Engenharia social cibercriminosa é uma tática que, em sua essência, engana o usuário ao criar uma narrativa falsa que explora a credulidade, ganância, curiosidade ou qualquer outra característica humana da vítima.
Índice
O resultado final é que a vítima entrega voluntariamente informações privadas ao invasor — sejam pessoais (por exemplo, nome, e-mail), financeiras (por exemplo, número do cartão de crédito, carteira de criptomoedas), ou instala inadvertidamente malware ou backdoors em seu próprio sistema.
Podemos classificar os ataques modernos em duas categorias amplas de acordo com o alvo: Ou eles atacam a máquina ou atacam o usuário. O "ataque à máquina" começou com ataques de exploração de vulnerabilidade ainda em 1996 com o artigo seminal, “Smashing the Stack for Fun and Profit.” No entanto, o “ataque ao humano” (engenharia social) tem sido — e ainda é — esmagadoramente mais prevalente. Todos os ataques conhecidos baseados em não vulnerabilidade têm um elemento de engenharia social em que o invasor tenta convencer a vítima a fazer algo que acabará sendo prejudicial para ela.
Tipos de ameaças de engenharia social
Embora não seja uma lista exaustiva, a seguir estão os principais ataques de engenharia social a serem conhecidos:
Phishing
O Phishing é um dos tipos mais comuns de ataques de engenharia social. Ele utiliza e-mails e mensagens de texto para atrair as vítimas a clicarem em anexos maliciosos ou links para sites nocivos.
Baiting
Esse ataque usa uma isca falsa para atrair a vítima via ganância ou interesse. As vítimas são atraídas para uma armadilha que compromete suas informações sensíveis ou infecta seus dispositivos. Um exemplo seria deixar um pen drive infectado com malware em um local público. A vítima pode se interessar por seu conteúdo e inseri-lo em seu dispositivo — instalando inadvertidamente o malware.
Pretexting
Nesse ataque, um agente mente para outro a fim de obter acesso a dados. Por exemplo, um invasor pode fingir precisar de informações financeiras ou pessoais para confirmar a identidade do destinatário.
Scareware
Scareware envolve vítimas sendo assustadas com falsos alarmes e ameaças. Os usuários podem ser enganados ao pensar que seu sistema está infectado com malware. Eles então instalam o suposto software corretivo — mas esse software pode ser o próprio malware , por exemplo, um vírus ou spyware. Exemplos comuns são banners pop-up aparecendo no seu navegador, exibindo mensagens como “Seu computador pode estar infectado.” Isso irá tentar instalar o arquivo ou direcioná-lo para um site malicioso.
Spear phishing e whaling
Em um spear phishing , o ataque é direcionado especificamente a um indivíduo ou organização. Da mesma forma, ataques de whaling visam funcionários de alto escalão, como CEOs e diretores.
Tailgating
Também conhecido como piggybacking, tailgating é quando um invasor entra em um prédio seguro ou departamento de escritório seguindo alguém com um cartão de acesso. Esse ataque presume que todos irão assumir que o invasor tem permissão para estar lá.
Golpes baseados em IA
Golpes baseados em IA utilizam tecnologia de inteligência artificial para enganar vítimas. Aqui estão os tipos mais comuns:
Golpe de Texto com IA: Mensagens de texto enganosas geradas por IA para phishing ou disseminação de malware.
Golpe de Imagem com IA: Imagens falsas criadas usando IA para manipular e enganar indivíduos.
Golpe de Voz com IA: Mensagens de voz fraudulentas geradas por IA para se passar por entidades confiáveis e enganar vítimas.
Golpe de Vídeo com IA: Vídeos manipulados criados com IA, conhecidos como deepfakes, usados para disseminar desinformação ou direcionar indivíduos.
Por favor, visite nossa página dos 12 tipos de ataques de engenharia social se quiser aprender mais sobre eles.
Como reconhecer ataques de engenharia social
Como esses ataques vêm em muitas formas e tamanhos — e dependem da falibilidade humana — pode ser muito difícil identificar ataques de engenharia social. No entanto, se você encontrar algum dos itens abaixo, esteja atento, pois são grandes sinais de alerta e sugerem que um ataque de engenharia social está começando:
Um e-mail ou mensagem de texto não solicitada de alguém que você não conhece.
A mensagem é supostamente muito urgente.
A mensagem exige que você clique em um link ou abra um anexo.
A mensagem contém muitos erros de digitação e gramática.
A mensagem contém muitos erros de digitação e gramática.
A pessoa que liga tenta obter informações pessoais suas.
A pessoa que liga tenta fazer com que você baixe algo.
A pessoa que liga fala com grande senso de urgência e/ou agressividade.
