O que é engenharia social e como você pode evitá-la?

O malware não é a única ameaça on-line com que se preocupar. A engenharia social é uma grande ameaça e pode atingir você em qualquer sistema operacional. Na verdade, a engenharia social também pode ocorrer por telefone e em situações face-a-face.

É importante estar ciente da engenharia social e estar atento. Programas de segurança não irão protegê-lo da maioria das ameaças de engenharia social, então você tem que se proteger.

Engenharia Social Explicada

Os ataques tradicionais baseados em computador geralmente dependem de encontrar uma vulnerabilidade no código de um computador. Por exemplo, se você estiver usando uma versão desatualizada do Adobe Flash - ou, Deus não o permita, Java, que foi a causa de 91% dos ataques em 2013 de acordo com a Cisco - você pode visitar um site malicioso e esse site exploraria a vulnerabilidade em seu software para obter acesso ao seu computador. O atacante está manipulando bugs no software para obter acesso e coletar informações privadas, talvez com um keylogger que eles instalam.

Os truques de engenharia social são diferentes porque envolvem manipulação psicológica. Em outras palavras, eles exploram pessoas, não seu software.

Você provavelmente já ouviu falar em phishing, que é uma forma de engenharia social. Você pode receber um e-mail afirmando ser do seu banco, empresa do cartão de crédito ou outra empresa confiável. Eles podem direcioná-lo a um site falso disfarçado para parecer real ou solicitar que você baixe e instale um programa mal-intencionado. Mas tais truques de engenharia social não precisam envolver sites falsos ou malware. O e-mail de phishing pode simplesmente solicitar que você envie uma resposta por e-mail com informações privadas. Em vez de tentar explorar um bug em um software, eles tentam explorar as interações humanas normais. Spear phishing pode ser ainda mais perigoso, pois é uma forma de phishing projetada para segmentar indivíduos específicos.

Exemplos de engenharia social

Um truque popular em serviços de bate-papo e jogos on-line foi registrar uma conta com um nome como "Administrador" e enviar mensagens assustadoras para pessoas como "AVISO: Detectamos que alguém pode estar invadindo sua conta, responda com sua senha para se autenticar". Se um alvo responder com a sua senha, ele se engana e o atacante agora tem a senha da conta..

Se alguém tiver informações pessoais sobre você, elas poderão usá-lo para obter acesso às suas contas. Por exemplo, informações como sua data de nascimento, número de seguridade social e número do cartão de crédito costumam ser usadas para identificá-lo. Se alguém tiver essa informação, pode entrar em contato com uma empresa e fingir ser você. Este truque foi usado por um invasor para obter acesso ao Yahoo! Mail account em 2008, enviando dados pessoais suficientes para obter acesso à conta através do formulário de recuperação de senha do Yahoo! O mesmo método pode ser usado por telefone se você tiver as informações pessoais necessárias para autenticar você. Um atacante com alguma informação sobre um alvo pode fingir ser ele e ter acesso a mais coisas.

A engenharia social também poderia ser usada pessoalmente. Um invasor pode entrar em um negócio, informar ao secretário que é um reparador, um novo funcionário ou um inspetor de incêndio em um tom autoritário e convincente, perambular pelos corredores e roubar dados confidenciais ou plantar bugs para realizar espionagem corporativa. Esse truque depende do atacante se apresentar como alguém que não é. Se uma secretária, porteiro ou qualquer outra pessoa responsável não fizer muitas perguntas ou olhar muito de perto, o truque será bem sucedido..

Os ataques de engenharia social abrangem a gama de sites falsos, e-mails fraudulentos e mensagens de chat nefastas até personificar alguém no telefone ou pessoalmente. Esses ataques vêm em uma ampla variedade de formas, mas todos eles têm uma coisa em comum - eles dependem de truques psicológicos. A engenharia social tem sido chamada de arte da manipulação psicológica. É uma das principais formas de “hackers” na verdade “hackear” contas online.

Como evitar a engenharia social

Saber que a engenharia social existe pode ajudá-lo a combatê-la. Suspeite de emails não solicitados, mensagens de chat e telefonemas que solicitem informações privadas. Nunca revele informações financeiras ou informações pessoais importantes por e-mail. Não faça o download de anexos de e-mail potencialmente perigosos e execute-os, mesmo que um e-mail afirme que eles são importantes.

Você também não deve seguir links em um email para sites sensíveis. Por exemplo, não clique em um link em um e-mail que parece ser do seu banco e faça login. Ele pode levar você a um site falso de phishing disfarçado para ser o site do seu banco, mas com um URL sutilmente diferente. Visite o site diretamente.

Se você receber uma solicitação suspeita, por exemplo, um telefonema do seu banco solicita informações pessoais, entre em contato diretamente com a fonte da solicitação e solicite a confirmação. Neste exemplo, você ligaria para seu banco e perguntaria o que eles querem, em vez de divulgar as informações para alguém que afirma ser seu banco.

Programas de e-mail, navegadores da Web e pacotes de segurança geralmente têm filtros de phishing que avisam quando você visita um site de phishing conhecido. Tudo o que eles podem fazer é avisá-lo quando você visitar um site de phishing conhecido ou receber um e-mail de phishing conhecido e eles não souberem sobre todos os sites ou e-mails de phishing existentes. Na maior parte, cabe a você se proteger - os programas de segurança só podem ajudar um pouquinho.

É uma boa ideia exercitar uma suspeita saudável ao lidar com solicitações de dados privados e qualquer outra coisa que possa ser um ataque de engenharia social. Suspeita e cautela ajudarão a proteger você, tanto online quanto offline.

Crédito de imagem: Jeff Turnet no Flickr