O isco faz-se passar por algo perdido por outra pessoa
Uma pen USB à entrada de um escritório, num parque de estacionamento ou num elevador não é lixo: é um cenário preparado. É deixada onde alguém vai certamente apanhá-la e identificada de forma a ganhar um dono: um nome, «Férias 2026», um número de gabinete. A partir daí, a pessoa faz tudo sozinha - e esse é o objetivo.
O que funciona não é a estupidez, mas o sentido de obrigação. Um objeto encontrado coloca-te imediatamente no papel de alguém que pode ajudar. Para devolveres a pen, tens de ver de quem são os ficheiros - e ligá-la ao computador começa a parecer um gesto correto, não um risco. É por isso que uma etiqueta com um nome funciona melhor do que uma pen sem identificação.
Foram abertos ficheiros em quase metade das pens USB deixadas de propósito
O segundo mecanismo é a curiosidade, alimentada pela identificação. «Confidencial», «prémios», «fotografias da festa da empresa»: uma promessa de um segredo alheio que podes ver sem testemunhas. Por dentro, nenhum destes motivos parece um erro: ou estás a ser prestável, ou simplesmente tens curiosidade.
Porque até as pessoas cuidadosas caem nisto
O burlão não precisa de uma pessoa ingénua, mas de uma pessoa ocupada. A técnica apanha-te no momento em que estás a tratar de várias coisas ao mesmo tempo e queres resolver uma questão pequena em 30 segundos. A tua cautela não desaparece: simplesmente, aquilo que encontraste não recebe uma decisão própria.
Só as pessoas descuidadas caem nisto. Eu nunca cairia.
Nesse estudo, foram pessoas comuns, num campus universitário, que apanharam as pens USB e, na maioria das vezes, disseram que queriam encontrar o dono. A técnica explora a vontade de ajudar e a pressa, não a estupidez.
Depois entram em ação os mesmos mecanismos de uma chamada do «serviço de segurança»: urgência, um papel já definido («vais ajudar, não vais?»), a autoridade de outra pessoa e um pequeno favor que te apetece retribuir. Uma pen USB é a versão silenciosa dessa mesma conversa.
Como reconhecer os sinais
O sinal é geral e bastante fiável: estão a pressionar-te para tomares uma decisão rapidamente e sem companhia. Um pedido verdadeiro suporta uma pausa e uma verificação através de um segundo canal: uma chamada para o número no site oficial, uma pergunta a uma colega, um e-mail para um endereço de trabalho. A pressão só dura até aparecer uma segunda pessoa.
- Levar o objeto encontrado a alguém responsável, como a receção ou a administradora de sistemas
- Verificar um pedido urgente através de um canal que tenhas encontrado sem companhia, e não dos contactos na mensagem
- Dar-te tempo para parar: a técnica depende dos primeiros segundos
- Ligar o dispositivo encontrado ao teu computador pessoal ou de trabalho para «descobrir o dono»
- Abrir um ficheiro identificado como prometendo um segredo alheio
- Partir do princípio de que a cautela, por si só, te protege
Termina a leitura na app Miqo
Falta 1 minuto e, no fim, há um quiz. Encontra-o em «Psicologia → Engenharia social»
Aponta a câmara do telemóvel para aqui para abrir a App Store ou o Google Play.
Fontes
- Tischer et al., «Users Really Do Plug In USB Drives They Find», IEEE Symposium on Security and Privacy, 2016: das 297 pens espalhadas pelo campus, 98% foram levadas, e foram abertos ficheiros em cerca de 45%