Engenharia social

Introdução#

Quando se trata de segurança cibernética, a maioria das pessoas pensa em ataques técnicos, como injeção de SQL, cross-site scripting, ataques man-in-the-middle ou malware. No entanto, os ataques mais comuns e eficazes muitas vezes não são técnicos. A engenharia social é a arte de manipular pessoas para que divulguem informações confidenciais. Todo crime cibernético começa com um ataque de engenharia social.

Aqui está a definição da Wikipedia:

No contexto da segurança da informação, a engenharia social é a manipulação psicológica de pessoas para que realizem ações ou divulguem informações confidenciais. Um tipo de golpe de confiança com o objetivo de recolher informações, fraudar ou obter acesso ao sistema, difere de um golpe tradicional em que geralmente é um dos vários passos de um esquema de fraude mais complexo.[1] Também foi definido como "qualquer ato que influencie uma pessoa a tomar uma ação que pode ou não ser do seu interesse."

Os tipos de informações que esses criminosos procuram podem variar, mas quando os alvos são pessoas, os criminosos geralmente tentam enganar-te para que divulgues as tuas senhas, informações pessoais ou ganhem acesso ao teu computador para instalar secretamente software malicioso - que lhes dará acesso às tuas senhas e informações bancárias, além de lhes permitir controlar o teu computador.

Como funciona a engenharia social?#

Os ataques de engenharia social acontecem em uma ou mais etapas. A maioria dos ataques de engenharia social depende de comunicação real entre atacantes e vítimas. É comum que as vítimas sejam alvo de múltiplos atacantes por um período prolongado, e os ataques são cuidadosamente elaborados para evitar a deteção. Um ataque bem-sucedido envolve os seguintes passos:

1. Pesquisa: O atacante reúne informações sobre o alvo, como potenciais pontos de entrada e protocolos de segurança fracos, necessários para realizar o ataque. No mundo de hoje, é muito fácil encontrar informações sobre uma pessoa online. Por exemplo, consegues encontrar o endereço de email, número de telefone e até o endereço residencial de uma pessoa no perfil de redes sociais dela. Também podes descobrir onde ela trabalha, o que faz e com quem trabalha. Essas informações podem ser usadas para criar um email de phishing ou uma ligação telefónica muito convincente na próxima etapa.

2. Isca: O atacante usa essas informações para criar um cenário crível para atrair a vítima para fazer aquilo que o atacante deseja. Por exemplo, o atacante pode ligar para a vítima e se passar por um agente de atendimento ao cliente do banco dela, pedindo para que verifique as informações da conta. Ou, pode ligar para um funcionário de uma empresa e se passar por um suporte de TI, pedindo para que redefina a senha.

3. Jogos emocionais: O atacante joga com as emoções para que a vítima aja imediatamente, sem pensar. Por exemplo, o atacante pode ameaçar a vítima com multas, penalidades ou ações legais se não cumprir o pedido naquele momento. Ou, pode apelar para a ganância da vítima, prometendo uma grande quantia de dinheiro ou recompensa em troca de ajuda.

4. Execução: O atacante executa o ataque, o que pode assumir diversas formas. Por exemplo, pode:

   • Enganar a vítima para que instale malware no seu computador.
   • Enganar a vítima para que revele informações sensíveis por email ou telefone.
   • Enganar a vítima para que envie dinheiro ao atacante.
   • Enganar a vítima para que clique em um link malicioso em um email ou mensagem de texto.

Os passos acima podem acontecer em um período muito curto de tempo ou podem acontecer ao longo de semanas ou meses. O atacante pode mirar em uma pessoa ou pode atacar um grupo de pessoas. A conexão pode ser estabelecida através de uma chamada telefónica, email, mensagem de texto ou conversas em redes sociais. Mas isso acaba sempre numa ação que tomas, como partilhar as tuas informações ou expor-te a malware.

