Engenharia Social: explorando a fraqueza humana

0
UNIVERSIDADE ESTÁCIO DE SÁ RIO DE JANEIRO
ENGENHARIA SOCIAL: EXPLORANDO O ELO MAIS FRACO DA
SEGURANÇA DA INFORMAÇÃO
DIEGO DOS SANTOS SOUZA
RIO DE JANEIRO
2013

1
UNIVERSIDADE ESTÁCIO DE SÁ RIO DE JANEIRO
ENGENHARIA SOCIAL: EXPLORANDO O ELO MAIS FRACO DA
SEGURANÇA DA INFORMAÇÃO
DIEGO DOS SANTOS SOUZA
Trabalho de Conclusão de Curso apresentado à
Universidade Estácio de Sá, como requisito
final para obtenção do título de especialista em
Segurança de Redes de Computadores.
RIO DE JANEIRO
2013

2
AGRADECIMENTOS
Agradeço primeiramente a Deus por me proporcionar a oportunidade da vida e me dá
forças e saúde, sem isso não seria possível superar os obstáculos e prosseguir.
Aos meus pais, por me ensinarem o valor da vida, do caráter e da dedicação.
A minha esposa Ethiene Cristina que sempre me deu apoio e me ajudou em tudo que
foi necessário, me incentivando a todo o tempo, para que eu pudesse dar o melhor de mim.

3
RESUMO
A engenharia social consiste na arte de enganar seres humanos, com objetivo na obtenção
de informações sigilosas. Onde os engenheiros sociais exploram falhas humanas. Utilizando
diversos métodos ilusórios como: dinheiro fácil, amor, curiosidade (e-mail informando que o
usuário ganhou um prêmio e outros assuntos atrativos).
Essas pessoas dotadas de conhecimento amplo em técnicas e esperteza para analisar o
perfil de sua vítima são conhecidas como Engenheiros Sociais, eles criam e traçam uma
estratégia para conseguir seus objetivos através da ingenuidade das vítimas. Assistimos isso
acontecendo a todo tempo principalmente através da internet. As vítimas normalmente são
pessoas comuns que não compreendem ou não valorizam suas informações, a ponto de
resguardá-las destes agentes mal intencionados. Caem em suas armadilhas.
Palavras-chave: Engenharia Social; Falhas Humanas; Informações.

4
ABSTRACT
Social engineering is the art of deception in human beings, in order to obtain
sensitive information. Where the social engineers exploit human failures. Using various
methods such as illusory: easy money, love, curiosity (email stating that the user has won na
award and other attractive subjects).
These people have broad knowledge and cunning techniques to analyze the profile of
his victim are known as social engineers, they create and map a strategy to achieve their goals
through the ingenuity of the victims. We see this happening all the time mainly via the
internet. The victims are usually ordinary people who do not understand or do not value your
information, safeguarding them from these malicious agents. Fall into their traps.
Keywords: Social Engineering; Human Error; Information.
Atualmente o m

5
LISTA DE TABELAS
Tabela 1: Tipos de Pessoas.......................................................................................................16
Tabela 2: Tipos de Intrusos.......................................................................................................25
Tabela 3: Áreas de Risco, Táticas e Estratégias........................................................................46
LISTA DE ILUSTRAÇÕES
Ilustração 1: Caixa de Entrada.................................................................................................31
Ilustração 2: Caixa de Entrada - Updates.................................................................................32
Ilustração 3: Bankline...............................................................................................................33
Ilustração 4: Phasma 3000.......................................................................................................38

6
SUMÁRIO
1.1 ENGENHARIA SOCIAL EM QUESTÃO ......................................................................9
1.2 FATOR HUMANO ..........................................................................................................10
1.2.1 Características de Vulnerabilidades Humanas...........................................................13
1.2.2 Engenharia Social + PNL..............................................................................................14
1.2.3 Princípios da PNL..........................................................................................................15
1.2.4 Tipos de Pessoas.............................................................................................................15
1.2.5 Alvos de um ataque........................................................................................................16
2 MÉTODO DE MANIPULAÇÃO.......................................................................................18
2.1 Manipulação de Sentimentos...........................................................................................18
2.2 Curiosidade .......................................................................................................................19
2.3 Confiança...........................................................................................................................20
2.4 Simpatia.............................................................................................................................21
2.5 Culpa..................................................................................................................................22
2.6 Medo ..................................................................................................................................23
2.7 Dicas para o Sucesso da Manipulação............................................................................24
3 FORMAS DE ATAQUES...................................................................................................25
3.1 Engenharia Social por Telefone ......................................................................................26
3.2 Através do Lixo ( Dumpster divining)............................................................................26
3.3 Senhas ................................................................................................................................26
3.4 Engenharia Social via Web..............................................................................................27
3.5 Engenharia Social Inversa...............................................................................................27
3.6 Utilizando Footprint.........................................................................................................29
3.7 Mesa Limpa.......................................................................................................................29
3.8 TRUQUES APLICADOS ................................................................................................30
3.9 E-mail Phishing.................................................................................................................30
3.10 Spear Phishing ................................................................................................................34
3.11 Whaling ...........................................................................................................................35
3.12 Vishing.............................................................................................................................35
3.13 E-mail Falso (Fake) ........................................................................................................37
3.14 Messengers Instantâneos................................................................................................40
4 FORMAS DE PREVENÇÃO.............................................................................................41
4.1 Dicas para não ser vítima da Engenharia Social ...........................................................42

7
4.2 Como se Proteger..............................................................................................................42
4.2.1 Política de Segurança (PSI) ..........................................................................................48
4.2.2 Plano de Treinamento e Conscientização....................................................................51
4.2.3 Plano de Resposta a Incidentes ....................................................................................54
CONCLUSÃO.........................................................................................................................56
REFERÊNCIAS LIVROS E ARTIGOS..............................................................................57
REFERÊNCIAS SITES .........................................................................................................58

8
INTRODUÇÃO
A cada dia que passa surge novas tecnologias no mundo, todo esse processo acontece
muito rápido. Por conta desse avanço tecnológico os fabricantes estão sempre criando
métodos para a proteção das tecnologias pois da mesma maneira que ocorre o crescimento
tecnológico, também ocorre o aumento das explorações de vulnerabilidades. Tentando evitar
as barreiras de proteções existentes em programas, hardwares ou em algum outro
equipamento tecnológico, a Engenharia Social caminha em passos largos com o objetivo de
conseguir obter informações através do elo mais fraco, o ser humano. Que por sua vez não
costuma estar conscientizado sobre o manuseio da informação, desconhece o perigo da
divulgação das informações é composto de sentimentos e emoções, tornando-se uma ótima
vulnerabilidade para um atacante.
Engenharia Social é uma prática, geralmente usada por pessoas mal intencionadas para
conseguir informações privilegiadas ou sensíveis, através de habilidades de persuasão,
enganação ou exploração da confiança das pessoas. Alguns consideram essa prática uma arte,
geralmente quem faz o ataque se aproveita de dados ou informações cujo quem está sendo
atacada acha desnecessária e sem perceber acaba passando elas de "bandeja" para um
atacante. O ser humano sempre vai tentar ser útil, de alguma forma tentar ajudar e com essa
"fraqueza" é possível obter todas as informações necessárias.
Este trabalho consiste em avaliar os perigos da utilização da técnica de engenharia
social como forma de ataque, analisando os principais métodos e ferramentas, visando um
esclarecimento simples através de exemplos de ataque, objetiva-se uma abordagem
introdutória sobre a engenharia social visando simplificar a teoria para melhor entendimento
do leitor.
No trabalho proposto iremos utilizar a pesquisa bibliográfica, em uma abordagem
qualitativa, comparando algumas fontes para alcançar os objetivos traçados, desse modo
pretendemos analisar no que consiste a Engenharia Social suas ferramentas e técnicas.

9
1.1 ENGENHARIA SOCIAL EM QUESTÃO
Neste capítulo pretendemos analisar a o termo Engenharia Social, como surgiu e o que
significa. Mostraremos algumas características humanas que ajudam os Engenheiros Sociais
em seus ataques.
O termo engenharia social ficou conhecido no ano de 1990, através do famoso hacker
Kevin Mitnick. Engenharia Social é uma prática, geralmente usada por hackers para conseguir
informações privilegiadas ou sensíveis, através de habilidades de persuasão, enganação ou
exploração da confiança das pessoas. Alguns consideram essa prática uma arte, geralmente
quem faz o ataque se aproveita de dados ou informações cujo quem está sendo atacada acha
desnecessária e sem perceber acaba passando elas de "bandeja" para um atacante. O ser
humano sempre vai tentar ser útil, de alguma forma tentar ajudar e com essa "fraqueza" é
possível obter todas as informações necessárias. "O Sistema pode ser impenetrável, 100%
seguro, porém existem pessoas por trás desses sistema, e o fator humano é o elo mais fraco
da segurança." (MITNICK, Kevin 15.09.2003)
Muitos são os significados e interpretações dadas ao termo “Engenharia Social”. Uma
das melhores encontradas é a seguinte:
Engenharia Social é a ciência que estuda como o conhecimento do
comportamento humano pode ser utilizado para induzir uma pessoa a atuar
segundo seu desejo. Não se trata de hipnose ou controle da mente, as técnicas de
Engenharia Social são amplamente utilizadas por detetives (para obter
informação) e magistrados (para comprovar se um declarante fala a verdade).
Também é utilizada para lograr todo tipo de fraudes, inclusive invasão de sistemas
eletrônicos. (KONSULTEX, 2004 apud PEIXOTO, 2006, p. 4).
As empresas hoje em dia dificilmente investem em treinamentos de conscientização
para seus colaboradores, com isso as chances de um ataque de engenharia social dar certo é
muito grande.
A falta de segurança é um problema sério e, infelizmente, muitas
universidades, empresas e muitos órgãos do governo não se exercitam, não
se atualizam. Eles deixam seus sistemas vulneráveis a ataques e não têm o
mínimo de perspicácia para perceber falhas humanas, cada vez mais
exploradas por hackers. (MITNICK, Kevin 15.09.2003)

10
1.2 FATOR HUMANO
Uma empresa pode ter adquirido as melhores tecnologias de segurança que o dinheiro
pode comprar, pode ter treinado seu pessoal tão bem que eles trancam todos os segredos antes
de ir embora e pode ter contratado guardas para o prédio na melhor empresa de segurança que
existe. Mesmo assim essa empresa ainda estará vulnerável.
Os indivíduos podem seguir cada uma das melhores práticas de
segurança recomendadas pelos especialistas, podem instalar cada produto de
segurança recomendado e vigiar muito bem a configuração adequada do
sistema e a aplicação das correções de segurança. Esses indivíduos ainda
estarão completamente vulneráveis. (MITNICK; SIMON, 2003, p. 3).
Temos que tomar muito cuidado quanto às técnicas maliciosas que enganam até
mesmos os especialistas no assunto.
O próprio Mitnick considerado o maior especialista em engenharia
social do qual se tem notícias, em uma das suas raras vindas ao Brasil no
final do ano de 2003, concedeu uma entrevista para a Information Week
Brasil, onde declarou que foi vítima de engenharia social ao receber uma
ligação de um jornalista dizendo que havia conversado com seu editor.
Desatento, Mitnick confiou na palavra do jornalista e deu uma entrevista
sobre o livro. Depois, quando a reportagem foi publicada o editor de Mitnick
ligou para ele furioso, pois toda a estratégia para o lançamento do livro The
Art of Deception (A arte de enganar) havia sido prejudicada por causa da
entrevista, que o editor não havia autorizado. (PEIXOTO, 2006).
Existem várias maneiras de se realizar um ataque do tipo engenharia social um dos
ataques mais utilizados é o da ligação telefônica, onde o atacante se passa por alguém
importante da empresa e consegue informações privilegiadas.
O velho e bom amigo telefone. Alguém liga para você dizendo que
trabalha no departamento de tecnologia e que está verificando um problema
na rede. Faz uma série de perguntas, pede para você digitar alguns comandos
e cria um buraco na segurança. Parece tolice, mas 50% das invasões não se
valem apenas da tecnologia, mas principalmente da fragilidade humana. A
dica para os funcionários é checar a identidade de quem ligou e, para as
empresas, adotar políticas de segurança e treinamento intensivo. O mais
importante é demonstrar que todo mundo é vulnerável e pode ser
manipulado, principalmente os que se julgam mais inteligentes. Eu já fui
'hackeado', achei engraçado na hora, mas depois parei para pensar e vi que
tinha algo errado. Em meu livro, A Arte de Enganar, citei alguns exemplos,
mas há sempre novas técnicas de persuasão.” (MITNICK, Kevin 2003 )
Normalmente não é necessário muito esforço para realizar grandes ataques, basta
mexer com a curiosidade humana.

