# data[].attributes.body
Engenharia social é uma técnica usada por criminosos virtuais para induzir usuários desavisados a enviar dados confidenciais, infectar seus computadores com malware ou abrir links para sites maliciosos.

# data[].attributes.attachment_link.readable_text
Muito se fala sobre as ameaças cibernéticas, que aproveitam de vulnerabilidades dos sistemas para invadir as redes e roubar dados de usuários. Porém, não são só falhas virtuais que podem causar problemas para a população. Erros humanos podem acontecer e comprometer informações, e é isso que a engenharia social tenta causar.

Engenharia social é uma técnica usada por criminosos virtuais para induzir usuários desavisados a enviar dados confidenciais, infectar seus computadores com malware ou abrir links para sites maliciosos.

Nos crimes virtuais, esses golpes geralmente atingem pessoas desavisadas ou sem muita experiência no mundo virtual. As vítimas podem ter desde seus dados roubados até mesmo seus computadores infectados com vírus. Além disso, os ataques podem acontecer tanto online quanto por telefone ou outros tipos de comunicação.

Tipos de engenharia social

Existem vários tipos de ataques de engenharia social, sempre tentando usar situações humanas para induzir a pessoa a algum erro. Confira os tipos principais a seguir:

Quid pro quo

Você com certeza já recebeu aquele e-mail falando que ganhou uma bolada de dinheiro, e que para receber a quantia, bastava enviar seu CPF ou algum outro dado pessoal para o remetente, não? Esse é a engenharia social chamada de Quid pro quo.

O nome é uma expressão em latim que significa "troca justa não é um roubo". É uma prática muito comum em ataques virtuais, sendo usado desde ransomware até os chamados "scareware", onde uma mensagem promete aos usuários de computador uma atualização para cuidar de um problema de segurança urgente quando, na verdade, o próprio comunicado é a ameaça.

Phishing

Exemplo de engenharia social usada no phising. (Imagem: Reprodução Correio Braziliense)

Em outras situações os criminosos tentam se passar por instituições confiáveis, copiando o layout de um e-mail corporativo. Uma rápida checagem do endereço remetente, porém, mostra que se trata de um golpe, já que e-mails de empresas sempre vem por credenciais específicas - mas um usuário desavisado pode cair no golpe.

Ainda dentro dessa categoria em que os criminosos tentam se passar por instituições conhecidas, existe o vishing, em que os contatos são feitos pelo telefone; e o smishing, em que os golpistas enviam mensagens SMS tentando fazer com que a pessoa vaze informações. É necessário prestar bastante atenção nesses casos, já que a maioria das pessoas acha que ambas as formas de comunicação usadas nesses tipos de ataque estão menos sujeitas a golpes.

Isca

A isca é um método que envolve a criação de uma armadilha, tal como um pen drive USB carregado com malware. Uma vítima encontra o dispositivo e, curioso para ver o que está no aparelho, coloca-o na sua unidade USB, o que resulta num comprometimento do sistema.

Existem casos de isca onde os criminosos só querem atrapalhar a vida das vítimas, sem se interessar pelos dados sensíveis da pessoa. Existem pen drives que, depois de alguns minutos no computador, soltam um pico de energia intenso que danifica a máquina onde ele está inserido, e eles são usados nesses tipos de golpe.

Spamming de contatos e hacking de e-mail

E-mails comprometidos em vazamento de dados podem ser sequestrados por invasores que os usam para enviar mensagens com arquivos maliciosos para toda lista de contato da conta, o chamado "s pamming de contatos". Já recebeu aquele "confira esse site incrível" do e-mail do seu irmão? Melhor desconfiar.

Em alguns casos, os criminosos podem invadir uma conta de e-mail sem que os dados de acesso dela estejam vazados, com o intuito de realizar o spamming de contatos.

Pretexto

Alguns criminosos fazem uso de pretextos, ou seja, histórias, para tentar fisgar as vítimas. Apelando para a inclinação humana de querer ajudar os outros, usuários recebem e-mails de príncipes nigerianos que perderam recentemente seu pai, e que precisam de 500 reais para poderem assumir o trono. A pessoa, comovida com a narrativa, clica no link do e-mail e acaba baixando vários vírus em seu computador.

Cultivo

Alguns casos de engenharia social podem envolver até mesmo comunicação direta entre o invasor e a possível vítima, com a construção de uma relação entre os dois enquanto na verdade o invasor só quer roubar dados. Casos até mesmo de pessoas fingindo estar apaixonadas por uma vítima podem ocorrer, onde a vulnerabilidade causada pelo período das emoções à flor da pele acaba fazendo com que a pessoa vaze informações sensíveis para a outra.

Como se proteger da engenharia social

É díficil se defender da engenharia social, já que essas fraudes são feitas para explorar impulsos e erros humanos, que não são tão simples de arrumar quanto uma atualização de software.Porém, existem várias dicas que podem ajudar você a melhor identificar e se prevenir de tentativas de golpe. Na maioria das vezes são procedimentos para checar a veracidade das informações recebidas, um processo necessário e importante.

Confira a fonte

Recebeu um e-mail de uma empresa? Cheque o remetente. Achou uma unidade USB do nada em sua mesa? Tente traçar a origem do dispositivo antes de o conectar em seu computador. Checar a fonte é um processo que não demanda muito esforço, e que pode poupar muito estresse no futuro.

Até pequenos detalhes, como erros ortográficos em uma suposta comunicação oficial de um banco, podem levantar suspeitas, então fique de olho. Em último caso, entre em contato por telefone ou outro meio legítimo com quem supostamente está pedindo algo. Suas dúvidas com certeza serão sanadas e você permanecerá seguro.

Veja o que eles sabem sobre você

Você recebeu um telefonema do banco e ele não começou com o atendente fazendo perguntas de segurança, mas sim perguntando seu nome ou algum outro dado pessoal? É bem possível que era um golpe. Até comunicações por e-mail contam com pequenos detalhes para identificar que são reais, como no caso da Nota Fiscal Gaúcha, que sempre tem uma frase de segurança escolhida pelo usuário no cabeçalho do e-mail. A falta dessas informações deve ser observada sempre.

Mantenha a calma

A engenharia social muitas vezes depende de um senso de urgência. Em um exemplo fora do mundo digital, se você recebe um telefonema falando que sua mãe foi sequestrada, sua primeira reação é ficar desesperado. Porém, se você se acalma e entra em contato com ela, o bandido perde toda a vantagem que tinha no golpe.