Tipos de ataques de engenharia social#

Existem muitos tipos de ataques de engenharia social, e cada um tem seu próprio propósito e objetivo. Aqui estão alguns dos tipos mais comuns de ataques de engenharia social:

Phishing em massa#

Phishing em massa é o tipo mais comum de ataque de engenharia social. É um tipo de ataque de phishing onde o atacante envia milhões de emails para pessoas aleatórias, esperando que algumas delas caiam no golpe. Os emails geralmente são enviados de um endereço de email falso e muitas vezes contêm um link para um website malicioso ou um anexo malicioso. O objetivo do ataque é enganar a vítima para que clique no link ou abra o anexo, o que instala malware no seu computador.

Exemplo#

Imagina que recebes um email não solicitado na tua caixa de entrada com uma linha de assunto tentadora que afirma que ganhaste um prémio em dinheiro substancial. O título do email afirma que ganhaste $1.000.000 e que precisas de reclamar o teu prémio imediatamente.

Ao abrir o email, encontras uma mensagem a parabenizar-te pela tua suposta vitória na lotaria. Pode incluir promessas extravagantes, como uma quantia de dinheiro que muda a vida. O email costuma conter um link ou informações de contacto para reclamares o teu prêmio.

Este email exibe sinais clássicos de um ataque de phishing em massa:

1. Não solicitado: Nunca participaste em nenhuma lotaria ou concurso, então não deverias ter ganho nenhum prémio.

2. Bom demais para ser verdade: A promessa de uma grande quantia de dinheiro sem razão aparente é uma tática comum usada para atrair as vítimas.

3. Ação urgente: O email pode afirmar que deves agir rapidamente para reclamar teu prémio, criando uma sensação de urgência.

4. Pedidos de informações pessoais ou dinheiro: Para "reclamares" o teu prémio, podes ser solicitado a fornecer informações pessoais, pagar taxas ou transferir dinheiro para cobrir supostos custos de processamento.

Spear Phishing#

Spear phishing é um tipo de ataque de phishing onde o atacante mira em uma pessoa específica ou grupo de pessoas. O atacante faz pesquisa sobre o alvo e então envia-lhes um email personalizado que parece vir de uma fonte confiável. O email geralmente contém um link para um website malicioso ou um anexo malicioso. O objetivo do ataque é enganar a vítima para que clique no link ou abra o anexo, o que instala malware no seu computador. Ao contrário do phishing em massa, ataques de spear phishing são altamente direcionados e personalizados, sendo muito mais prováveis de serem bem-sucedidos.

Exemplo#

Neste cenário de spear phishing, recebes um email que parece ser de um colega ou alguém que conheces. O email contém uma linha de assunto que sugere ser um aviso de segurança importante. O que torna o spear phishing diferente do phishing regular é que o atacante visa um indivíduo específico e muitas vezes possui algum conhecimento sobre o alvo.

Ao abrir o email, encontras uma mensagem que afirma ser do teu consultor de TI, Charles. O email menciona-te pelo nome completo e menciona uma alegada violação de segurança na tua conta de trabalho. O email solicita que cliques num link ou façam download de um anexo para garantir a segurança da tua conta. Clicas no link e ele leva-te para um website que parece exatamente com a página de login da tua empresa. Inseres o nome de usuário e senha, e agora o atacante tem acesso à tua conta.

Este email exibe sinais clássicos de um ataque de spear phishing:

1. Personalização: O email menciona-te pelo nome completo, dando-lhe uma aparência de legitimidade.

2. Urgência: A mensagem transmite uma sensação de urgência, sugerindo que precisas de agir imediatamente para resolver um problema de segurança.

3. Solicitação de Ação: O email pede para que cliques num link ou faças download de um anexo. Estes links ou anexos muitas vezes contêm malware ou sites de phishing.

Baiting#

Baiting é um tipo de ataque de engenharia social onde o atacante oferece algo atraente para a vítima em troca das informações pessoais dela. Por exemplo, o atacante pode oferecer um vale-presente grátis ou um download de filme gratuito em troca do endereço de email da vítima. O objetivo do ataque é enganar a vítima para que ela divulgue as suas informações pessoais, que o atacante pode então utilizar para roubar a identidade dela ou cometer fraude. O ataque tira vantagem da curiosidade ou ganância da vítima.