11
Em vez de ficar se descabelando para encontrar uma falha no sistema,
o hacker pode largar no banheiro um disquete infectado, com o logotipo da
empresa e uma etiqueta bem sugestiva: 'Informações Confidenciais.
Histórico Salarial 2003'. É provável que alguém o encontre e insira na
máquina”. (MITNICK, Kevin 2003)
No trabalho, as pessoas nos solicitam coisas o tempo todo. Você tem o endereço de e-
mail desta pessoa? Onde está a lista de clientes? Quem é o responsável desta parte do projeto?
E adivinhe o que acontece? Às vezes as pessoas que fazem essas solicitações são aqueles que
você não conhece pessoalmente, gente que trabalha em outro setor da empresa ou que alega
trabalhar. Mas se as informações que dão coincidem e parecem ter o conhecimento. Alguém
diz "Isso está no servidor XYZ…"; "...os planos do novo produto"), estendemos o nosso
círculo de confiança para incluí-los e normalmente fornecemos aquilo que estão pedindo.
Devemos parar um pouco e nos perguntar. "Por que alguém na organização precisa ver os
planos do produto novo?" ou "Será que você podia me dar o nome do servidor no qual ele
está?". Assim, fazemos outras perguntas. Se as respostas forem razoáveis e a maneira como a
pessoa responde é segura, baixamos a guarda voltamos a nossa inclinação natural de confiar
no nosso colega e fazemos (com toda a razão) tudo que ele quer que façamos.
É da natureza humana achar que é improvável que você seja enganado
em determinada transação, pelo menos até que tenha algum motivo para
acreditar no contrário, nós ponderamos o risco e, em seguida, na maior parte
das vezes, damos às pessoas o benefício da dúvida. Esse é o comportamento
natural das pessoas civilizadas... pelo menos as pessoas civilizadas que
nunca foram enganadas, manipuladas ou trapaceada sem uma soma grande
em dinheiro. Quando éramos crianças, nossos pais nos ensinavam a não
confiar em estranhos. Talvez todos devêssemos adotar esse antigo princípio
no ambiente de trabalho de hoje. (MITNICK, Kevin 2003 – A Arte de
Enganar).
Um engenheiro social com grande experiência dificilmente pararia para pensar nas
maneiras de invadir o banco de dados de uma delegacia ou departamento militar. Por que ele
faria isso, quando com uma simples ligação para o departamento de polícia e um pouco de
conversa para mostrar que ele está por dentro, ele conseguiria o que quer, da próxima vez ele
apenas liga para um departamento diferente da polícia e usa o mesmo pretexto. Podemos nos
perguntar não é arriscado ligar para uma delegacia ou departamento militar? O atacante não
corre um risco imenso? A resposta é não... e por um motivo específico. As pessoas do
departamento de polícia, assim como os militares, têm incutido nelas desde o seu primeiro dia
na academia de polícia o respeito pela hierarquia,
Se o engenheiro social esteja se fazendo passar por um sargento, tenente ou major,
uma hierarquia mais alta do que aquela da pessoa com quem ele fala, a vítima será governada

12
pela lição bem aprendida que diz que você não questiona as pessoas com uma patente mais
alta do que a sua.
Todos devem ter conhecimento do modus operandi do engenheiro
social, Ele coleta o máximo possível de informações sobre o alvo e usa essas
informações para ganhar a confiança de alguém que trabalha dentro da
empresa do alvo. Em seguida, ele ataca a jugular! (MITNICK, Kevin 2003 –
A Arte de Enganar).
O atacante cria uma forma para convencer o alvo de que ele tem um problema que na
verdade não existe, ou, como neste caso, de um problema que ainda não aconteceu, mas que o
atacante sabe que vai correr porque ele mesmo vai causar. Em seguida, ele se apresenta como
a pessoa que pode fornecer a solução para o determinado problema causado.
Devido à semente plantada com antecedência, quando o alvo descobre que tem um
problema, ele mesmo faz a ligação telefônica para implorar ajuda. O atacante só tem de se
sentar e esperar que o telefone toque, uma tática conhecida na área como engenharia social
inversa. Um atacante que consegue fazer o alvo ligar para ele ganha credibilidade constante.
“Se um estranho lhe fizer um favor e depois pedir outro em troca, não faça nada sem antes
pensar cuidadosamente naquilo que ele está pedindo.” (MITNICK, Kevin 2003 – A Arte de
Enganar). Se eu fizer uma ligação para alguém que acho que trabalha no help desk, não vou
começar a pedir que ele prove a sua identidade. É nesse ponto que o atacante sabe que
conseguiu.
A maioria das informações comuns que um engenheiro social quer de um funcionário,
independente do seu objetivo final, são as credenciais de autenticação do alvo. Com um nome
de conta e uma senha em mãos de um único empregado na área certa da organização, o
atacante tem o que ele precisa para entrar e localizar as informações que está procurando. Ter
essas informações é como encontrar as chaves de um cofre; com elas em mãos é possível
mover-se livremente pelo espaço corporativo e encontrar o tesouro que se busca.
Antes que os empregados novos tenham acesso a qualquer sistema de
computador da empresa, eles devem ser treinados para seguir as boas
práticas de segurança, particularmente as políticas sobre nunca divulgar suas
senhas. (MITNICK, Kevin 2003 – A Arte de Enganar).
Atualmente as empresas se preparam com diversos equipamentos super avançados
para proteger sua rede e sistemas, isso não é um bastante olhando para o lado da engenharia
social, as empresas precisam se preocupar mais com a conscientização dos funcionários em
questão da manipulação das informações sensíveis. “Não dependa das salvaguardas e
firewalls de rede para proteger as suas informações. Olhe o seu ponto mais vulnerável.

13
Geralmente você descobre que aquela vulnerabilidade está no seu pessoal.” (MITNICK,
Kevin 2003 – A Arte de Enganar).
Normalmente as empresas utilizam a segurança da obscuridade para bloquear ataques
em sua rede ou sistema é algo importante, mais não é o suficiente para estar totalmente
segura.
A segurança através da obscuridade não tem nenhum efeito para
bloquear os ataques da engenharia social. Todo sistema de computadores do
mundo tem pelo menos um ser humano que o usa. Assim sendo, se o
atacante puder manipular as pessoas que usam os sistemas, a obscuridade do
sistema é irrelevante. (MITNICK, Kevin 2003 – A Arte de Enganar).
1.2.1 Características de Vulnerabilidades Humanas
É importante salientar que a engenharia social independente de sistemas
computacionais, software e ou plataforma utilizada, o elemento mais vulnerável de qualquer
sistema de segurança da informação é o ser humano, o qual possui traços comportamentais e
psicológicos que o torna suscetível a ataques de engenharia social. Dentre essas
características, pode-se destacar:
Autoconfiança: As pessoas buscam transmitir em diálogos o ato de fazer algo bom,
transmitir segurança, conhecimento, buscando sempre criar uma base para o início de uma
comunicação ou ação favorável a uma organização ou indivíduo.
Ser útil: É comum as pessoas agirem de forma cortes, bem como ajudar outros quando
necessário.
Fazer novas amizades: Muitas pessoas facilmente fazem amizades e contam tudo sobre suas
vidas, ficando mais vulnerável e aberto a dar informações.
Vaidade: Normalmente o ser humano costuma ser mais receptivo com aqueles que
concordam com suas opiniões e ações.
Persuasão: Capacidade de persuadir pessoas onde se busca obter respostas específicas. Isto é
possível porque as pessoas possuem características comportamentais que as tornam
vulneráveis a manipulação.
Outra grande vulnerabilidade dentro da empresa é o próprio
funcionário insatisfeito, desmotivado e desvalorizado. Todo o investimento
em tecnologia, treinamentos e conscientização, pode ser jogado fora se a
companhia não cuidar e valorizar seus funcionários. (PRESCOTT, 2007).

14
As pessoas cometem erros e normalmente sempre os mesmos.
“Eu não sou criptoanalista, nem matemático. Apenas sei como as pessoas cometem erros e
elas cometem sempre os mesmos erros.” (MITNICK; SIMON, 2005, p. 247).
“Os seres humanos são seres imperfeitos e multifacetados. Além disso, situações de risco
modificam seus comportamentos, e, decisões serão fortemente baseadas em confiança e grau
de criticidade da situação.” (VARGAS, 2002 citado por POPPER; BRIGNOLI, 2003, p. 7).
Em razão de todos esses fatores, sempre haverá brechas de segurança devido ao
comportamento humano e sua falta de consciência com relação à segurança da informação,
onde a engenharia social poderá produzir bons resultados.
As características acima apresentadas fazem parte de um sistema em que possuem
características comportamentais e psicológicas na qual a engenharia social passa a ser
auxiliada por outras técnicas como: leitura fria1
, linguagem corporal, termos usados no auxílio
da engenharia social para obter informações que não são físicas ou virtuais mas sim
comportamentais e psicológicas. A engenharia social é praticada em diversos ramos, visando
normalmente atacar um sistema de segurança informatizado ou não. Um engenheiro social
não é, necessariamente um profissional da área de tecnologia, a engenharia social é uma
técnica, portanto não precisa ser necessário um engenheiro social ser alguém que tenha
cursado faculdade, mas trata-se de uma pessoa que possui conhecimentos em diversas áreas
com o objetivo de encontrar falhas para a exploração.
1.2.2 Engenharia Social + PNL
A Programação Neurolinguística2
é um conjunto de modelos, estratégias e crenças que
seus praticantes utilizam visando principalmente ao desenvolvimento pessoal e profissional.
Baseada na ideia de que a mente, o corpo e a linguagem interagem para criar a percepção que
cada indivíduo tem das coisas e do mundo, e tal percepção pode ser alterada pela aplicação de
diversas técnicas. A fonte que embasa tais técnicas, chamada de "modelagem", envolve a
reprodução cuidadosa dos comportamentos e crenças daqueles que atingiram o "sucesso".
1
Leitura fria: É um conjunto de técnicas que buscam avaliar, de forma aprofundada ou superficial, uma pessoa
ou um ambiente físico; principal ferramenta ao auxílio de diversas profissões ligadas as características
comportamentais e psicológicas do ser humano.
2
Neurolinguística é a ciência que estuda a elaboração cerebral da linguagem. Ocupa-se com o estudo dos
mecanismos do cérebro humano que suportam a compreensão, produção e conhecimento abstrato da língua,
seja ela falada, escrita, ou assinalada

15
1.2.3 Princípios da PNL
a) As pessoas respondem a sua experiência, não à realidade em si.
b) Ter uma escolha ou opção é melhor do que não ter uma escolha ou opção.
c) As pessoas fazem a melhor escolha que podem no momento.
d) As pessoas funcionam perfeitamente.
e) Todas as ações têm um propósito.
f) Todo comportamento possui intenção positiva.
g) A mente inconsciente contrabalança a consciente; ela não é maliciosa.
h) O significado da comunicação não é simplesmente aquilo que você pretende, mas
também a resposta que obtém.
i) Já temos todos os recursos de que necessitamos ou então podemos criá-los.
j) Mente e corpo formam um sistema. São expressões diferentes da mesma pessoa.
k) Processamos todas as informações através de nossos sentidos.
l) Modelar desempenho bem-sucedido leva à excelência.
m) Se quiser compreender, aja.
1.2.4 Tipos de Pessoas
A maioria dos problemas do engenheiro social é de como ele deve saber lhe dar com
determinado tipo de pessoa. Pois as pessoas podem mudar seu temperamento. Devemos
aprender como reconhecer e lidar com diferentes tipos de pessoas. Isso é importante se você
está querendo realizar um teste humano no seu Penetration Test3
e realizar Engenharia Social
nos diferentes colaboradores de sua empresa para ver como eles reagiriam a uma situação
real.
3
Penetration Teste: Teste de penetração é um método que avalia a segurança de um sistema de computador
ou de uma rede, simulando um ataque de uma fonte maliciosa. O processo envolve uma análise nas atividades
do sistema, que envolvem a busca de alguma vulnerabilidade em potencial que possa ser resultado de uma má
configuração do sistema, falhas em hardwares/softwares desconhecidas etc.

