Engenharia Social: Saiba o que é, e veja se você já caiu nela!

Você já deve ter se deparado com o termo ”Engenharia Social”. Porém como ela funciona? Como ela é empregada em sistemas de informação? Onde surgiu? Vamos sanar algumas dúvidas para que você entenda de uma vez por todas.

Conceito da Engenharia Social

Engenharia Social pode se definir como a arte de trapacear, construir métodos e estratégias de enganar em cima de informações cedidas por pessoas ou ganhar a confiança para obter informações. São ações oriundas dos tempos mais remotos e que ganharam um novo termo: Engenharia Social.

Engenharia por que constrói em cima de informações táticas de acesso a sistemas e informações sigilosas de forma indevida. Social por que se utiliza de pessoas que trabalham e vivem em grupos organizados. Resumidamente, a Engenharia Social é a habilidade de manipulação da tendência humana de confiar.

Podemos dizer que a engenharia social é um tipo de ataque utilizado por hackers, onde a principal “arma” utilizada é a habilidade de lidar com pessoas, induzindo-as a fornecer informações, executar programas e muitas vezes, fornecer senhas de acesso.

Dentre as várias formas de furto de informações da engenharia social, em Mitnick (2003) destaca-se:

[…] Em vez de ficar se descabelando para encontrar uma falha no sistema, o hacker pode largar no banheiro um disquete infectado, com o logotipo da empresa e uma etiqueta bem sugestiva: ‘Informações Confidenciais. Histórico Salarial 2003’.

O “ataque” do engenheiro social pode ocorrer através de um bom papo, numa mesa de bar, ao telefone ou, em casos mais sofisticados, através da sedução. O sucesso deste “ataque” está no fato do usuário abordado nem sequer se dar conta do que acabou de acontecer.

Ataques comuns utilizando Engenharia Social

Phishing

Tipo de ataque de engenharia social extremamente comum. Consiste do envio de mensagens falsas para a vítima, buscando obter sem o conhecimento desta, informações sigilosas. Seu funcionamento baseia-se na exploração de um vínculo de confiança entre a vítima e por quem o atacante está se passando.

Nesse ataque ocorre com frequência a cópia do layout do site pelo qual o atacante tenta se passar, seja esse layout usado na mensagem enviada para a vítima ou em um site falso. Nesse segundo caso, também é necessário por parte do atacante mascarar a URL do site. Uma forma muito comum de fazer isso é usando encurtadores de endereços web, como o migre.me e o bit.ly, mas às vezes nem isso é necessário, como no exemplo a seguir:

http://www.paypal.com/
http://www.paypaI.com/

A forma em caixa-alta da letra ‘i’ se confunde facilmente com a letra ‘l’ em caixa-baixa, em algumas fontes isso se torna até imperceptível. Esse exemplo simples ilustra claramente a facilidade pela qual uma vítima desatenta pode cair em um ataque de phishing.

Podemos citar um famoso ataque que ocorreu em 2009, quando atacantes enviaram dezenas de e-mails para usuários do Facebook, rede social que informa seus usuários desta maneira com frequência. Os links contidos nessas mensagens levavam a páginas falsas, deliberadamente projetadas para parecer com as páginas legítimas do Facebook. Elas continham campos para que os usuários digitassem os dados de suas contas.A empresa não revelou os números exatos de contas invadidas.