O que é engenharia social?
Engenharia social ocorre quando um cibercriminoso obtém acesso, informações ou recursos que não deveria ter, manipulando pessoas em vez de tecnologia. Embora o senhor ou a senhora possa pensar que a forma mais comum de os hackers invadirem um sistema é romper um firewall ou usar um sofisticado algoritmo de quebra de senhas, na maioria das vezes as violações ocorrem como resultado de engenharia social. Em vez de atacar barreiras tecnológicas, os hackers “engendram” uma maneira de manipular as pessoas da sua organização, partindo do pressuposto de que elas são o maior ponto fraco de segurança da empresa. Os agentes mal-intencionados fabricam uma situação “social” (geralmente um problema criado pelo próprio hacker!) — daí o nome engenharia social. Em poucas palavras, o engenheiro social inventa uma história muito convincente para induzi-lo a fazer algo por ele ou a conceder-lhe acesso a informações privadas.
Como funciona?
Os cibercriminosos usam diversas técnicas psicológicas para conquistar e, depois, trair a sua confiança. Veja algumas delas.Priming
O priming ocorre quando o engenheiro social carrega emocionalmente a conversa para quebrar o gelo e parecer mais legítimo. Isso torna as vítimas mais propensas a responder às suas perguntas. Talvez ele comece a conversa contando como a manhã dele tem sido difícil ou reproduza um arquivo de áudio de crianças correndo ao fundo e, em seguida, finja pedir que fiquem quietas porque o pai ou a mãe está ao telefone. Crianças, não é mesmo?Framing
Você se lembra dos infomerciais (de quando assistíamos a um anúncio de 20 minutos do OxiClean só porque gostávamos do Billy Mays)? Eles nunca diziam diretamente o preço do produto. Em vez disso, diziam “Apenas 12.99!”. Isso é framing: a informação é apresentada de forma a manipular o modo como você a receberá. 13 parecem uma pechincha. Os cibercriminosos fazem o mesmo: apresentam informações ou solicitações de maneiras engenhosas, pensadas para moldar a sua reação. Da próxima vez que receber um e-mail de um desconhecido que não tem como alimentar a família a menos que você lhe envie um cartão-presente do iTunes, pergunte-se: “se ele tivesse simplesmente me pedido isso de forma direta, eu teria dito sim?”Aversão à perda
Se, no auge da onda de Tidying Up with Marie Kondo, você começou a se desfazer de objetos e acabou sem querer largar praticamente nada, saiba que não está sozinho. Os seres humanos têm uma aversão extraordinária a abrir mão daquilo que possuem. Os engenheiros sociais usam isso a seu favor, acenando com a perda de algo — frequentemente dinheiro — diante da potencial vítima, o que obscurece o julgamento dela e a torna mais disposta a cooperar ou a compartilhar informações pessoais.Viés de autoridade
Quanto tempo você levou para perceber que os seus pais nem sempre têm razão? As pessoas tendem a confiar de forma reflexa nas opiniões de quem tem autoridade sobre elas; também são muito mais propensas a agir contra o próprio interesse quando uma figura de autoridade o solicita. Os engenheiros sociais costumam se passar por uma figura de autoridade, como um executivo, para desencorajar as potenciais vítimas de examinar com atenção os seus pedidos.Viés de familiaridade
Você está em uma lanchonete pedindo um refrigerante e a garçonete pergunta se prefere Coca-Cola ou uma Dacey Fizz. Qual você escolhe? A Coca-Cola, certo? Diante de uma escolha, as pessoas têm uma probabilidade significativamente maior de escolher (e confiar n)a opção mais familiar. Os engenheiros sociais podem usar isso a seu favor apresentando vários cursos de ação e contando que você escolha o mais familiar — aquele que eles querem que você escolha.
Quais são alguns exemplos?
Embora o senhor ou a senhora possa pensar que a forma mais comum de os hackers invadirem um sistema é romper um firewall ou usar um sofisticado algoritmo de quebra de senhas, na maioria das vezes as violações ocorrem como resultado de engenharia social.Phishing
O phishing é, de longe, a forma mais comum de engenharia social, e o tipo mais popular são os golpes por e-mail. Esses e-mails o induzem a compartilhar informações privadas, clicar em um link ou abrir um anexo que infecta o seu dispositivo com malware. Falaremos mais sobre phishing no mês que vem. Smishing e vishing são versões do phishing que ocorrem por mensagem de texto e por chamada de voz, respectivamente. Os golpistas podem fazer o identificador de chamadas exibir o nome que escolherem, de modo que podem se passar por alguém em quem você confia e dizer que mudaram de número ou que precisam que você faça algo por eles. EXEMPLO: Você recebe uma mensagem de voz “urgente” de Janet, de outra filial, dizendo que o banco de dados dela está fora do ar e que ela precisa com urgência de informações da conta de determinado cliente. Ao ligar de volta para “Janet”, você compartilha informações pessoais com o phisher, que usa esses dados para comprometer a conta bancária do referido cliente.Violações físicas
Os engenheiros sociais às vezes se passam por funcionários ou por rostos amigáveis, como entregadores, para entrar em um edifício e, quando ficam sem supervisão lá dentro, comprometer computadores ou vasculhar documentos privados. EXEMPLO: Alguém vestindo um uniforme de carteiro vem atrás de você equilibrando uma pilha de pacotes. Você, gentilmente, segura a porta aberta para essa pessoa ao entrar no escritório, mas o carteiro era, na verdade, um cibercriminoso disfarçado. O que há nos pacotes? Dispositivos de invasão, que ele conecta aos computadores e servidores da empresa para comprometer a sua rede.Conhecimento é poder!
Os engenheiros sociais são mestres da manipulação, mas não praticam controle mental. É claro que os hackers tentarão enganá-lo, mas você tem o poder de proteger melhor a sua organização. Ao aprender mais sobre as técnicas de engenharia social, você se equipa com o conhecimento necessário para identificar agentes mal-intencionados. Orgulhe-se do seu impacto e compartilhe o que aprendeu com os seus colegas de trabalho (e com as pessoas que você ama) para que todos permaneçam seguros.