16
Tipos de pessoas Como reconhecer Como lidar
Nervosos Parecem cansados e com
raiva. Inquietos,
impacientes. Pisando duro.
Falam muito e alto e
reclamam demais
Paciência, tranquilidade,
consideração, educação, calma,
presteza, agilidade e sangue frio.
Empatia, atenção redobrada e
bom humor. Use o medo se
necessário.
Indecisos Apreensivos. Querem
conversar mais sobre o
assunto. Receosos de
cometer erros. Falta-lhes
segurança
Moderação, calma, cortesia,
confirme a opinião dele próprio.
Demostre conhecimento e
paciência. Use a simpatia.
Desagradáveis Céticos(descrentes),
perguntadores,
conversadores, insultantes
Franqueza, conhecimento,
agilidade, cortesia, calma.
Controle próprio. Também use o
temor e medo
Duvidosos Críticos, indiferentes,
silenciosos, perguntam
demais.
Conhecimento da empresa, tato,
perseverança. Ser convincente.
Citar seus conhecimento de
normas e seus limites.
Silenciosos Não tem conhecimento.
Podem ser pensadores.
Podem estar fingindo saber.
Podem estar infelizes
Faça-lhes uma pergunta que os
leve a responder algo que gere
mais confiança. Espere pela
resposta. Esteja atento as deixas.
Tenha consideração e cortesia
Dependentes Tímidos e
sensitivos(sensíveis).
Indecisos. Velhos, surdos e
mudos. Infantis.
Fáceis de convencer. Gentiliza,
decisão. User a simpatia, pense
por eles, ajude-os seja claro.
De bom senso Agradáveis e Inteligentes Faça o que eles esperam. Seja
eficiente e eficaz. Cortesia e
consideração conquiste-os
rapidamente e use a curiosidade
TABELA 1
Fonte: (FLÁVIO, Araújo, 2010, p. 134)
1.2.5 Alvos de um ataque
Se fizermos uma análise minuciosa, dificilmente não encontremos alguém ou alguma
instituição que não tenha sido algo de um ataque de engenharia social.
Geralmente somos questionados por um determinado assunto e logo percebemos que
falamos até demais para a pessoa e que isso poderia ser algo perigoso se contado a outras. Isso
quando a pessoa se dá conta; muitas vezes ela fala e nem percebe o conteúdo do que foi dito.

17
Nós Podemos mostrar vários exemplos; entre eles, uma proposta de emprego que nos
interessa e, quando chegamos lá, nosso conhecido já ocupou a vaga, ou quando temos uma
venda praticamente concretizada ou uma boa oferta de compra e novamente nosso amigo
chegou na frente. Então nos questionamos: Mas como ele sabia? Só que nos esquecemos da
conversa que tivemos na praça na noite de sexta quando estávamos reunidos “trocando uma
ideia” e sem ao menos perceber o assunto foi comentado.
Em grandes empresas, instituições financeiras, militares, órgãos do
governo e até mesmo hospitais, a situação é semelhante. Só que, nesse caso,
envolvem pessoas preparadas, os chamados hackers4
, e as formas de ataque
utilizadas são mais audaciosas. A meta desses hackers é obter acesso não
autorizado a sistemas, sabotar informações, espionagem industrial, roubo de
identidade ou simplesmente sobrecarregar os sistemas a ponto de tirá-los de
operação. (Saldanha,2002).
Normalmente esses ataques são de baixo custo para o atacante e os prejuízos das
empresas podem ser enormes também, normalmente o maior prejuízo sempre afeta o lado
financeiro, pois os roubos da informações podem ciar um grande problema para a empresa
atacada quando se trata de espionagem industrial. A maioria das vezes o atacado nem sabe
que foi invadido e quando descobrem dificilmente conseguem rastrear de onde veio
determinado ataque.
Mesmo aquelas que descobrem que foram atacadas, dificilmente
admitem o fato, com receio de prejudicarem sua reputação. Na Inglaterra,
por exemplo, as empresas já podem ostentar um certificado de que exercitam
boas práticas de mercado no que diz respeito à segurança da informação, que
rapidamente está se tornando um diferencial competitivo para as empresas
que souberem administrá-lo (Saldanha,2002).
4
- Hackers são conhecidos também como piratas da Internet, que tem como objetivo invadir os computadores
desprotegidos utilizando as mais variadas técnicas para roubar informações (Módulo,2002).

18
2 MÉTODO DE MANIPULAÇÃO
Esta parte do trabalho tem como objetivo apresentar os métodos de manipulação
usados pelos Engenheiros Sociais. A partir disso, para que este texto tenha um entendimento
fácil, foi necessário que a pesquisador aprofundasse seus estudos diretamente relacionados
com livros correspondentes à área de Segurança da Informação.
a) Por e-mail: O engenheiro social envia um e-mail para o alvo contendo
informações que ele quer. Pode ser um pedido de documento importante ou
fingindo ser alguém do suporte de TI e requerendo uma mudança de senha. De
qualquer forma, seja a correspondência eletrônica ou real, quase sempre ela fica
perfeita. Com o logotipo da empresa, o e-mail de origem parece mesmo que vem
da empresa, tudo para não gera desconfiança.
b) Agindo Pessoalmente: É o método mais arriscado, porém um dos mais
eficientes. O engenheiro coloca uma boa vestimenta, um relógio com aparência
de caro e uma maleta com um laptop. Passando-se por um cliente, por um
colaborador da empresa ou até mesmo parceiro de negócios. As possibilidades
são infinitas, já que as pessoas tendem a confiar mais em alguém muito bem
vestido. Outra coisa que eles tendem a fazer pessoalmente: revirar o lixo de uma
empresa em busca de informações importantes, como listas de empregados ou
qualquer outra coisa que beneficie a Engenharia Social.
c) Pelo telefone: O engenheiro se passa por alguém importante, finge precisar de
ajuda ou mesmo se oferece para ajudar. O interesse dele é mexer com o
sentimento das pessoas, fazendo com que elas acabem entregando o que ele
deseja sem, muitas vezes, nem saberem disso.
2.1 Manipulação de Sentimentos
O Engenheiro Social tem como experiência forte manipular os sentimentos das
pessoas, levando-as a fazerem o que ele quer. Abaixo veremos os casos mais comuns de
manipulação, que são: Curiosidade, Confiança, Simpatia, Culpa e Medo.

19
2.2 Curiosidade
A curiosidade faz parte do instinto humano, pois faz com que um ser explore o
universo ao seu redor compilando novas informações às que já possui. Sabendo disso, o
engenheiro social vai tentar aflorar de todas as maneiras a curiosidade dos empregados da
empresa-alvo. Existem diversas técnicas para se fazer isso, desde o envio de um falso cartão
por e-mail (o que é geralmente barrado antes de chegar nos funcionários) até técnicas que
parecem absurdas à primeira vista, mas que funcionam.
Veja o exemplo a seguir:
Daniel Lopes é um mentiroso nato. Mestre na arte de enganar, ganha a
vida como espião industrial e comercial. A pessoa que o contratou lhe
forneceu mais um serviço importante: ele teria que conseguir roubar o banco
de dados com informações de clientes de uma grande empresa alimentícia.
Infelizmente nessa empresa ele não conhecia ninguém que facilitasse o
acesso e tentou fazer uma ligação para a atendente, mas não conseguiu
fornecer bons argumentos para que ela digitasse alguns comandos no seu
computador. Com medo de que ela desconfiasse, Daniel agradeceu e
desligou. Como ele faria então? Teve uma idéia. Vestiu-se com um belo
terno e se apresentou à segurança como um investidor internacional da
empresa, citando nomes de várias pessoas que trabalhavam lá dentro. Claro,
ele pesquisou as pessoas que estariam de férias na ocasião e as citou. Após
ter a entrada liberada, ele dirigiu-se para o elevador mais movimentado da
empresa. Subiu com ele para o último andar. Depois de todos deixarem o
elevador, Daniel tirou cuidadosamente um CD de seu bolso e colocou no
piso do elevador. Na capa do CD estava escrito “Fotos Comprometedoras –
Não abrir”. Despistadamente, então, ele deixou o prédio e foi checar o seu
notebook com conexão à rádio. Meia hora depois, ele conseguiu um acesso
para dentro da empresa. Isso porque alguém não aguentou de curiosidade e
abriu o conteúdo do CD no seu computador da empresa. Em outro trabalho
parecido, a segurança não deixou Daniel passar. Ele pensou, então, em outro
método. Ouviu pessoas da empresa comentando que todas as sextas-feiras o
seu computador reiniciava sozinho. Daniel deduziu que isso se dava devido à
instalação de patchs de segurança naquelas máquinas e bolou um plano.
Como a atualização era feita só uma vez por semana, ele aguardou uma falha
grave no navegador Internet Explorer ser divulgada em um sábado ou
domingo. Não deu outra, leu sobre uma falha que havia acabado de sair,
permitindo que se executasse softwares locais na máquina através do
navegador sem que o usuário percebesse.
Daniel, então, fez algo inédito. Pagou 800 reais para colocar um outdoor,
bem em frente à empresa, com as palavras: “Compre seu celular de última
geração de modo fácil: entregue seu aparelho antigo e, com mais um real,
escolha aquele que você quiser ter www.celular1real.com.br”. Esse site,
claro, estava preparado com a falha descoberta. O outdoor foi colocado na
terça-feira à tarde. Até sexta-feira, Daniel já havia tido acesso a vinte
computadores. (FLÁVIO, Marcos – Segredos do Hacker Ético).

20
2.3 Confiança
Os Engenheiros Sociais usam muito a confiança também como meio de manipular as
pessoas. Ela pode ser estabelecida de diversas formas: você pode se passar por um
funcionário de outra filial, citar procedimentos técnicos do manual da empresa ou,
simplesmente, oferecer-se para ajudar com algum problema. Outra coisa comum é você
receber um e-mail com o endereço de origem de um amigo ou colega de trabalho e esse e-
mail vir com um anexo. Sempre passe o antivírus antes. Isso porque e-mails podem
facilmente ser forjados, tome muito cuidado, pois é uma das maiores formas de Engenharia
Social. No geral, todos esses fatores fazem com que a sua “resistência” a entregar
informações fique mais fraca.
Um exemplo a seguir:
Riiiing Riiing (Telefone tocando)
Paulo – Alô?
Melissa – Senhor Paulo? Aqui quem fala é a Melissa, operadora da VisaNet.
Gostaria de avisar que a sua mudança de endereço já foi efetuada. Mais
alguma coisa que o senhor deseja conosco?
Paulo – Mudança de endereço? Eu não requisitei nenhuma mudança...
Melissa – Senhor, nos nossos registros, consta um pedido feito anteontem à
tarde, logo depois de efetuar a compra das passagens de avião da empresa
Varig.
Paulo – Hei, garota, eu não comprei passagem nenhuma... tem alguém
usando meu número indevidamente! (Gritando ao telefone)
Melissa – Vou olhar isso agora para o Senhor. Posso cancelar esses pedidos
daqui, só preciso confirmar alguns dados. O número do cartão mais o dígito
identificador.
Paulo disse o número do cartão. Melissa pediu mais informações.
Melissa – Qual é a data de vencimento? E o seu nome completo, como está
escrito no cartão?
Por um momento, Paulo desconfiou. Melissa percebeu e imediatamente
disse:
Melissa – Senhor, esse é um procedimento padrão. Eu possuo todos os seus
dados aqui, a checagem é apenas para lhe fornecer uma segurança.
Afinal, qualquer pessoa poderia tentar se passar por você. Para lhe
comprovar, seu nome completo é Paulo Azevedo Braga.
Paulo – Tudo bem (respirando aliviado). A minha data de vencimento é
08/2007.
Melissa – Ok. Tudo verificado. Estarei entrando em contato com o senhor
logo que cancelar o pedido das passagens e a mudança de endereço.
Paulo ficou muito satisfeito pelo atendimento rápido e dedicado daquela
pessoa. Só percebeu que havia caído em um golpe quando viu o seu extrato
do cartão de crédito. Havia contas absurdas.

