Não se vende uma mentira, mas um papel
Um e-mail de phishing aposta na quantidade: é enviado para milhares de pessoas, e alguém vai clicar. O pretexting funciona de outro jeito: criam uma história sob medida para você. O nome do seu departamento, o banco onde você realmente tem conta, o pedido que você realmente está esperando. Nada disso é informação secreta: está nas redes sociais, em vazamentos de dados ou na assinatura do seu próprio e-mail.
A função dos detalhes não é provar nada. Eles eliminam a pergunta: "mas quem é essa pessoa?" Enquanto você confere um detalhe e ele bate, deixa de conferir os outros - seu cérebro completa o papel inteiro. Um pequeno detalhe que confere funciona como garantia de toda a história.
A história. Preparam com antecedência um papel e um motivo: verificar um acesso, fazer uma entrega, corrigir um erro nos documentos. O motivo explica por que ligam justamente para você e justamente agora.
Uma pequena verdade. Nos primeiros segundos, mencionam algo que realmente sabem sobre você. Não é um pedido, mas um crédito de confiança.
Urgência. Surge uma janela: "a solicitação está pendente há dez minutos". Não sobra tempo para verificar por escolha do roteiro, não por acaso.
Isolamento. Pedem que você não desligue, não conte a ninguém ou passe para um aplicativo de mensagens. Qualquer terceira pessoa pode desmontar o roteiro.
Um pequeno pedido. Primeiro, pedem uma coisa simples - confirmar, ditar ou clicar. Depois de concordar uma vez, fica mais difícil recusar na segunda.
Como isso aparece na conversa
A conversa quase sempre segue em uma só direção: a outra pessoa faz perguntas, e você responde. Ela verifica você, embora tenha ligado para você. Veja um trecho típico - não preste atenção apenas às palavras, mas à mudança de papel ao longo da conversa.
Aqui é da segurança. Vejo uma tentativa de entrar na sua conta de outra cidade.
Eu não entrei em lugar nenhum.
Foi o que pensei. Ainda consigo enviar a solicitação de bloqueio, mas a janela é de dez minutos.
O que eu preciso fazer?
Leia para mim o código da mensagem - ele vai confirmar que estou falando com a titular da conta.
Tudo bem, só um segundo.
Aqui aparecem três sinais em sequência. Você recebeu uma notícia alarmante que não pode verificar. Deram um prazo a você. E estão pedindo que prove que você é você, embora não tenha sido você quem iniciou a ligação. O código da mensagem não confirma nada para a outra pessoa: ele serve justamente para entrar na conta, e o suporte de verdade nunca pede esse código.
Repare também em quem está com pressa aqui. Numa conversa assim, a urgência é sempre de outra pessoa: ela foi trazida até você. Tire o cronômetro, e o roteiro desmorona - por isso eles o mantêm.
O roteiro não depende de ingenuidade, mas de reações normais: ajudar, não discutir e resolver logo uma questão. Por isso, ele costuma atingir pessoas ocupadas e educadas.
Por que golpistas de pretexting citam um pequeno detalhe verdadeiro sobre você?
O que ajuda se estão pressionando você e pedindo um código da mensagem?
Fontes
- Mecanismos de influência - com base nos trabalhos de Robert Cialdini sobre autoridade, escassez e consistência
- análise do pretexting - em Kevin Mitnick, "A Arte da Enganação"
- sinais de alerta - em orientações públicas de bancos e do CERT
A seguir na série “Engenharia social”
3 artigos na íntegra no site, mais 4 no app