Os criminosos esperam que os seus alvos, tanto no mundo digital quanto no real, não pensem muito no que está acontecendo. Se você conseguir manter a calma e procurar, por exemplo. pelo contato oficial da empresa que está supostamente entrando em contato com você, você verá com facilidade como é fácil quebrar os objetivos dos criminosos.

Peça identificação

Recebeu um telefonema que de cara já está pedindo várias informações pessoais? Pergunte com quem o telefonista trabalha e qual o nome dele, ou desligue e vá entrar em contato com os números oficiais da instituição. Não aceite de cara os questionamentos, trate com cuidado os seus dados e sempre investigue o que realmente está acontecendo.

Use um bom filtro de spam

Sempre confira se seu e-mail está com um bom filtro de spam. Vários filtros usam diversos tipos de informação para determinar quais mensagens podem ser maliciosas. Eles também contam com um banco de dados que permite identificar links suspeitos ou anexos perigosos, além de possuírem uma lista de IP de remetentes suspeitos, que são automaticamente bloqueados caso cheguem na sua caixa de entrada.

Isso é real?

Dificilmente um princípe nigeriano precisará de 500 reais seus. (Imagem: Reprodução/Westein)

Quantas pessoas você já ouviu falar que receberam um e-mail do nada e viraram milionários da noite para o dia? Pois é, nenhuma. Sempre que receber alguma mensagem ou telefonema, tente identificar se aquilo tem chances reais de acontecer. O famoso e-mail do príncipe nigeriano pedindo 500 reais para assumir o trono é totalmente irreal, por exemplo. Basta, como dito acima, manter a calma e refletir um pouco.

Proteja seus dispositivos

Como dito no começo dessa sessão, se defender de ataques de engenharia social não é um processo fácil. Porém, caso você caia em um, se seus dispositivos estiverem com antivírus em dia e com as atualizações de software mais atuais, o impacto de uma invasão pode ser diminuído. Além disso, evite usar a mesma senha em todas as contas. Se as credenciais forem variadas, no caso de um vazamento ocorrer, menos informações ou acessos estarão comprometidos. Também faça uso da autenticação de dois fatores para que só a senha não seja o suficiente para acessar os serviços.

Pense na sua presença digital

Vivemos em uma época onde as pessoas compartilham muitas informações nas redes sociais, e isso pode ser perigoso. Bancos e outras instituições podem usar como uma pergunta de segurança para recuperação da conta algo como 'nome do primeiro animal de estimação". Se você compartilhou esse dado no Instagram, é possível que os criminosos saibam a resposta, e a usem para invadir suas contas.Alguns ataques de engenharia social também tentam ganhar sua confiança usando eventos recentes compartilhados em redes sociais para chamar sua atenção.

As recomendações gerais para evitar essas situações são para sempre checar a privacidade das redes sociais, deixando as postagens configuradas para "apenas amigos" e tomar cuidado com o que está sendo publicado na internet. Essa cautela deve ser expandida para várias outras situações online, como um currículo digital, onde é uma boa opção esconder endereço, número de telefone e data de nascimento, para que essas informações não sejam de acesso público.

# data[].attributes.attachment_link.title
O que é engenharia social? Veja como evitar problemas de segurança

# data[].attributes.attachment_link.description
Muito se fala sobre as ameaças cibernéticas, que aproveitam de vulnerabilidades dos sistemas para invadir as redes e roubar dados de usuários. Porém, não são só falhas virtuais que podem causar problemas para a população. Erros humanos podem acontecer e comprometer informações, e é isso que a engenharia social tenta causar.

# data[].attributes.headline
Principais golpes que usam Engenharia Social.

# data[].attributes.subject
Principais golpes que usam Engenharia Social.

# data[].attributes.body
Phishing

Pretexting

Quid Pro Quo

Sextorsão

Dumpster Diving

Shoulder Surfing

Tailgating

# data[].attributes.attachment_link.readable_text
Você sabia que é possível sofrer diversos tipos de ataque de engenharia social? Conheça as principais abordagens.

Existe algo precioso na Engenharia Social: todos da organização podem ser um alvo.

Diante disso, as empresas precisam reconhecer que sua maior vulnerabilidade não são as máquinas que são utilizadas, mas sim, os usuários.

Existe um imenso número de ataques cibernéticos – e até mesmo sem necessidade de nenhuma conexão com a internet, que podem se utilizam através da engenharia social.

Aqui neste artigo iremos discutir alguns dos principais tipos de ataque de engenharia social:

Phishing

Pretexting

Quid Pro Quo

Sextorsão

Dumpster Diving

Shoulder Surfing

Tailgating

Você já conhecia todos eles?

Também iremos discutir as melhores práticas para proteger os funcionários de sua empresa contra ataques de engenharia social.

Podemos começar?

Como funciona um Ataque de Engenharia Social na Segurança da Informação

Para entendermos como os ataques de Engenharia Social, ainda que semelhantes, possam ter impactos diferentes, é importante compreender que seu sistema funciona na base de tentativa e erro:

Coleta de informações, planejamento de ataques, aquisição das ferramentas necessárias, ataque, uso das informações coletadas.

Sendo assim, novas tentativas de ataques podem ser mais convincentes por trazerem elementos que as tornem mais verídicas, com os dados coletados na tentativa anterior.

Phishing

O Phishing é o ataque da engenharia social mais comum da atualidade, em suas dezenas de versões.

O crime consiste na obtenção de dados de uma pessoa ou organização através de técnicas de comunicação que resultam na persuasão da vítima.

No ambiente corporativo, qualquer usuário pode ser uma porta de entrada para um ataque de engenharia social por saber, ter acesso ou simplesmente saber quem sabe de algo importante.

O contato do criminoso pode ocorrer a partir de qualquer meio de comunicação, como telefone, e-mail, ou SMS – na tentativa de fazer com que pessoas caiam em um golpe.

Fácil de ser executado, o phishing também não é um ataque difícil de ser reconhecido quando observado com atenção. Por isso, a chance de sucesso da prática depende de dois fatores: O momento certo e a desatenção do usuário.

Quem é exposto a essa tática pode ser surpreendido com algum contato em um momento em que aquele contato faça sentido, por exemplo.

