A técnica de pretexting cria um cenário falso para extrair informação. O atacante inventa um motivo para ligar, enviar um e-mail ou fazer uma visita. Apresenta-se como um técnico de TI a resolver um problema, um fornecedor a atualizar registos ou um auditor a verificar a conformidade. A história dá-lhe um motivo para fazer perguntas, e as respostas fornecem o que ele precisa. O pretexting é pura engenharia social. Sem malware, sem exploits. Apenas uma mentira convincente.

A técnica funciona porque as pessoas querem ser prestáveis. Um interlocutor que conheça os nomes certos e a estrutura departamental soa legítimo. Um visitante com um bloco de notas e um cordão em forma de crachá passa pela receção. O pretexto combina-se geralmente com outras técnicas. Uma chamada telefónica estabelece o pretexto. Um e-mail subsequente com um link malicioso explora a confiança construída na chamada. O ataque ao Twitter em 2020 usou pretextos para convencer os funcionários a fornecerem credenciais para ferramentas internas. Os atacantes assumiram então o controlo de contas de alto perfil. A defesa exige verificação. Ligue de volta para um número conhecido. Confirme a identidade através de um canal separado. Formar a equipa para questionar pedidos incomuns, mesmo quando o requerente parecer ter autoridade.

Pretextos comuns

• Suporte informático — resolução de problemas que exigem as suas credenciais.
• Verificação do fornecedor — atualização dos dados da conta ou de pagamento
• Pedido executivo — tarefa urgente de um líder sénior
• Auditor — verificação de conformidade que exige dados sensíveis
• Novo colaborador — necessita de acesso ou informação para desempenhar as suas funções.

A utilização de pretextos explora falhas de confiança e lacunas nos processos. Procedimentos de verificação rigorosos tornam a mentira mais difícil de sustentar.