21
2.4 Simpatia
Um dos melhores exemplos de simpatia é relacionada a sedução feminina. É bem mais
fácil uma mulher bonita ser bem sucedida no ataque de Engenharia Social com os seguranças
de uma empresa do que um homem. Esse método vale tanto para contato pessoal quanto para
contato via telefone, pois se a pessoal mal intencionada que fala com o alvo tem uma voz
doce e meiga, inconscientemente você acaba descartando a possibilidade daquela pessoa
tentar “lhe dar um golpe”.
Exemplo:
Jane Soares é uma detetive particular, especializada em descobrir
“puladas extraconjugais”. Uma de suas clientes tinha certeza de que o
marido a estava traindo e pediu à Jane que investigasse. A única dica que ela
tinha era um telefone estranho que sua cliente havia visto no celular do
esposo enquanto este tomava banho. Jane acreditava que esse telefone, que
era um número fixo, poderia ser da residência da “outra”. Ela teria então que
conseguir um método de descobrir o endereço por trás do número.
Após pensar um pouco, ela ligou para a companhia telefônica:
- TeleRio, em que posso ajudar? – perguntou um atendente que, pela voz,
parecia ser um homem com seus vinte e poucos anos.
- Oi, aqui é do suporte técnico AX44, estamos com um problema grave. A
chuva derrubou um poste e comprometeu grande parte da fiação da região na
qual estou. Já tentei ligar para o Centro de Ajuda aos Técnicos, mas parece
que está superlotado. Parece que não foi só aqui que andou caindo a energia.
Você poderia me ajudar, por favor? – Jane reforçou a última frase com um
tom bem sensual na voz.
- O que gostaria que eu fizesse?
- Bom, estou com uma lista de telefones aqui para serem religados após eu
arrumar a fiação. Mas, nessa chuva toda, eu acabei perdendo o endereço de
um dos números. A droga do papel molhou e eu não consigo ler nada.
Mas que droga! Bem que eu queria estar em casa debaixo das cobertas
agora.
O operador riu. Respondeu que também já teve dias difíceis no trabalho, e
disse ainda:
- Acho que não tem problema em ajudar uma colega em apuros.
Qual o número?
- 38271998.
- Só um minuto. Sim, aqui está: Rua Hugo Santos, 90, apartamento 205,
Santa Mônica.
- Oh! Que ótimo! Estou aqui perto já. Muito obrigada, amorzinho, você foi
muito prestativo. Precisando de algo, é só falar comigo... – completou Jane.
- Sem problemas... – respondeu o operador sem perceber a trapaça e achando
muito bom ter ajudado uma colega com problemas, especialmente uma com
a voz tão bonita.
(FLÁVIO, Marcos – Segredos do Hacker Ético)

22
2.5 Culpa
As pessoas quando sentem algum tipo de culpa normalmente são mais propensas a
ajudar. Isso também ocorre no meio da Engenharia Social. Culpe alguém e faça essa pessoa
lhe ajudar no que você quiser. Dentro de uma instituição, os colaboradores mais vulneráveis a
essa emoção são os que normalmente acabaram de entrar na empresa, estão querendo mostrar
serviço. A história a seguir demonstra um exemplo. Rodolfo já estava atuando há quase duas
semanas como estagiário naquela grande instituição. Apesar de sua especialidade ser
administração pura, colocaram-no a maior parte do tempo para fazer digitação, planilhas e
consultas no banco de dados da rede. Ele teve certa dificuldade, afinal, é péssimo em lidar
com computadores. Mas as pessoas foram legais e acabaram ajudando-o. Um dia ele recebeu
um telefonema estranho.
A pessoa identificou-se como sendo do Help Desk da empresa, que ficava em um
prédio diferente do de Rodolfo.
- Alô, quem fala?
- É Rodolfo Rosa, quem fala?
- Aqui é o Hugo do CPD da YSxL (nome da empresa). Rapaz, o que você
andou aprontando por aí?
O estagiário novato começou a suar frio com aquele tom de voz.
- Como assim?
- Ora, um vírus que está partindo do seu computador infectou grande parte
dos nossos sistemas aqui. Isso pode ser um grande problema para você...
*Glup* Rodolfo engoliu seco. Mesmo não sabendo como aquele vírus foi
sair do sistema dele, sentiu-se culpado por criar problemas.
- O que eu posso fazer para arrumar? – perguntou.
- Daí não pode fazer nada, seu acesso é restrito. Vou quebrar o seu galho.
Faz o seguinte: como não posso ir aí, pois nossos prédios são bem distantes,
posso arrumar o seu computador através da rede. Para isso, preciso do seu
usuário e senha de acesso.
*Ooops... * – pensou Rodolfo. Por que justamente o administrador precisaria
da minha senha?
Mas, antes que ele dissesse alguma coisa, a pessoa no telefone continuou:
- Claro que eu poderia procurar a sua senha aqui no sistema, mas isso vai
demorar um pouco e o vírus pode causar ainda mais estragos nesse tempo. O
que você prefere?
- Tudo bem, então – respondeu Rodolfo. Meu nome de usuário é rodorosa e
minha senha é bsb2281.

23
2.6 Medo
A utilização do medo para manipulação é uma das armas das mais poderosas, pois
tende a obter resultados muito rápidos. Isso porque ninguém consegue aguentar a pressão por
muito tempo e acaba entregando as informações rapidamente. Geralmente, as “ameaças”
parecem vir de pessoas com uma hierarquia bem maior que a do alvo dentro da empresa.
Afinal, se um colega lhe ordenasse alguma coisa, você riria dele. Mas, e o vice-presidente da
empresa? Então se passando por alguém de alto grau da empresa tudo fica mais fácil para
chegar ao objetivo.
Exemplo a seguir:
A ReRodrigues é uma empresa especializada em gerar relatórios para
os executivos de empresas maiores, fundada por Rodrigo da Costa. Muitas
empresas grandes terceirizam esse serviço com eles, o que acaba fazendo
com que muitas informações preciosas dessas empresas passem pela
ReRodrigues. Claro, eles possuem um contrato de confidencialidade entre si.
Em um sábado pela manhã, Rodrigo recebeu uma ligação do seu maior
cliente, um grande laboratório farmacêutico. Era uma mulher, com uma voz
um pouco rouca.
- ReRodrigues, no que posso ajudar?
- Olá, aqui é do gabinete do vice-presidente da Duveh, sou Talita, sua
secretária.
Era a primeira vez que Rodrigo recebia uma ligação do alto-escalão da
empresa. Continuou:
- Sim, do que você precisa?
A mulher mudou o tom de voz para um mais cínico.
- Bom, sabe o que é? O relatório de hoje de vocês simplesmente não chegou.
- Relatório? Mas não foi requerido nenhum para hoje.
- Como não? Eu mesma havia feito o pedido do relatório via e-mail. Era para
ser entregue hoje.
- Não recebi nenhum e-mail.
- Olha – suspirou a secretária – se vocês estão com problemas aí e não
receberam meu e-mail não é da minha conta. Só sei que preciso desse
relatório aqui o mais rápido possível ou cabeças irão rolar, inclusive as
nossas.
- Não dá pra fazer isso rápido assim, temos um protocolo e...
- Faz o seguinte, vou te passar para o vice-presidente. Ele não é tão tolerante
quanto eu.
Rodrigo sentiu um frio na espinha.
- Olha, moça, me manda o tipo de relatório que te passo.
- Para adiantar, me manda por e-mail o relatório. Eu imprimo aqui.
Coloque todas as transações comerciais realizadas no último mês, com os
nomes e contatos dos clientes. Meu e-mail é
vicepresidente@duveh.cjb.net. Mande o mais rápido possível.
- Pode deixar, estarei enviando daqui a uma hora no máximo – respondeu

24
Rodrigo. Ok, está anotado. Escuta, preciso que você faça o logoff da sua
máquina por uns dez minutos. Logo que eu acabar de remover o vírus, eu te
ligo para você entrar de novo.
- Estarei aguardando.
Até hoje ele aguarda pela ligação. Foi mandado embora pouco tempo depois.
2.7 Dicas para o Sucesso da Manipulação
a) Profissional: Você não quer que a pessoa desconfie, já que está criando uma ilusão.
Tente transparecer confiança.
b) Fique calmo: Dê a impressão que você pertence àquele local.
c) Conheça sua marca: Conheça seu inimigo. Saiba exatamente como ele irá reagir antes
que o faça.
d) Não tente enganar alguém esperto: Isso resultará em desastre. Sempre existem pessoas
mais ingênuas.
e) Planeje sua fuga: Se alguém suspeitou, não entre em pânico e corra. Salve a fonte.
f) Tente parecer uma mulher: Está provado que as mulheres dão mais confiança ao
telefone. Use isso como vantagem. Use a ajuda de uma mulher se necessário.
g) Marcas d’água: Aprenda a fazê-las. São importantes em e-mails e correios falsos.
h) Cartões de apresentação e nomes falsos: Use-os para impressionar e parecer
profissional.
i) Use um time se for necessário: Não seja arrogante e autoconfiante. Se precisar de
ajuda, consiga.

25
3 FORMAS DE ATAQUES
As formas de ataque são as mais variadas sempre explorando a fragilidade e
ingenuidade das pessoas. Nenhum artigo sobre ataques de engenharia social estaria completo
sem citar Kevin Mitnick (Goodell,1996), que, até ser capturado, era considerado o maior
hacker de todos os tempos. Iguais a ele, atualmente existem muitos, e as táticas utilizadas são
basicamente as mesmas.
Antes de apresentar algumas formas de ataque, o ideal é citar quem são os atacantes.
Está enganado quem pensa que os ataques sempre são executados pelos hackers. A tabela a
seguir mostra alguns tipos de intrusos e seus principais objetivos – Tipos de Intrusos
Intrusos Objetivos
Estudantes Bisbilhotam mensagens de correio eletrônico de outras
pessoas por diversão;
Hackers/Crackers Testar sistemas de segurança, ou roubar informações;
Representantes Comercias Descobrir planilhas de preços e cadastros de clientes;
Executivos Descobrir plano estratégico dos concorrentes;
Ex- Funcionários Sabotagem por vingança;
Contadores Desfalques financeiros;
Corretores de valores Distorcer informações para lucrar com valor das ações
Vigaristas Roubar informações, como senhas e números de cartões de
crédito;
Espiões Descobrir planos militares;
Terroristas Espalhar pânico pela rede e roubar informações estratégicas
TABELA 2
Fonte: (FLÁVIO, Araújo, 2010, p. 134)
Os ataques de Engenharia Social podem ter dois aspectos diferentes:
o físico, como local de trabalho, por telefone, no lixo ou mesmo on-line, e o
psicológico, que se refere à maneira como o ataque é executado, tal como
persuasão. (Maia,2002).