Vishing

O Vishing é uma das variações do Phishing, sendo também um ataque de engenharia social.

Enquanto o termo principal é utilizado para descrever a prática de maneira geral, o vishing surgiu para referir-se a ataques realizados especificamente por telefone (voz + phishing).

A prática é bem popular, sendo ainda hoje a mais comum no Brasil e seu funcionamento é exatamente o mesmo do phishing tradicional, alterando apenas o meio de contato, que é por telefone ou através de chamadas de serviços VoIP, este último a escolha favorita dos criminosos pela possibilidade de anonimato.

Em um episódio de Vishing, a vítima recebe uma chamada em que é induzida a realizar alguma ação rapidamente ou compartilhar informações pessoais ou sigilosas de uma empresa, como documentos e números de faturamento, etc.

Um dos casos mais antigos e tradicionais no país é quando os criminosos realizam uma chamada anunciando um suposto sequestro. Na ação, o falso sequestrador simula uma voz infantil em perigo.

Embora seja um golpe fácil de se identificar, caso a chamada ocorra para as pessoas certas (pais) e no momento certo (como quando o filho está na escola) funcionam pois na apreensão do momento, a vítima muitas vezes não se dá conta de se tratar de uma falsa afirmação.

Apesar de já ser uma ação mais conhecida, este golpe de engenharia social continua causando diversos problemas, incluindo o caso recente de um casal de idosos de Belo Horizonte que transferiu R$ 300 mil para salvar a filha de um falso sequestro, dos quais apenas R$ 15 mil foram recuperados pelo banco após a descoberta do caso.

Outro episódio que vale a pena ser mencionado, é o que ocorreu em 2019, envolvendo uma professora do Mato Grosso do Sul que não apenas perdeu R$ 80 mil como também foi feita de refém no hotel em que os criminosos solicitaram a sua presença, tudo após receber uma ligação informando o falso sequestro de sua filha.

O golpe vishing pode partir de simulações de contatos pessoais (como a ligação de um familiar) ou também um falso funcionário de uma grande empresa de serviços como telefonia e internet.

Sendo assim, identificá-lo pode ser um pouco mais trabalhoso do que o phishing.

Mas as abordagens também possuem suas fragilidades:

Nome da vítima

Ao receber uma ligação, antes de confirmar qualquer dado pessoal, tenha certeza de que a pessoa é quem diz ser ao pedir para ela confirmar algo simples como o seu nome completo ou alguma outra informação que não seja número de documentos.

Não confirme nada até que o contato te responda corretamente. Em ataques amplos e aleatórios, dificilmente o criminoso terá a informação correta.

Anúncios de sequestro

Antes de se desesperar por algum anúncio de sequestro, atente-se as informações que o criminoso está compartilhando e, principalmente, confirme a localização da vítima.

Por exemplo, caso seja uma criança que esteja na escola, a primeira ação deve ser uma chamada de confirmação de presença.

Bancos e outros serviços

O nome é uma informação simples porém bem reveladora em todos os casos.

Mas caso queira outra abordagem, basta informar que não pode falar no momento ou tente ligar para o número que está chamando de um outro aparelho telefônico.

O direcionamento correto da chamada para a empresa que supostamente ligou indica a veracidade do contato. Caso seja falso, reporte a empresa logo em seguida.

Smishing

Se o Vishing é a junção de voz + phishing, o Smishing é a mistura de sms + phishing, ou seja, trata-se do phishing que se utiliza das mensagens SMS para pescar suas vítimas. Com o enfraquecimento das mensagens tradicionais e a ascensão de comunicadores instantâneos como o WhatsApp, o smishing se desenvolve na mesma medida.

O smishing foi uma grande ferramenta, em conjunto as fake news, em campanhas eleitorais e na manipulação de informações.

Usualmente, ele é utilizado no compartilhamento de links maliciosos e possui um ciclo de vida menor, porém viral, já que as pessoas também são induzidas a compartilhar a mensagem.

Para detectar e prevenir-se desse tipo de ataque, é importante desconfiar de qualquer mensagem que chegue a partir de pessoas que não fazem de sua lista de contato e principalmente, não clicar em nenhum link não solicitado.

O smishing pode partir também de contatos que já foram pegos, muitas vezes compartilhando o link malicioso sem saber.

Ao receber a mensagem de um contato existente, atente-se ao formato do texto recebido para analisar se a pessoa escreve ou escreveria de tal maneira, pois pessoas normalmente possuem o mesmo padrão e estilo de escrita.

Nigerian 4-1-9 Scam

O golpe que se iniciou na Nigéria, conhecido como Nigerian 4-1-9 Scam possui uma linha de funcionamento semelhante ao phishing tradicional.

Essa técnica de ataque de engenharia social iniciou-se muitos anos atrás com o envio de cartas do país para estrangeiros com histórias falsas envolvendo doações e transferência de dinheiro.

Ao longo dos anos, a técnica se desenvolveu passando para o e-mail e também novas abordagens surgiram, sendo a mais popular a “romance scam”, envolvendo interesses amorosos.

Neste cenário de engenharia social, o criminoso seduz a vítima com alguma história que possa envolvê-la, e se consegue ‘pescá-la’ com sucesso, passa a encenar o desenvolvimento de uma relação a distância, a qual a longo prazo envolverá a solicitação de dinheiro.

Em 2014, uma moradora do interior de São Paulo perdeu R$ 63 mil em um golpe.

Na época, aos 42 anos, ela começou a conversar com um suposto soldado americano em missão no Afeganistão e construiu uma falsa relação com ele até que foi anunciada o fim de sua missão no país e a chegada no Brasil.

Seduzida pela ideia de viver o romance pessoalmente, ela fez de tudo para auxiliar o golpista em sua chegada ao país, que nunca aconteceu.

Embora a abordagem romântica tenha se tornado popular, a relação do criminoso com a vítima pode ter outros objetivos afetivos, como uma amizade – se aproveitando também da empatia para obter dinheiro.

Além de também ser multimídia por se adaptar a diferentes formas de contatos na hora de desenvolvimento da relação entre vítima e criminoso.

Outro fato importante é que embora tenha iniciado na Nigéria, o golpe hoje é replicado a partir de diversos países como Turquia, Iraque e o Brasil.

