Como hackeiam uma pessoa, não um computador

Contornar a segurança diretamente exige tempo, equipamento e conhecimentos raros. Contorná-la através de uma pessoa exige um telefone e uma história credível. A técnica chama-se engenharia social e é mais antiga do que a internet: os mesmos esquemas funcionavam quando as credenciais de acesso eram guardadas em arquivos de papel, e não numa aplicação.

Isto resulta não porque as pessoas do outro lado sejam estúpidas. O pedido ativa reflexos profissionais: ajudar, não atrasar as coisas, não parecer uma pessoa complicada perante alguém com pressa. Dizer que não significa um pequeno conflito naquele momento; dizer que sim demora um segundo. O ponto fraco aqui não é o teu carácter, mas a situação em que colocam a pessoa.

Kevin Mitnick, o hacker mais famoso dos anos 90, descreveu mais tarde a mesma coisa: conseguia acesso mais vezes através de uma conversa do que através de código. Desde então, mudou o cenário, não o mecanismo: em vez de uma chamada para a receção, há um e-mail do «suporte» e uma mensagem «do teu banco».

A preparação costuma demorar mais do que a própria conversa. Um nome, um cargo, quem responde a quem, como a empresa chama aos seus sistemas internos - tudo isto é recolhido antecipadamente em fontes públicas: redes sociais, assinaturas de e-mail, anúncios de emprego. Depois, a tentativa segue um padrão conhecido, e os passos aparecem quase sempre pela mesma ordem.

O passo essencial é o último. Quase nunca te pedem diretamente a palavra-passe: pedem-te que faças algo que, por si só, parece inofensivo. Um código recebido numa mensagem, um botão «sou eu» numa aplicação, uma página «verifica o teu início de sessão». Aceitas uma coisa pequena, mas entregas acesso a tudo.

Todas as versões têm um sinal em comum: apressam-te e, ao mesmo tempo, afastam-te do teu canal habitual - para outro serviço de mensagens, outra página ou uma conversa naquele preciso momento. A dúvida surge um minuto depois de desligares, e isso é normal: todo o esquema dependia da rapidez. O suporte verdadeiro aguenta tranquilamente uma pausa e que voltes a ligar.