Exemplo#

Neste cenário de baiting, os atacantes deixam um pendrive numa área pública, como uma cafetaria ou um estacionamento. O pendrive é rotulado como "Confidencial" ou "Privado" e contém um programa malicioso que instalará malware no computador da vítima quando ela o conectar. O objetivo do ataque é enganar a vítima para que conecte o pendrive ao livro do seu computador, o que instalará malware no sistema dela.

Conectas o pendrive ao teu computador, esperando encontrar informações valiosas. Parece conter um ficheiro chamado "Confidential_Project_Data.csv". Ao tentares abrir o ficheiro, ele aciona um script oculto que infecta o teu computador com malware.

Neste ataque de baiting:

1. A isca é o pendrive, que está rotulado como "Confidencial" ou "Privado", tornando-o atraente para qualquer pessoa que o encontre, especialmente em um ambiente profissional ou de trabalho.
2. Fator de curiosidade: A curiosidade humana é explorada como uma vulnerabilidade, incitando as pessoas a tomar ações que de outro modo evitariam.

Watering Hole#

Watering Hole é um tipo de ataque de engenharia social em que o atacante visa um grupo específico de pessoas ao infectar um website que elas provavelmente visitarão. Por exemplo, o atacante poderia infectar um site de notícias popular ou um site de rede social. O objetivo do ataque é enganar a vítima para que visite o website infectado, o que irá instalar malware no computador dela.

Exemplo#

Um grupo de atacantes visa comprometer a segurança de uma associação específica da indústria que representa uma comunidade de profissionais de cibersegurança. Os atacantes pretendem roubar dados sensíveis e infiltrar-se nos sistemas de especialistas em cibersegurança.

Os atacantes identificam um website conhecido e respeitado, usado por essa comunidade. Neste caso, escolhem o website oficial da associação da indústria de cibersegurança. Os atacantes identificam e exploram uma vulnerabilidade no website da associação. Eles podem usar métodos técnicos, como injeção de SQL ou scripting entre sites (XSS), para obter acesso não autorizado ao sistema de gestão de conteúdo do site. Depois de obter acesso ao website, os atacantes injetam código malicioso nas páginas do site. Esse código é projetado para executar malware nos dispositivos dos visitantes das páginas comprometidas.

Então os atacantes aguardam que os profissionais de cibersegurança visitem o website. Eles sabem que muitos especialistas em cibersegurança verificam regularmente o site em busca de atualizações, notícias e recursos.

À medida que os profissionais de cibersegurança visitam o site da associação da indústria para ler artigos, assistir a webinars ou fazer o download de recursos, sem saber, expõem-se ao malware injetado. O malware pode roubar informações sensíveis, como credenciais de login ou dados pessoais. Ele também pode fornecer aos atacantes um ponto de apoio para lançar ataques adicionais, incluindo spear phishing ou exploração de vulnerabilidades conhecidas nos sistemas das vítimas.

Neste ataque de Watering Hole:

1. O ponto de água é o website da associação da indústria, que é um destino popular para profissionais de cibersegurança.
2. Público alvo: Os atacantes miram num grupo específico de pessoas, neste caso, profissionais de cibersegurança.
3. Exploitar a confiança: Os atacantes exploram a confiança que os profissionais de cibersegurança têm no website da associação da indústria.
4. Exploração de vulnerabilidades: Os atacantes exploram vulnerabilidades no sistema de gestão de conteúdo do website para injetar código malicioso nas páginas do site.

Como te protegeres de ataques de engenharia social#

Proteger-te de ataques de engenharia social requer uma combinação de conscientização, ceticismo e melhores práticas. Aqui estão alguns passos essenciais para te protegeres contra ataques de engenharia social:

1. Educa-te: Aprende sobre as táticas comuns de engenharia social, incluindo phishing, pretexto, baiting e tailgating. Mantém-te informado sobre as últimas técnicas e tendências de engenharia social.

