Definição de engenharia social
A engenharia social é uma técnica de manipulação que explora erros humanos para obter informações privadas, acessos ou coisas de valor. No crime cibernético, esses golpes de "hacking humano" tendem a atrair usuários desavisados para expor dados, espalhar infecções por malware ou dar acesso a sistemas restritos. Os ataques podem acontecer on-line, em pessoa e por outros meios de interação.
Os golpes promovidos com base em engenharia social são feitos a partir de como as pessoas pensam e agem. Sendo assim, os ataques de engenharia social são especialmente úteis para manipular o comportamento de um usuário. Quando um invasor entende o que motiva as ações de um usuário, ele pode enganar e manipular o usuário de forma eficaz.
Além disso, os hackers tentam explorar a falta de conhecimento do usuário. Graças à velocidade da tecnologia, muitos consumidores e funcionários não reconhecem certas ameaças como os downloads automáticos. Os usuários podem também não perceber a verdadeiro valor dos dados pessoais, como o seu número do telefone, por exemplo. Por isso, muitos usuários não sabem exatamente como proteger a si mesmo e seus dados.
Em geral, os invasores de engenharia social têm um dos seguintes objetivos:
- Sabotagem: interrupção ou corrupção de dados para causar danos ou incômodos.
- Roubo: obtenção de objetos de valor, como informações, acesso ou dinheiro.
Essa definição de engenharia social pode ser expandida ainda mais se soubermos exatamente como ela funciona.
Como funciona a engenharia social?
A maioria dos ataques de engenharia social depende da comunicação real entre os atacantes e as vítimas. O invasor tende a motivar o usuário a se comprometer, em vez de usar métodos de força bruta para violar seus dados.
O ciclo de ataque oferece a esses criminosos um processo confiável para enganar você. Os passos para o ciclo de ataque de engenharia social geralmente são os seguintes:
- Preparar reunindo informações sobre seu histórico ou de um grupo maior do qual você faz parte.
- Infiltrar-se estabelecendo um relacionamento ou iniciando uma interação, que começa pela construção de confiança.
- Explorar a vítima uma vez que a confiança e uma vulnerabilidade sejam estabelecidas para avançar com o ataque.
- Desvincular-se assim que o usuário tiver realizado a ação desejada.
Esse processo pode ocorrer em um único e-mail ou ao longo de meses, em uma série de conversas nas redes sociais. Poderia até ser uma interação cara a cara. Mas, no fim das contas, tudo acaba em uma ação que você realiza, como compartilhar suas informações ou se expor a malwares.
É importante ter cuidado com a engenharia social usada para confundir as pessoas. Muitos funcionários e consumidores não percebem que apenas algumas peças de informação podem dar acesso a hackers a várias redes e contas.
Ao se passarem por usuários legítimos para os funcionários de suporte de TI, eles obtêm seus dados privados — como nome, data de nascimento ou endereço. A partir daí, é só uma questão de redefinir senhas e obter acesso praticamente ilimitado. Podem roubar dinheiro, espalhar malware de engenharia social e muito mais.
Características dos ataques de engenharia social
Os ataques de engenharia social giram em torno do uso de persuasão e confiança pelo atacante. Quando exposto a essas táticas, é mais provável que você tome atitudes que não tomaria em outras circunstâncias.
Nos ataques, a maioria das vezes, você será induzido aos seguintes comportamentos:
Emoções intensificadas: a manipulação emocional dá aos agressores a vantagem em qualquer interação. Você fica muito mais propenso a tomar ações arriscadas e irracionais sob um estado emocional abalado. As seguintes emoções são todas usadas na mesma proporção para convencê-lo.
- Medo
- Empolgação
- Curiosidade
- Raiva
- Culpa
- Tristeza
Urgência: oportunidades ou solicitações sensíveis ao tempo são outra ferramenta confiável no arsenal de um invasor. Você pode cair na armadilha sob o pretexto de um problema sério que precisa de atenção imediata. Outra possibilidade é a de você se expor porque há um prêmio ou recompensa que pode desaparecer se você não agir rapidamente. Tanto uma quanto outra abordagem desativa sua capacidade de pensamento crítico.
