware ou fornecer acesso a sistemas restritos – como servidores empresariais. Os ataques podem acontecer online, pessoalmente e por meio de outras interações.

Como funciona a Engenharia Social?

Este método é mais artístico e discreto do que forçar senhas. A maioria dos ataques de engenharia social depende da comunicação real entre invasores e vítimas. O invasor tende a motivar o usuário a se comprometer, em vez de usar métodos de força bruta para violar seus dados. A vítima entrega tudo, normalmente, sem ser coagida ou ameaçada – apesar de não ser uma regra.

O método é discreto e eficaz (Imagem: Towfiqu Barbhuiya/Unsplash)

Ciclo operacional

O ciclo de ataque oferece aos criminosos um processo confiável para enganar a vítima. Podemos definir as etapas para o ataque serem:

1. Preparação: reunindo informações básicas sobre o alvo ou um grupo maior do qual faça parte;
2. Infiltração: estabelecendo um relacionamento ou iniciando uma interação, começando pela construção de confiança;
3. Exploração: atacar a vítima assim que a confiança e uma fraqueza forem estabelecidas para avançar o processo;
4. Dispersão: sumiço após o alvo realizar a ação desejada.

Esse processo pode ocorrer em um único e-mail ou ao longo de meses, com uma série de bate-papos nas redes sociais. No fim das contas, termina com uma ação que a vítima executa, como compartilhar informações ou se expor a malware.

Quão perigoso é?

É importante ter cuidado com a engenharia social como meio de confusão e criação de caos. Muitos funcionários e consumidores não percebem que apenas algumas informações podem dar aos hackers acesso a várias redes e contas. 

Os ataques giram em torno do uso de persuasão e confiança por parte do criminoso. Quando exposto a essas táticas, é mais provável que a vítima execute ações que, de outra forma, não faria.

Comportamentos para identificar Engenharia Social

Alguns ataques por meio de Engenharia Social podem ser identificados com comportamentos comuns durante o ciclo operacional.

Emoções intensas

A manipulação emocional dá vantagem em qualquer interação. É muito mais provável que tome atitudes irracionais ou arriscadas quando está em um estado emocional intensificado. As seguintes emoções são usadas em igual medida para convencê-lo: medo, excitação, curiosidade, raiva, culpa, tristeza.

Forçar sentimentos extremos, como raiva ou ganância são comuns (Imagem: Usman Yousaf/Unsplash)

Falsa urgência

Oportunidades ou solicitações urgentes fazem parte do arsenal de um criminoso. Pode-se estar motivado a se comprometer com o pretexto de um problema grave que precisa de atenção imediata. 

Outra forma é ser exposto a um prêmio ou recompensa que pode desaparecer se na falta de cisão rápida. Qualquer uma das abordagens anula a capacidade de pensamento crítico.

Confiança

A credibilidade é inestimável e essencial para um ataque de engenharia social. Como é baseado em mentiras, a confiança desempenha um papel importante. É garantido que foram feitas pesquisas suficientes sobre a vítima. O objetivo é criar uma narrativa que seja fácil de acreditar ou improvável de despertar suspeitas. 

Exceções

Existem algumas exceções às características descritas acima. Em alguns casos, os invasores usam métodos mais simples de engenharia social para obter acesso à rede ou ao computador. 

Por exemplo, frequentar a praça de alimentação pública de um grande prédio de escritórios e “olhar sob os ombros” de usuários que trabalham em seus tablets ou laptops. Pode-se resultar em um grande número de senhas e nomes de usuário, tudo sem enviar um e-mail ou escrever uma linha de código de vírus. 

Phishing é mais eficiente para ataques

Os atacantes de phishing fingem ser uma instituição ou indivíduo confiável na tentativa de persuadir a exposição de dados pessoais e outros objetos de valor. São duas maneiras principais de executar o ataque.

Spam phishing

Spam phishing ou ataque em massa, é um modelo generalizado e dirigido a muitos usuários. Esses ataques não são personalizados e tentam pegar qualquer pessoa desavisada.

Spear phishing

São personalizados, visam pessoas-chave – os famosos VIP. Usam informações específicas para atingir usuários identificados. Os ataques de spear miram especificamente em alvos de alto valor, como celebridades, alta administração e altos funcionários do governo.

Fique atento à Engenharia Social e não seja mais uma vítima em potencial.

Com informação: Norton, Cisco, Kaspersky.

Qual é a função da engenharia social?

Quais os exemplos de engenharia social?

Quais são os tipos de ataques de engenharia social?

Quais aspectos envolvem a engenharia social?