Engenharia social: Entenda a importância para o profissional de cibersegurança.

Se você começou a estudar cibersegurança em algum momento já ouviu falar em engenharia social. Nesse artigo vou apresentar o que é e por que é importante que o profissional de cibersegurança entenda.

A segurança da informação sempre foi um assunto importante, porém com o crescimento da tecnologia cuidar dos dados digitais se tornou algo de extrema importância, pois a exposição ou roubo desses dados pode causar grandes prejuízos a pessoas e negócios. Para evitar que esses prejuízos ocorram, o profissional de cibersegurança deve sempre usar as melhores práticas para manter os pilares CID.

Quando pensamos em segurança de dados temos que pensar em todas as vulnerabilidades que o sistema possa ter, a principal vulnerabilidade é o fator humano e é esse o ponto de ataque usado na engenharia social.

O que é engenharia social?

A Engenharia social é o método de ataque em que hackers ou pessoas de má-fé usam da manipulação e influência contra o ponto mais fraco da cibersegurança, o usuário. O objetivo desse tipo de ataque é roubar informações pessoais, dinheiro, vantagens políticas ou chantagear os alvos.

Os atacantes que usam da engenharia social entendem do comportamento humano, sabem usar a necessidade de relacionamentos de confiança, emoções fortes com medo, excitação, tristeza, curiosidade ou então criam situação falsa de urgência para fazer que a vítima tome usa decisão sem pensar direito. A grande maioria desse tipo de ataque depende da comunicação entre o hacker e a vítima. Normalmente o hacker reúne a informações básicas do alvo, depois inicia o contato com o alvo para estabelecer uma relação de confiança, após isso utiliza das fraquezas descobertas para atacar e logo após desaparece.

Principais ataques de engenharia social nos meios digitais:

• Phishing: o atacante finge ser uma pessoa ou instituição para tentar conseguir logins, senhas ou qualquer outros dados de valor. Existem dois tipos principais:
• Spam phishing, ou seja, o ataque em massa: não e-mails, mensagens de texto, mensagem em rede sociais enviadas a vários usuários. Esse tipo de ataque não é personalizado e tentar conseguir informações de qualquer pessoa desavisada.
• Spear phishing: São ataques personalizados que visam alvos de alto valor como celebridades, pessoas mais altas na hierarquia de empresas ou governos.
• Vishing: é uma variação do phishing, porém é feito por meio de ligações telefônicas.
• Pretexting: O Hacker utiliza de pesquisas falsas, falos, perfis em rede sociais para criar uma relação de confiança e convencer o usuário a liberar informações sigilosas.
• Sextorsion: Trata-se de uma extorsão informação a vítima de imagens intimas reais ou falsas, esse ataque usa os pontos fracos de autopreservação, privacidade e reputação.
• Quid pro quo: essa técnica finge oferecer algo para o usuário em troca de algo importante para os atacantes. Por exemplo, alguns aplicativos que teoricamente ajudaria o usuário, mas ao ser usado envia senhas e outro tipo de dados confidenciais ao atacante.

Como a engenharia social afeta a cibersegurança?

A cibersegurança tem três pilares principais conhecidos para CID, confidencialidade, integridade, disponibilidade com o tempo foram adicionados mais três, autenticidade, Irretratabilidade e conformidade.

• Confidencialidade – garante que somente pessoas com autorização possam acessar os dados.
• Integridade – garante que os dados não tenham sofrido alguma alteração e caso tenha sido alterado que somente as pessoas autorizadas possam fazer.
• Disponibilidade – garante que os dados estejam sempre disponíveis para as pessoas autorizadas.
• Autenticidade – garante que a pessoa é quem ela diz ser.
• Irretratabilidade (ou não repudio) - garante que nenhuma das partes envolvidas consiga negar a participação na troca de informações.
• Conformidade - garante que os processos para proteção dos dados estejam conforme as leis e normas regulamentadas do país onde estão contidas.

Uma vez que o ataque tenha sucesso, os pilares cinco primeiros pilares são afetados. Uma vez os pilares afetados os dados da empresa ficam sujeitos a exposição, roubo, sequestro e alterações indesejadas, isso gerar um enorme prejuízo financeiro, além do prejuízo a reputação da empresa com a perca de confiança dos usuários.

Como podemos nos proteger?

A melhor maneira de proteção contra esse tipo de ataque é a conscientização e prevenção.

Investir em treinamento dos colaboradores e clientes, ensinando-os a reconhecer e-mails phishing, orientando a não divulgar informações relevantes a empresa e nem dos clientes em rede sociais, tomar cuidados com os locais de conversa sobre informações confidenciais, não deixar computadores desbloqueados quando forem sair, investir em softwares originais e manter atualizados os antivírus. Ter mais de uma autenticação nos dispositivos, como senhas, PIN, tokens, impressões digitais e reconhecimento facial.

Conclusão

Concluímos então que ataques de engenharia social é algo que sempre vai acontecer e a melhor maneira de se proteger é aplicando as boas práticas da cibersegurança, pois caso contrario a empresa ficaram sob o controle do atacante.

Caso as boas práticas da cibersegurança não tenha sido bem aplicada, todo a sistema e dados da empresa ficam sob o controle do atacante.

Referencias:

O que é Engenharia Social?. Tecnoblog, 2023. Disponível em: <https://tecnoblog.net/responde/o-que-e-engenharia-social/>. Acesso em: 09/09/2023

7 tipos de ataques de engenharia social que você precisa se proteger. Stefanini, 2022. Disponível em: <https://stefanini.com/pt-br/insights/artigos/tipos-de-ataques-de-engenharia-social>. Acesso em: 09/09/2023

Gonçalves, Gabriel; Ogawa, Kenichi; Lima, Mateus. Engenharia Social e a Segurança da Informação. UNICEPLAC. Gama-DF. 06/2022.