Engenharia Social Reversa: Quando a vĂ­tima procura o criminoso

 

Fonte:


Por mais que o imaginário popular veja a figura do hacker como alguém ativo e agressivo que adora invadir sistemas para obter vantagens para si mesmo, não é exatamente esse o cenário quando falamos sobre engenharia social reversa. O que é Engenharia Social? Aprenda a identificar e se proteger de golpes "Precisa de ajuda?" Novo malware tem até vídeo tutorial para te guiar no golpe Diferente da engenharia social social comum, quando o cibercriminoso aborda a vítima diretamente, o modo reverso da coisa traz o invasor em uma postura mais passiva e paciente. Nesse caso, ele monta um cenário propício para que o alvo inicie o primeiro contato, buscando ajuda para um problema criado pelo hacker. Dessa forma, o usuário, que não sabe que está caindo em um golpe, se sente mais à vontade para confiar no invasor, sendo que o criminoso consegue explorar essa relação pré-estabelecida para passar a imagem de que está “salvando” a vítima ao invés de prejudicá-la. -Entre no Canal do WhatsApp do Canaltech e fique por dentro das últimas notícias sobre tecnologia, lançamentos, dicas e tutoriais incríveis.- Tríade da armadilha: sabotagem, publicidade e assistência A engenharia social reversa, assim como a tradicional, aposta na psicologia humana para manipular as emoções da vítima, criando uma sensação de confiança e dependência que pode ser tão danosa quanto o modo mais “agressivo”. A engenharia social reversa manipula a vítima para que ela entre em contato primeiro (Imagem: Reprodução/CCM). Basicamente, a engenharia social reversa se desenrola em três atos. O primeiro deles diz respeito à criação ou percepção do problema, quando o cibercriminoso elabora um tipo de necessidade para fisgar a vítima, como um alerta falso de vírus ou um bloqueio de conta. Já o segundo ato é a propaganda da solução, influenciando o alvo a entrar em contato com o invasor. Geralmente, o criminoso deixa um cartão para visita técnica, um número para entrar em contato ou usa a reputação de um especialista em tecnologia, por exemplo, para que a resolução do problema esteja visível para a vítima. Desesperada para resolver a situação, a pessoa vai atrás da ajuda, iniciando o contato com o criminoso sem saber que está caindo diretamente em uma armadilha. É assim que começa o terceiro ato, quando o alvo é fisgado pelo hacker, que solicita acesso remoto ou credenciais sensíveis para “ajudá-lo”. Cenário corporativo e o "técnico amigo" A engenharia social reversa afeta o usuário comum de diversas maneiras, mas o estrago pode ser ainda maior no ambiente corporativo. Imagine que um hacker consegue obter acesso a um escritório, seja físico ou virtualmente. Ele pode desconectar cabos ou criar falhas de software que provocam um impacto negativo no trabalho do funcionário que, estressado com o problema, decide ligar para o número que encontra em um cartão de visita em cima da mesa. O ambiente corporativo pode virar palco do golpe do falso suporte de TI (Imagem: Reprodução/Compugraf). Do outro lado da linha, o funcionário se depara com uma pessoa prestativa que diz ser uma especialista em tecnologia e que demonstra estar apta para ajudá-lo com a situação. Ansioso para resolver o problema rapidamente para não ser cobrado pelos chefes, o colaborador não percebe que quem está por trás da voz paciente é, na verdade, um cibercriminoso que aproveita esse senso de urgência para aplicar o famoso golpe do falso suporte de TI. Ao pedir senhas administrativas e solicitar o acesso remoto, o hacker consegue instalar malwares no dispositivo fingindo que tudo não passa de um simples diagnóstico para identificar o problema. Aproveitando a confiança pré-estabelecida, o criminoso passa a ter em mãos informações sensíveis sem precisar usar técnicas agressivas. Afinal, a vítima que iniciou o contato e concedeu os dados por “vontade própria”. Psicologia da autoridade Você pode até estar pensando: “como alguém cai tão facilmente num golpe sem nem ao menos suspeitar do que está acontecendo?”