A maior proteção que se pode ter contra as táticas de engenharia social usadas por criminosos on-line atualmente é estar bem-informado sobre as diversas maneiras pelas quais um cibercriminoso pode se aproveitar da sua vulnerabilidade nas redes sociais. Mais do que as consequências habituais de cair em spam, ataques de phishing e infecções por malware, o desafio colocado pelos cibercriminosos é ter um bom entendimento e consciência para manter seus dados privados.
Além de estar atento aos sinais de alerta mencionados acima, as seguintes são boas práticas recomendadas:
Mantenha seu sistema operacional e software de segurança cibernética atualizados.
Use autenticação multifator e/ou um gerenciador de senhas.
Não abra e-mails e anexos de fontes desconhecidas.
Configure seus filtros de spam muito bem.
Exclua e ignore qualquer solicitação de informações financeiras ou senhas.
Se você suspeitar de algo durante uma interação, mantenha a calma e vá com calma.
Pesquise bem quando se tratar de sites, empresas e indivíduos.
Tenha cuidado com o que você compartilha nas redes sociais — utilize as configurações de privacidade.
Se você é funcionário de uma empresa, certifique-se de conhecer as políticas de segurança.
Exemplos de engenharia social
Movidos fortemente pelo lucro, os cibercriminosos aumentaram significativamente seus métodos para obter informações confidenciais de usuários on-line em troca de ganhos financeiros.
Janeiro é quando a maioria dos países inicia a temporada de impostos, o que a torna um alvo favorito dos cibercriminosos para ganhar dinheiro. Graças à engenharia social, uma tática popular em que um ataque é adaptado para coincidir com ocasiões amplamente celebradas, feriados e notícias populares, os cibercriminosos lucram muito com suas vítimas. Cidadãos dos EUA receberam amostras de spam que tentavam se passar por mensagens do Serviço de Receita Federal dos EUA (IRS).
Clique aqui para saber mais sobre esse ataque de malware na temporada de impostos.
A notícia da morte prematura de Robin Williams em 12 de agosto de 2014 chocou pessoas ao redor do mundo. Enquanto a notícia de sua morte se espalhava como fogo entre os internautas, spammers e cibercriminosos dispararam e-mails de spam que mencionavam o nome do ator no assunto do e-mail. O e-mail de spam pedia que os destinatários fizessem o download de um vídeo “chocante” sobre a morte de Williams, mas ao clicar no link de vídeo, o usuário baixava um arquivo executável que foi detectado como WORM_GAMARUE.WSTQ.
Clique aqui para saber mais sobre esse ataque de malware de fofocas de celebridades.
Quando notícias sobre a pandemia de Ebola inundaram a internet, os cibercriminosos aproveitaram a oportunidade para usar os relatos amplamente divulgados como isca para induzir usuários desavisados a abrir e-mails falsos. Esses e-mails geralmente levam a tentativas de phishing, onde as informações e credenciais da vítima são roubadas.
Clique aqui para saber mais sobre esse ataque de malware falso.
2008 foi o ano de explosão dos ataques sociais gerados por cibercriminosos para sabotagem e lucro. Com alvos identificados, ataques baseados em plataformas foram direcionados a usuários domésticos, pequenas empresas e grandes organizações, afetando a propriedade intelectual e causando grandes prejuízos financeiros. Em geral, criminosos on-line criaram formas de atacar usuários da web usando redes sociais como Facebook e Twitter.
Em 2008, usuários do Facebook se tornaram alvo do ataque de malware do tipo worm chamado KOOBFACE. O Twitter então se tornou uma mina de ouro para cibercriminosos em 2009, espalhando links maliciosos que carregavam trojans.
O futuro dos ataques de engenharia social
Podemos desconstruir qualquer interação de engenharia social e reduzi-la aos seguintes elementos:
- Um “meio” para fazer a conexão com a vítima, o que pode ser feito via telefone, e-mail, rede social ou mensagem direta, para citar alguns.
- Uma “mentira”, onde o invasor constrói uma falsidade para convencer a vítima a agir dentro de um prazo determinado. A mentira muitas vezes também inclui um senso de urgência, como uma limitação de tempo.
- Um “pedido”, que é a ação a ser tomada pela vítima, como fornecer credenciais, executar um arquivo malicioso, investir em algum esquema de criptomoeda ou enviar dinheiro.
Vamos usar um exemplo comum com o qual você provavelmente está familiarizado — o golpe estereotipado por e-mail:
Figura 1. O meio, a mentira e o pedido de um ataque de engenharia social.
A partir de 2024, criminosos alcançam suas vítimas por meio de todas as formas possíveis de rede. Eles também usam histórias inventadas como parte de seus truques de engenharia social. Seus objetivos geralmente são os mesmos, como descobrir a senha, instalar malware ou compartilhar informações pessoais.
