A engenharia social manipula as pessoas para que revelem informação ou concedam acesso a recursos. Visa a psicologia humana, não a tecnologia. O avançado constrói confiança, cria urgência e explora o desejo de ajudar. Um telefonema de alguém que se diz ser da informática. Um e-mail de um falso executivo a solicitar uma transferência bancária. Um visitante com uma prancheta que consegue passar pela receção com a sua lábia. As técnicas variam. O objetivo é o mesmo: fazer com que a vítima faça algo que não deve.

A engenharia social é eficaz porque contorna os controlos técnicos. Uma firewall não impede um funcionário do suporte técnico de redefinir a palavra-passe de alguém que pareça legítimo. O ataque ao Twitter em 2020 usou engenharia social por telefone para convencer os funcionários a fornecerem as suas credenciais. Os atacantes assumiram então o controlo de contas de alto perfil e publicaram um esquema com Bitcoin. O FBI classificou o ataque como uma ação coordenada de engenharia social. A defesa começa pela sensibilização, mas a sensibilização por si só não chega. Os processos são ainda mais importantes. Verifique a identidade através de um canal separado. Exija aprovação para ações sensíveis. Limite o que qualquer pessoa pode fazer. O objetivo é dificultar que uma mentira convincente seja bem-sucedida. O treino ajuda, mas um processo robusto deteta o que o treino deixa passar.

Técnicas comuns de engenharia social

• Phishing — fraude por e-mail
• Vishing — burla por chamada de voz
• Pretexting — cenário fabricado
• Engodo — oferta tentadora, como uma pen drive grátis.
• Tailgating — seguir alguém até uma área restrita

A engenharia social explora a confiança. A defesa é a verificação, não a suspeita.