A isca finge ser a perda de outra pessoa
Um pendrive na entrada do escritório, no estacionamento ou no elevador não é lixo, mas faz parte de um roteiro. Ele é colocado onde alguém certamente vai pegá-lo e recebe uma identificação que lhe dá uma dona: um nome, "Férias 2026", um número de sala. A partir daí, a pessoa faz tudo sozinha, e esse é o objetivo da armadilha.
O que funciona não é a falta de inteligência, mas o senso de obrigação. Um objeto encontrado coloca você instantaneamente no papel de quem pode ajudar. Para devolver o pendrive, é preciso descobrir de quem são os arquivos, e conectá-lo começa a parecer um gesto correto, não um risco. Por isso, uma etiqueta com nome funciona melhor do que um dispositivo sem identificação.
Arquivos foram abertos em quase metade dos pendrives deixados de propósito
O segundo gatilho é a curiosidade, estimulada pela identificação. "Confidencial", "bônus", "fotos da festa da empresa": a promessa de um segredo alheio que você pode ver sem testemunhas. Por dentro, nenhum desses motivos parece um erro: você está sendo gentil ou é simplesmente uma pessoa curiosa.
Por que até pessoas cuidadosas caem nessa
O golpista não precisa de uma pessoa ingênua, mas de uma pessoa ocupada. A armadilha aproveita o momento em que você resolve várias coisas ao mesmo tempo e quer encerrar uma questão pequena em 30 segundos. Sua cautela não desaparece: você simplesmente não toma uma decisão separada sobre o que encontrou.
Só pessoas descuidadas caem nessa. Eu certamente não cairia.
Nesse estudo, pessoas comuns encontraram os pendrives em um campus universitário e, na maioria das vezes, explicaram que queriam encontrar a dona. A armadilha explora a disposição para ajudar e a pressa, não a falta de inteligência.
Depois entram em cena os mesmos gatilhos de uma ligação da "equipe de segurança": urgência, um papel pronto ("você vai ajudar, não vai?"), a autoridade de outra pessoa e um pequeno favor que dá vontade de retribuir. O pendrive é a versão silenciosa dessa mesma conversa.
Como perceber os sinais
O sinal é amplo e bastante confiável: estão pressionando você a tomar uma decisão rápida e por conta própria. Um pedido verdadeiro pode esperar uma pausa e uma verificação por outro canal: uma ligação para o número no site oficial, uma pergunta a uma colega, um e-mail para um endereço de trabalho. A pressão dura até que uma segunda pessoa apareça.
- Levar o item a alguém responsável, como a recepção ou a administradora de sistemas
- Verificar um pedido urgente por um canal que você encontrou, não pelos contatos da mensagem
- Dar uma pausa para você: a armadilha depende dos primeiros segundos
- Conectar o dispositivo encontrado ao seu computador pessoal ou de trabalho para "descobrir a dona"
- Abrir um arquivo com uma identificação que promete um segredo alheio
- Supor que a cautela, sozinha, vai proteger você
Termine a leitura no app Miqo
Falta 1 minuto e, no final, vem um quiz. Você encontra em “Psicologia → Engenharia social”
Aponte a câmera do celular para cá para abrir a App Store ou o Google Play.
Fontes
- Tischer et al., "Users Really Do Plug In USB Drives They Find", IEEE Symposium on Security and Privacy, 2016: dos 297 pendrives espalhados por um campus, 98% foram levados, e arquivos foram abertos em cerca de 45%