O que é a engenharia social? Os 9 exemplos mais terríveis
Par Tibor Moes / Mise à jour: janeiro 2024
A engenharia social representa uma técnica de manipulação sofisticada que explora a psicologia humana para contornar as práticas de segurança padrão.
Neste artigo, exploraremos nove dos mais notórios ataques de engenharia social, revelando como eles foram executados e seus impactos significativos sobre organizações e indivíduos.
Significado de engenharia social: Engenharia social é a arte de enganar as pessoas para que forneçam informações confidenciais. É como um furto digital, em que o ladrão usa a manipulação e a persuasão, e não a força física, para roubar seus dados valiosos.
- Vírus ILOVEYOU (2000): Um worm de computador que se disfarçava como uma carta de amor, espalhando-se rapidamente pelo mundo. Ele infectou mais de dez milhões de computadores pessoais com Windows.
- Violação de dados da Target (2013): Uma enorme violação de segurança na Target Corporation levou à exposição de milhões de detalhes de pagamento de clientes. Aproximadamente 40 milhões de contas de cartões de crédito e débito foram comprometidas.
- Hack da Sony Pictures (2014): Um ataque à Sony Pictures divulgou uma grande quantidade de informações confidenciais, causando danos financeiros e de reputação significativos. A Sony Pictures alocou US$ 15 milhões para gerenciar os danos causados pelo hack.
- Anthem Inc. Breach (2015): Uma grande violação de dados de saúde expôs as informações pessoais de quase 79 milhões de pessoas. A Anthem resolveu a violação das Regras de Privacidade e Segurança da HIPAA por US$ 16 milhões.
- Vazamento de e-mails do Comitê Nacional Democrático (2016): Milhares de e-mails e anexos do DNC foram vazados publicamente, afetando o cenário político dos EUA. O vazamento incluiu 19.252 e-mails e 8.034 anexos.
- Bad Rabbit Ransomware (2017): Um ataque de ransomware que criptografou os dados do usuário e exigiu pagamento em Bitcoin. Os atacantes definiram o resgate em 0,05 Bitcoins, aproximadamente US$ 290 na época.
- Golpe de phishing do Google e do Facebook (2013-2015, revelado em 2017): Um esquema fraudulento que enganou dois gigantes da tecnologia e fez com que eles perdessem uma quantia substancial de dinheiro. O golpista roubou um total de US$ 100 milhões do Google e do Facebook.
- Golpe do Bitcoin no Twitter (2020): Um ataque cibernético no Twitter usou contas de alto perfil para promover um golpe de bitcoin. O esquema acumulou mais de US$ 100.000 em Bitcoin.
- Ataque à cadeia de suprimentos da SolarWinds (2020): Uma violação sofisticada que comprometeu a cadeia de suprimentos de software, afetando várias organizações. Até 18.000 usuários do software Orion da SolarWinds podem ter sido afetados.
Não se torne uma vítima do crime cibernético. Proteja seu PC com o melhor antivírus e sua privacidade com a melhor VPN.
Exemplos de engenharia social
1. Vírus ILOVEYOU (2000)
No ano 2000, um insidioso worm de computador conhecido como vírus ILOVEYOU surgiu, causando uma crise global na segurança digital. Era 5 de maio quando esse anexo de e-mail aparentemente inocente começou sua jornada, disfarçado de carta de amor.
O impacto foi imediato e surpreendente: mais de dez milhões de computadores pessoais com Windows foram infectados, conforme relatado pela Wired.
Esse vírus explorou não apenas as vulnerabilidades do software, mas também aproveitou a curiosidade humana natural e o desejo de conexão. Foi um lembrete claro de como um simples clique pode levar a um caos generalizado no mundo digital.
2. Violação de dados da Target (2013)
Avançando rapidamente para 2013, testemunhamos uma das violações mais significativas da história do varejo. Em 19 de dezembro, a Target Corporation, gigante do setor de varejo, confirmou um cenário de pesadelo: aproximadamente 40 milhões de contas de cartões de crédito e débito haviam sido expostas devido a uma violação em sua rede.
