Com sistemas cada vez mais atualizados e protegidos, os ataques de hackers passam a ter como alvo principal o próprio usuário que, refém de manipulação psicológica, acaba informando dados pessoais. Isso é engenharia social.
Quer ficar por dentro desse tema tão atual e importante e, de quebra, se proteger contra golpes virtuais? Então, amigo leitor, este guia é para você! Acompanhe o conteúdo exclusivo que preparamos.
Para começar, vamos apresentar o conceito de engenharia social.
O que é engenharia social?
Engenharia social é a manipulação psicológica de pessoas — por parte de hackers ou gente mal-intencionada — para obter delas dados pessoais e sensíveis, como senhas e informações bancárias, e praticar, então, crimes cibernéticos.
Os que merecem destaque aqui neste guia são:
- Fraudes financeiras;
- Chantagem contra uma vítima;
- Sabotagem de uma empresa;
- Sequestro de dados pessoais ou corporativos.
Na segurança digital, a engenharia social segue esta lógica: após uma vasta pesquisa sobre o usuário-alvo, o cibercriminoso parte para a tentativa de persuadi-lo e manipulá-lo.
A diferença entre engenharia social e um ataque virtual comum é que este geralmente explora, nas brechas dos sistemas, vulnerabilidades que facilitam o roubo de dados e outros crimes.
A engenharia social, por sua vez, tem como foco iludir as vítimas através de mentiras, como a utilização de falsa identidade, por exemplo, para que esses usuários caiam em seus golpes.
Para não ficar nenhuma dúvida sobre o conceito de engenharia social, vamos a recorrer a um exemplo?
Imagine que um estrangeiro esteja caminhando por Copacabana e, de repente, um pedestre o aborda, puxa papo com ele e, percebendo que o turista está concentrado na conversa, rouba sua carteira e sai correndo.
A engenharia social funciona de maneira parecida. Ela equivale a um furto virtual, em que o criminoso, em vez de usar da força física e da ameaça com arma, utiliza a persuasão para roubar dados valiosos do usuário.
Como acontece um ataque de engenharia social na prática?
É importante destacar que a engenharia social é um tipo de ataque tão sutil quanto sagaz.
Abaixo, iremos mostrar as etapas mais comuns por meio das quais um ataque de engenharia social acontece. Fique atento a elas!
- Apuração de informações: o hacker busca identificar padrões de comportamento e processos empresariais que podem ser explorados. Agindo assim, fica mais fácil criar um elo de confiança com a vítima em potencial e, principalmente, desenvolver estratégias para explorar essa confiança;
- Desenvolvimento de uma relação com a vítima: para que o ataque de engenharia social se concretize, o hacker deve cativar a vítima e desenvolver uma relação com ela;
- Envio da “isca” à vítima: a engenharia social pode ser aplicada de várias maneiras; através de um link enviado por e-mail ou de uma transferência bancária de dinheiro, por exemplo;
- Execução: nesta última fase, o hacker recebe o dinheiro da vítima ou obtém acesso a informações de login, para instalar ransomware ou acessar dados sensíveis da vítima.
Os principais tipos de ataques de engenharia social
A esta altura, já sabemos que, na engenharia social, os cibercriminosos usam da interação humana para trapacear as vítimas.
Para que as trapaças sejam consolidadas, os hackers recorrem a estratégias on-line e off-line. Acompanhe as principais delas abaixo, caro leitor!
Phishing | Termo em inglês que significa “pescar” e, na engenharia social, é uma técnica usada para obter informações confidenciais de usuários da internet. Ex.: oferecimento de quantidade limitada de produtos com muito desconto, mas por tempo limitado. Assim, a vítima age sob pressão, devido ao caráter de urgência da falsa promoção. |
Baiting | “Baiting” pode ser traduzido como “iscas”. O cibercriminoso aproveita da vulnerabilidade humana para jogar sua isca. Ex.: deixar um pen-drive infectado com um malware ao alcance do alvo para que ele plugue no computador e o contamine com o vírus em questão. |
Quid pro quo | A tradução da expressão é “tomar uma coisa por outra”. Em troca de falsos prêmios ou “descontos” em produtos de luxo, o cibercriminoso pede informações do usuário e, assim, acaba lhe roubando. |
Ataques presenciais | Os ataques de engenharia social não acontecem só no espaço on-line. Uma pessoa pode se passar por técnico de rede ou até por um policial ou bombeiro e acessar um dispositivo da vítima, roubando-lhe dados confidenciais e acessando aplicativos de banco, por exemplo. |
Como proteger sua empresa contra ataques de engenharia social?