Confiança: a credibilidade é inestimável e essencial para um ataque de engenharia social. Como o atacante está mentindo para você, a confiança desempenha um papel importante aqui. Eles fizeram pesquisas suficientes sobre você para criar uma narrativa fácil de acreditar e improvável de levantar suspeitas.
Há algumas exceções a essas características. Em alguns casos, os invasores usam métodos mais simples de engenharia social para conseguir acessar a rede ou o computador. Por exemplo, um hacker pode frequentar a praça de alimentação de um edifício corporativo e bisbilhotar os usuários que trabalham com tablets ou laptops. Assim, pode conseguir um grande número de senhas e nomes de usuários, sem enviar sequer um e-mail ou escrever uma linha de código de vírus.
Agora que você entende o conceito subjacente, provavelmente está se perguntando "o que é um ataque de engenharia social e como posso identificá-lo?"
Tipos de ataques de engenharia social
Praticamente todo tipo de ataque à cibersegurança contém algum método de engenharia social. Por exemplo, os golpes clássicos de e-mail e vírus estão carregados de conotações sociais.
A engenharia social pode impactar você digitalmente por meio de ataques a dispositivos móveis, além de dispositivos de mesa. No entanto, você também pode sofrer uma ameaça pessoalmente. Esses ataques podem se sobrepor e se acumular uns aos outros para criar um golpe.
Aqui estão alguns métodos comuns de engenharia social que usam os golpistas:
Ataques de phishing
Os golpistas do phishing fingem ser uma instituição ou um indivíduo confiável na tentativa de persuadi-lo a expor dados pessoais e outros bens valiosos.
Os ataques que utilizam o phishing são direcionados de duas maneiras:
- O spam de phishing, ou phishing em massa, é um ataque generalizado dirigido a muitos usuários. Esses ataques não são personalizados e tentam pegar qualquer pessoa desprevenida.
- O spear phishing e, por extensão, o whaling, utilizam informações personalizadas para direcionar usuários específicos. Os ataques de whaling visam especificamente alvos de alto valor, como celebridades, altos executivos e autoridades governamentais.
Seja por meio de uma comunicação direta ou um formulário de um site falso, qualquer coisa que você compartilha vai diretamente para o bolso de um golpista. Você pode até ser enganado e baixar um malware contendo a próxima etapa do ataque de phishing. Os métodos usados no phishing têm modos exclusivos de ser executados, incluindo, mas não se limitando a:
As chamadas telefônicas de phishing de voz (vishing) podem ser sistemas de mensagens automatizadas que gravam todas as suas entradas. Às vezes, uma pessoa ao vivo pode falar com você para aumentar a confiança e urgência.
Textos de phishing por SMS (smishing) ou mensagens de aplicativos móveis podem incluir um link da web ou uma solicitação para seguir através de um e-mail fraudulento ou número de telefone.
O phishing por e-mail é o meio mais tradicional de phishing, utilizando um e-mail urgente solicitando a sua resposta ou acompanhamento por outros meios. Links da web, números de telefone ou anexos de malware podem ser utilizados.
O angler phishing ocorre nas redes sociais, onde um atacante imita a equipe de atendimento ao cliente de uma empresa confiável. Eles interceptam suas comunicações com uma marca para sequestrar e desviar sua conversa para mensagens privadas, onde então avançam com o golpe.
Phishing de buscador é uma tentativa de colocar links para sites falsos no topo dos resultados da busca. Esses podem ser anúncios pagos ou usar métodos legítimos de otimização para manipular os rankings de busca.
Links de phishing de URL tentam você a visitar sites de phishing. Esses links são comumente entregues em e-mails, mensagens de texto de redes sociais e anúncios online. Os ataques escondem links em textos ou botões de hiperlink, utilizando ferramentas de encurtamento de links ou URLs com grafias enganosas.
O phishing em sessão aparece como uma interrupção na sua navegação normal na web. Por exemplo, você pode ver pop-ups de login falsos para as páginas que você está visitando no momento.
Golpes de baiting
O baiting abusa de sua curiosidade natural para o convencer a se expor a um agressor. Tipicamente, o potencial de receber algo gratuito ou exclusivo é usado para manipulá-lo e explorá-lo. O golpe normalmente consiste em infectar você com malware.
Os métodos populares de baiting podem incluir:
- Pen drives deixados em espaços públicos, como bibliotecas e estacionamentos.