Ao longo dos anos, vimos uma infinidade de enredos diferentes no campo da engenharia social, e seria compreensível pensar que todas as ideias já foram usadas. No entanto, os invasores continuam criando novos truques de engenharia social todos os anos. Neste artigo, exploraremos novas melhorias na engenharia social que os invasores podem usar no futuro para enganar usuários. Ao mudar o meio, a mentira ou o pedido, os invasores podem facilmente criar novas e inovadoras armadilhas para enganar suas vítimas.
Que novos elementos podemos esperar ver? Que novas mudanças nos antigos esquemas podemos prever? Como as novas tecnologias afetarão qualquer um desses?
Mudanças no meio
À medida que novas tecnologias surgem, os invasores ganham mais formas de alcançar suas vítimas em potencial. Isso inclui ferramentas de IA, dispositivos de realidade virtual como Apple Vision Pro, o pin da Humane, óculos Ray-Ban, ou qualquer outro novo dispositivo que os usuários possam começar a usar no futuro.
Uso de dispositivos vestíveis como meio
Novos dispositivos entram no mercado todos os anos, e isso expande a Superfície de Ataque para os cibercriminosos. Dispositivos vestíveis são particularmente interessantes porque estão sempre ativos e são totalmente confiáveis para seu usuário. Qualquer artifício envolvendo um dispositivo vestível tem maior chance de ser acreditado e confiável. Existe a possibilidade de o invasor obter acesso ao dispositivo vestível. Eles frequentemente não são projetados para executar ferramentas de segurança ou mesmo se autenticar regularmente, muitas vezes burlando os controles de segurança normais.
Figure 2. Um cenário potencial de dispositivos vestíveis como meio para ataques de engenharia social
Chatbots como meio
Chatbots de IA também podem ser usados como veículo para alcançar o usuário. A ideia desse ataque é alimentar informações falsas ao chatbot para manipular o usuário a agir. Envenenar os dados do chatbot pode ser feito de várias maneiras, incluindo alimentá-lo com informações erradas, sequestrar os dados de treinamento ou injetar novos comandos.
Novos ataques por e-mail
Uma nova forma de usar o meio clássico de e-mail e mensagem instantânea (MI) seria utilizar um bot alimentado por um modelo de linguagem grande (LLM) para aumentar a eficácia de um ataque BEC. O invasor pode usar o LLM para compilar todo o histórico de mensagens entre a vítima e o CEO. Então, o bot poderia continuar um thread nesse canal confiável como se fosse o CEO, usando o estilo de escrita do CEO para convencer a vítima a transferir o dinheiro. Isso já acontece manualmente, mas o potencial desse ataque ser automatizado com IA não pode ser ignorado.
Aperfeiçoando as mentiras
A principal inovação por trás das mentiras com engenharia social é a IA. A mentira real em uma história de engenharia social pode variar muito por estação, país e grupo demográfico, para citar alguns, mas isso pode mudar rapidamente devido à escalabilidade e flexibilidade que a IA oferece. IA Generativa (GenAI) se destaca em geração de imagem, áudio e vídeo. Para texto, ela se destaca tanto na criação de conteúdo crível quanto no rápido processamento de grandes volumes de texto. Essa nova escalabilidade abre muitos novos desenvolvimentos para o aspecto “mentira” da engenharia social.
Um novo tema que os invasores podem usar para criar mentiras é a própria tecnologia de IA. Por exemplo, criar mentiras sobre o que o ChatGPT ou a realidade virtual podem fazer, devido ao interesse que elas geram. Adicionalmente, os invasores podem criar ferramentas falsas relacionadas à IA que, na verdade, são malware. Designers gráficos estão geralmente curiosos sobre a criação de imagens e vídeos deepfake. Uma ferramenta que o invasor pode oferecer para facilitar isso poderia ser, na verdade, um download de malware. Da mesma forma, incorporar imagens e vídeos deepfake a golpes já existentes pode adicionar mais credibilidade a eles. Essa estratégia está claramente em ascensão no cenário de ameaças atual. Acreditamos que deepfakes têm potencial para ser altamente disruptivos em golpes de engenharia social e que os invasores os usarão extensivamente num futuro próximo.
Figura 3. Como os golpes por chamada e voz podem ser aprimorados com deepfakes
- Clique aqui para saber mais sobre O Futuro da Engenharia Social.
Plataforma Trend Vision One™
Trend Vision One é uma plataforma de cibersegurança que simplifica a segurança e ajuda empresas a detectar e interromper ameaças mais rapidamente ao consolidar múltiplas capacidades de segurança, permitindo maior controle sobre a Superfície de Ataque da empresa e fornecendo visibilidade completa de sua postura de risco cibernético.
A plataforma baseada na nuvem aproveita IA e inteligência de ameaças de 250 milhões de sensores e 16 centros de pesquisa ao redor do mundo para fornecer insights abrangentes sobre riscos, detecção antecipada de ameaças e opções automatizadas de resposta a riscos e ameaças em uma solução única.
Prevenção contra engenharia social