Para combater os golpes de engenharia social, selecionamos 7 medidas de segurança que diminuem suas chances de cair em um golpe de engenharia social.
Use filtros anti-spam
Usar filtros de spam nos e-mails é uma ótima atitude para prevenir contra os riscos e os prejuízos de um ataque de engenharia social.
Esse recurso possibilita analisar a fundo os e-mails, identificando padrões suspeitos e incomuns.
Podemos concluir que a utilização do filtro anti-spam é uma tática muito inteligente para deter mensagens fraudulentas.
Mantenha os dispositivos atualizados e não clique em links suspeitos
Vira e mexe, seja no computador ou em dispositivos móveis, recebemos solicitações de atualização de softwares.
Atualizar esses sistemas, inclusive com filtros de acesso, é importantíssimo, pois eles têm, como uma das finalidades, o aumento da segurança dos dados, que minimizam a vulnerabilidade dessas informações.
Manter a segurança dos dispositivos para evitar ataques de engenharia social envolve também usar antivírus corporativos robustos, sistemas anti-phishing, firewall e gerenciamento remoto de dispositivos.
O uso de links enganadores é uma das maneiras de praticar a engenharia social. Por meio deles, é possível instalar malwares nos dispositivos das vítimas, obtendo dados delas.
Então, o alerta que fazemos é: não clique, de forma nenhuma, em links suspeitos. Ok, mas como fazer isso?
Um dos caminhos é conferir quem está enviando o link. O remetente em questão é de fato alguém de sua confiança? A instituição por trás dessa pessoa costuma se comunicar pelo meio utilizado?
Use senhas fortes
Usar senhas fortes — este gesto tão simples — é mais uma maneira de se prevenir contra ataques de engenharia social.
As recomendações que fazemos para a criação de uma boa senha são:
- Usar letras maiúsculas e minúsculas;
- Acrescentar números e caracteres especiais (ex.: &, #, @ etc.).
Além disso, vale a pena ter uma senha específica para cada dispositivo, pois isso dificulta a ação de golpistas que aplicam a engenharia social.
Para completar, é importante que você troque com frequências as senhas que utiliza.
Utilize a autenticação multifator
Uma camada extra de segurança é sempre bem-vinda para evitar exposições a golpes de engenharia social.
A autenticação multifator representa, como a própria nomenclatura sugere, formas extras de autenticação, além da senha, para acessar determinada conta.
Dessa forma, caso um hacker tente fazer login em uma conta da vítima em potencial, ele enfrentará mais barreiras para conseguir esse acesso graças às camadas de proteção.
Quando a autenticação multifator é ativada, um aplicativo gera um código, que é enviado para o smartphone do usuário, geralmente por WhatsApp ou SMS.
Treine a sua equipe
A engenharia social, como pudemos perceber, não recorre apenas a falcatruas tecnológicas para atacar as vítimas.
O ponto forte da engenharia social é iludir o emocional e o racional dos usuários. Por isso, times de empresas precisam ser treinados para lidar com possíveis ataques desse tipo.
Se você quer garantir a segurança dos dados do seu negócio, é imprescindível oferecer capacitação às equipes de forma que elas entendam o que é a engenharia social e, principalmente, como não se tornarem vulneráveis a ela.
Nesse sentido, só o fato de saber da existência desse tipo de golpe já é um bom começo. Assim, a equipe fica alerta para os riscos da prática da engenharia social.
Já falamos aqui de ações importantes referentes à política de segurança, como uso de senhas fortes e autenticação multifator, e uma prática que podemos acrescentar seria instruir a equipe sobre não informar dados sensíveis por e-mail ou telefone, por exemplo.
Os treinamentos feitos com a equipe devem culminar na consolidação de uma cultura de segurança da informação na empresa.
Cumpra uma agenda de backups frequentes
O backup é uma cópia de segurança dos dados corporativos, os quais devem ser restaurados se o sistema original for comprometido.