26
3.1 Engenharia Social por Telefone
Com esse tipo de ataque consiste em desde roubar dados, informações de
colaboradores sem conscientização ou até utilização de grampo telefônico. Uma pessoal mal
intencionada chega na empresa passando-se por um analista técnico que fará manutenção da
central telefônica e, em seguida, desvia uma linha de onde pode efetuar ligações para qualquer
parte do mundo, ou então pode grampear os telefones de algum diretor executivo. Outro alvo
importante, também são os call centers.
Os atendentes têm por obrigação atender a todos da melhor maneira
possível, solucionando todas as dúvidas possíveis. Então entra em cena o
talento do hacker que poderá, com isso, conseguir dicas de utilização dos
sistemas e até senhas de acesso (Granger,2001).
3.2 Através do Lixo ( Dumpster divining)
Normalmente as empresa não tratam o lixo de forma adequada tal lixo pode ser uma
fonte muito rica de informações para uma pessoa mal intencionada. Bisbilhotar o lixo, é um
método muito usado pelos invasores, porque é comum encontrarmos diversos itens como
agendas, blocos com anotações, xerox de documentos de funcionários da empresa
organograma, manuais de sistemas utilizados, memorandos, relatórios com informações
estratégicas, apólices de seguro e até anotações com login e senha de usuários.
As listas telefônicas podem fornecer os nomes e números das pessoas-
alvo, o organograma mostra quem são as pessoas que estão no comando, as
apólices mostram o quanto a empresa é segura ou insegura, os manuais dos
sistemas ensinam como acessar as informações e assim todo e qualquer lixo
poderá ser de grande valia para uma pessoa mal intencionada
(Granger,2001).
3.3 Senhas
Temos que tomar cuidado com nossas credenciais de acesso.
Os principais pontos fracos das empresas costumar ser as
senhas. Podemos observar que em muitas empresa é comum que as
pessoas dividam seus logins de acesso com outras ou escolherem
senhas fracas, sem a menor preocupação com a segurança da
informação. Muitos utilizam como senha, palavras que existem em
todos os dicionários, seus apelidos, ou até mesmo o próprio nome que,
com um software gerenciador de senhas, é possível decifrá-las em

27
segundos(Virinfo,2002). Segundo Kevin Mitnick (2001), elas chegam
a representar 70% do total de senhas utilizadas nas empresas.
3.4 Engenharia Social via Web
A Engenharia Social Web também é popularmente conhecida como Online.
A Web nos proporciona muitos benefícios, mas também podem nos
trazer muitos problemas caso seja utilizada de maneira inconsciente a
maneira mais fácil e usada para conseguir algum tipo de acesso não
autorizado é através da internet. Devido à falta de disciplina dos usuários que
criam senhas sem complexidades e ficam longos períodos sem alterá-las, e
ainda utilizam a mesma senha para acesso a várias contas, torna o ataque
mais simples ou eficaz. Basta enviar um cadastro oferecendo um brinde ou a
participação em um sorteio que solicite o nome e senha do usuário e pronto.
O hacker terá a sua disposição tudo o que é necessário para um ataque, sem
grande esforço (Granger,2001).
As salas de bate-papo também são um canal explorado para o roubo
de informações. Homens e mulheres se dizem jovens, atraentes e de bom
papo. Na verdade podem ser farsantes que manipulam os sentimentos das
pessoas em busca de informações (Maia,2002).
Outro meio de se obter informação on-line, é se passar pelo administrador da rede,
que, através de um e-mail, manda um link informando do novo sistema da empresa e que será
necessário fazer a confirmação de cadastro. Muitas pessoas desinformadas acabam
preenchendo o cadastro sem saber se realmente é da empresa e confiável.
Os e-mails5
também podem ser usados como meio para conseguir
acesso a um sistema. Por exemplo, um e-mail enviado para alguém pode
conter um vírus de computador ou cavalos de tróia6
, que, quando instalados
no computador da vítima, podem destruir todas as informações, ou
simplesmente ficar ocultos e transmitindo ao invasor todo tipo de
informação como, senhas, números de cartão de crédito, ou mesmo abrir o
firewall da empresa, deixando-a vulnerável a qualquer tipo de ataque
(Granger,2001)
3.5 Engenharia Social Inversa
Método avançado de conseguir informações. Ocorre quando uma pessoa mal
intencionada cria um personagem em que aparece numa posição de autoridade, de modo que
5
E-mail são mensagens enviadas por correio eletrônico usando a Internet como meio de transporte.
6
Cavalos de tróia são programas ou fragmentos de códigos maliciosos que uma vez instaladas em um
computador permitem o roubo de informações.

28
todos os usuários lhe pedirão informação. Se pesquisados, planejados e bem executados, os
ataques de engenharia social inversa permitem ao atacante obter dos funcionários informações
muito valiosas; entretanto, isto requer muita preparação e pesquisa. 7
Os três métodos
principais de ataques de engenharia social inversa são, sabotagem, propaganda e ajuda. Na
sabotagem, o atacante causa problemas na rede ou sistema, então divulga que possui a solução
para este, e se propõe a solucioná-lo. Na expectativa de ver a falha corrigida, os funcionários
passam para o atacante todas as informações por ele solicitadas. Após atingir o seu objetivo, o
atacante elimina a falha e os serviços voltam a funcionar normalmente. Resolvido o problema
os funcionários sentem-se satisfeitos e jamais desconfiarão que foram alvos de um hacker.
As redes sociais e serviços online estão crescendo rapidamente a cada dia. O
Facebook, por exemplo, foi classificado como o segundo site mais visitado na Internet, Uma
das principais características das redes sociais é a comunicação entre amigos e familiares, é
possível também encontrar novos amigos. Por exemplo, sites de redes sociais podem tentar
identificar automaticamente que os usuários conhecem uns aos outros, a fim de propor
recomendações de amizade.
Diversos sites de redes sociais são críticos em relação à segurança do usuário e
privacidade devido à grande quantidade de informação disponível sobre eles, bem como a sua
base de usuários muito extensa. Pesquisas mostraram que os usuários de redes sociais online
tendem a apresentar um maior grau de confiança em pedidos de amigos e mensagens enviadas
por outros usuários. Mesmo que o problema de mensagens não solicitadas em redes sociais
(ou seja, spam) sejam enviados, já foi estudado em detalhe, e até agora, inverter ataques de
engenharia social em redes sociais não receberam qualquer atenção de seus hosts.
Em um ataque de engenharia social inversa, a pessoal mal intencionada não inicia o
contato com a vítima como comumente acontece. Em vez disso, a vítima é levada a entrar em
contato com o atacante. Como resultado, um elevado grau de confiança é estabelecido entre a
vítima e o hacker, como a vítima é a entidade que estabeleceu a relação fica mais fácil invadir
sua privacidade e roubar seus dados e arquivos.
7
Atacante : Hacker , pessoal mal intencionada

29
3.6 Utilizando Footprint
O invasor nem sempre consegue obter informações desejadas através de um
telefonema ou uma conversa amigável, seja porque as pessoas não tem conhecimento
necessário ou por não conseguir alcançar pessoas despreparadas.
Então o atacante utiliza uma técnica conhecida como footprint, que, através de
softwares específicos, consegue as informações necessárias ao ataque.
Footprint é a uma técnica de organização de ideias com o um todo, tentando criar o
melhor e mais completo perfil do alvo a ser atacado. O intuito é criar um perfil de uma
máquina-alvo, para descobrir falhas que possam ser exploradas a partir de configurações e
senhas padrões. A partir do resultado do Footprint é que é traçado a estratégia de ataque.
Dura, enquanto for necessário. Pode ser colocado em prática de muitas formas, e é limitado
apenas pela imaginação do atacante.
Usando uma combinação de ferramentas e técnicas, atacantes podem empregar um
fator desconhecido e convertê-lo em um conjunto específico de nomes de domínio, blocos de
redes e endereços IP8
individuais de sistemas conectados diretamente na Internet.
“Embora haja diversas técnicas diferentes de footprint, seu objetivo primário é
descobrir informações relacionadas a tecnologias de internet, acesso remoto e extranet9
(Veríssimo,2002).”
3.7 Mesa Limpa
As pessoas costumam deixar em suas mesas diversos documentos espalhados,
infringindo a política de mesa limpa.
Nomes, lista de ramais, endereços eletrônicos, organogramas e
outros dados da empresa, comumente ficam expostos em lugares onde
transitam pessoas estranhas. Um hacker pode simplesmente entrar na
empresa como se fosse um técnico em manutenção ou consultor que tem
livre acesso às dependências da empresa e, enquanto caminha pelos
corredores, podem ir captando todas estas informações que porventura
estejam expostas (Maia,2002).
8
IP são protocolos da Internet.
9
Uma extranet é uma intranet que pode ser acessada via Web, mas com restrições de segurança aos seus dados
corporativos, por clientes ou outros usuários autorizados.

30
3.8 TRUQUES APLICADOS
Os engenheiros sociais também aplicam vários truques utilizando a informática,
visando obter informações e dados importantes que, normalmente, não seriam tão facilmente
entregues. Um desses truques é fazer com que alguma pessoa pense que está recebendo e-mail
de um amigo qualquer com um anexo, quando, na realidade, é uma ferramenta de invasão
(uma porta dos fundos10
, por exemplo) que, se for instalada, dará acesso total ao sistema para
o invasor. Se você recebesse um e-mail assim de um amigo e seu antivírus nada detectasse (já
vimos que é fácil esconder dele esses programas) você executaria o anexo? Pense.
Veremos algumas artimanhas desse tipo aqui. :
3.9 E-mail Phishing
Umas das ferramentas mais utilizadas na internet hoje são os e-mails e que hoje
possuem diversos recursos avançados de comunicação. Correspondemo-nos instantaneamente
com quem quisermos, na hora em que desejarmos. Justamente por todos os recursos que ele
nos oferece é uma das principais ferramentas usadas pelos engenheiros sociais e pelos vírus,
para ganhar acesso não autorizado ao seu computador. Como isso acontece? Uma das formas
é através de anexos de arquivos no e-mail. O mais comum é você receber um e-mail estranho,
de alguém que você não conhece, com um arquivo anexado.
10
Backdoor (também conhecido por Porta dos fundos) é uma falha de segurança que pode existir em um
programa de computador ou sistema operacional, que pode permitir a invasão do sistema por um cracker para
que ele possa obter um total controle da máquina. Muitos crackers utilizam-se de um Backdoor para instalar
vírus de computador ou outros programas maliciosos, conhecidos como malware.

31
ILUSTRAÇÃO 1
Fonte: (FLÁVIO, Marcos – Segredos do Hacker Ético).
No exemplo anterior, o e-mail selecionado é provavelmente um vírus ou ferramenta de
invasão que utiliza alguma mensagem que faça aguçar a curiosidade de quem o recebe (lembre-se, a
curiosidade é uma das técnicas mais usadas). Note o ícone do clipe que está na frente do nome de
quem enviou a mensagem. Significa que a mensagem veio com um anexo. “Muita gente com
curiosidade clica no anexo, alguns aparecem com nomes que atiçam muito a curiosidade”. Exemplo:
”Vejam as fotos que achei da nossa infância” Ou “Fotos da Secretária como veio ao mundo”.
“Outra técnica utilizada pelos engenheiros sociais é através da utilização de vírus, mandar para
o alvo um arquivo ZIP11
(compactado), com a senha para descompactar no corpo do e-mail. Isso barra
o antivírus e fornece uma falsa sensação de confiança (outro atributo importante ao estelionatário),
pois passa a impressão de que a pessoa está lhe mandando um arquivo importante e que confiou a
senha a você. Essa técnica é mostrada a seguir” (FLÁVIO, Marcos – Segredos do Hacker Ético).
11
ZIP é um formato de arquivo que suporta a compressão de dados sem perdas. Um arquivo. ZIP pode conter
um ou mais arquivos ou pastas que podem ter sido comprimidas. O formato de arquivo. ZIP permite uma série
de compressão algoritmos

32
ILUSTRAÇÃO 2
Fonte: (FLÁVIO, Marcos – Segredos do Hacker Ético)
Está vendo o arquivo suspeito? Se você digitar a senha mostrada anteriormente no
corpo do e-mail (57317), possivelmente vai encontrar um arquivo executável pronto para ser
rodado e instalar algum tipo de malware12
no seu sistema. Muitas vezes esses e-mails se
disfarçam também de cartões virtuais, convites e, o pior, da maioria das vezes de instituições
financeiras. (FLÁVIO, Marcos – Segredos do Hacker Ético)
Essa técnica é a grande responsável pelos ataques de phishing13
hoje em dia. Esses
ataques consistem em enviar um e-mail falso, geralmente para os clientes de algum banco ou
instituição financeira, fazendo com que o e-mail pareça ter vindo do próprio banco (algo
como <gerencia@meubanco.com.br>). Alguns dos assuntos contidos nesses e-mails:
12
O termo malware é proveniente do inglês malicious software; é um software destinado a se infiltrar em um
sistema de computador alheio de forma ilícita, com o intuito de causar alguns danos, alterações ou roubo de
informações (confidenciais ou não).
13
Em computação, phishing, termo oriundo do inglês (fishing) que quer dizer pesca, é uma forma de fraude
eletrônica, caracterizada por tentativas de adquirir dados pessoais de diversos tipos; senhas, dados financeiros
como número de cartões de crédito e outros dados pessoais.