. A resposta está justamente na psicologia da mente humana, que tende a se “submeter” quando se depara com figuras de autoridade. Cibercriminosos manipulam a psicologia humana para emplacar golpes (Imagem: Reprodução/AFD). Quando você procura um médico, um advogado ou especialista em algum assunto, sua mente automaticamente assume que essas pessoas possuem um conhecimento que você não possui. Isso te coloca em uma posição de submissão intelectual que, no caso de um golpe, estabelece uma relação de confiança difícil de ser quebrada. Diante desse cenário, psicologicamente falando, é muito difícil para que a vítima suspeite de que está caindo em um golpe, já que, além dela mesma ter ido atrás da ajuda, a posição de autoridade passada pelo hacker que finge ser especialista serve como um tipo de “salvação”. A pessoa se sente aliviada de encontrar alguém que vai resolver o problema, impedindo que ela identifique sinais básicos de um golpe, como a solicitação de senhas, por exemplo. Golpe no usuário doméstico  Saindo do âmbito empresarial, o usuário comum também pode ser influenciado negativamente a iniciar um contato que o direciona para uma fraude. Nesse caso, existem duas práticas usadas por criminosos para fisgar a atenção da vítima: scareware e SEO poisoning (envenenamento de SEO). Começando pelo scareware, esse tipo de software faz com que o alvo o instale acreditando ser uma espécie de antivírus gratuito, mas que faz o oposto. Uma vez instalado, o programa simula infecções para exigir um valor pela remoção do malware, que nem existe realmente. Já o envenenamento de SEO ocorre quando hackers compram anúncios no Google para que sites falsos de suporte apareçam antes dos oficiais. Assim, se alguém pesquisar por “suporte Microsoft”, por exemplo, existe a possibilidade do usuário entrar em um link malicioso acreditando ser o verdadeiro. Usuários comuns podem cair em golpes de engenharia social reversa num piscar de olhos (Imagem: Reprodução/PUC-Rio). Independentemente da técnica utilizada, é importante frisar que, em todos os casos, a vítima está no “comando” das ações, buscando ativamente por ferramentas que irão comprometê-la pelo medo e a urgência vindos de um problema. Confiança zero Apesar de parecer coisa de fim do mundo, é mais do que possível vencer a engenharia social reversa. Afinal, a iniciativa do contato não é garantia de que o golpe definitivamente acontecerá. Tudo depende de uma série de fatores que podem ser revertidos, caso o usuário utilize o conceito básico de zero trust, ou confiança zero. O que significa "Zero Trust" (Confiança Zero)? Seja você um usuário comum ou esteja no universo corporativo, é fundamental ter em mente a verificação constante de informações que chegam até você. É aqui que o zero trust entra com um princípio básico de “nunca confiar, sempre verificar”. Na prática, isso quer dizer que nenhum usuário ou dispositivo é confiável por padrão, com cada oportunidade de acesso sendo vista como uma ameaça em potencial. É justamente por isso que especialistas reforçam a importância de verificar e autenticar seus acessos constantemente, até mesmo na relação de confiança estabelecida em uma rede corporativa. A melhor defesa, então, é sempre desconfiar. No caso de um erro suspeito que te motive a ir atrás de um suporte técnico, é imprescindível verificar nos canais oficiais a veracidade daquele contato, ao invés de sair ligando para o primeiro número que você ver. Além disso, vale lembrar que conveniência excessiva e ajudas fáceis são dois sinais que podem acender o alerta para golpes, já que os cibercriminosos são mestres na arte de manipular a mente humana, usando disfarces para pegar os desavisados. Leia também: O que é phishing e como se proteger? Phishing com IA: como se proteger dos golpes digitais mais sofisticados Golpe da Tarefa dispara 75% e vira principal ameaça no Brasil; conheça Leia a matéria no Canaltech.