- Anexos de e-mail incluindo detalhes sobre uma oferta gratuita ou software gratuito fraudulento.
Golpes de violação física
As violações físicas envolvem invasores aparecendo pessoalmente, se passando por alguém legítimo para obter acesso a áreas ou informações não autorizadas.
Os golpes desse tipo são mais comuns em ambientes empresariais, como governos, empresas ou outras organizações. Os golpistas podem fingir ser um representante de um fornecedor conhecido e confiável para a empresa. Alguns criminosos podem até mesmo ser ex-funcionários recentemente demitidos querendo se vingar do antigo empregador.
Eles tornam sua identidade obscura, mas suficientemente crível para evitar perguntas. Isso exige um pouco de pesquisa por parte do golpista e envolve alto risco. Então, se alguém está tentando esse método, eles identificaram um claro potencial para uma recompensa altamente valiosa se tiverem sucesso.
Ataques de pretexto
O pretexting utiliza uma identidade enganadora como "pretexto" para estabelecer confiança, como se passar diretamente por um fornecedor ou um funcionário do local. Essa abordagem exige que os golpistas interajam de forma mais proativa com você. A exploração ocorre uma vez que te convenceram de que são legítimos.
Golpes de tailgating
Tailgating, ou piggybacking, é o ato de seguir um membro autorizado da equipe em uma área de acesso restrito. Os agressores podem se aproveitar da cortesia social para fazer com que você segure a porta para eles ou convencê-lo(a) de que eles também estão autorizados a estar na área. O pretexto também pode desempenhar um papel aqui.
Golpes quid pro quo
Quid pro quo é um termo que significa aproximadamente "toma lá, dá cá", o que no contexto do phishing significa uma troca das suas informações pessoais por alguma recompensa ou outra compensação. Sorteios ou ofertas para participar de estudos de pesquisa podem expor você a esse tipo de golpe.
A exploração se dá ao te deixar animado por algo valioso que requer um baixo investimento de sua parte. No entanto, o atacante simplesmente pega seus dados sem nenhuma recompensa para você.
Ataques de DNS spoofing e cache poisoning
A DNS spoofing manipula seu navegador e servidores web para visitar sites maliciosos quando você insere uma URL legítima. Uma vez infectado por esse exploit, o redirecionamento continuará a menos que seja feita uma limpeza dos dados de roteamento incorretos, nos sistemas envolvidos.
Os ataques de DNS cache poisoning infectam especificamente o seu dispositivo com instruções de roteamento para que a URL legítima ou várias URLs se conectem a sites fraudulentos.
Ataques de scareware
O scareware é uma forma de malware usada para te assustar e fazer você agir. Esse malware enganador utiliza advertências alarmantes que relatam infecções falsas por malware ou afirmam que uma de suas contas foi comprometida.
Desse modo, o scareware induz você a comprar software fraudulento de cibersegurança ou divulgar detalhes privados como suas credenciais de conta.
Ataques watering hole
Ataques watering hole infectam páginas da web populares com malware para afetar muitos usuários de uma só vez. É necessário um planejamento cuidadoso por parte do atacante para encontrar vulnerabilidades em sites específicos. Eles procuram vulnerabilidades existentes que não são conhecidas e corrigidas - tais fraquezas são chamadas de exploits de dia zero.
Em outras ocasiões, eles podem perceber que um site não atualizou sua infraestrutura para corrigir problemas conhecidos. Os proprietários de sites podem optar por atrasar as atualizações de software para manter versões de software que eles sabem que estão estáveis. Eles mudarão assim que a nova versão tiver um histórico comprovado de estabilidade do sistema. Os hackers abusam desse comportamento para atacar vulnerabilidades recentemente corrigidas.
Métodos de incomuns de engenharia social
Em alguns casos, os criminosos virtuais usam métodos complexos para realizar os ataques virtuais, como:
- Phishing baseado em fax: quando os clientes de um banco recebem um e-mail falso que alega ser do banco, pedindo a confirmação de seus códigos de acesso. Porém, o método de confirmação não ocorre pelo caminho habitual do e-mail/Internet. Em vez disso, é solicitado que o cliente imprima o formulário contido no e-mail, preencha as informações e o envie por fax para o telefone do criminoso.