Esse incidente, detalhado em um relatório do Comitê de Comércio, Ciência e Transporte do Senado dos EUA, não foi apenas uma violação da segurança digital; foi uma violação da confiança do cliente.
Ela mostrou as consequências devastadoras dos ataques de engenharia social, em que táticas sofisticadas foram usadas para se infiltrar na rede da Target, levando ao roubo maciço de dados. Essa violação serviu como um alerta para o setor de varejo, enfatizando a necessidade crítica de medidas robustas de segurança cibernética.
3. Hack da Sony Pictures (2014)
Em 2014, a Sony Pictures enfrentou um ataque cibernético que foi muito além do domínio da inconveniência digital, marcando um evento significativo na história dos ataques cibernéticos corporativos.
Esse ataque, que ganhou ampla atenção da mídia, levou à divulgação de dados confidenciais, incluindo informações pessoais sobre funcionários da Sony Pictures e seus e-mails, cópias de filmes não lançados da Sony e outros dados críticos.
As repercussões financeiras foram substanciais. No primeiro trimestre de 2015, a Sony Pictures teve que alocar incríveis US$ 15 milhões para gerenciar os danos contínuos resultantes do hack, conforme relatado pela Time.
Esse incidente não apenas destacou os custos financeiros associados a essas violações, mas também levantou sérias preocupações sobre a privacidade e a segurança das informações corporativas.
4. Anthem Inc. Violação (2015)
A violação da Anthem Inc. em 2015 é um exemplo claro das vulnerabilidades na segurança dos dados de saúde. A violação expôs as informações pessoais de aproximadamente 78,8 milhões de pessoas, de acordo com o U.S. Department of Health and Human Services (HHS).
Os dados comprometidos incluíam nomes, datas de nascimento, números de seguridade social, IDs de assistência médica e outras informações confidenciais. Como resultado dessa violação, a Anthem concordou em pagar US$ 16 milhões ao Office for Civil Rights (OCR) do HHS. Esse pagamento foi parte de um acordo por violações das Regras de Privacidade e Segurança da Lei de Portabilidade e Responsabilidade de Seguros de Saúde (HIPAA).
A violação da Anthem não foi apenas uma catástrofe financeira, mas também uma clara violação da confiança do paciente, ressaltando a necessidade crítica de medidas rigorosas de segurança de dados no setor de saúde.
5. Vazamento de e-mails do Comitê Nacional Democrata (2016)
O vazamento de e-mails do Comitê Nacional Democrata (DNC) de 2016 foi um evento sísmico no mundo da política, ressaltando a vulnerabilidade das comunicações digitais na arena política.
Conforme relatado pelo The Washington Post, esse vazamento envolveu uma coleção impressionante de 19.252 e-mails e 8.034 anexos do DNC, o órgão dirigente do Partido Democrata dos Estados Unidos. O impacto dessa violação foi profundo, não apenas em sua escala, mas também em seu momento – ocorrendo na véspera da Convenção Democrata.
O vazamento expôs deliberações internas e comunicações confidenciais, levando a repercussões políticas significativas e a um debate acalorado sobre a segurança cibernética em organizações políticas. Esse incidente serviu como um lembrete claro da necessidade crítica de medidas robustas de segurança digital em entidades políticas e das possíveis consequências de sua violação.
6. Bad Rabbit Ransomware (2017)
2017 viu o surgimento do ransomware Bad Rabbit, um ataque cibernético que teve como alvo organizações e consumidores. Os invasores exigiram um resgate de 0,05 Bitcoins, equivalente a cerca de US$ 290 na época, conforme observado pela Moonlock.
Para colocar isso em perspectiva, em termos atuais, esse valor seria de cerca de US$ 1.070. O Bad Rabbit se espalhou rapidamente, criptografando os dados nos computadores infectados e exigindo o resgate das chaves de descriptografia.
