Engenharia Social: técnicas avançadas de ciberataques e segurança da informação

Engenharia Social, dentro do nicho de segurança da informação, é uma técnica utilizada por criminosos para induzir usuários desavisados ao erro. Por exemplo, fazer com que as pessoas enviem dados confidenciais, como informações sensíveis, bancárias ou da empresa.

Em suma, a definição de engenharia social é influenciar uma pessoa a tomar uma decisão que provavelmente não é do seu interesse. A partir disso, o criminoso por trás dessa ação pode seguir diversas linhas de raciocínio. Aqui no blog da Softwall, já falamos do roubo de dados e invasão de endpoints, infectando computadores a partir de acessos a sites indevidos ou instalando malwares.

Geralmente, os criminosos focam esse tipo de ação em grandes empresas ou instituições governamentais, e mesmo com as organizações investindo muito em diversos processos de segurança, as investidas ilícitas ainda conseguem ter certo êxito.

No decorrer do artigo, iremos desmembrar a engenharia social, explicando técnicas avançadas de ciberataques e como mitigar os riscos em busca de melhorar o máximo possível a segurança da informação de sua empresa, se prevenindo contra perda ou vazamento de dados.

Como funciona a Engenharia Social?

Primeiramente, devemos ressaltar que a engenharia social se aproveita do despreparo que muitas pessoas acabam tendo para conseguirem se manter atualizados por conta das constantes inovações tecnológicas que aparecem todos os anos.

Segundo relatório da Verizon, 82% dos ciberataques que ocorreram no ano de 2022 foram provenientes da engenharia social, e o principal método utilizado foi o phishing, que foi identificado em 60% dos casos.

Mas não podemos nos enganar. Apesar do phishing ser o principal método utilizado na engenharia social, não é a única maneira de fazer o cibercrime acontecer. Ataques de worms, de rede ponto a ponto (P2P) infecções de malware também podem ser utilizadas como formas de iniciar esse tipo ataque cibernético.

Também é necessário ressaltar que, na engenharia social, o principal alvo das investidas criminosas são as pessoas e os erros que elas podem cometer no dia a dia. Mesmo grandes empresas, com seus grandes investimentos em segurança digital, estão sujeitas aos erros humanos que criam vulnerabilidades que os criminosos se aproveitam.

Métodos de Engenharia Social

Como falamos anteriormente, existem diversos métodos de engenharia social que são utilizados para conseguir invadir sistemas em busca do roubo de dados e ataques às infraestruturas.

Phishing

Em 2020, a Softwall fez um artigo falando sobre o phishing, mas é sempre bom relembrar. Esse método de engenharia social é o mais conhecido e mais utilizado durante ciberataques. Normalmente, os ataques consistem em disparar e-mails de fontes que parecem ser seguras, mas não são.

Então, caso o destinatário acabe baixando e instalando um malware, os criminosos podem conseguir usurpar dados, seja de um usuário ou mesmo de uma rede inteira. Existem alguns tipos deste método, como o phishing tradicional e o spear phishing.

Ataque de Worms

O ataque de worms acontece quando o criminoso busca atrair a atenção da vítima para que um link seja acessado ou um arquivo mal intencionado seja baixado com a finalidade de infectar o dispositivo ou a rede que o usuário está conectado.

Worm é um tipo muito perigoso de malware, principalmente pelo fato da rapidez com que o vírus se propaga, sem que o usuário do dispositivo consiga controlar. Assim que está estabelecido no computador, o software malicioso cria diversos arquivos, multiplicando-se em diferentes locais do sistema, se espalhando com muita facilidade.

Ataque de rede ponto a ponto (P2P)

Redes P2P são um ponto muito acessível na engenharia social em ciberataques, sendo muito utilizadas por criminosos digitais na distribuição de malwares no dispositivo. Normalmente, são iniciadas por um worm ou cavalo de troia que recebem um nome que pode ser de interesse do usuário, fazendo com que a pessoa baixe o arquivo e acabe contaminando o computador ou rede utilizada.

Casos reais: as consequências da engenharia social em uma empresa

Um dos maiores casos de engenharia social do mundo ocorreu em 2016, quando o então CEO da empresa de peças de avião FAAC, Waltar Staphan foi vítima de um ataque hacker por meio de um phishing, o que ocasionou sua demissão da empresa.

Na ocasião, o chefe executivo da empresa recebeu um e-mail que supostamente era de uma pessoa do alto escalão da instituição, dizendo que necessitava de uma transferência bancária de US$ 56,79 milhões. Waltar Staphan fez a transação rapidamente, e apenas após a conclusão, a organização constatou o delito ocorrido.

A empresa até tentou recuperar o dinheiro, porém, apenas uma pequena fração voltou para os cofres. O restante do valor foi transferido para contas em paraísos fiscais na europa e na ásia, e desapareceu da vista das autoridades responsáveis nas investigações do caso.

Como usar a segurança da informação para se proteger da engenharia social?

Um dos principais métodos de se proteger de um golpe proveniente da engenharia social é a desconfiança! Sim, o ideal é sempre estar atento às fontes das quais as mensagens são enviadas. Isso é, caso alguém de sua empresa te envie um e-mail que não havia sido comunicado previamente, certificando-se também se o processo foi ou não solicitado anteriormente.

Uma dica que a equipe da Softwall pode te dar é: caso não tenha conhecimento do que a mensagem se trata, comunique o remetente por outro canal de comunicação. Dessa forma, é possível confirmar a procedência ou não do e-mail, podendo assim dar seguimento ao processo.

Outra forma de se proteger da engenharia social é mantendo uma boa segurança de endpoint. Ao contrário dos antivírus convencionais, que trabalham com uma proteção mais básica por meio de um software, o endpoint security mantém a integridade de todo o dispositivo, desde a verificação do usuário até a proteção contra malwares e worms.

Além disso, a equipe da Softwall pode te ajudar de outra forma. Nosso Red Team e nosso Blue Team estão à disposição de sua empresa em busca de melhorar toda a sua infraestrutura e proteger sua empresa. Quer saber mais? Entre em contato e nosso time competente vai sanar todas as suas dúvidas.

“Sua segurança é o nosso objetivo”