- Distribuição tradicional de malware por correio: no Japão, cibercriminosos utilizaram o serviço de entrega em domicílio para distribuir CDs infectados com um spyware cavalo de Troia. Os discos eram enviados aos clientes de um banco japonês. Os endereços dos clientes foram roubados previamente da base de dados do banco.
Exemplos de ataques de engenharia social
Os ataques de malware merecem um foco especial, pois são comuns e têm efeitos prolongados.
Quando os criadores de malware usam técnicas de engenharia social, tentam induzir usuários desavisados a abrir um arquivo infectado ou um link para um site infectado. Muitos worms de e-mail e outros tipos de malware usam esses métodos. Sem um pacote de software de segurança abrangente para seus dispositivos móveis e de desktop, você provavelmente está se expondo a uma infecção.
Ataques de worm
O criminoso virtual tenta atrair a atenção do usuário para o link ou arquivo infectado para que o usuário clique nele.
Exemplos desse tipo de ataque:
- O worm LoveLetter, que sobrecarregou servidores de e-mails de diversas empresas em 2000. As vítimas receberam um e-mail que as convidava a abrir a carta de amor anexada. Quando abriam o arquivo anexo, o worm se autocopiava para todos os contatos do catálogo de endereços da vítima. Este worm ainda é considerado um dos mais devastadores em termos do prejuízo financeiro causado.
- O worm de e-mail Mydoom, que surgiu na Internet em janeiro de 2004, usava textos que imitavam mensagens técnicas enviadas pelo servidor de e-mail.
- O worm Swen se passava por uma mensagem enviada pela Microsoft. Ele alegava que o anexo era uma correção que removeria vulnerabilidades do Windows. É difícil de acreditar que tantas pessoas o levaram a sério e tentaram instalar a falsa "correção" que, na verdade, era um worm.
Canais de distribuição de links de malware
Os links para sites infectados podem ser enviados por e-mail, ICQ e outros sistemas de mensagens instantâneas, ou até em salas de bate-papo IRC na Internet. Frequentemente, os vírus de dispositivos móveis são enviados por mensagens SMS.
Seja qual for o método de envio, a mensagem normalmente contém palavras atraentes ou intrigantes, que motivam o usuário desavisado a clicar no link. Esse método de invasão do sistema pode permitir que o malware passe pelos filtros antivírus do servidor de e-mail.
Ataques de rede peer-to-peer (P2P)
As redes P2P também são usadas para distribuir malware. Um worm ou cavalo de Troia aparece na rede P2P, mas recebe um nome que chama atenção e leva os usuários a baixar e abrir o arquivo. Por exemplo:
- AIM & AOL Password Hacker.exe
- Microsoft CD Key Generator.exe
- PornStar3D.exe
- Emulador Play Station crack.exe
Envergonhando usuários infectados a ponto de não denunciar um ataque
Em alguns casos, os criadores e distribuidores de malware tentam reduzir a probabilidade de as vítimas denunciarem uma infecção:
As vítimas podem responder a uma oferta falsa de aplicativo gratuito ou um guia que promete benefícios ilegais, como:
- Acesso gratuito à Internet ou à comunicação por dispositivos móveis.
- A oportunidade de baixar um gerador de números de cartão de crédito.
- Um método para aumentar o saldo da conta on-line da vítima.
Nesses casos, quando se descobre que o download é um cavalo de Troia, a vítima não quer divulgar suas intenções ilícitas. Portanto, é provável que ela não denuncie a infecção para as autoridades legais.
Um exemplo dessa técnica foi o cavalo de Troia enviado para endereços de e-mail extraídos de um site de recrutamento. As pessoas registradas no site recebiam falsas ofertas de trabalho que continham o cavalo de Troia. O ataque visou principalmente endereços de e-mail corporativos. Os criminosos sabiam que os funcionários que recebessem o cavalo de Troia não contariam a seus empregadores que haviam sido infectados enquanto procuravam outros empregos.
Como evitar ataques de engenharia social
Defender-se contra engenharia social requer que você se conscientize. Sempre diminua a velocidade e pense antes de fazer qualquer coisa ou responder.
Quem ataca espera que você aja antes de considerar os riscos, o que significa que você deve fazer o contrário. Para ajudá-lo, aqui estão algumas perguntas que você pode se fazer ao suspeitar de um ataque:
- Minhas emoções estão intensificadas? Quando se está especialmente curioso, com medo ou animado, é menos provável que se avalie as consequências das ações. Na verdade, provavelmente você não vai considerar a legitimidade da situação apresentada a você. Se seu estado emocional estiver intensificado, considere isso um sinal de alerta.
