Engenharia Social

A engenharia social é a manipulação psicológica de pessoas na esperança de obter acesso a informações ou sistemas confidenciais. É uma forma de truque de confiança com o objetivo de coleta de informações, fraude ou acesso a sistemas.

Os ataques usados na engenharia social podem ser utilizados para roubar informações ou dados confidenciais dos funcionários, e o tipo mais comum de engenharia social ocorre por telefone ou email. Outros exemplos de ataques de engenharia social incluem criminosos que se fazem passar por trabalhadores de serviços ou técnicos, para que passem despercebidos ao acederem ao local físico de uma empresa.

Princípios de Engenharia Social

Os principais métodos que os cibercriminosos usam para perpetrar engenharia social existem há muito tempo. Baseiam-se em princípios psicológicos fundamentais sobre o comportamento humano — os atacantes usam esses princípios para obter acesso a dados ou informações sensíveis.

• Reciprocidade: As pessoas tendem a retribuir um favor. Por exemplo, se um atacante for de alguma forma generoso ou atencioso, a vítima pode sentir-se compelida a fornecer acesso especial ou a contornar regras críticas.
• Compromisso: Quando alguém se compromete, verbalmente ou por escrito, a fazer algo, torna-se mais disposto a honrar esse compromisso porque passa a encará-lo como uma responsabilidade pessoal a cumprir. Por exemplo, em sites de leilões, as pessoas ficam presas em dar lances mais altos do que talvez tivessem inicialmente pretendido porque desejam 'vencer' o item em questão, independentemente do valor real do item.
• Prova social: As pessoas fazem coisas que veem outras pessoas a fazer. Por exemplo, um produto de software endossado por uma celebridade terá um maior sentido de valor para as pessoas, independentemente da sua qualidade, devido ao endosso.
• Autoridade: As pessoas tendem a obedecer a figuras de autoridade, mesmo que lhes sejam pedidos atos censuráveis. Num ataque de engenharia social, isto pode levar um funcionário de uma organização alvo a fornecer informações a um interlocutor que se faz passar por um agente da autoridade.
• Gosto: As pessoas são facilmente persuadidas por outras pessoas de quem gostam. Ser agradável e amigável é muitas vezes suficiente para permitir acesso especial a um atacante.

Principais formas de Engenharia Social

Os cibercriminosos usam a engenharia social para efetivamente executar vários ataques cibernéticos:

• Phishing: Uma técnica de obtenção de informações privadas através de meios manipulativos. Normalmente, o phisher enviará um email que parece vir de uma empresa legítima solicitando a autenticação de informações e alertando a vítima sobre complicações caso não sejam fornecidas. Essa ameaça leva a vítima a revelar informações sensíveis.
• Water holing: Uma estratégia de engenharia social direcionada que capitaliza a confiança que os utilizadores têm nos sites que visitam regularmente. A vítima sente-se segura a fazer coisas que não faria noutra situação. O atacante prepara então uma armadilha para a vítima no local de confiança.
• Quid pro quo: Um atacante contacta pessoas aleatórias numa empresa, alegando estar a ligar por um motivo legítimo. Esta pessoa acabará por encontrar alguém com um problema real, que fica grato pela ajuda proativa. Em seguida, tentará obter informações sensíveis da vítima enquanto ajuda a resolver o problema.

Defesas contra Engenharia Social

Existem várias defesas disponíveis para as empresas que ajudarão a proteger contra grandes tentativas de engenharia social nos seus funcionários:

• Estabelecimento de um quadro de confiança padrão: Estabelecimento de um forte quadro de confiança a nível de colaborador/pessoal através da formação dos colaboradores sobre como a informação sensível deve ser tratada.
• Examinar a informação: Identificar quais as informações sensíveis e avaliar a sua exposição a engenharia social e falhas nos sistemas de segurança.
• Seguindo os protocolos de segurança: Estabelecer protocolos de segurança, políticas e procedimentos para lidar com informações sensíveis. Formação de colaboradores: Formar os colaboradores nos protocolos de segurança relevantes para a sua função.
• Testes periódicos: Desenvolver uma estrutura é importante, mas é igualmente importante que os colaboradores sejam testados para garantir que estão a assimilar a informação. Realizar testes para ver como os colaboradores reagem a experiências controladas de engenharia social pode ajudar a ajustar a formação e as discussões na direção certa.

Os sistemas humanos estabelecidos em torno da tecnologia são consistentemente o elo mais fraco na cadeia de segurança. A atenção ao detalhe ao estabelecer formação e infraestruturas de segurança pode ajudar a proteger as empresas contra ciberataques e suas consequências relacionadas.