33
“Prezado cliente, por motivos de segurança, pedimos que modifique sua
senha de acesso ou então. “Prezado cliente digite os números contidos em
seu cartão de segurança para renovação” Clique aqui para fazê-lo.”
“Meus parabéns! O banco MeuBanco acabou de sortear um prêmio de
10.000 reais entre seus clientes e você foi um dos ganhadores. O MeuBanco
lhe dá os parabéns, querido cliente. Entre na sua conta agora clicando aqui e
receba o seu prêmio.” Atualmente, muitos bancos não enviam e-mails para
os clientes, a não ser que estes solicitem, outros até enviam, sendo que o
valor da fatura caso solicitado. Os engenheiros sociais são tão “caras-de-
pau” que, muitas vezes, colocam isso nos e-mails de phishing para gerar
confiança, sendo que o cliente não se lembra se ativou ou não o serviço.
Nosso primeiro exemplo modificado mostra isso a seguir.
“Prezado cliente, por motivos de segurança, pedimos que modifique sua
senha de acesso. Clique aqui para fazê-lo. O MeuBanco não envia e-mails
aos usuários sem autorização. Se você não deseja mais receber o EBanking,
clique aqui para acessar sua conta e desabilitar o serviço.”
Nesse e-mail, existe um link para o site do banco, só que, na realidade, é um
site falso, feito para se parecer exatamente como o original e ele realmente
engana muita gente. A seguir, uma imagem de um site clonado feito para se
parecer exatamente com o original (o nome do banco foi removido da
imagem para fins de resguardo). FLÁVIO, Marcos – Segredos do Hacker
Ético)
ILUSTRAÇÃO 3

34
Esses e muitos outros sites falsos de instituições financeiras, enganam facilmente as
pessoas. A mídia costuma nomear os realizadores de phishing como hackers. Isso é um ultraje
àquelas pessoas que procuram apenas o conhecimento, já que não é necessário um
conhecimento técnico para se mandar um e-mail falso e enganar alguém. O que temos aqui,
sim, são engenheiros sociais com péssimas intenções.
Vamos ver como eles conseguem enviar o e-mail de forma anônima, tentando se
passar por quem não são.
3.10 Spear Phishing
Spear phishing é um e-mail spoofing tentativa de fraude que tem como alvo uma
organização específica, buscando o acesso não autorizado a dados confidenciais. Essas
tentativas de phishing normalmente não são iniciadas por "hackers aleatórios", mas são mais
propensos a serem conduzida por autores de fora para o ganho financeiro, segredos
comerciais ou informações militares.
Tal como acontece com as mensagens de e-mail usado no phishing , as mensagens de
spear phishing parecem vir de uma fonte confiável. Mensagens de phishing geralmente
parecem vir de uma empresa grande e bem conhecida ou Web site com uma ampla base de
associados, tais como eBay, mercado livre ou PayPal . No caso de spear phishing, no entanto,
a fonte aparente do e-mail é provável que seja um indivíduo dentro da empresa do próprio
usuário e, geralmente, alguém em posição de autoridade.
Professora visitante de West Point e Agência de Segurança Nacional
especialista Aaron Ferguson chamam de "efeito de coronel." Para ilustrar seu
ponto de vista, Ferguson mandou uma mensagem para 500 cadetes, pedindo-
lhes para clicar em um link para verificar as notas. A mensagem de Ferguson
parecia vir de um coronel Robert Melville de West Point.Mais de 80% dos
beneficiários clicou no link na mensagem. Em resposta, eles receberam uma
notificação de que eles tinham sido enganados e aviso de que seu
comportamento poderia ter resultado em downloads de spyware, cavalo de
Tróia e / ou outros malwares .(Rouse Margaret, 2011)
As maiorias das pessoas já aprenderam a desconfiar de pedidos inesperados de
informação confidencial e não divulgar dados pessoais em resposta a mensagens de e-mail ou
clicar em links de mensagens, a menos que a fonte seja “confiável”. O sucesso de spear
phishing depende de três coisas: A fonte aparente deve parecer uma pessoa conhecida e
confiável, há informações dentro da mensagem que suporta a sua validade e, a pedido do

35
indivíduo faz com que parece ter uma base lógica. Aqui está uma versão de um ataque de
phishing: O autor encontra uma página web para sua organização-alvo que fornece
informações de contato para a empresa. Usando detalhes disponíveis para fazer a mensagem
parecer autêntico, o autor elabora um e-mail para um empregado na página de contato que
parece vir de um indivíduo que pode razoavelmente solicitar informações confidenciais, como
um administrador de rede. O e-mail pede que o funcionário entre numa página falsa que pede
nome de usuário e senha do funcionário, caso clique no link irá efetuar o download
de spyware14
ou outros programas mal-intencionados. Se um único funcionário cair na
estratégia do phisher , o atacante pode passar por esse indivíduo e usar técnicas de engenharia
social para ganhar mais acesso a dados sensíveis.
3.11 Whaling
“Whaling pode ser definido como uma extensão do Spear Phishing (Phishing
direcionado a colaboradores de uma organização) e tem como objetivo atacar executivos,
celebridades e colaboradores do alto escalão”. (Mente AntiHacker, 2011).
Ao contrário do Phishing, que diariamente são barrados por filtros de e-mail
(antispam), o Whaling é bem planejado e único, visando o roubo de informações
confidenciais. O Engenheiro Social tem tentando de diversas formas conseguirem atingir
esses alvos específicos, e com grande parte das informações disponíveis em redes sociais,
torna-se mais fácil ter contato com o alvo, bastando apenas a abertura de um link e o envio de
algumas informações confidenciais. Após a captura desses dados, alguns mal intencionados
podem chantagear suas vítimas, visto que essas pessoas possuem uma imagem na mídia,
mercado de trabalho, que podem ter sua privacidade exposta através do repasse de
informações confidenciais.
3.12 Vishing
Vishing é a prática criminosa de utilização de engenharia social através da rede
pública de telefonia comutada com o objetivo de obter vantagens ilícitas como, por exemplo,
realizar compras ou saques em nome da vítima. As facilidades de Voz sobre IP (VoIP) são
14
Spyware consiste em um programa automático de computador, que recolhe informações sobre o usuário,
sobre os seus costumes na Internet e transmite essa informação a uma entidade externa na Internet, sem o
conhecimento e consentimento do usuário.

36
frequentemente utilizadas para obter acesso a informações pessoais ou financeiras privativas
de pessoas físicas ou de empresas. O termo em inglês é uma combinação entre as
palavras voice e phishing. As vítimas de vishing desconhecem técnicas como falsificação da
identificação de chamada, automação dos processos de ligação e atendimento telefônico e
outros mecanismos amplamente difundidos, que podem ser implantados
em computadores convencionais.
“O avanço e o barateamento da tecnologia ajudaram a difundir técnicas e facilidades
de automação de serviços telefônicos, que no passado estavam restritas a grandes empresas,
que possuíam recursos para adquirir equipamentos caros e sofisticados.” (Rouse Margaret,
2011)
O criminoso que pratica o vishing explora a confiança da população nos serviços de
telefonia fixa, cujos terminais estiveram historicamente associados a um endereço físico e a
um assinante conhecido do serviço telefônico. O vishing é utilizado normalmente para obter
números de cartão de crédito e senhas de acesso ao banco ou a sistemas corporativos. Uma
quadrilha poderia realizar milhares de tentativas por dia se sua abordagem for mecanizada.
A preocupação com segurança precisa ser compartilhada entre governo, empresas e a
população em geral, pois não é fácil para a polícia monitorar ou rastrear o vishing. Para se
proteger, a população deve suspeitar de qualquer solicitação de dados pessoais como números
de cartão de crédito ou dados bancários. Ao falar com uma pessoa, em vez de fornecer
informações, é melhor solicitar um número de protocolo e ligar para um número previamente
conhecido, como o impresso no cartão bancário.
a) As concessionárias telefônicas podem utilizar mecanismos de detecção de
alteração nos padrões de chamadas para interceptar ataques de vishing na rede
pública de telefonia;
b) As empresas devem investir na formação continuada de seguranças de seus
funcionários;
c) É frequente que se utilize o e-mail para obter informações preliminares sobre um
indivíduo ou empresa, por isso é importante investir em proteção para e-mails;
d) Vírus, Trojans e outros softwares podem ser usados para capturar informações que
podem ser utilizadas para dar credibilidade a um ataque de engenharia social. O e-
mail é um dos principais mecanismos contemporâneos para distribuição de vírus e
outras ameaças.

37
e) O criminoso configura um war dialer para ligar para uma série de números de
telefone de uma determinada região ou para acessar sistemas de voz com listas de
números telefônicos roubados de alguma instituição.
f) Quando uma vítima atende uma ligação ouve uma mensagem gravada informando
que foi detectada atividade fraudulenta ou incomum em sua conta bancárias. A
mensagem instrui o usuário a ligar imediatamente para um determinado número,
normalmente exibido em seu identificador de chamadas.
g) Ao ligar para o número informado, a ligação é atendida por um sistema
automático, que solicita ao usuário a digitação do número do seu cartão de crédito
e de seus dados bancários
h) Uma vez que o usuário informa seus dados, o criminoso tem condições de obter
acesso a sistemas privativos, inclusive a contas bancárias, ou utilizar o cartão de
crédito para compras em nome do usuário
i) A chamada pode obter do usuário informações de segurança complementares
como PIN, data de expiração, data de nascimento etc.
Embora o uso de unidades de atendimento e ligação automáticas são preferidas pelos
vishers, há casos onde operadores humanos tem um papel ativo ao persuadir as vítimas nesse
tipo de fraude
3.13 E-mail Falso (Fake)
O “fake mail” ou e-mail falso é uma técnica utilizada nos dias atuais na Internet para
envio de e-mail de forma anônima. Pelo menos para o remetente, pois muitas vezes o
endereço IP15
original ainda continua sendo mostrado no e-mail. Quais as vantagens disso
para a Engenharia Social? Como a maioria dos usuários é leigo e nunca iriam conferir o
endereço para ver se é real, os engenheiros sociais podem fingir ter vindo de qualquer e-mail
real. Antigamente, podíamos fazer isso até usando programas como o próprio Outlook,
através de uma falha nos servidores SMTP (uma má configuração, na realidade) que permitia
o relay16
. Hoje é difícil encontrar servidores assim, então, enviamos os e-mails falsos de sites
15
O endereço IP, de forma genérica, é uma identificação de um dispositivo (computador, impressora, etc) em
uma rede local ou pública. Cada computador na internet possui um IP (Internet Protocol ou Protocolo de
internet) único, que é o meio em que as máquinas usam para se comunicarem na Internet.
16
Relay:Retransmissão de email aberto é um SMTP servidor configurado de tal forma que ele permite que
qualquer pessoa na Internet para enviar e-mail através dele, não apenas mensagens destinadas ou
provenientes de usuários conhecidos.