- Esta mensagem veio de um remetente legítimo? Ao receber uma mensagem suspeita, verifique cuidadosamente os endereços de e-mail e os perfis de mídia social. Pode haver caracteres que imitam outros, como "torn@example.com" em vez de "tom@example.com". Perfis falsos em redes sociais que duplicam a foto e outros detalhes do seu amigo também são comuns.
- Meu amigo realmente me enviou esta mensagem? É sempre bom perguntar ao remetente se eles foram os verdadeiros remetentes da mensagem em questão. Seja um colega de trabalho ou outra pessoa em sua vida, pergunte a eles pessoalmente ou por telefone, se possível. Eles podem estar sendo hackeados e não sabem, ou alguém pode estar imitando suas contas.
- O site em que estou tem detalhes estranhos? Irregularidades na URL, baixa qualidade de imagem, logotipos antigos ou incorretos da empresa e erros de digitação na página podem ser sinais de alerta de um site fraudulento. Se você entrar em um site falso, saia imediatamente.
- Essa oferta parece boa demais para ser verdade? No caso de brindes ou outros métodos de segmentação, as ofertas são uma forte motivação para impulsionar um ataque de engenharia social. Você deve considerar por que alguém está lhe oferecendo algo de valor com pouco ganho para si mesmo. Esteja sempre atento, pois até mesmo dados básicos como seu endereço de e-mail podem ser coletados e vendidos para anunciantes indesejáveis.
- Anexos ou links suspeitos? Se um link ou nome de arquivo parecer vago ou estranho em uma mensagem, reconsidere a autenticidade de toda a comunicação. Além disso, considere se a própria mensagem foi enviada em um contexto estranho, momento inadequado ou levanta outras suspeitas.
- Essa pessoa pode comprovar sua identidade? Se você não conseguir fazer com que essa pessoa verifique sua identidade junto à organização da qual ela afirma fazer parte, não conceda a ela o acesso que está solicitando. Isso se aplica tanto pessoalmente quanto online, pois violações físicas exigem que você ignore a identidade do atacante.
Como prevenir ataques de engenharia social
Além de detectar um ataque, você também pode ser proativo em relação à sua privacidade e segurança. Saber como prevenir ataques de engenharia social é incrivelmente importante para todos os usuários de dispositivos móveis e computadores.
Aqui estão algumas maneiras importantes de se proteger contra todos os tipos de ataques cibernéticos:
Hábitos de comunicação segura e gerenciamento de conta
A comunicação online é onde você está especialmente vulnerável. As mídias sociais, e-mails e mensagens de texto são alvos comuns, mas você também deve considerar as interações pessoais.
Nunca clique em links em nenhum e-mail ou mensagem. Você deve sempre digitar manualmente uma URL na barra de endereço, independentemente do remetente. No entanto, dê um passo a mais e investigue para encontrar uma versão oficial da URL em questão. Nunca confie em qualquer URL que você não tenha verificado como oficial ou legítima.
Use autenticação multifator. As contas online são muito mais seguras quando são usados mais do que apenas uma senha para protegê-las. A autenticação multifator adiciona camadas extras para verificar sua identidade ao fazer login em uma conta. Esses "fatores" podem incluir biometria como impressão digital ou reconhecimento facial, ou senhas temporárias enviadas por mensagem de texto.
Usar senhas fortes (e um gerenciador de senhas). Cada uma das suas senhas deve ser única e complexa. Tente sempre usar caracteres de diversos tipos, incluindo maiúsculas, números e símbolos. Além disso, provavelmente você deveria optar por senhas mais longas quando possível. Para ajudá-lo a gerenciar todas as suas senhas personalizadas, você pode querer usar um gerenciador de senhas para armazená-las e lembrar delas com segurança.
Evite compartilhar nomes de suas escolas, animais de estimação, local de nascimento ou outros detalhes pessoais. Você pode estar inadvertidamente expondo respostas às suas perguntas de segurança ou partes da sua senha. Se você configurar suas perguntas de segurança para poder lembrar delas, mas elas são imprecisas, dificultará que um criminoso invada a sua conta. Se o seu primeiro carro foi um "Toyota", escrever uma mentira como "carro de palhaço" no lugar poderia confundir totalmente quaisquer hackers curiosos.