Por envolver a criação de uma relação mais pessoal com as vítimas, os golpes nigerianos podem ser detectados a partir de alguns parâmetros: como o perfil chegou até o alvo, checagem de informações do perfil e a análise geral da interação.

Basicamente, se as coisas estão rápidas demais, pode ser que tenha algo de errado.

Os aplicativos de relacionamento, por exemplo, recebem muitas reclamações pela existência de perfis falsos (também conhecidos como “fakes”) que usando fotos, nome e personalidade falsos buscam praticar a ação, e é por isso que é necessário ter cuidado redobrado na hora de buscar o “par perfeito” online

Ano passado, ocorreu em Macapá (AP) o caso de uma jovem de 23 anos que se passava por um advogado no Tinder, aplicativo de relacionamentos, para obter vantagens financeiras das vítimas, como empréstimos, ao longo do desenvolvimento da falsa relação.

Ela foi presa no mesmo ano e assumiu o crime.

Por isso, a melhor maneira de detectar um golpe nigeriano é observando o contexto do contato, a autenticidade do perfil e analisar as reais intenções quando as solicitações de dinheiro ou fatos estranhos começarem a ocorrer.

Spear Phishing

Atualmente, uma das subcategorias mais conhecidas de Phishing é o Spear Phishing.

Diferente da metodologia tradicional, é executada de maneira direcionada a um grupo de pessoas bem específico e baseado em dados exatos ou muito próximos da realidade dessas pessoas.

Em outras palavras, é uma tática mais perigosa por envolver informações personalizadas e muitas vezes crível o bastante para enganar até mesmo um funcionário mais atento em sua rotina de trabalho dependendo do momento e da abordagem utilizada.

Um dos casos mais recentes em grande escala dessa técnica ocorreu em 2018, nos Estados Unidos, e como resultado gerou alarde dentre os funcionários do departamento do estado sobre um possível Tsunami.

A notícia ganhou grande repercussão na época e confundiu a população, que não sabia se deveria se preocupar ou não com o desastre natural.

Embora o órgão responsável tenha respondido rapidamente que não existia nenhum tipo de anormalidade para ocorrer tal fenômeno, a falsa informação já havia sido espalhada pelo mundo inteiro, gerando alarde e causando grandes prejuízos financeiros.

O spear phishing é uma variação do phishing altamente segmentada. Funcionários, especialmente os mais novos, podem facilmente ser enganados por um falso e-mail partindo de alguém com cargo superior. De fato é assim que a maioria dos ataques obtêm o sucesso esperado.

As pequenas empresas têm se tornado o principal alvo por parte desses cibercriminosos, pois quando não há o treinamento adequado, logo os funcionários acabam sendo a vulnerabilidade humana e mais frágil do ecossistema corporativo.

Mas não são apenas os colaboradores que podem cair nesse tipo de golpe, muitos executivos e até mesmo profissionais da área podem ser surpreendidos com a comunicação segmentada do spear phishing.

Para se prevenir de um possível ataque, além de oferecer treinamento a equipe, é necessário criar protocolos para que as pessoas da organização possam se comunicar e identificar a autenticidade da mensagem, como uma palavra secreta, por exemplo.

Pretexting

O Pretexting é uma ação maliciosa que consiste na tentativa de se obter dados pessoais ou sobre uma empresa de maneira voluntária por uma falsa causa.

Este golpe pode vir disfarçado de uma causa ou confirmação de informações e com isso, despertar a generosidade do alvo.

Suas vítimas podem receber um e-mail suspeito, um telefone ou até mesmo mensagem de texto no WhatsApp.

Quid pro quo

O Quid pro quo é uma abordagem de troca inconsciente. Alguém oferece algo em troca de outra coisa.

Uma vítima desta abordagem pode receber ajuda técnica por algo, que embora seja resolvido pelo criminoso, dá a ele o poder de instalar ou induzir a instalação de arquivos maliciosos no dispositivo.

É uma falsa sensação de benefício em troca de dados pessoais ou problemas técnicos maiores no futuo.

Sextorsão

A sextorsão (sexo + extorsão) é um crime virtual em que a vítima é chantageada a realizar uma ação caso não queira que algum conteúdo íntimo seja divulgados.

Quando uma vítima possue algum e-mail ou número de celular exposto e que possam ser encontrado por botnets, é muito provável que receba tentativas de diversos tipos de ataques, incluindo a sextorsão.

É uma prática que se apoia muito na informação que coleta sobre um alvo, por muitas vezes ele não possui, realmente, um arquivo confidencial, mas sua abordagem (mais informada do que a maioria) vai fazer a vítima acreditar que sim.

Dumpster Diving

O dumpster diving é uma das práticas mais comuns e cotidianas que não utilizam dispositivos eletrônicos.

Trata-se do ato de vasculhar o lixo alheio para obter algum bem.

No mundo da tecnologia, vasculhar o lixo não é apenas uma ação de desespero, pois resíduos, peças ou até mesmo dispositivos com falhas podem ser descartados pelas companhias e tornarem-se alvo de algum tipo de vazamento ou boato.

Muitas organizações já possuem políticas de descarte para formalizar a ação e blindar qualquer tipo de vazamento ao tornar os itens inutilizáveis.

Shoulder Surfing

O Shoulder Surfing consiste na prática de observar as ações que uma pessoa está realizando em dispositivos como um celular ou computadores.

Para os engenheiros sociais, a ação pode representar mais do que uma simples curiosidade e tornar-se uma oportunidade para descobrir e memorizar senhas ou informações da vítima ou empresa que trabalha.

Tailgating

O tailgating é uma tática mais complexa que consiste no acesso presencial a lugares restritos por pessoas não autorizadas.

Considerada a mais antiga das abordagens de engenharia social, utiliza-se na maioria das vezes da bondade da vítima, como quando alguém está com as mãos tão ocupadas que uma pessoa gentil decide ajudar ao abrir e segurar a porta.

Quais informações mais importantes que sua empresa precisa proteger

Talvez sua empresa colete muitos dados bancários de usuários, por envolver o credenciamento para alguma plataforma financeira (como uma fintech).

Ou talvez ela simplesmente envolva dados particulares e identificáveis, como documentos e as preferências de cada um, como em uma rede social.

O mais importante a se compreender é que toda empresa possui um dado que acaba sendo mais importante que o outro pelo valor que representa para o negócio.

