Engenharia social: o que é e como se proteger
A engenharia social é a arte de manipular pessoas para obter informação confidencial ou acesso não autorizado. Em vez de explorar vulnerabilidades técnicas, explora a psicologia humana: confiança, urgência, medo, curiosidade. É a técnica de ataque mais eficaz porque contorna todas as protecções técnicas: não importa quão forte é a firewall se alguém entrega a palavra-passe voluntariamente.
Técnicas comuns
Phishing: e-mails fraudulentos que imitam empresas legítimas para roubar credenciais ou instalar malware. A forma mais comum de engenharia social: milhões de e-mails de phishing são enviados diariamente.
Spear phishing: phishing direcionado a uma pessoa ou empresa específica. O atacante pesquisa a vítima (LinkedIn, site da empresa, redes sociais) e personaliza o ataque. Muito mais eficaz que phishing genérico.
Pretexting: o atacante cria uma história (pretexto) para obter informação. “Olá, sou do departamento de TI, preciso da sua palavra-passe para uma atualização urgente.” “Sou do banco, preciso de confirmar os seus dados por segurança.”
Baiting: oferecer algo atraente: um download gratuito, uma pen USB “perdida” no escritório: que contém malware. A curiosidade humana faz o resto.
Vishing: phishing por telefone. “Estou a ligar da Microsoft, detectámos um vírus no seu computador.” Convincente para pessoas menos familiarizadas com tecnologia.
Como se proteger
Verificação: nunca forneça informação sensível com base num contacto não solicitado. Se alguém liga do banco, desligue e ligue para o número oficial. Se recebe um e-mail urgente, aceda ao serviço diretamente pelo navegador: nunca pelos links no e-mail.
Formação: eduque toda a equipa. Simulações de phishing são particularmente eficazes: envie e-mails falsos de teste e use os resultados para formação.
Procedimentos: nunca partilhe palavras-passe, nem entre colegas. Não aprove transferências bancárias baseadas apenas num e-mail ou chamada. Confirme sempre por um segundo canal.
Princípio do menor privilégio: cada pessoa deve ter acesso apenas ao que precisa para o seu trabalho. Se um estagiário não precisa de acesso admin ao site, não dê.
Criar um segundo passo para pedidos sensíveis
Mudanças de IBAN, criação de acessos e envio de dados devem ter confirmação por um canal já conhecido. A pressão para agir depressa é uma pista útil, mas uma mensagem calma e bem escrita também pode ser fraudulenta.
Combine com a equipa que procedimentos não são dispensados por urgência ou hierarquia. Se alguém receber um pedido suspeito, deve conseguir reportá-lo sem receio. Preserve a evidência e valide a identidade com informação independente, em vez de confiar apenas no nome, assinatura ou fotografia apresentados.
Inclua as pessoas no plano de segurança
A tecnologia protege uma parte do serviço, mas muitas ocorrências começam com credenciais expostas, permissões antigas ou mensagens fraudulentas. Utilize palavras-passe únicas num gestor adequado, ative autenticação multifator quando disponível e defina quem pode aprovar alterações sensíveis. Nunca partilhe códigos de acesso numa resposta a uma mensagem inesperada.
O procedimento de recuperação deve ser conhecido antes de uma falha. Saiba quem administra o domínio, onde se encontram as cópias de segurança e como contactar o fornecedor. Após uma suspeita de incidente, registe os sintomas e preserve informação que possa ajudar a análise. A rapidez da reação é importante, mas alterações precipitadas podem apagar os elementos necessários para descobrir o que aconteceu.
Como agir nas primeiras horas depois de um alerta
Identifique o sistema afetado, limite acessos desnecessários e preserve registos. Não elimine ficheiros ou reinstale tudo sem compreender o alcance do incidente. Se suspeita que houve exposição de passwords, substitua-as a partir de um dispositivo de confiança e reveja os administradores existentes.
Depois da contenção, analise a origem e teste a recuperação. Restaurar um backup contaminado pode reproduzir a falha. Distinga factos confirmados de hipóteses para que a resposta não seja orientada por suposições.
Camadas de proteção com funções diferentes
SSL, firewall, proteção contra malware e backups têm objetivos distintos. O HTTPS cifra a comunicação, mas não elimina vulnerabilidades de plugins. Uma cópia de segurança apoia a recuperação, mas não substitui prevenção. A firewall pode bloquear padrões de ataque sem impedir que uma password roubada seja utilizada.
Reveja periodicamente versões, utilizadores e permissões. A empresa deve saber o que é responsabilidade do alojamento e o que pertence à manutenção da aplicação. Esta distinção facilita a resposta quando surge um incidente.
Confirmar pedidos antes de agir
Crie um procedimento para validar alterações de pagamento e de acesso por um canal conhecido.
Conheça os nossos planos de e-mail profissional e indique as contas e os dispositivos utilizados pela equipa. Fale connosco se precisa de ajuda a escolher.