Engenharia social (segurança)

 Nota: Se procura Engenharia social do contexto de ciência política, veja Engenharia social (ciência política).

A engenharia social, no contexto de segurança da informação, refere-se à manipulação psicológica de pessoas para a execução de ações ou para a divulgação de informações confidenciais. Esse é um termo que descreve um tipo psicotécnico de intrusão que depende fortemente da interação humana e envolve enganar outras pessoas para a quebra de procedimentos de segurança. Um ataque clássico na engenharia social é quando uma pessoa se passa por profissional de alto nível dentro das organizações, dizendo possuir problemas urgentes de acesso ao sistema, conseguindo assim o acesso a locais restritos.

Entendendo a engenharia social

A engenharia social é aplicada em diversos setores da segurança da informação, e independentemente de sistemas computacionais, software e/ou plataforma utilizada, o elemento mais vulnerável de qualquer sistema de segurança da informação é o ser humano, o qual possui traços comportamentais e psicológicos que o torna suscetível a ataques de engenharia social. Dentre essas características, pode-se destacar:

A engenharia social não é exclusivamente utilizada em informática. Ela também é uma ferramenta que permite explorar falhas humanas em organizações físicas ou jurídicas as quais operadores do sistema de segurança da informação possuem poder de decisão parcial ou total sobre o sistema, seja ele físico ou virtual. Porém, deve-se considerar que informações tais como pessoais, não documentadas, conhecimentos, saber, não são informações físicas ou virtuais, elas fazem parte de um sistema em que possuem características comportamentais e psicológicas nas quais a engenharia social passa a ser auxiliada por outras técnicas como: leitura fria, linguagem corporal, leitura quente. Esses termos são usados no auxílio da engenharia social para obter informações que não são físicas ou virtuais, mas sim comportamentais e psicológicas.

Técnicas

A maioria das técnicas de engenharia social consiste em obter informações privilegiadas enganando os usuários de um determinado sistema através de identificações falsas, aquisição de carisma e confiança da vítima. Um ataque de engenharia social pode se dar através de qualquer meio de comunicação. Tendo-se destaque para telefonemas, conversas diretas com a vítima, e-mail e WWW. Algumas dessas técnicas são:

Vírus que se espalham por e-mail

Criadores de vírus geralmente usam e-mail para a propagar as suas criações. Na maioria dos casos, é necessário que o usuário ao receber o e-mail execute o arquivo em anexo para que seu computador seja contaminado. O criador do vírus pensa então em uma maneira de fazer com que o usuário clique no anexo. Um dos métodos mais usados é colocar um texto que desperte a curiosidade do usuário. O texto pode tratar de sexo, de amor, de notícias atuais ou até mesmo de um assunto particular do internauta. Um dos exemplos mais clássicos é o vírus I Love You, que chegava ao e-mail das pessoas usando este mesmo nome. Ao receber a mensagem, muitos pensavam que tinham um(a) admirador(a) secreto(a) e na expectativa de descobrir quem era, clicavam no anexo e contaminam o computador. Repare que neste caso, o autor explorou um assunto que mexe com qualquer pessoa. Alguns vírus possuem a característica de se espalhar muito facilmente e por isso recebem o nome de worms (vermes). Aqui, a engenharia social também pode ser aplicada. Imagine, por exemplo, que um worm se espalha por e-mail usando como tema cartões virtuais de amizade. O internauta que acreditar na mensagem vai contaminar seu computador e o worm, para se propagar, envia cópias da mesma mensagem para a lista de contatos da vítima e coloca o endereço de e-mail dela como remetente. Quando alguém da lista receber a mensagem, vai pensar que foi um conhecido que enviou aquele e-mail e como o assunto é amizade, pode acreditar que está mesmo recebendo um cartão virtual de seu amigo. A tática de engenharia social para este caso, explora um assunto cabível a qualquer pessoa: a amizade.

Quais sentimentos são explorados na Engenharia Social

A Engenharia Social explora vulnerabilidades emocionais da vítima e usa como isca assuntos atuais, promoções ou até mesmo falsas premiações.

Por não exigir conhecimentos técnicos, a engenharia social também existe sem tecnologia, algo conhecido como no-tech hacking.

Por ser tão simples, as vítimas de um engenheiro social podem demorar a duvidar da comunicação.