Para traçar o perfil de quem é vítima e engenheiro social nesse tipo de ataque, é importante primeiro entender qual a informação mais importante para cada marca.

Talvez a informação mais relevante para o setor de limpeza, por exemplo, seja o calendário de locais que precisam ser limpos, listagem de produtos, dentre outras coisas neste sentido, mas o mesmo funcionário pode ter acesso a lugares críticos.

E é por isso que não importa necessariamente quem você é, e sim o que você sabe ou os locais para os quais você tem acesso.

Os ataques seguem a mesma linha de raciocínio

Todos os ataques de Engenharia Social seguem a mesma linha de funcionamento, por isso, as medidas de proteção para um podem servir para os outros.

Além disso, é importante ter consciência de que na maioria das vezes, diferentes ataques ocorrerão simultaneamente.

Para empresas, é muito importante focar na conscientização constante como principal prevenção, além dos softwares de proteção.

Um grande alvo de Phishings

Você sabia que o Brasil foi um dos principais alvos de Phishing em 2019? Descubra o que nos posicionou entre os primeiros colocados.

Mais segurança

Quer saber mais sobre como proteger sua empresa? Converse com nossos especialistas em segurança da informação.

# data[].attributes.attachment_link.title
Engenharia Social: Quais os Principais Tipos de Ataques

# data[].attributes.attachment_link.description
A Engenharia Social pode ser utilizada para realizar vários tipos de ataque. Mas sabe quais são as abordagens mais conhecidas?

# data[].attributes.attachment_link.readable_text
The Institute for Technology & Society of Rio studies the impact and future of technology in Brazil and worldwide. Privacy policy

2021 | R. da Assembléia, 10, 40º andar, sala 4011 - Centro, RJ - 20011-901

# data[].attributes.attachment_link.description
The Institute for Technology & Society of Rio studies the impact and future of technology in Brazil and worldwide. Privacy policy 2021 | R. da Assembléia, 10, 40º andar, sala 4011 - Centro, RJ - 20011-901

# data[].attributes.headline
O Brasil é destaque no mundo com o projeto Pix, mas também preocupa devido os golpes que surgiram.

# data[].attributes.subject
O Brasil é destaque no mundo com o projeto Pix, mas também preocupa devido os golpes que surgiram.

# data[].attributes.attachment_link.readable_text
A pronounced spike in phishing attacks against Brazilian bank users is expected in the coming weeks as Banco Central do Brasil's ambitious instant payments initiative becomes widely available.

PIX, as the new instant payments system is popularly known, is set to fully launch Nov. 16. On that day, the central bank will roll out the 24-7 mobile transaction system that will bring together fintechs, payment companies and banks under a single payments network.

Since its inception, PIX has garnered 60 million usernames. But even before the system goes live, banks expect to see an increase in fraud and cyberattacks; in preparation, they are expanding investments and pushing awareness campaigns toward customers.

"Scammers are already sending fake links that lead the user to forged bank pages or download malware that steals personal and banking data," said Carolina Sansão, innovation and technology manager at banking association Febraban.

Social engineering tactics represent the greatest threat against banks' defenses, with nearly 70% of all reported attacks on Brazilian banks being targeted at the end-user instead of the banks' own systems. Given the expectation that PIX will be widely accepted, cybersecurity experts expect deception-based attacks to skyrocket.

"Fraudsters are always expecting opportunities to exploit vulnerabilities and customer unfamiliarity with these new initiatives," Flavio Gaspar, a fraud prevention specialist with Topaz, said. "I expect further increases [in attacks] going forward in relation to PIX."

In that regard, the surge in digital channels stemming from lockdowns has yielded a unique opportunity for cybercriminals across the board. In the months since pandemic-related shutdowns and quarantine efforts have taken effect, banks have reported an 80% increase in phishing attacks, including a significant spike in schemes targeted at the elderly, Febraban data shows.

"It might not even be banks' fault," Marta Schuh, head of cyber insurance with Marsh Brazil, noted in an interview. "People are not well prepared for this and usually fall for scams very easily."

According to a central bank survey, barely 15% of respondents claim to understand the PIX system well. "There will surely be difficulties in the beginning," Schuh said.

With PIX, Brazilians will be able to execute transfers almost instantly through their mobile phones, cutting down the participation of some intermediaries such as payment processors. The overarching aim is to facilitate competition and increase the quality of financial services by boosting speed and trimming costs.

According to Schuh, features that might distinguish PIX over other existing payment avenues might also prove advantageous for cybercriminals looking to cash out stolen goods in a faster fashion. "It will be a new tool for cybercrime to explore," she said.

Every transaction will, nonetheless, be fully traceable, Febraban's Sansão said. The backbone of the PIX system will be the national financial system network, called RSNF, which holds high end-to-end security standards. To conduct a payment, she explains, identity will need to be digitally validated beforehand by way of a password, token or biometrics.

Yet, despite the fact that bank systems are regarded as robust, analysts argue that much work needs to be done on the user end. The way banks market the new mechanism also adds to the problem, Schuh says. Lenders such as Banco Santander (Brasil) SA have rebranded the product, calling it SX instead. "This only helps to create a bit more confusion," she said.

Throughout 2020, banks have intensified education campaigns to address the lack of cybersecurity awareness amid the pandemic. Every year, banks spend 2 billion Brazilian reais, or roughly 10% of their total technology expenditures, on security. To meet new PIX-related and other open-banking risks, Sansão said banks are spending additional funds on both infrastructure and security.

The enrollment phase represents, according to Gaspar, the biggest cybersecurity concern. Key data will need to be linked to the right account, he explains, and any loophole in which a middle man could step in to exploit customer innocence could risk the process.

The cybersecurity expert raises the flag on newcomers in particular, which he underscores should be especially thorough. "When developing a new product," he explains, "pressures are high, and sometimes less-experienced leaders tend to simplify tech and process in place. This could be dangerous."
As of Nov. 11, US$ 1 was equivalent to 5.38 Brazilian reais.

# data[].attributes.attachment_link.title
Banks brace for phishing attacks as PIX lands in Brazil

# data[].attributes.attachment_link.description
A pronounced spike in phishing attacks against Brazilian bank users is expected in the coming weeks as Banco Central do Brasil's ambitious instant payments initiative becomes widely available. PIX, as the new instant payments system is popularly known, is set to fully launch Nov. 16.