Seja muito cauteloso ao construir amizades apenas online. Embora a internet possa ser uma ótima maneira de se conectar com pessoas ao redor do mundo, essa é uma forma comum de ataques de engenharia social. Observe sinais e alertas que indicam manipulação ou um claro abuso de confiança.
Hábitos seguros de uso da rede
Redes online com problemas de segurança podem ser outro ponto de vulnerabilidade explorado para pesquisa de antecedentes. Para evitar que seus dados sejam usados contra você, tome medidas de proteção em qualquer rede à qual você esteja conectado.
Nunca permita que estranhos se conectem à sua rede wi-fi principal. Em casa ou no local de trabalho, o acesso a uma conexão wi-fi para convidados deve ser disponibilizado. Isso permite que sua conexão principal criptografada e protegida por senha permaneça segura e livre de interceptações. Se alguém decidir "escutar secretamente" para obter informações, não será capaz de acessar a atividade que você e outros desejam manter privada.
Use uma VPN. Caso alguém na sua rede principal — com fio, sem fio ou até mesmo celular — encontre uma maneira de interceptar o tráfego, uma rede virtual privada (VPN) pode mantê-lo afastado. VPNs são serviços que oferecem a você um "túnel" privado e criptografado em qualquer conexão à internet que você usa. Sua conexão não só está protegida de olhares indesejados, mas seus dados são anonimizados, de forma que não podem ser rastreados até você através de cookies ou outros meios.
Mantenha todos os dispositivos e serviços conectados à rede seguros. Muitas pessoas estão cientes das práticas de segurança na internet para dispositivos móveis e computadores tradicionais. No entanto, garantir a segurança da sua rede, assim como de todos os seus dispositivos inteligentes e serviços em nuvem, é tão importante quanto. Não deixe de proteger dispositivos comumente negligenciados, como sistemas de informação e entretenimento do carro e roteadores de rede doméstica. Violações de dados nesses dispositivos podem alimentar a personalização para um golpe de engenharia social.
Hábitos seguros de uso de dispositivos
Manter seus dispositivos em si é tão importante quanto todos os outros comportamentos digitais. Proteja seu celular, tablet e outros dispositivos de computador com as dicas abaixo:
Utilize um software abrangente de segurança na internet. Caso as táticas sociais sejam bem-sucedidas, as infecções por malware são um resultado comum. Para combater rootkits, cavalos de Troia e outros bots, é importante empregar uma solução de segurança de Internet de alta qualidade, capaz de eliminar infecções e rastrear sua origem.
Nunca deixe seus dispositivos desprotegidos em público. Sempre bloqueie seu computador e dispositivos móveis, especialmente no trabalho. Ao usar seus dispositivos em espaços públicos como aeroportos e cafeterias, sempre mantenha-os em sua posse.
Mantenha todos os seus softwares atualizados assim que estiverem disponíveis. As atualizações imediatas fornecem correções essenciais de segurança para o seu software. Quando você pula ou atrasa as atualizações do seu sistema operacional ou aplicativos, está deixando brechas de segurança conhecidas expostas para os hackers atacarem. Como eles sabem que esse é o comportamento de muitos usuários de computador e celular, você se torna um alvo principal para ataques de malware com engenharia social.
Verifique se há violações de dados conhecidas em suas contas online. Serviços como o Kaspersky Premium monitoram ativamente violações de dados novas e existentes para seus endereços de e-mail. Se as suas contas estiverem incluídas nos dados comprometidos, você receberá uma notificação juntamente com conselhos sobre como tomar providências.
A proteção contra engenharia social começa com a educação. Se todos os usuários estiverem conscientes das ameaças, nossa segurança como sociedade melhorará. Não esqueça de aumentar a conscientização sobre esses riscos compartilhando o que você aprendeu com colegas de trabalho, família e amigos.
Artigos relacionados:
- Os 10 hackers mais famosos de todos os tempos
- Ameaças de malware em dispositivos móveis que merecem atenção
- Técnicas de implementação de malware
- Detecção de malware e exploits
- Como escolher uma solução antivírus
- Classificações de malware
