Principais dicas: como identificar um golpista que está se passando pelo seu chefe

Gostaria de fazer uma confissão: sou um especialista em tecnologia com bastante experiência, mas quase caí em um golpe de phishing. O que você está prestes a ler é uma história real.

O golpe não começou com um e-mail mal escrito de um príncipe desesperado de um país distante, oferecendo-me uma parte de sua fortuna em ouro.

Eram aproximadamente 7h30 da manhã e meu celular vibrou ao lado da cama, tirando-me de um sono profundo. Ainda sonolento, olhei para a tela e vi uma mensagem do meu gerente, pedindo que eu resolvesse uma tarefa urgente para ele antes do início do expediente.

A situação parecia perfeitamente razoável. Meu gerente estava fora do país naquela época, em um fuso horário significativamente diferente. No e-mail, ele me pediu para comprar um item peculiar em uma loja de informática próxima, que ele mencionou pelo nome.

Agora, se você está completamente acordado e já tomou seu café, os sinais de alerta da minha história provavelmente estão piscando na sua cara. Mas, quando você ainda está sonolento, olhando para uma mensagem com o nome do seu gerente no campo do remetente e condicionado pela cultura corporativa a ser um funcionário prestativo, a lógica tende a ficar em segundo plano.

Em poucos minutos, eu já estava calçando os sapatos, pronto para atender àquele pedido incomum logo pela manhã e ignorando ativamente uma série de sinais de alerta. Foi somente quando mencionei o e-mail a um amigo, para quem liguei a caminho da loja de informática, que ele me fez parar na hora: "Isso é um golpe. Não responda!"

Foi nesse momento que a ilusão se desfez. Meu gerente não havia simplesmente esquecido como usar o e-mail corporativo, nem precisava urgentemente que eu fosse até uma loja. Eu estava sendo vítima de spear phishing!

No mundo de hoje, os cibercriminosos não simplesmente lançam uma rede ampla e torcem pelo melhor; eles fazem o dever de casa, e fazem isso muito bem. Eles sabem onde você trabalha, a quem você responde e exatamente quais gatilhos psicológicos usar para induzi-lo ao erro. Por isso, estar atento e vigilante é mais importante do que nunca.

Vamos conferir algumas dicas importantes para ajudá-lo a manter a atenção quando o golpista decidir tornar o ataque pessoal.

1. Cuidado com a armadilha da "urgência artificial"  

Apesar da forma como são retratados nos filmes, a maioria dos hackers e golpistas não precisa sequer escrever uma linha de código. Tudo o que precisam fazer é explorar a psicologia humana.

Uma das maneiras de fazer isso é usar o tempo como arma. Eles criam deliberadamente uma sensação de pânico, enviando, por exemplo, uma mensagem como: "Estou entrando em uma reunião; preciso que isso seja feito agora!", para impedir que você pare para pensar.

Se uma solicitação exige uma ação imediata e foge dos procedimentos habituais, é hora de pisar no freio. Emergências reais no ambiente de trabalho raramente dependem de uma única mensagem inesperada enviada de repente.

2. Implemente a regra de verificação por um canal alternativo  

Como verificar uma mensagem sem ficar desconfortável por questionar seu chefe? Simples: mude de canal. Se você receber uma solicitação incomum por e-mail, confirme por meio do chat corporativo, como Slack ou Teams, ou simplesmente faça uma ligação rápida.

Os golpistas podem falsificar um número de telefone ou invadir uma conta de e-mail, mas raramente terão acesso a dois canais de comunicação distintos ao mesmo tempo.

3. Cuidado com o viés de autoridade  

A maioria das pessoas tende naturalmente a dizer "sim" às solicitações de seus superiores, e os golpistas usam isso a seu favor. Eles sabem que você terá receio de parecer pouco prestativo ou insubordinado e sabem exatamente como explorar esse medo no momento certo.

No entanto, um bom gestor nunca vai culpá-lo por dedicar 60 segundos para parar e verificar uma questão de segurança. Pelo contrário, isso demonstra que você é um funcionário atento e consciente dos riscos. Por isso, é importante lembrar que você tem liberdade para dizer "não" ou "deixe-me verificar novamente" — até mesmo para o CEO!

4. Audite sua pegada digital  

Espere, como o golpista sabia o nome do seu chefe? A resposta é mais simples do que você imagina. Suas informações profissionais estão orgulhosamente exibidas no LinkedIn, ao lado da sua formação acadêmica, do seu histórico profissional e, talvez, até do nome do seu cachorro!

Agora, você não precisa excluir todas as suas redes sociais, mas precisa analisar seus perfis públicos sob a perspectiva de um engenheiro social mal-intencionado. Quanto mais peças do quebra-cabeça você deixar espalhadas pela internet, mais fácil será para um golpista construir uma imagem convincente de quem você é, onde trabalha e, consequentemente, como explorar você.

Conclusão  

Cair (ou quase cair) nesses truques não significa que você seja ingênuo; significa apenas que você é humano. Segurança não significa viver em estado de paranoia 24 horas por dia. Trata-se simplesmente de criar o hábito de parar e pensar antes de reagir.

Tenha essas dicas simples em mente e você será capaz de identificar um ataque de spear phishing a quilômetros de distância. Acima de tudo, considere uma das regras mais simples, mas valiosas, da cibersegurança: nunca tenha pressa para agir diante de uma mensagem de trabalho alarmante assim que acordar. Espere pelo menos até o café fazer efeito e não tenha medo de verificar novamente!

Artigo traduzido. Conteúdo original escrito por Omar Hafiz

Nota: Encontre a revenda da ManageEngine certa. Entre em contato com a nossa equipe de canais pelo e-mail latam-sales@manageengine.com.

Importante: a ManageEngine não trabalha com distribuidores no Brasil.