DefiniçãoEngenharia social é a manipulação psicológica de pessoas para que entreguem informações, acessos ou dinheiro, ou executem ações que comprometem a segurança. Em vez de explorar falhas técnicas, explora confiança, medo, pressa e respeito à hierarquia.
Como funciona
O atacante constrói um contexto crível e faz um pedido que, naquele contexto, parece razoável. Os gatilhos mais usados são previsíveis:
- Autoridade: o pedido parece vir de um diretor, do suporte de TI ou de um órgão oficial.
- Urgência: prazos curtos e ameaça de bloqueio ou de prejuízo.
- Vontade de ajudar: um colega ou fornecedor "em apuros" que precisa de uma exceção.
- Curiosidade e ganho: prêmios, documentos supostamente confidenciais, ofertas.
Técnicas comuns
- Phishing, smishing e vishing: por e-mail, mensagem ou telefone.
- Pretexting: uma história montada para justificar o pedido, como uma falsa auditoria.
- Fraude do falso executivo: pedido de transferência urgente e sigilosa, hoje também com deepfake de voz.
- Golpe do falso suporte: ligação para obter códigos de MFA ou convencer a vítima a instalar acesso remoto.
- Baiting e tailgating: pendrive deixado como isca ou entrada física em área restrita logo atrás de um funcionário.
Engenharia social vs phishing
Engenharia social é o conceito amplo; phishing é a forma mais comum de aplicá-lo. Uma ligação do "suporte" pedindo um código não envolve e-mail nem link, mas é engenharia social do mesmo jeito.
A defesa combina pessoas preparadas e processos que não dependem da percepção: confirmação por um segundo canal para pagamentos e mudanças de dados bancários, verificação de identidade antes de redefinir senha ou MFA e um canal simples para reportar tentativas. Esses controles param o golpe mesmo quando a voz, o e-mail ou o vídeo parecem autênticos.
Perguntas frequentes
Qual a diferença entre engenharia social e phishing?
Engenharia social é qualquer manipulação de pessoas para obter acesso, dados ou dinheiro. Phishing é uma técnica de engenharia social feita por mensagens, sites ou ligações que imitam uma fonte confiável.
Treinamento resolve a engenharia social?
Reduz o risco, mas não elimina. O treinamento precisa ser recorrente e vir acompanhado de processos, como a confirmação por um segundo canal, que barram o golpe mesmo quando a pessoa é enganada.