2. Verifica a identidade: Verifica sempre a identidade de indivíduos ou organizações que solicitam informações pessoais ou sensíveis. Não confies apenas em números de telefone, emails ou websites fornecidos pela pessoa que te contata. Usa informações de contato oficiais obtidas de fontes confiáveis de forma independente.

3. Questiona os pedidos: Sê cético quanto a pedidos não solicitados de informações pessoais, financeiras ou confidenciais. Organizações legítimas geralmente não solicitam essas informações via email ou telefone. Se alguém pedir informações sensíveis, pergunta por que são necessárias e como serão usadas.

4. Cuidado com a urgência e pressão: Engenheiros sociais frequentemente criam uma sensação de urgência para te pressionar a tomar decisões sem pensar. Reserva um tempo para considerar os pedidos ou ofertas. Verifica a legitimidade da situação.

5. Protege o acesso físico: Protege o teu espaço de trabalho de acessos não autorizados. Bloqueia o teu computador e dispositivos quando não estiverem em uso. Sê cauteloso ao permitir que indivíduos desconhecidos entrem em áreas seguras.

6. Treinamento para funcionários: Se fazes parte de uma organização, fornece conscientização sobre engenharia social para os funcionários. Ensina os funcionários a reconhecer e reportar atividades suspeitas.

7. Usa fontes confiáveis: Obtém informações de fontes confiáveis e verificadas. Evita confiar em websites não oficiais ou notícias não verificadas.

8. Criptografa os dados: Criptografa dados sensíveis, tanto em repouso quanto durante a transmissão, para protegê-los de acessos não autorizados.

Pratica comportamentos seguros online#

Para desenvolvedores e donos de negócios. Se estás a desenvolver uma aplicação web, deves seguir as melhores práticas para proteger os teus usuários de ataques de engenharia social. Existem várias maneiras de ativar segurança adicional para a tua aplicação:

1. Usa senhas fortes. A maioria das pessoas usa senhas fracas que são fáceis de adivinhar com base nas suas informações pessoais. Para implementar um sistema de gestão de identidade de usuário seguro e confiável, deves habilitar políticas de senhas fortes. Isso prevenirá os usuários de usarem senhas fracas sem as devidas medidas de segurança.
2. Ativa a autenticação multifatorial. A autenticação multifatorial (MFA) adiciona uma camada extra de segurança à conta dos teus usuários ao exigir que eles insiram um código no telemóvel ou em outro dispositivo, além da senha. Isso torna muito mais difícil para os atacantes acederem à conta dos teus clientes. Mesmo que as senhas dos teus clientes sejam comprometidas, os atacantes não conseguirão aceder às contas sem o segundo fator.
3. Criptografa os dados dos usuários. A criptografia dos dados dos usuários é uma boa forma de protegê-los de acessos não autorizados. Se um atacante conseguir aceder ao teu banco de dados, ele não conseguirá ler os dados sem a chave de criptografia. Isso os impedirá de roubar as informações pessoais dos teus clientes.
4. Roda as chaves de acesso frequentemente. Chaves de acesso são usadas para acessar os recursos da tua aplicação. Se um atacante conseguir aceder às tuas chaves de acesso, ele poderá acessar os recursos da tua aplicação sem a tua permissão. Para evitar isso, deverias rodar as chaves de acesso frequentemente.
5. Usa sistemas modernos de autenticação. Protocolos de autenticação modernos como OAuth 2.0 e OpenID Connect são muito mais seguros do que protocolos antigos como SAML e WS-Federation. Eles usam algoritmos criptográficos modernos e são muito mais difíceis de atacar.
6. Pré-regista as URLs de redirecionamento de login e dispositivos Se estiveres a usar OAuth 2.0 ou OpenID Connect para a autenticação, deverias pré-registar as URLs de redirecionamento de login e dispositivos. Isso impedirá que atacantes usem as contas dos teus clientes para entrarem na tua aplicação a partir dos seus próprios dispositivos.