Engenharia Social como vetor de ataque

amos começar pelo o que é a Engenharia Social. Se trata de uma manipulação psicológica. É uma forma de manipular um usuário para que ele forneça informações privilegiadas ao "hacker". Eles se utilizam de técnicas para úteis para explorar a falta de conhecimento do ser humano.

O hacker que se utiliza da Engenharia Social para hackear alguma organização, se prevalece do fato de que as suas ações não irão ser descobertas, por isso eles "os invasores" tem dois principais objetivos que são: sabotagem e roubo.

A Engenharia Social funciona da seguinte forma:

1. O hacker ele vai se preparar para reunir informações sobre o usuário que ele deseja aplicar a engenharia social;
2. Vai se infiltrar na sua vida para estabelecer uma relação de confiança e conquistar a pessoa para encontrar uma vulnerabilidade dela que possa ser explorada;
3. Depois de ter estabelecido uma certa conexão vem a exploração. Onde a vítima sem ao menos saber, vai fornecer informações privilegiadas ao hacker para que ele avance com o ataque;
4. Depois de ter feito o ataque, ele vai ser desvincular da vítima e cortar a conexão feita, para que não possa ter ligação com o mesmo e dai dificultar o rastreio em caso de uma investigação. Pois, quem se utiliza dessa técnica não deseja usá-la para algum bem.

E como isso pode acontecer? pode acontecer de diversas formas, entre eles: conversas por redes sociais, troca de e-mails, pessoalmente (como aconteceu no caso da C&M do BC).

O hacker utiliza de algumas características do próximo para usar no ataque como: medo, reciprocidade, compromisso, prova social, autoridade, simpatia, escassez, unidade.

Temos que saber também quais são os principais tipos de ataques.

1. Phishing: e‑mails fraudulentos com links falsos;
2. Spear phishing: phishing altamente personalizado;
3. Vishing: via chamadas telefônicas ou VoIP;
4. Smishing: phishing por SMS;
5. Pretexto: fingir ser alguém confiável (suporte, polícia…);
6. Baiting: isca física (USB infectado) ou digital;
7. Quid pro quo/Técnico falso: oferecendo ajuda em troca de acesso;
8. Scareware: mensagens alarmistas induzem ações precipitadas;
9. Tailgating/Piggybacking: entrar fisicamente em áreas restritas sem permissão;
10. Watering hole: infectar sites visitados pela vítima.

Portanto, investir na consciência humana é tão crucial quanto investir em ferramentas cibernéticas.

Impactos:

1. 43% dos ciberataques têm origem em e‑mails fraudulentos;
2. Crescimento de ataques facilitados por IA (deepfakes, clonagem de voz), como o caso de um diretor de banco que perdeu US $35 milhões;
3. No Brasil, ataques envolvendo engenharia social impactaram organizações grandes, como o caso da C&M Software (prejuízo de até R$ 3 bi - de acordo com algumas pesquisas realizadas na internet).

E como devemos nos proteger?

1. Desconfie de links e anexos inesperados, especialmente com urgência ou autoridade;
2. Verifique remetente e identidade por métodos alternativos (ligar para a empresa, videochamada);
3. Reduza exposição pessoal online: evite divulgar dados em redes sociais;
4. Educação e treinamentos: simulações reais geram conscientização efetiva;
5. Medidas técnicas: filtros de spam, listas de sites maliciosos e autenticação multifator (MFA).