Engenharia social (segurança)
A engenharia social, no contexto de segurança da informação, refere-se à manipulação psicológica de pessoas para a execução de ações ou para a divulgação de informações confidenciais. Esse é um termo que descreve um tipo psicotécnico de intrusão que depende fortemente da interação humana e envolve enganar outras pessoas para a quebra de procedimentos de segurança. Um ataque clássico na engenharia social é quando uma pessoa se passa por profissional de alto nível dentro das organizações, dizendo possuir problemas urgentes de acesso ao sistema, conseguindo assim o acesso a locais restritos.
Imagem: Mílton Jung · BY · Openverse
A engenharia social é aplicada em diversos setores da segurança da informação, e independentemente de sistemas computacionais, software e/ou plataforma utilizada, o elemento mais vulnerável de qualquer sistema de segurança da informação é o ser humano, o qual possui traços comportamentais e psicológicos que o torna suscetível a ataques de engenharia social. Dentre essas características, pode-se destacar: A engenharia social não é exclusivamente utilizada em informática. Ela também é uma ferramenta que permite explorar falhas humanas em organizações físicas ou jurídicas as quais operadores do sistema de segurança da informação possuem poder de decisão parcial ou total sobre o sistema, seja ele físico ou virtual. Porém, deve-se considerar que informações tais como pessoais, não documentadas, conhecimentos, saber, não são informações físicas ou virtuais, elas fazem parte de um sistema em que possuem características comportamentais e psicológicas nas quais a engenharia social passa a ser auxiliada por outras técnicas como: leitura a frio, linguagem corporal, leitura quente. Esses termos são usados no auxílio da engenharia social para obter informações que não são físicas ou virtuais, mas sim comportamentais e psicológicas.
Imagem: Fotografia CVI · BY-NC-SA · Openverse
A maioria das técnicas de engenharia social consiste em obter informações privilegiadas enganando os usuários de um determinado sistema através de identificações falsas, aquisição de carisma e confiança da vítima. Um ataque de engenharia social pode se dar através de qualquer meio de comunicação. Tendo-se destaque para telefonemas, conversas diretas com a vítima, e-mail e WWW. Algumas dessas técnicas são:
Vírus que se espalham por e-mail
Criadores de vírus geralmente usam e-mail para a propagar as suas criações. Na maioria dos casos, é necessário que o usuário ao receber o e-mail execute o arquivo em anexo para que seu computador seja contaminado. O criador do vírus pensa então em uma maneira de fazer com que o usuário clique no anexo. Um dos métodos mais usados é colocar um texto que desperte a curiosidade do usuário. O texto pode tratar de sexo, de amor, de notícias atuais ou até mesmo de um assunto particular do internauta. Um dos exemplos mais clássicos é o vírus I Love You, que chegava ao e-mail das pessoas usando este mesmo nome. Ao receber a mensagem, muitos pensavam que tinham um(a) admirador(a) secreto(a) e na expectativa de descobrir quem era, clicavam no anexo e contaminam o computador. Repare que neste caso, o autor explorou um assunto que mexe com qualquer pessoa. Alguns vírus possuem a característica de se espalhar muito facilmente e por isso recebem o nome de worms (vermes). Aqui, a engenharia social também pode ser aplicada. Imagine, por exemplo, que um worm se espalha por e-mail usando como tema cartões virtuais de amizade. O internauta que acreditar na mensagem vai contaminar seu computador e o worm, para se propagar, envia cópias da mesma mensagem para a lista de contatos da vítima e coloca o endereço de e-mail dela como remetente. Quando alguém da lista receber a mensagem, vai pensar que foi um conhecido que enviou aquele e-mail e como o assunto é amizade, pode acreditar que está mesmo recebendo um cartão virtual de seu amigo. A tática de engenharia social para este caso, explora um assunto cabível a qualquer pessoa: a amizade.
Imagem: Fotografia CVI · BY-NC-SA · Openverse
Pretexto
Pretexto é o ato de criar e usar um cenário inventado para envolver uma vítima visada de uma maneira que aumenta a chance de a vítima divulgar informações ou executar ações que seriam improváveis, em circunstâncias comuns. Uma mentira elaborada, geralmente envolve algumas pesquisas ou configurações anteriores e o uso dessas informações para representação (por exemplo, data de nascimento, número do Seguro Social, valor da última conta) para estabelecer legitimidade na mente do alvo. Essa técnica pode ser usada para enganar uma empresa na divulgação de informações de clientes, bem como por investigadores particulares, para obter registros telefônicos, utilitários, bancários e outras informações diretamente dos representantes de serviços da empresa. As informações podem ser usadas para estabelecer uma legitimidade ainda maior sob questionamentos mais difíceis com um gerente, por exemplo, para fazer alterações na conta, obter saldos específicos etc.
Isca
A isca é como o cavalo de Troia do mundo real que usa mídia física e depende da curiosidade ou ganância da vítima. Nesse ataque, os invasores deixam disquetes, CD-ROMs ou unidades flash USB infectadas por malware em locais onde as pessoas os encontram (banheiros, elevadores, calçadas, estacionamentos etc.), fornecem etiquetas legítimas e que despertam curiosidade e espera pelas vítimas. Por exemplo, um invasor pode criar um disco com um logotipo corporativo, disponível no site do alvo, e rotulá-lo como "Resumo do salário executivo Q2 de 2012". O atacante então deixa o disco no chão de um elevador ou em algum lugar no corredor da empresa-alvo. Um funcionário que não conhece pode encontrá-lo e inserir o disco em um computador para satisfazer sua curiosidade, ou um bom samaritano pode encontrá-lo e devolvê-lo à empresa. De qualquer forma, apenas inserir o disco em um computador instala o malware, dando aos invasores acesso ao PC da vítima e, talvez, à rede interna de computadores da empresa alvo.
Quid pro quo
Quid pro quo significa "algo para algo":
Utilização não autorizada (tailgating)
Um invasor, buscando entrada em uma área restrita protegida por controle de acesso eletrônico autônomo, por exemplo por cartão RFID, simplesmente entra atrás de uma pessoa que tem acesso legítimo. Após uma cortesia comum, a pessoa legítima geralmente mantém a porta aberta para o atacante ou os próprios atacantes podem pedir ao funcionário que a mantenha aberta para eles. A pessoa legítima pode deixar de solicitar identificação por qualquer um dos vários motivos ou aceitar uma afirmação de que o atacante esqueceu ou perdeu o token de identidade apropriado. O invasor também pode fingir a ação de apresentar um token de identidade.