O chamado “Backup 3-2-1″ é uma ótima alternativa para proteger a empresa de golpes de engenharia social. Ele funciona da seguinte maneira:
- Realiza três backups;
- Os backups ficam armazenados em dois destinos diferentes;
- Há ao menos um backup mantido fisicamente fora da empresa.
Seguindo essas regras, é possível preservar os dados da empresa mesmo diante de grandes desastres, como: ataque de ransomware, roubo de equipamentos, enchentes, incêndios, dentre outros.
Tenha atenção redobrada aos sinais de ataques de engenharia social
Às vezes, é difícil perceber que se está diante de um possível ataque de engenharia social, porque ele se confunde com situações corriqueiras.
Um anexo ou uma ligação inesperada podem representar ataques de phishing, que geralmente dispõem justamente de um link ou anexo para um site malicioso.
O próprio e-mail que contém esse link ou anexo é elaborado com gatilhos mentais, como urgência, escassez, medo e ameaça. Assim, o usuário fica tentado a clicar no link ou abrir o anexo em questão.
Para se proteger desse tipo de ataque, faça as seguintes reflexões: “essa mensagem parece legítima?”; “tem erros de português na comunicação?”.
Um pedido inusitado e urgente também é mais uma maneira de os cibercriminosos praticarem a engenharia social.
Se alguma mensagem contendo um pedido parecer fora do comum, ligue à pessoa que teoricamente lhe enviou essa mensagem e verifique a autenticidade desse contato.
Promessas mirabolantes? Desconfie delas, caro leitor! Pense duas vezes caso receba uma oferta de prêmios ou dinheiro. Nunca saia por aí informando dados pessoais ou empresariais, pois pode ser uma tentativa de aplicar a engenharia social.
Outra forma de os hackers praticarem a engenharia social é criando falsos perfis em redes sociais e fazendo contato com potenciais alvos para praticarem seus crimes de engenharia social.
O alerta que fazemos aqui é o seguinte: se você receber uma ligação por uma rede social, verifique o perfil do requerente, pois pode se tratar de uma pessoa mal-intencionada.
Conheça estes casos reais de ataques de engenharia social
Os ataques de engenharia social não poupam pessoas nem empresas. Prova disso são os que aconteceram com marcas famosas mundialmente. Acompanhe as próximas linhas para ficar por dentro dos principais deles.
Toyota
O ano era 2019. A Toyota Boshoku Corporation, fabricante japonês de peças automotivas, foi vítima de um ataque de engenharia social.
Por meio de suas habilidades de manipulação psicológica e persuasão, os cibercriminosos convenceram um executivo do departamento financeiro da empresa a alterar seu cadastro na conta bancária em uma transferência eletrônica de fundos.
O prejuízo total foi de USD 37 milhões.
Sony Pictures
Em 2014, a Sony Pictures foi vítima de um ciberataque de engenharia social. Depois de uma longa investigação, o FBI chegou à conclusão de que o crime foi articulado e executado pelo governo da Coreia do Norte.
Por meio de aplicação do phishing, milhares de arquivos, inclusive acordos comerciais, documentos financeiros e dados de colaboradores foram roubados.
A isca para estimular a ação dos colaboradores foi o envio de e-mails falsos da Apple.
Target
Em 2013, a segunda maior varejista de lojas de departamento dos Estados Unidos, a Target, também foi vítima de um ataque de engenharia social.
Os hackers conseguiram ter acesso a cerca de 40 milhões de informações referentes a pagamentos de clientes.
Através de um e-mail de phishing, os cibercriminosos instalaram um malware em uma empresa parceira da Target.
Dessa forma, conseguiram ter acesso à Target e instalaram um novo malware no sistema da varejista para copiar dados de cartões de crédito e débito dos clientes.
Esses exemplos reforçam a necessidade de as empresas terem cuidado redobrado com outras empresas parceiras que têm acesso à sua rede.
E assim vamos finalizando mais um guia, caro leitor. Agradecemos pela sua companhia até aqui!
Vimos que a engenharia social exige, dentre outras questões, uma cibersegurança de qualidade. Nesse ponto, a AM3 Soluções pode ser sua parceira. Conheça nossos serviços e solicite um orçamento. Até a próxima!