# data[].attributes.headline
Vídeo do Techtudo explica como se defender

# data[].attributes.subject
Vídeo do Techtudo explica como se defender

# data[].attributes.attachment_link.readable_text
0:00 / 5:24•Watch full video

# data[].attributes.attachment_link.title
Como se proteger de golpes de engenharia social – Seu mundo digital mais seguro #Ep3

# data[].attributes.body
Como evitar ataques de engenharia social

Ataques de engenharia social são particularmente difíceis de se defender porque são expressamente projetados para funcionar com características humanas inatas, como a curiosidade, o respeito pela autoridade e o desejo de ajudar os amigos. Há uma série de dicas que podem ajudar a detectar ataques de engenharia social:

1) Confira a fonte

2) O que eles sabem?

3) Quebre o jogo

4) Peça identificação

5) Use um bom filtro de spam

6)  Isso é realista?

7) Vá com calma ....

# data[].attributes.attachment_link.readable_text
Quando pensamos em ciber-segurança, a maioria de nós pensa em defender-se contra hackers que usam falhas tecnológicas para atacar redes de dados. Mas há outra forma de entrar em organizações e redes, e isso é tirar proveito das fraquezas humanas. Isto é conhecido como engenharia social, que envolve enganar alguém a divulgar de informações ou permitir o acesso a redes de dados.

Por exemplo, um intruso pode fazer-se passar por pessoal do suporte de TI e pedir aos usuários que forneçam informações como os seus nomes de usuário e senhas. E é surpreendente como muitas pessoas não pensam duas vezes em divulgar essa informação, especialmente se parecer que está sendo solicitada por um representante legítimo.

Simplificando: a engenharia social é o uso da enganação para manipular indivíduos para permitir o acesso ou a divulgação de informações ou dados.

Tipos de ataques de engenharia social

Há vários tipos de ataques de engenharia social. Portanto, é importante entender a definição de engenharia social além de como ela funciona. Uma vez compreendido o modus operandi básico, é muito mais fácil detectar ataques de engenharia social.

Iscas

A isca envolve a criação de uma armadilha, tal como um pen drive USB carregado com malware. Alguém curioso para ver o que está no aparelho coloca-o na sua unidade USB, o que resulta num comprometimento do sistema. Na verdade, há um pen drive USB que pode destruir computadores carregando-se com a energia da unidade USB e depois liberando num intenso pico de energia - danificando o dispositivo onde foi introduzido. (o pen drive USB custa apenas US$ 54).

Pretexto

Este ataque usa um pretexto para chamar a atenção e fisgar a vítima para fornecer informações. Por exemplo, uma pesquisa na Internet pode começar a parecer bastante inocente, mas depois pedir detalhes da conta bancária. Ou alguém com uma prancheta pode aparecer e dizer que está fazendo uma auditoria aos sistemas internos; no entanto, pode não ser quem diz ser, e pode estar a tentar roubar-lhe informações valiosas.

Phishing

Os ataques de phishing envolvem um e-mail ou mensagem de texto fingindo ser de uma fonte confiável - pedindo informações. Um tipo bem conhecido é o e-mail de um banco que quer que seus clientes "confirmem" suas informações de segurança e os direcione para um site falso, onde suas credenciais de login serão registradas. O "spear phishing" tem como alvo uma única pessoa dentro de uma empresa, enviando um e-mail que pretende vir de um executivo de nível superior da empresa pedindo informações confidenciais.

Vishing e smishing

Estes tipos de ataque de engenharia social são variantes de phishing - "o phishing por voz", que significa simplesmente telefonar e pedir dados. O criminoso pode fazer-se passar por colega de trabalho, por exemplo, fingindo ser do suporte de TI e pedindo informações de login. O Smishing usa mensagens SMS para tentar obter esta informação.

Quid pro quo

Dizem que "troca justa não é um roubo", mas neste caso, é sim. Muitos ataques de engenharia social fazem as vítimas acreditarem que estão recebendo algo em troca dos dados ou acesso que fornecem. O "Scareware" funciona desta forma, prometendo aos usuários de computador uma atualização para cuidar de um problema de segurança urgente quando, na verdade, é o próprio scareware que é a ameaça de segurança maliciosa.

Spamming de contatos e hacking de e-mail

Este tipo de ataque envolve invadir as contas de e-mail ou redes sociais de um indivíduo para obter acesso aos contatos. Os contatos podem ser informados de que o indivíduo foi assaltado e perdeu todos os seus cartões de crédito e depois pedir para transferir dinheiro para uma conta de transferência de dinheiro. Ou o "amigo" pode reencaminhar um "vídeo imperdível" que direciona para um malware ou a um cavalo de Troia com keylogger.

Cultivo x caça

Por fim, esteja ciente de que alguns ataques de engenharia social estão muito mais desenvolvidos. A maioria das abordagens simples que descrevemos são uma forma de "caça". Basicamente, entram, pegam a informação e saem.

No entanto, alguns tipos de ataques de engenharia social envolvem a formação de uma relação com o alvo para extrair mais informações ao longo de um período de tempo mais longo. Isto é conhecido como "cultivo" e é mais arriscado para o criminoso: há mais chances de serem descobertos. Mas, se a infiltração for bem sucedida, pode fornecer muito mais informações.

Como evitar ataques de engenharia social

Ataques de engenharia social são particularmente difíceis de se defender porque são expressamente projetados para funcionar com características humanas inatas, como a curiosidade, o respeito pela autoridade e o desejo de ajudar os amigos. Há uma série de dicas que podem ajudar a detectar ataques de engenharia social...

Confira a fonte

Reserve um momento para pensar de onde vem a comunicação; não confie cegamente nela. Um pen drive USB aparece na sua mesa e você não sabe a origem? Um telefonema do nada diz que você herdou 5 milhões de reais? Um e-mail do seu CEO pedindo muitas informações sobre funcionários individuais? Tudo isto soa suspeito e deve ser tratado como tal.

Verificar fontes não é difícil. Por exemplo: com um e-mail, analise o cabeçalho do e-mail e verifique com os e-mails válidos do mesmo remetente. Veja para onde os links direcionam - hiperlinks falsos são fáceis de detectar simplesmente colocando o cursor por cima deles (não clique no link!) Verifique a ortografia: os bancos têm equipes inteiras de pessoas qualificadas dedicadas a produzir comunicações com os clientes, por isso um e-mail com erros gritantes é provavelmente falso.