E talvez até chegar a isso, o criminoso já a terá atingido através de diferentes emoções, sendo algumas delas:

Curiosidade

Quase todo ataque de engenharia social inicia a partir da curiosidade do alvo. No caso de phishing, por exemplo, é o benefício imperdível que ele poderá adquirir naquele momento, se seguir as instruções.

Após a surpresa inicial, o usuário certamente vai ter curiosidade para entender melhor do que se trata a mensagem recebida. E para validar sua opinião, ele pode acabar clicando em algum link malicioso ou preenchendo algum formulário.

Preguiça

Por que um funcionário iria digitar as senhas manualmente toda vez que forem acessar alguma coisa? Ou até mesmo optar voluntariamente pela autenticação de dois fatores se tudo pode ser preenchido automaticamente? Com atalhos nos tornamos, na maioria das vezes, mais vulneráveis.

Cortar caminho nem sempre é o melhor a ser feito. É importante que todos sejam conscientizados não apenas sobre as medidas a serem tomadas na rotina dentro da empresa, mas também, a importância de cada uma delas.

Solidariedade

Ajudar um colega de trabalho é uma prática simples e naturalmente aplicada em um ambiente saudável. Mas não só isso. Como já dizia um velho ditado “Quando a esmola é demais, o santo desconfia”.

E o engenheiro social utiliza muito bem o recurso ao criar campanhas de doações falsas, descontos imperdíveis que serão revertidos em prol de alguma causa, etc.

É importante despertar nos funcionários o entendimento da importância de se questionar tudo com o que interagem ao longo do dia, até mesmo na voluntária ajuda alheia.

Vaidade

O modelo mais recente de um smartphone ou o luxo de realizar alguma atividade são características que envolvem a vaidade da vítima.

Funcionários podem ser seduzidos por uma oferta de empréstimo, compra ou até mesmo um novo emprego.

É pensando na própria fragilidade que todos devem ser conscientizados sobre separar o que precisam do que podem ter em um outro momento. pois a engenharia social utiliza muito bem a vaidade ao seduzir as vítimas a partir do consumo.

Ansiedade

Em uma realidade em que o problema de grandes cidades e muitos ambientes corporativos é a ansiedade, a engenharia social aproveita-se muito do fato.

Tudo deve ser feito rapidamente, as ofertas são irrecusáveis e a sensação de urgência torna-se protagonista a ponto de muitos não atentarem-se ao que chega a eles.

É neste momento que as maiores vítimas são pegas, na pressa do momento, pois não são capazes de criar suspeitas sobre a situação.

Outros conceitos

Pretexto

Pretexto (adj. pretextual) é o ato de criar e usar um cenário inventado (o pretexto) para envolver uma vítima visada de uma maneira que aumenta a chance de a vítima divulgar informações ou executar ações que seriam improváveis, ​​em circunstâncias comuns. Uma mentira elaborada, geralmente envolve algumas pesquisas ou configurações anteriores e o uso dessas informações para representação (por exemplo, data de nascimento, número do Seguro Social, valor da última conta) para estabelecer legitimidade na mente do alvo.

Essa técnica pode ser usada para enganar uma empresa na divulgação de informações de clientes, bem como por investigadores particulares, para obter registros telefônicos, utilitários, bancários e outras informações diretamente dos representantes de serviços da empresa. As informações podem ser usadas para estabelecer uma legitimidade ainda maior sob questionamentos mais difíceis com um gerente, por exemplo, para fazer alterações na conta, obter saldos específicos etc.

O pretexto também pode ser usado para representar colegas de trabalho, policiais, bancos, autoridades fiscais, clérigos, investigadores de seguros - ou qualquer outro indivíduo que possa ter percebido autoridade ou direito de saber na mente da vítima visada. O pretextador deve simplesmente preparar respostas para perguntas que possam ser feitas pela vítima. Em alguns casos, tudo o que é necessário é uma voz que soa autoritária, um tom sério e uma habilidade de pensar rápido para criar um cenário pré-textual.

Vishing

Ver artigo principal: Vishing

O phishing por telefone (ou "vishing") usa um sistema de resposta de voz interativa (URA) não autorizada para recriar uma cópia com som legítimo de um banco ou sistema de IVR de outra instituição. A vítima é solicitada (normalmente por um e-mail de phishing) a ligar para o "banco" por meio de um número (idealmente gratuito) fornecido para "verificar" as informações. Um sistema típico de "vishing" rejeitará logins continuamente, garantindo que a vítima insira PINs ou senhas várias vezes, frequentemente divulgando várias senhas diferentes. Sistemas mais avançados transferem a vítima para o atacante/fraudador, que se apresenta como agente de atendimento ao cliente ou especialista em segurança para mais perguntas sobre a vítima.

