O que é engenharia social? Os golpes que atacam pessoas

Existe um padrão que aparece em quase toda investigação de incidente sério: em algum ponto da cadeia, uma pessoa fez, por vontade própria, exatamente o que o criminoso precisava que ela fizesse. Clicou, digitou, transferiu, autorizou, deixou entrar.

Isso não é falha de caráter nem de inteligência. É o resultado previsível de um cálculo econômico do outro lado: explorar uma vulnerabilidade técnica exige competência escassa; convencer alguém custa uma ligação.

Engenharia social é o nome dessa categoria de ataque — e ela atravessa praticamente todos os outros temas de segurança, porque quase sempre é ela que abre a porta.

A tese em uma frase: engenharia social não ataca a ingenuidade da vítima, ataca o contexto dela — e por isso a defesa que funciona não é treinar as pessoas a desconfiar mais, é criar processos em que confiar não seja suficiente para autorizar nada.

Os seis gatilhos da engenharia social

Todo golpe de engenharia social apoia-se em um ou mais destes princípios de influência. Reconhecê-los pelo nome é o que transforma um treinamento vago em algo utilizável.

• Autoridade. "É o diretor financeiro falando." Questionar quem manda é socialmente caro, e o golpe vive disso.
• Urgência. "Precisa ser hoje, antes das 18h." A pressa desliga a verificação — não por burrice, mas porque verificar leva tempo e o pedido parece não ter.
• Escassez. "Restam duas vagas", "a oferta expira em uma hora." Cria medo de perder.
• Reciprocidade. Alguém fez um favor antes — real ou fabricado — e agora pede um de volta.
• Prova social. "Todo mundo do time já enviou o formulário." Ninguém quer ser o único fora.
• Simpatia. Semanas de conversa amigável antes do pedido. É o mais eficaz e o mais lento.

A definição formal, para quem quiser a fonte de referência, está no glossário do NIST.

A combinação clássica, e a que mais dá dinheiro, é autoridade + urgência + sigilo: um superior pede algo urgente e pede que não se comente com ninguém. Operação legítima raramente precisa dos três ao mesmo tempo — e essa combinação deveria ser tratada como sinal de fraude, não como motivo para pressa.

Os formatos que aparecem no Brasil

O detalhamento dos formatos por mensagem está no post sobre phishing. Aqui interessa a categoria inteira — e vale sublinhar que tailgating e baiting continuam funcionando. Segurança física é frequentemente o ponto mais fraco de empresas que investiram bem em segurança digital.

O que a IA mudou

Dois efeitos concretos, e ambos elevam a barra.

O texto ficou perfeito. O conselho clássico de procurar erro de português morreu. Uma mensagem gerada hoje tem gramática impecável, tom adequado ao contexto e personalização a partir de dados públicos. Se o seu treinamento ainda ensina "desconfie de erro de ortografia", ele está formando pessoas para o golpe de 2015.

A voz e o vídeo deixaram de provar identidade. Poucos segundos de áudio bastam para clonar uma voz, e existe caso documentado de fraude com videoconferência inteiramente sintética. Detalhei isso no post sobre deepfake e a fraude do CEO.

A consequência prática para o treinamento é uma emenda importante na regra de ouro. "Na dúvida, confirme por outro canal" continua valendo — mas com a correção: confirme por um canal que você iniciou, com um contato que você já tinha. Ligar de volta para o número que apareceu não é verificação; é continuar dentro do enredo.

O que realmente reduz o risco

Treinamento sozinho tem retorno limitado, porque compete com pressa, cansaço e hierarquia — e essas três vencem no dia a dia. O que funciona é processo, com o treinamento explicando o processo.

1. Verificação por canal independente, obrigatória acima de um limite. Nenhum pagamento, troca de dados bancários de fornecedor ou concessão de acesso administrativo acontece com base em pedido recebido por mensagem ou voz. Quem recebe liga de volta para o número do diretório interno.

2. Dupla aprovação em operação financeira. Duas pessoas, sistemas distintos. É segregação de funções, princípio contábil de séculos, aplicado ao digital.

3. Autorização explícita e por escrito para questionar. A regra que quase ninguém formaliza e que mais reduz risco: um comunicado assinado pela diretoria autorizando qualquer pessoa a recusar qualquer pedido fora do processo, inclusive vindo de um diretor, sem risco de retaliação. Sem isso, seguir o processo parece insubordinação e contorná-lo parece eficiência.

4. MFA resistente a phishing. Passkey não pode ser repassada a um golpista, porque não existe código para digitar. É o controle técnico que mais neutraliza engenharia social — ele torna a manipulação insuficiente.

5. Reduzir o que dá para descobrir. Organograma detalhado no site, e-mails no padrão previsível, aniversários e viagens em rede social. Tudo isso é matéria-prima de pretexto — e o post sobre OSINT mostra o quanto se monta a partir de fonte aberta.

Sobre punir quem cai

Vale um posicionamento, porque esse erro de gestão é comum e caro.

Quando uma empresa expõe ou pune quem caiu num golpe, ela produz um resultado previsível: as pessoas param de reportar. E o custo de um incidente cresce quase inteiramente no tempo entre acontecer e alguém contar. Uma credencial comprometida reportada em cinco minutos é um susto; a mesma credencial reportada em três dias é um vazamento.

A postura que funciona:

• Quem reporta rápido é reconhecido, mesmo tendo clicado.
• Reportar é sempre certo, inclusive quando é falso alarme. O custo de checar um alarme falso é minutos; o de não saber é semanas.
• A métrica principal é a taxa de reporte, não a de cliques. Uma equipe que clica pouco e não reporta nada é mais perigosa do que uma que clica um pouco e reporta tudo.

O mesmo vale para simulações: elas servem para medir e treinar, não para constranger. Simulação usada como pegadinha destrói a confiança que faz o canal de reporte funcionar.

O ponto que fica

Engenharia social é o lembrete permanente de que segurança não é um problema puramente técnico. Você pode ter EDR, backup testado e monitoramento 24/7 — e perder tudo porque alguém, num dia corrido, fez o que parecia certo.

A resposta não é exigir que as pessoas sejam mais desconfiadas o tempo todo. Isso é insustentável e transforma o trabalho num interrogatório. A resposta é desenhar processos em que a confiança de uma pessoa só não seja suficiente para mover dinheiro ou conceder acesso.

Se a sua empresa for implementar uma única medida depois deste texto, que seja a mais barata: o comunicado, assinado pela diretoria, dizendo que ninguém será punido por seguir o processo — nem por recusar um pedido do chefe.