Em caso de dúvida, acesse o site oficial e entre em contato com um representante da empresa, pois eles poderão confirmar se o e-mail/mensagem é oficial ou falso.

O que eles sabem?

A fonte não tem informações que você esperaria que eles tivessem, como o seu nome completo e afins? Lembre-se, se um banco estiver telefonando para você, eles devem ter todos esses dados disponíveis e sempre farão perguntas de segurança antes de permitir que você faça alterações na sua conta. Se não o fizerem, então as chances de ser um falso e-mail/chamada/mensagem são significativamente maiores e você deve ser cauteloso.

Quebre o jogo

A engenharia social muitas vezes depende de um senso de urgência. Os criminosos esperam que os seus alvos não pensem muito no que está a acontecer. Por isso, só um momento para pensar pode dissuadir estes ataques ou mostrá-los pelo que eles são - falsidades.

Ligue para o número oficial ou passe pelo URL oficial do site, em vez de fornecer dados pelo telefone ou clicar em um link. Use um método diferente de comunicação para verificar a credibilidade da fonte. Por exemplo, se você receber um e-mail de um amigo pedindo que você transfira dinheiro, mande uma mensagem de texto no celular dele ou ligue para ele para verificar se são realmente eles.

Peça identificação

Um dos ataques de engenharia social mais fáceis é contornar a segurança para entrar num edifício, carregando uma caixa grande ou com as mãos cheias de arquivos. Afinal de contas, alguma pessoa útil vai manter a porta aberta. Não caia nessa. Peça sempre a sua identificação.

O mesmo se aplica a outras abordagens. Verificar o nome e o número de quem está a ligar ou a perguntar: "Com quem você trabalha?" deve ser uma resposta básica aos pedidos de informação. Em seguida, basta verificar o gráfico da organização ou a lista telefônica antes de fornecer qualquer informação privada ou dados pessoais. Se você não conhece o indivíduo que pede a informação e ainda não se sente confortável em compartilhar os dados, diga que você precisa verificar com outra pessoa, e você retornará o contato.

Use um bom filtro de spam

Se o seu programa de e-mail não estiver filtrando spam suficiente ou marcando e-mails como suspeitos, você pode querer alterar as configurações. Os bons filtros de spam utilizam vários tipos de informação para determinar quais e-mails são susceptíveis de serem spam. Eles podem detectar arquivos ou links suspeitos, podem ter uma lista negra de endereços IP ou IDs de remetentes suspeitos, ou podem analisar o conteúdo das mensagens para determinar quais são susceptíveis de serem falsas.

Isso é realista?

Alguns ataques de engenharia social funcionam tentando enganá-lo para que não seja crítico e levando o tempo necessário para avaliar se a situação é realista pode ajudar a detectar muitos ataques. Por exemplo:

Se o seu amigo estivesse realmente preso na China sem saída, será que lhe enviariam um e-mail ou também ligaria/enviaria um SMS?

É provável que um príncipe nigeriano lhe tenha deixado um milhão de reais no seu testamento?

O banco telefonaria a pedir os detalhes da sua conta? Na verdade, muitos bancos anotam quando enviam e-mails aos seus clientes ou falam com eles ao telefone. Por isso, confirme duas vezes se não tem a certeza.

Vá com calma

Seja particularmente cauteloso quando sentir uma sensação de urgência ao entrar numa conversa. Esta é uma forma padrão para os criminosos fazerem com que seus alvos parem de pensar sobre o assunto. Se você se sentir pressionado, vá com calma. Diga que você precisa de tempo para obter as informações, você precisa perguntar ao seu gerente, você não tem os detalhes certos com você neste momento - qualquer coisa para atrasar as coisas e ganhar tempo para pensar.

Na maioria das vezes, os engenheiros sociais não vão abusar da sorte se perceberem que perderam a vantagem da surpresa.

Proteja seus dispositivos

Também é importante assegurar dispositivos para que um ataque de engenharia social, mesmo que bem sucedido, seja limitado no que pode alcançar. Os princípios básicos são os mesmos, quer se trate de um smartphone, uma rede doméstica básica ou um sistema empresarial importante.

Mantenha o seu software anti-malware e antivírus atualizados. Isto pode ajudar a evitar que o malware que vem através de e-mails de phishing seja instalado automaticamente. Use um pacote como o Kaspersky Antivirus para manter a sua rede e dados seguros.

Mantenha o software e firmware regularmente atualizados, especialmente os patches de segurança.

Não execute o seu telefone com root ou a sua rede ou PC em modo administrador. Mesmo se um ataque de engenharia social conseguir a sua senha de usuário para a sua conta de "usuário", ele não permitirá que eles reconfigurem o seu sistema ou instalem software nele.

Não use a mesma senha para contas diferentes. Se um ataque de engenharia social conseguir a senha da sua conta de redes sociais, você não quer que eles possam também acessar todas as suas outras contas.

Para contas críticas, use autenticação de dois fatores para que ter sua senha não seja suficiente para acessar a conta. Isso pode envolver reconhecimento de voz, uso de um dispositivo de segurança, impressão digital ou códigos de confirmação por SMS.

Se você acabou de informar sua senha para uma conta e acha que pode ter sido enganado, mude a senha imediatamente.

Mantenha-se informado sobre novos riscos de segurança cibernética , tornando-se um leitor regular do nosso Centro de Recursos. Assim, você saberá tudo sobre novos métodos de ataque à medida que eles surgirem, tornando-o muito menos provável de se tornar uma vítima.

Pense na sua presença digital

Você também pode querer pensar um pouco na sua presença digital. O compartilhamento excessivo de informações pessoais on-line, por exemplo, através das redes sociais, pode ajudar os criminosos. Por exemplo, muitos bancos têm "nome do seu primeiro animal de estimação" como uma possível pergunta de segurança - você compartilhou isso no Facebook? Se for o caso, você pode ficar vulnerável! Além disso, alguns ataques de engenharia social tentarão ganhar credibilidade, referindo-se a eventos recentes que você possa ter compartilhado em redes sociais.

Recomendamos que você configure suas redes sociais para que sejam visíveis para "apenas amigos" e tenha cuidado com o que você compartilha. Você não precisa ser paranoico, apenas cauteloso.

