CUIDADOS COM AS INFORMAÇÕES E AS AÇÕES DO ENGENHEIRO SOCIAL

CUIDADOS COM AS INFORMAÇÕES E AS AÇÕES DO ENGENHEIRO SOCIAL

 

*Cláudio dos Santos Moretti – CES, ASE, CRA- 8-000024 é especialista em Segurança Empresarial.

 

Normalmente, quando se fala em sigilo profissional as pessoas pensam em informações ultrassecretas que, se divulgadas, podem acabar com a empresa.

Gostaria de falar sobre as informações mais comuns e na prevenção de crimes mais comuns também e da forma como atuam os engenheiros sociais, pessoas que, sem o uso da força, conseguem obter informações sigilosas para utilizá-las em extorsões.

Primeiramente, vamos entender o que é engenharia social.

Podemos conceituar a engenharia social como uma maneira de se obter informações confidenciais sobre determinada pessoa, equipamento, campanha ou empresa, sem o uso da força, apenas com inteligência, técnica, perspicácia e persuasão. Muitas pessoas associam este termo à informática, acreditando que apenas os que têm acesso a determinados programas e documentos em formato digital estão sujeitos a este tipo de ataque. Ledo engano. Frank W. Abagnale, um ex-fraudador americano, conceituou engenharia social como “a arte e a ciência de induzir pessoas a agirem de acordo com seus desejos”. Seus feitos foram tão impressionantes que seu livro deu origem ao filme “Prenda-me se for capaz” (2002), dirigido por Steven Spilberg, protagonizado por Leonardo DiCaprio e Tom Hanks.

Apesar de todo treinamento, o ser humano muitas vezes responde aos seus instintos sociais de camaradagem, confiança ou mesmo por pura distração, revela informações sigilosas, respondendo perguntas simples e diretas, que o faz fornecer dados confidenciais. Isso é o que acontece quando as pessoas são vítimas da engenharia social, É o caso da empregada doméstica que dá informações sobre onde as pessoas da casa estão, onde ela presta seus serviços, trabalham, se eles estão viajando e quando retornam, onde as crianças estudam, como vão ao colégio, quem leva e quem vai buscar e que, com estas e outras informações acabam dando subsídios – sem a intenção – para uma quadrilha concretizar um sequestro planejado ou um pseudo-sequestro.

Outro exemplo: É o caso do porteiro que dá informações sobre horários de chegada e saída de determinados condôminos, que informa onde eles trabalham, se possuem outros imóveis, se são empresários, se viajam com frequência, se existe algum sistema de segurança no prédio, qual o efetivo de funcionários trabalhando, etc. Estas informações, que são passadas de maneira involuntária ou sem a intenção de prejudicar alguém, mas que vão ajudar os criminosos a realizarem um roubo ou até um arrastão no prédio.

O mesmo ocorre quando a pessoa posta nas redes sociais informações que, somadas a outras, habilmente conseguidas através de ligações telefônicas com pessoas próximas ou na empresa, dão subsídios suficientes para que o marginal faça a sua investida.

Ele pode estar buscando mais informações sobre sua família ou sua empresa ou pode usar estas informações para aplicar golpes, como por exemplo, o do falso sequestro, onde o marginal, ao ligar para a vítima, já tem uma quantidade de informações que a vítima acaba caindo no golpe, tantos são os detalhes apresentados.

De nada adiantam grandes investimentos em tecnologia e equipamentos se as pessoas não estiverem preparadas para enfrentar os engenheiros sociais. Como escreveu Kevin Mitnick, em “A Arte de Enganar”, a verdade é que não existe uma tecnologia no mundo que evite o ataque de um engenheiro social.

Mitinick é o hacker mais conhecido no mundo e usava a maior parte do tempo, cerca de 85%, tirando informações através dos métodos de engenharia social e apenas 15% usando o computador.
Um estudo divulgado pelo instituto norte-americano Gartner prevê que a engenharia social será a principal ameaça para os sistemas tecnológicos de defesas das grandes corporações e usuários de internet daqui a dez anos. Todos são vítimas em potencial.

Infelizmente, estas histórias não são frutos da minha imaginação elas acontecem com muito mais frequência do que possamos imaginar e muitas vezes nós tomamos conhecimento delas através dos jornais.

Portanto, a informação sempre foi e será um bem valioso, não só para as empresas, mas para a segurança das pessoas. Desprezar isso é aumentar o risco de ser surpreendido, de sofrer um duro golpe e até de perder a vida.

Deixar de dar a devida importância aos treinamentos e a conscientização dos funcionários, de todos os escalões, é arriscar-se desnecessariamente.

Acreditar que os sistemas eletrônicos farão tudo sozinho, infelizmente, não dará certo. Todo sistema tem um usuário (humano) que é falho.

A parte mais difícil é conseguir conscientizar as pessoas de que tudo o que ela diz pode ser usado de maneira indevida e agressiva por outras pessoas, podendo acarretar uma perda irreparável.

O trabalho de conscientização deve ser realizado de maneira ininterrupta, mantendo as pessoas alertas porque os marginais agem sempre com pessoas desatentas, procuram tirar informações de pessoas faladeiras, que não conseguem ver a importância das informações que eles possuem a respeito de outras pessoas e do sistema de segurança da empresa em que eles trabalham.

Não quero dizer que a pessoa deva viver num estado de paranoia, achando que todos querem tirar informações para prejudicá-lo ou qualquer coisa assim, mas algumas medidas simples devem ser tomadas. Cito aqui apenas alguns exemplos práticos.

– Não dê informações pessoais para alguém que ligou para sua casa ou trabalho, apenas porque disse que era da empresa de telefonia ou do seu banco. Nesse caso é melhor solicitar o telefone da empresa e você ligar para ele.

– Oriente as pessoas de sua família sobre os riscos de passar informações pessoais aos outros, principalmente para estranhos ou de pouca convivência.

– Mantenha os funcionários alertas para que não sejam vítimas dos engenheiros sociais (que tiram informações das pessoas de maneira, aparentemente, despretensiosas).

– Realize trabalhos constantes de conscientização, que pode ser através de palestras, DDS (diálogo diário de segurança), panfletos, pequenas notas no rodapé de algum documento de circulação interna.

– Não comente assuntos relacionados ao trabalho ou sistema de segurança da empresa em locais públicos ou com pessoas que não tenham envolvimento com a segurança.

– Cuidado com as postagens em redes sociais. Hoje em dia elas se tornaram uma ferramenta para garimpar informações de todos os tipos e para todos os fins.

De qualquer forma, a segurança da informação sempre começará e terminará nas pessoas, independentemente das ferramentas que a empresa use para implementá-la. E é justamente quando não se dá à devida atenção às pessoas que o investimento em segurança se transforma em custo.

Lembrem-se, alguns exemplos de informações citadas aqui foram tiradas de ocorrência reais. Toda informação é importante, seja no nível estratégico, tático ou operacional da empresa e até as informações domesticas podem ser usadas contra você.

 

 

“CUIDADOS COM AS INFORMAÇÕES E AS AÇÕES DOS ENGENHEIROS SOCIAIS” publicada no Jornal da Segurança, edição 282/2018.

 

*Cláudio dos Santos Moretti – CES, ASE, CRA- 8-000024 é especialista em Segurança Empresarial. Diretor de cursos e certificação da ABSEG – Associação Brasileira de Profissionais de Segurança. Email: claudio_moretti@uol.com.br