38
especializados ou mesmo de programas que já possuem um pequeno servidor de envio de e-
mails embutido.
No exemplo abaixo, usaremos o programa Phasma 3000 (www.8th-wonder.net). O
interessante dele é que se parece com um cliente de e-mail comum, muito fácil de usar.
ILUSTRAÇÃO 4
Configuramos o Phasma 3000 para enviar um e-mail como se tivesse vindo de um endereço
conhecido qualquer. Poderia ser qualquer coisa, até algo inexistente como
<fulanodetal@provedor.com>. É simplesmente uma informação falsa, como você assinar outro nome
ao invés do seu. No fim do programa, a informação: “Mail sent to ...” e o e-mail na frente.
Significa que o e-mail foi enviado com sucesso. Se o sistema AntiSpam de algum provedor bloquear o
e-mail de chegar (faça testes antes para saber isso), você pode ir em Advanced e configurar o
cabeçalho da mensagem para o que você quiser, fazendo, assim, ela passar pela maioria dos filtros dos
provedores.
Pouco tempo depois, o e-mail estava na caixa de entrada do meu Outlook.

39
ILUSTRAÇÃO 5
Analisando as propriedades do e-mail anterior, observe que realmente parece ter vindo
do nosso e-mail falso. Essa técnica, extremamente simples de se fazer (praticamente só enviar
a mensagem e pronto), é a mais utilizada hoje pelos engenheiros sociais para executar cavalos
de tróia,(Trojan)17
ferramentas de capturar tudo que se digita no teclado ou mesmo roubar
dinheiro de outras pessoas. Quando receber um e-mail de algum amigo, pedindo o que
geralmente ele não pediria como para você realizar um depósito às pressas na conta XXX
para ele, ligue antes e confirme se a pessoa mandou o e-mail. (FLÁVIO, Marcos – Segredos do
Hacker Ético).
17
O Cavalo de Tróia ou Trojan Horse é um tipo programa malicioso que podem entrar em um computador
disfarçados como um programa comum e legítimo. Ele serve para possibilitar a abertura de uma porta de
forma que usuários mal intencionados possam invadir seu PC.

40
3.14 Messengers Instantâneos
Outro cuidado a se tomar é com os messengers, como Hangout (Google Talk), Yahoo,
ICQ, Skype Messenger, Facebook etc. Um Engenheiro Social fará o possível para lhe
convencer a aceitar um determinado arquivo. Alguns anos atrás era usada à desculpa de que
determinado arquivo era uma foto, hoje, isso já não funciona tanto, pois a maioria desses
Messenger já mostra automaticamente uma imagem da pessoa. Então, esses engenheiros se
utilizam da sua confiança e simpatia para dizer que o arquivo é um jogo interessante ou
apelam para dizer que é uma foto sensual, um projeto inacabado qualquer no qual ele quer a
sua opinião.
As técnicas são inúmeras. Mas, aí, você diz: “o Skyper, em suas versões mais novas,
bloqueia o envio de arquivos executáveis”. Sim, mas isso pode ser facilmente burlado, uma
maneira mais comum de burlar é colocar o arquivo em formato ZIP, a maioria das vezes
funciona, ou utilizando ferramentas de terceiros.
Os métodos apresentados anteriormente fazem parte das táticas comuns de ataque.
Porém existem muitos outros truques não tão comuns, como por exemplo:
a) Uma entrevista para uma vaga que não existe, que é feita somente para se obter
informações a respeito dos concorrentes;
b) Aquelas que acontecem por acaso, como numa conversa sobre assuntos
confidenciais da empresa, em lugares de circulação de pessoas e que alguém de
passagem sem querer capta alguma informação importante;
c) Manipulação de informações para alterar o comportamento de usuários a partir
de dados falsos ou sutilmente alterados.

41
4 FORMAS DE PREVENÇÃO
Agora vamos ver algumas dicas para se proteger contra os ataques de Engenharia
Social, especialmente no ambiente corporativo. Para começar, as estratégias devem ser tanto
no nível físico (meio pelo qual o engenheiro social age, seja telefone, pessoalmente ou
Internet) quanto no nível psicológico (manipulando as emoções). Seria um enorme erro focar
só no lado físico da coisa, o treinamento e a conscientização dos empregados/colaboradores
são essenciais.
“É necessário os responsáveis entenderem que de nada adianta investir em softwares
e hardwares, visando melhorar a segurança, se não for feito um plano contra a Engenharia
Social.” (FLÁVIO, Marcos – Segredos do Hacker Ético)
A organização pode criar novas políticas de segurança e um controle maior do contato
feito com os funcionários, mas se pegar muito pesado, deixará essas pessoas frustradas e a
solução não é 100% eficiente. A solução mais eficiente seria simplesmente o treinamento.
Todas as pessoas de uma instituição que lidam de forma direta com informações importantes
devem passar por um treinamento no qual irão aprender a identificar os tipos de ataques e
como reagir a cada um deles. Outra ideia interessante é mandar uma espécie de artigo todo
mês para os funcionários mostrando novos exemplos de Engenharia Social e qual a técnica
para se proteger deles. Isso vai lembrá-los sempre do perigo.
A prevenção não é uma tarefa fácil. A maioria das empresas não
direciona recursos financeiros nem humanos para tal. No entanto, investem
na manutenção de sistemas e em novas tecnologias, ao invés de direcionar
parte desse investimento para combater um inimigo que pode ser bem mais
perigoso, a engenharia social. A ameaça deste inimigo é real, tanto quanto as
falhas em uma rede.
Os seres humanos são seres imperfeitos e multifacetados. Além disso,
situações de risco modificam seus comportamentos, e, decisões serão
fortemente baseadas em confiança e grau de criticidade da situação
(Vargas,2002).
Em função desses fatores, sempre existirão brechas em seu caráter ou
comportamento pouco consciente com relação à segurança, onde a
engenharia social poderá ser plenamente eficaz.
Para amenizar estes riscos, é recomendável que as empresas criem políticas
de segurança centralizada e bem divulgada, para que todos os seus
colaboradores saibam como proteger as informações que estão em seu poder.
As intranets podem ser um recurso valioso para esta divulgação, assim
como boletins periódicos on-line, lembretes no correio eletrônico, requisitos
de mudança de senha e treinamento. O maior risco é de os funcionários
tornarem-se complacentes e relaxarem na segurança; por isso a importância
da insistência (Granger,2002).

42
O treinamento deve estender-se por toda a instituição. Diretores, gestores,
coordenadores, e demais colaboradores, todos devem ser treinados. Nestes treinamentos
devem ser exploradas as táticas comuns de intromissão e as estratégias de prevenção. Quando
alguém captar sinais de um ataque, deve imediatamente alertar os demais, para que não sejam
também abordados.
4.1 Dicas para não ser vítima da Engenharia Social
Temos que usar alguns critérios para avaliar se estamos sendo alvo de algum tipo de
ataca de Engenharia Social.
Se todo funcionário fosse tão questionador como uma criança,
demonstrando interesse nos mínimos detalhes, ouvindo mais, estando
fortemente atento a tudo à sua volta, e principalmente fazendo o uso dos
poderosos “por quês”, com certeza as empresas transformariam os frágeis
cadeados em legítimos dispositivos dificultantes de segurança da
informação. (PEIXOTO, 2006, p. 20).
4.2 Como se Proteger
Temos sempre que ter certa precaução quanto a ceder informações, sejam elas digitais
ou não, quando maior cuidado e conscientização melhor.
O bom senso é fundamental nesses casos. Fique bastante atento com
relação a qualquer tipo de abordagem, independente do meio utilizado, como
por exemplo, e-mails, telefone e etc. Não forneça informações confidenciais
como, por exemplo, senhas. Já nos casos de mensagens que tentam induzir a
clicar em links contidos no e-mail ou em alguma página da Internet, a
melhor coisa a fazer é entrar em contato com o remetente do e-mail ou com a
instituição se for o caso, para certificar-se a respeito do assunto. (COMITÊ
GESTOR DA INTERNET NO BRASIL, 2006).
“Esses são alguns dos maiores erros cometidos dentro do ambiente corporativo que
aumentam potencialmente o risco de se tornar uma vítima da engenharia social: (PEIXOTO,
2006)”
a) Informar senha via telefone é um erro muito grave, pois antes de disponibilizar
qualquer tipo de informação, deve-se saber com quem se fala e de onde fala, além

43
de conferir através de aparelhos identificadores de chamada se o telefone de
origem da ligação está realmente confirmando com o mencionado. É muito
importante conferir o motivo pelo qual estão solicitando determinada informação.
Lembrando que existe uma técnica chamada Spoofing, que faz com que o número
exibido pelo identificador de chamadas seja aquele desejado pelo fraudador.
Portanto, não é seguro confiar somente nessa informação para ter certeza que o
solicitante é realmente quem diz ser;
b) Os Visitantes terem acesso à área interna na empresa, obtendo contato com as
informações confidenciais;
c) Entrega de informações sem o devido conhecimento real de quem as está levando;
d) Entrada de pessoas não autorizadas ou principalmente sem identificação, com
portas abertas e expostas à entrada de qualquer um;
e) Recebimento de informações digitais (Flash Drive, DVD etc.) sem o prévio
conhecimento da procedência (de onde realmente vem e de quem vem e do que se
trata), sem fazer primeiramente uma inspeção do material recebido em algum lugar
ou equipamento que não comprometa a empresa ou organização;
f) Descarte incorreto de material que se acha inútil, como por exemplo, não triturar
documentos antes de jogá-los fora e de preferência em diversas lixeiras ou o
descarte de DVDs, CDs e outros, sem eliminar definitivamente as informações
contidas neles;
g) Gavetas abertas, material em cima da mesa de fácil acesso a documentos.
h) Jogo online ou mesmo executados em Pen-drives ou CD-ROM são passíveis de
conter armadilhas, como ativação de worms, cavalos de troia, vírus e dentre outros
perigos que se escondem por trás dos envolventes jogos, ou diversões oferecidas;
i) Deixar expostos arquivos de backup, não guardando em lugar seguro (Cofre
antichamas) e confiável, além de demonstrar explicitamente que é um backup.
j) Nome de usuário e senhas expostas para qualquer um que passar ver e ter acesso.
k) Pen-drives, DVDs, documentos, material particular como bolsas, carteiras em
cima da mesa ou expostos, com grande facilidade de alguém se apoderar ou ter
acesso, principalmente se as portas ou janelas ficam sempre abetas.
l) Programas, documentos digitais gravados em DVDs ou CDs, não sendo
devidamente guardados em lugares seguros onde somente aqueles que podem ter
realmente acesso seriam portadores da informação;
m) Computador ligado exibindo informações confidenciais como senha, login de
usuário, códigos fontes;
n) Acessos a sites indevidos, não confiáveis, ou fora das políticas de trabalho da
empresa;
o) Computador logado com a senha e nome de algum usuário, deixando o uso da
estação disponível para alguém não autorizado.

