Engenharia social: como o golpe chega pelas pessoas

01O que é engenharia social?

É o ataque que mira o processo humano em vez do sistema. Em vez de procurar uma vulnerabilidade no servidor, o atacante procura alguém com o acesso certo e um motivo para ajudar: o atendente do suporte, o analista do financeiro, a pessoa nova que ainda não conhece os procedimentos.

Como o pedido parece legítimo e passa pelo fluxo autorizado, as ferramentas de segurança costumam não ver nada. O Verizon DBIR 2026 registra que 62% das violações analisadas envolveram o elemento humano.

02Quais são os tipos mais comuns de engenharia social?

• Phishing: e-mail que leva a um link, anexo ou pedido falso.
• Mensagem em aplicativo: o mesmo pedido no Teams, no Slack ou no WhatsApp, onde a conversa parece interna.
• Vishing: golpe por telefone, muitas vezes com alguém que se passa pelo suporte de TI ou pelo banco.
• Fraude do executivo e troca de favorecido: pedido de pagamento urgente em nome da diretoria ou de um fornecedor.
• Deepfake: voz ou vídeo falsos de alguém conhecido, usados para autorizar uma transferência.
• Aliciamento: oferta de dinheiro a um funcionário para que ele entregue a própria credencial.

03Como funciona o golpe do falso suporte técnico?

O atacante liga ou chama no aplicativo de trabalho dizendo ser do suporte de TI e pede para a pessoa aceitar um acesso remoto, ditar um código ou autorizar um aplicativo. Num caso reconstituído pela Microsoft, duas pessoas recusaram a chamada no Teams e a terceira abriu o acesso remoto. O Google descreveu um grupo que invade o Salesforce de empresas com um telefonema, sem nenhum exploit.

O help desk também é alvo direto: na Co-op, segundo fontes ouvidas pela imprensa, a engenharia social convenceu o suporte a resetar a senha de um funcionário. E a Microsoft mediu que, no fim do segundo trimestre de 2026, as chamadas maliciosas no Teams rodavam a quase dez vezes o patamar de meados de 2025.

04E quando a voz ou o rosto são falsos?

Reconhecer a voz deixou de ser prova de identidade. Na Arup, em Hong Kong, todos na videochamada pareciam executivos e eram deepfakes, e a polícia descreveu 15 transferências. Na Itália, clonaram a voz do ministro da Defesa para pedir dinheiro a empresários.

A defesa não é desconfiar de todo rosto. É ter uma regra que não depende de reconhecer ninguém: pagamento só com um segundo sim, dado por outro canal que não o da própria chamada.

05Quais sinais indicam engenharia social?

Nenhum sinal sozinho prova o golpe, mas a combinação deles pede uma pausa:

• urgência que não deixa tempo para confirmar;
• pedido fora do canal oficial, ou para "não comentar com ninguém";
• pedido de senha, código de verificação ou aprovação de login;
• instrução para instalar programa de acesso remoto ou autorizar um aplicativo;
• mudança de dados bancários de fornecedor ou de colega por mensagem;
• autoridade usada como pressão: diretoria, banco, polícia, suporte.

06Quais procedimentos barram o golpe?

Procedimento simples, ensaiado antes, resiste melhor que atenção individual:

• retorno pelo canal cadastrado antes de atender qualquer pedido de acesso ou de pagamento;
• segunda aprovação para transferências e para troca de dados bancários;
• help desk que só reseta senha ou autenticação com verificação forte de identidade;
• regra clara de que ninguém dita código de verificação, nem para o suporte;
• um jeito fácil de reportar, sem punição para quem avisa.

07Como treinar o time contra engenharia social?

Com prática nos canais em que o golpe chega. A BeSafe dispara simulações por e-mail, Outlook, Slack e Teams e explica o golpe no momento do clique. A plataforma não faz ligações: o golpe por voz e o deepfake entram como módulos da plataforma de educação, com vídeo, para o time reconhecer o padrão antes que ele chegue. Os casos reais de engenharia social do blog mostram, com a fonte, como cada um aconteceu.