Em que se baseia
O quarto ponto explica por que razão estas chamadas parecem reais. Os detalhes da história vêm de fontes públicas: o site da empresa, as redes sociais dos funcionários e os anúncios de emprego. É possível reunir um dossiê sobre uma organização numa só noite.
Um cenário clássico é uma chamada para o suporte técnico, feita por alguém que diz ser um funcionário que perdeu o acesso. A insistência e o conhecimento de alguns detalhes internos parecem muitas vezes mais convincentes do que qualquer procedimento de verificação.
Porque é que a tecnologia não te salva
Qualquer medida de segurança parte do princípio de que uma pessoa legítima consegue entrar. A engenharia social explora precisamente esse caminho: não arromba a fechadura, mas obtém a chave de quem a tem.
Eis o problema: reforçar as medidas técnicas ajuda muito pouco e, por vezes, piora as coisas. Quanto mais complexos forem os procedimentos, mais frequentemente os funcionários procuram formas de os contornar, e são essas alternativas que se tornam o ponto de entrada.
- Verifica através de outro canal: liga de volta para um número conhecido, não para o número fornecido.
- Considera a urgência um sinal de alerta: os procedimentos verdadeiros suportam uma pausa.
- Nunca partilhes códigos de mensagens nem a sua palavra-passe completa com nenhum serviço.
- Considera um pedido para manter a conversa em segredo dos colegas quase sempre um sinal de ataque.
- Garante que comunicar uma chamada suspeita é seguro e não dá origem a culpas.
O último ponto é mais importante do que as medidas técnicas. Se um funcionário tiver medo de ser castigado por um erro, ficará calado, e a organização poderá só descobrir o ataque semanas depois. Uma cultura de comunicação de incidentes protege melhor do que as instruções.
Também convém lembrar que o alvo nem sempre é uma palavra-passe. Muitas vezes, o pedido é algo pequeno: confirmar a função de uma colega, indicar uma extensão interna ou reencaminhar um ficheiro. São esses pequenos detalhes que podem ser usados para construir a próxima história, já convincente.
O que é que a engenharia social pirateia?
Que proteção funciona contra qualquer história?
Fontes
- A engenharia social usa a urgência, a autoridade, a reciprocidade e histórias plausíveis reunidas a partir de fontes públicas
- a verificação através de um canal independente é considerada a principal medida de proteção
A seguir na série «Cibercrimes»
2 artigos na íntegra no site, mais 3 na app
