Engenharia social e defesa contra phishing

Como os ataques funcionam

• Phishing: uma mensagem enganosa (e-mail, SMS, chat) que leva a vítima a clicar, inserir credenciais ou executar algo.
• Spear phishing e business email compromise: mensagens pesquisadas e direcionadas, muitas vezes se passando por um executivo ou fornecedor para desviar um pagamento.
• Vishing e smishing: o mesmo por ligação telefônica ou mensagem de texto, incluindo falsas chamadas de suporte.
• Pretexting: um cenário inventado que faz um pedido parecer legítimo.
• MFA fatigue e kits adversary-in-the-middle: enviar repetidos pedidos de aprovação, ou retransmitir um login ao vivo para roubar a sessão.
• Físico: tailgating, dispositivos deixados de isca, personificação de funcionários.

Controles que não dependem de um julgamento perfeito

• Autenticação multifator resistente a phishing (chaves de segurança FIDO2 ou passkeys): a credencial só funciona no site real, então uma página parecida não obtém nada.
• Autenticação de e-mail para que ninguém consiga forjar o seu domínio: SPF, DKIM e DMARC com política de aplicação.
• Filtragem e sandbox de anexos e links, e avisos para remetentes externos.
• Controles de processo para dinheiro e acesso: um segundo canal para confirmar mudanças de pagamento, regras de aprovação para pedidos sensíveis.
• Privilégio mínimo e detecção em endpoints, para que um clique não vire uma violação.

example.com.            TXT  "v=spf1 include:_spf.mail-provider.example -all"
_dmarc.example.com.     TXT  "v=DMARC1; p=reject; rua=mailto:dmarc-reports@example.com; adkim=s; aspf=s"
selector1._domainkey.example.com.  TXT  "v=DKIM1; k=rsa; p=<public key>"

Simulações feitas de forma ética

• Somente com autorização por escrito, escopo definido e aprovação de RH e jurídico; muitas jurisdições têm regras sobre testes com funcionários.
• Foque em aprender, não em punir: nunca exponha nomes e não use cenários cruéis (falsos bônus, falsas demissões, emergências familiares).
• Meça o que importa: a taxa de reporte e o tempo para reportar importam mais do que a taxa de cliques. Uma cultura em que as pessoas reportam rápido é um controle de detecção.
• Facilite o reporte: um botão, uma resposta rápida e amigável, e agradecimento pelos reportes (incluindo falsos alarmes).
• Dê orientação curta, específica e na hora certa a quem clica, em vez de treinamentos longos e obrigatórios.

Preparando-se para o dia em que funciona