Isca

A isca é como o cavalo de Troia do mundo real que usa mídia física e depende da curiosidade ou ganância da vítima. Nesse ataque, os invasores deixam disquetes, CD-ROMs ou unidades flash USB infectadas por malware em locais onde as pessoas os encontram (banheiros, elevadores, calçadas, estacionamentos etc.), fornecem etiquetas legítimas e que despertam curiosidade e espera pelas vítimas.

Por exemplo, um invasor pode criar um disco com um logotipo corporativo, disponível no site do alvo, e rotulá-lo como "Resumo do salário executivo Q2 de 2012". O atacante então deixa o disco no chão de um elevador ou em algum lugar no corredor da empresa-alvo. Um funcionário que não conhece pode encontrá-lo e inserir o disco em um computador para satisfazer sua curiosidade, ou um bom samaritano pode encontrá-lo e devolvê-lo à empresa. De qualquer forma, apenas inserir o disco em um computador instala o malware, dando aos invasores acesso ao PC da vítima e, talvez, à rede interna de computadores da empresa alvo.

A menos que os controles do computador bloqueiem infecções, a inserção compromete a mídia de "execução automática" dos PCs. Dispositivos hostis também podem ser usados. Por exemplo, um "vencedor sortudo" recebe um reprodutor de áudio digital gratuito comprometendo qualquer computador ao qual esteja conectado. Uma "maçã da estrada" (o termo coloquial para esterco de cavalo, sugerindo a natureza indesejável do dispositivo) é qualquer mídia removível com software malicioso deixado em locais oportunistas ou conspícuos. Pode ser uma unidade flash CD, DVD ou USB, entre outras mídias. Pessoas curiosas o pegam e conectam a um computador, infectando o host e todas as redes conectadas. Novamente, os hackers podem dar a eles rótulos atraentes, como "Salários dos funcionários" ou "Confidencial".

Em um estudo realizado em 2016, os pesquisadores espalharam 297 unidades USB em todo o campus da Universidade de Illinois. As unidades continham arquivos que possuíam links para páginas de propriedade dos pesquisadores. Os pesquisadores conseguiram ver quantas das unidades tiveram seus arquivos abertos, mas não quantas foram inseridas em um computador sem ter um arquivo aberto. Das 297 unidades que foram espalhadas, 290 (98%) delas foram acionadas e 135 (45%) delas foram "acionadas de casa".

Quid pro quo

Quid pro quo significa algo para algo:

• Um invasor liga para números aleatórios em uma empresa, alegando estar ligando de volta do suporte técnico. Eventualmente, essa pessoa atingirá alguém com um problema legítimo, agradecida por alguém estar ligando de volta para ajudá-la. O invasor "ajudará" a resolver o problema e, no processo, terá os comandos de tipo de usuário que dão acesso ao invasor ou iniciam um malware.
• Em uma pesquisa de segurança da informação de 2003, 91% dos trabalhadores de escritório deram aos pesquisadores o que eles reivindicaram ser sua senha em resposta a uma pergunta da pesquisa em troca de uma caneta barata. Pesquisas semelhantes em anos posteriores obtiveram resultados semelhantes usando chocolates e outras iscas baratas, embora não fizessem nenhuma tentativa de validar as senhas.

Utilização não autorizada (Tailgating)

Ver artigo principal: Pegando Carona (segurança)

Um invasor, buscando entrada em uma área restrita protegida por controle de acesso eletrônico autônomo, por exemplo por cartão RFID, simplesmente entra atrás de uma pessoa que tem acesso legítimo. Após uma cortesia comum, a pessoa legítima geralmente mantém a porta aberta para o atacante ou os próprios atacantes podem pedir ao funcionário que a mantenha aberta para eles. A pessoa legítima pode deixar de solicitar identificação por qualquer um dos vários motivos ou aceitar uma afirmação de que o atacante esqueceu ou perdeu o token de identidade apropriado. O invasor também pode fingir a ação de apresentar um token de identidade.

Ver também

• Phishing
• Hacker
• Fraude
• Leitura fria
• Sistemas de Informação
• Ataque de canal lateral