Pense em outros aspectos da sua vida que você compartilha on-line. Se você tem um currículo on-line, por exemplo, você deve considerar a possibilidade de ocultar endereço, número de telefone e data de nascimento - todas as informações úteis para quem planeja um ataque de engenharia social. Enquanto alguns ataques de engenharia social não envolvem profundamente a vítima, outros são meticulosamente preparados - dê a esses criminosos menos informações para trabalhar.

A engenharia social é muito perigosa, porque leva situações perfeitamente normais e as manipula para fins maliciosos. No entanto, ao estar plenamente consciente de como funciona, e adotar as precauções básicas, será muito menos provável que você se torne uma vítima da engenharia social.
Links relacionados Engenharia social - Definição Como o malware invade computadores e sistemas de TI Golpes de suporte técnico

# data[].attributes.attachment_link.title
Modos para evitar ataques de engenharia social

# data[].attributes.attachment_link.description
Quando pensamos em ciber-segurança, a maioria de nós pensa em defender-se contra hackers que usam falhas tecnológicas para atacar redes de dados. Mas há outra forma de entrar em organizações e redes, e isso é tirar proveito das fraquezas humanas.

# data[].attributes.body
Com a evoluçāo dos antivírus , sistemas operacionais e a melhora continua nas técnicas de segurança os criminosos cada vez mais usam métodos com Engenharia Social para conseguir aplicar golpes em pessoas e empresas.

Cada vez mais é importante se manter informado e atento sempre que estamos usando os diversos meios de compra, comunicação e informação

# data[].attributes.headline
Como a segurança e auditoria de sistemas funciona?

# data[].attributes.subject
Como a segurança e auditoria de sistemas funciona?

# data[].attributes.body
A Auditoria de Sistemas engloba a avaliação dos processos, operações, sistemas e atividades gerenciais da organização, verificando se a realização das funções rotineiras está em conformidade com os objetivos, políticas institucionais, legislação, normas e padrões exigidos.

# data[].attributes.attachment_link.readable_text
A preocupação em sobreviver frente um mercado cada vez mais competitivo e a busca pela melhoria contínua é o que vêm estimulando empresas a investir na auditoria de sistema da informação, ou seja, uma solução encontrada por gestores para problemas em potencial, como no caso da segurança dos dados manipulados através dos computadores na organização. Foi inevitável que as atividades realizadas manualmente se tornassem automatizadas, decorrentes principalmente do crescimento que as organizações vêm tendo, em paralelo com a evolução acelerada da tecnologia.

O ambiente empresarial foi se tornando cada vez mais complexo e gestores precisaram adequar às áreas administrativas e produtivas com sistemas e ambientes de tecnologia da informação (TI). Embora o processamento e armazenamento das informações tenha facilitado os negócios e a tomada de decisão, muitos riscos com a segurança dos dados também passaram a existir, e é neste ponto que a Auditoria de Sistemas se torna vital, garantindo a integridade das informações e evitando eventuais erros e falhas. Vejamos com mais detalhes para que serve, como funciona e o que a Auditoria de Sistemas pode verificar em uma empresa. Acompanhe!
O que é e para que serve a Auditoria de Sistemas?
A Auditoria de Sistemas é o ramo da auditoria que se tornou um importante aliado no planejamento e tomada de decisão das organizações. Entre os objetivos estão o gerenciamento do risco operacional, a proteção dos ativos da organização, a segurança e integridade na autenticidade dos dados e o atendimento eficaz e eficiente dos objetivos da instituição. A Auditoria de Sistemas engloba a avaliação dos processos, operações, sistemas e atividades gerenciais da organização, verificando se a realização das funções rotineiras está em conformidade com os objetivos, políticas institucionais, legislação, normas e padrões exigidos.

É por meio dela que gestores podem visualizar o uso dos recursos e dos fluxos de informação, determinando quais dados são críticos para o cumprimento dos objetivos e da missão a ser seguida, além de identificar e barrar processos repetidos, despesas e custos adicionais, valores e obstáculos que impactam diretamente o fluxo e o bom andamento de informações eficientes e necessárias.
Como funciona o processo de Auditoria de Sistemas?
A busca por transparência na área da TI é o que vem tornando a Auditoria de Sistemas uma das áreas mais procuradas e que exigem um maior investimento em TI. Para alcançar o tão sonhado sucesso empresarial, em primeiro lugar, gestores devem se preocupar em manter um bom controle interno dos dados através do investimento em bons sistemas. O fluxo diário de dados é cada vez maior e nada mais seguro que mantê-los informatizados. As informações são processadas eletronicamente e todos os dados manipulados ficam armazenados em ambientes virtuais, seguros de erros ou qualquer outro problema com os computadores, em caso de perda ou mesmo furto.
O que a Auditoria de Sistemas pode verificar numa empresa
Uma pergunta que sempre surge e que deixa muitos empreendedores inseguros na hora de optar por um Sistema de Informação é: a Auditoria de Sistemas é segura? E a resposta é simples: Sim.

A Auditoria de Sistemas não é apenas uma ferramenta para a segurança dos dados contábeis, ela possibilita que empresas tenham um maior controle das ações de rotina, inovando e gerindo processos, produtos e sistemas de forma contínua e eficiente, objetivando o destaque frente um mercado cada vez mais concorrente.

São papéis do Auditor de Sistemas:

Avaliar o suporte do sistema de informação, objetivando a verificação da capacidade do sistema em adequar-se as necessidades da empresa;

Análise e elaboração das metas e seu posterior monitoramento;

Verificação do cumprimento dos regulamentos e legislações estabelecidas pelo serviço de TI;

Detecção dos pontos críticos e que possam se tornar riscos no cumprimento das atividades;

Redução dos riscos e fraudes, além da identificação de necessidades e de processos que se tornem dispendiosos na eficiência do fluxo de dados.

# data[].attributes.attachment_link.title
Para que serve e como funciona a auditoria de sistemas? - Synchro

# data[].attributes.attachment_link.description
A preocupação em sobreviver frente um mercado cada vez mais competitivo e a busca pela melhoria contínua é o que vêm estimulando empresas a investir na auditoria de sistema da informação, ou seja, uma solução encontrada por gestores para problemas em potencial, como no caso da segurança dos dados manipulados através dos computadores na organização.