44
p) Sistema de alarme desligado, desativado ou inoperante, em caso de alguma
urgência ou emergência;
q) Softwares em lugar não seguro; bem como procedimentos, apostilas etc., que
contenham informações que sirvam como um facilitador em trazer palavras de
cunho técnico de modo a disponibilizar id, senhas, sejam elas default ou não;
r) Enfeites, como vasos, quadros, dentre outros, servindo como mera distração,
fugindo do habitual e tradicional layout de arranjo do ambiente de trabalho,
podendo ser alvo de suspeita, pois atrás desses “enfeites” podem estar guardados,
escondidos ou implantados sistemas de escuta, gravadores, dentre outros pequenos
sistemas que podem colher informações ditas ou vivenciadas naquele ambiente.
Paranoias e neuroses à parte, todo cuidado é pouco;
“Quanto aos riscos inerentes aos fatores humanos, podem-se destacar como exemplo
os seguintes controles:” (SÊMOLA, 2003 citado por PEIXOTO, 2006, p. 53).
a) Seminários de sensibilização;
b) Cursos de capacitação;
c) Campanhas de divulgação da política de segurança;
d) Crachás de identificação;
e) Procedimentos específicos para demissão e admissão de funcionários;
f) Termo de responsabilidade;
g) Termo de confidencialidade;
h) Softwares de auditoria de acessos;
i) Softwares de monitoramento e filtragem de conteúdo;
As práticas acima citadas ajudarão a minimizar a possibilidade da empresa se tornar
mais uma vítima da engenharia social.
Podemos constatar na visão de (PEIXOTO, 2006, p. 54)
A maior prova para se ter certeza de que você será a próxima vítima
da engenharia social é simplesmente subestimar o praticante desta arte. Mas
como ao certo saber quem é afinal o engenheiro social naquele dado
momento, lugar ou situação? Não saberá, na primeira instância. Apenas
desconfiará de algum suspeito à medida que você vá adquirindo
conhecimento das técnicas padrões e revolucionárias da engenharia social. E
assim percebendo algumas “gafes” do engenheiro social, deixará a incerteza
para então capturar o alvo certo.
Abaixo, mais algumas dicas para manter seu computador seguro ao acessar a Internet.
(SISTEMA DE COOPERATIVAS DE CRÉDITO DO BRASIL, 2012).

45
a) Instale um bom programa de antivírus e, pelo menos uma vez por semana, faça
uma verificação completa do computador;
b) Use sempre cópia original do programa de antivírus, pois as cópias “piratas”
geralmente já estão infectadas e não funcionam corretamente;
c) Configure seu antivírus para procurar por atualizações diariamente;
d) Use seu antivírus para verificar todo arquivo baixado antes de abri-lo ou executá-
lo pela primeira vez;
e) Cópias originais do Windows são mais seguras e são atualizadas periodicamente
pela Microsoft;
f) Mantenha o sistema operacional do seu computador e seus programas sempre
atualizados para protegê-los contra as falhas de segurança, que são descobertas
todos os dias;
g) Somente instale programas de fontes confiáveis. Evite os serviços de
compartilhamento (por exemplo: Utorrent, Kazaa, Bittorrent, Limeware, Ares
Emule, etc.). Eles são uma das principais fontes de disseminação de programas
nocivos;
h) Não abra e-mails e arquivos enviados por desconhecidos;
i) Não abra programas ou fotos que dizem oferecer prêmios;
j) Cuidado com os e-mails falsos de bancos, lojas e cartões de crédito;
k) Jamais abra arquivos que terminem com PIF, SCR, BAT, VBS e, principalmente,
os terminados com EXE e COM;
l) Se você desconfiar de um e-mail recebido, mesmo quando enviado por pessoa
conhecida, cuidado, pois pode ser um e-mail falso;
m) Verifique se o endereço que está aparecendo em seu navegador é realmente o que
você queria acessar;
n) Não confie em tudo o que vê ou lê;
o) Não autorize instalação de software de desconhecidos ou de sites estranhos;
p) Antes de clicar em um link, veja na barra de status do navegador se o endereço de
destino do link está de acordo com a descrição do mesmo;
q) Sempre desconfie de ofertas e sorteios dos quais não tenha prévio conhecimento.
r) Ao realizar compras pela Internet procure por sites reconhecidamente seguros;
s) Se for utilizar o seu cartão de crédito ou tiver que fornecer dados bancários,
verifique se a página acessada utiliza tecnologia de criptografia, ou seja, o
endereço da página acessada deve começar com “https” e deve aparecer o ícone de
um cadeado na barra de status (parte inferior) ou à direita da caixa do endereço,
dependendo do navegador. Uma observação importante a ser feita, é
que Crackers colocam imagens de cadeados para fazer com que os usuários
pensem que o site é seguro, mas na realidade não é.

46
t) Se você desconfiar de um site de compra, deixe-o de lado e compre em outro
lugar.
u) Ao preencher qualquer cadastro seja ele virtual ou não, só forneça informações de
extrema necessidade.
v) Não acredite em todos os e-mails sobre vírus, principalmente aqueles de origem
duvidosa que trazem anexo arquivo para ser executado, prometendo solucionar o
problema;
w) Jamais acredite em pedidos de pagamento, correção de senhas ou solicitação de
qualquer dado pessoal por e-mail. Comunique-se por telefone com a instituição
que supostamente enviou o e-mail e confira o assunto.
x) Nunca realize operações bancárias ou transações pela internet que possuam
informações pessoais de lugares públicos como, por exemplo, LAN-Houses, pois
computadores públicos muitas vezes contêm códigos maliciosos, instalados por
pessoas mal-intencionadas, capazes, por exemplo, de registrar tudo o que você
digitar no teclado, facilitando a quebra de sigilo dos seus dados confidenciais.
Os mecanismos de busca da Internet indexam um enorme número de páginas Web e
outros recursos. Crackers podem usar esses mecanismos para fazer ataques anônimos,
procurar por vítimas e adquirir o conhecimento necessário para montar um poderoso ataque
contra a rede. Os mecanismos de busca são perigosos em grande parte porque usuários são
descuidados. Além disso, os mecanismos de busca podem ajudar a evitar a identificação
dos Crackers. Mecanismos de busca tornam a descoberta de maquinas expostas quase sem
esforço. Nos últimos anos, os mecanismos de busca têm recebido uma grande quantidade de
atenção negativa por expor informações confidenciais. Como resultado, o mais “interessante”
que são as consultas, não retorna mais resultados úteis. (MCCLURE; SCAMBRAY; KURTZ,
2009, p. 553, tradução nossa).
A tabela abaixo exibe as áreas de risco da empresa, a tática do invasor e a respectiva
estratégia de combate, para assim evitar ser mais uma vítima. (POPPER; BRIGNOLI, 2003).
Áreas de Risco, Táticas e Estratégias
Área de Risco Tática do invasor Estratégia de Combate
Suporte de
Informática
Representação e persuasão
Desenvolver na empresa uma política
de mudança frequente de senhas e
treinar os demais funcionários para
nunca passarem senhas ou outras
informações confidenciais por
telefone;

47
Entrada de
edifícios
Acesso físico não autorizado;
Treinar os funcionários da segurança
para não permitirem o acesso de
pessoas sem o devido crachá de
identificação e mesmo assim fazer
uma verificação visual;
Escritórios Caminhar pelo ambiente;
Não digitar senhas na presença de
pessoas estranhas, a não ser que você
consiga fazer isso rapidamente;
Suporte
telefônico
Usar de disfarces na hora de solicitar
ajuda aos atendentes, geralmente se
passando por outra pessoa;
Os atendentes devem solicitar sempre
um código de acesso, para só então
prestarem o suporte solicitado;
Escritórios Roubar documentos importantes;
Manter os documentos confidenciais
fora do alcance de pessoas não
autorizadas, de preferência em
envelopes fechados.
Sala de
correspondência
Inserção de mensagens falsas;
Fechar e monitorar a sala de
correspondência;
Sala dos
servidores
Instalam programas analisadores de
protocolo para conseguirem
informações confidenciais, além da
remoção de equipamentos;
Manter sala dos servidores sempre
trancada, e o inventário de
equipamentos atualizado;
Central
telefônica
Roubar acesso a linhas telefônicas
Controlar chamadas para o exterior e
para longas distâncias, e recusar
pedidos de transferências suspeitas;
Internet e
intranet
Criar e/ou inserir programas na
Internet ou intranet para capturar
senhas;
Criar senhas fortes e fazer uso
consciente da mesma, alterando-a
periodicamente.
Depósito de lixo Vasculhar o lixo;
Guardar o lixo da empresa em lugar
seguro, triturar todo tipo de
documento, e destruir todo o tipo de
mídia magnética fora de uso;
TABELA 3
Fonte: (POPPER; BRIGNOLI, 2003).

48
Diversos ataques poderiam ser evitados se o usuário seguisse estas etapas:
a) Sempre verificar a identidade da pessoa para ter certeza se ela é realmente quem
diz ser.
b) Certificar que realmente a pessoa possui autorização.
c) Sempre ficar atento ao ser abordado por alguém, principalmente se você não
conhece. Independente se a abordagem foi feita através do telefone, carta ou e-
mail, não forneça informações sensíveis, pessoais ou até mesmo da organização
onde trabalha.
d) Não clicar em links antes de verificar a autenticidade da solicitação. Várias são as
vítimas de e-mails falsos. Para não ser mais uma vítima dessa armadilha, entre em
contato com a fonte da solicitação seja ela uma pessoa, empresa, órgão público e
etc.
e) A melhor coisa a fazer enquanto estiver navegando na Web é ser cauteloso e
manter o antivírus e detectores de pragas virtuais em geral sempre atualizados.
f) Escolher senhas fortes e não compartilhar com outras pessoas.
4.2.1 Política de Segurança (PSI)
Política de segurança da Informação é a expressão formal das regras pelas quais é
fornecido o acesso aos recursos tecnológicos de uma organização. Uma PSI não é um
documento definitivo, inalterável ou inquestionável, pelo contrário, requer constante
atualização e participação de gerentes, usuários e equipes da organização.
Objetivo da PSI: Proteção do conhecimento da infraestrutura, a fim de atender os
requisitos legais, viabilizar os serviços prestados e evitar ou reduzir os riscos e ameaças.
Orientação e o estabelecimento de diretrizes para a proteção dos ativos de informação,
prevenção de ameaças e a conscientização da responsabilidade dos colaboradores. São boas
práticas que a gestão da segurança da informação esteja alinhada e em conjunto com os outros
processos de gestão.
Princípios da PSI: Integridade, confidencialidade e disponibilidade da informação.
Propósitos da PSI: Informar aos colaboradores/usuários suas responsabilidades com
relação ao acesso à informação e oferecer um ponto de referência a partir do qual se possa
adquirir, configurar e auditar sistemas computacionais e de redes de computadores.

49
A norma ISO/IEC 27002 descreve as três fontes principais de requisitos de
segurança da informação:
1. Análise dos princípios, objetivos e requisitos dos serviços prestados.
2. Legislação vigente, estatutos e regulamentos.
3. Análise de vulnerabilidades, ameaças e riscos.
É recomendável também que gerentes/supervisores de cada área estabeleçam critérios
relativos ao nível de confidencialidade da informação (relatórios e/ou mídias) gerada por sua
área, classificando as informações além da análise de requisitos, de acordo com a lista abaixo:
1. Pública;
2. Interna;
3. Confidencial
4. Restrita.
A elaboração e implementação da PSI de cada organização possui suas particularidades de
acordo com os requisitos de segurança analisados e alinhados a gestão de processos. Abaixo
são sugeridos itens a serem estudados para a criação de regras:
• Administração de contas;
• Utilização da rede;
• Utilização de correio eletrônico;
• Acesso à Internet;
• Uso das estações de trabalho;
• Uso de impressoras;
• Uso de equipamentos particulares 18
(BYOD);
• Controle de acesso físico (controle de entrada e saída de pessoas);
• Termo de compromisso (documento onde usuário se compromete a respeitar a política
de segurança);
• Verificação da utilização da política (supervisão realizada por gestores e equipe de TI
18
BYOD - Bring your own device (Traga seu próprio dispositivo) significa que a política permiti os funcionários
trazer dispositivos móveis de propriedade pessoal (laptops, tablets e smartphones) para seu local de trabalho,
e utilizar esses dispositivos para acessar informações sobre a empresa privilegiada e aplicações. O termo
também é usado para descrever a mesma prática aplicada aos alunos que utilizam dispositivos de propriedade
pessoal em situações de ensino.

Engenharia Social: explorando a fraqueza humana

Engenharia Social: explorando a fraqueza humana

Recomendados

Recomendados

Mais conteúdo relacionado

Mais procurados

Mais procurados (20)

Semelhante a Engenharia Social: explorando a fraqueza humana

Semelhante a Engenharia Social: explorando a fraqueza humana (20)

Mais de Diego Souza

Mais de Diego Souza (20)

Engenharia Social: explorando a fraqueza humana