Esse ataque destacou a natureza evolutiva das ameaças cibernéticas e a importância de manter medidas de segurança atualizadas. Ele também ressaltou a tendência crescente do uso de criptomoedas em ataques de ransomware, acrescentando uma camada de complexidade à economia do crime cibernético e sua rastreabilidade.
7. Golpe de phishing do Google e do Facebook (2013-2015, revelado em 2017)
Entre 2013 e 2015, um esquema monumental de phishing foi desenvolvido, tendo como alvo dois dos maiores nomes do setor de tecnologia: Google e Facebook.
Evaldas Rimasauskas, o cérebro por trás desse esquema, orquestrou uma fraude sofisticada que desviou com sucesso um valor colossal de US$ 100 milhões desses gigantes da tecnologia, conforme relatado pela BBC News. O esquema envolveu a elaboração de faturas falsas e a apresentação de um fabricante asiático legítimo, com o qual o Google e o Facebook faziam transações regularmente.
Esse caso de grande repercussão não apenas destacou as vulnerabilidades até mesmo das empresas mais avançadas tecnologicamente, mas também lançou luz sobre a sofisticação e a audácia dos criminosos cibernéticos modernos. Foi um alerta para organizações de todo o mundo sobre a importância de verificar as solicitações financeiras e os possíveis custos da complacência nas práticas de segurança digital.
8. Golpe do Bitcoin no Twitter (2020)
Em 2020, um tipo diferente de roubo digital pegou o mundo de surpresa, dessa vez envolvendo o gigante da mídia social Twitter. Em um ataque cibernético coordenado, 130 contas de alto nível do Twitter foram comprometidas por agentes externos. Essas contas, pertencentes a personalidades e corporações conhecidas, foram usadas para promover um golpe de bitcoin, conforme detalhado pela BBC News.
Os golpistas publicaram mensagens pedindo aos seguidores que enviassem bitcoins, prometendo dobrar qualquer quantia recebida. Esse esquema audacioso conseguiu coletar mais de US$ 100.000 em Bitcoin antes de ser fechado.
Esse incidente não apenas demonstrou as vulnerabilidades das plataformas de mídia social, mas também a tendência crescente de uso de moedas digitais para atividades fraudulentas. Ele ressaltou a necessidade de medidas de segurança reforçadas nas redes de mídia social e levantou sérias preocupações sobre o possível uso indevido de contas influentes na disseminação de fraudes ou desinformação.
9. Ataque à cadeia de suprimentos da SolarWinds (2020)
O ataque à cadeia de suprimentos da SolarWinds, que veio à tona em 2020, é um testemunho assustador da complexidade e da escala das ameaças cibernéticas modernas. Esse ataque cibernético sofisticado teve como alvo o software Orion, um sistema de gerenciamento de rede amplamente utilizado desenvolvido pela SolarWinds.
Conforme relatado pelo TechXplore, a SolarWinds divulgou que até 18.000 usuários do seu software Orion podem ter sido afetados por essa violação de segurança. Os invasores conseguiram inserir uma vulnerabilidade nas atualizações do software, o que permitiu que eles se infiltrassem nos sistemas de várias agências governamentais e grandes corporações em todo o mundo.
Esse incidente não apenas destacou a habilidade técnica dos invasores, mas também expôs os riscos inerentes à cadeia de suprimentos de desenvolvimento e distribuição de software. O ataque à SolarWinds serve como um lembrete claro das consequências de longo alcance que um único ponto de vulnerabilidade pode ter, enfatizando a necessidade de protocolos de segurança abrangentes em cada estágio da cadeia de suprimentos de software.
Conclusão
Concluindo, os exemplos de ataques de engenharia social que exploramos, desde o vírus ILOVEYOU, que se espalhou, até o intrincado ataque à cadeia de suprimentos da SolarWinds, demonstram a natureza evolutiva e sofisticada das ameaças cibernéticas. Esses incidentes enfatizam a necessidade de vigilância constante e medidas de segurança robustas nos cenários digitais pessoais e organizacionais.
Em vista dessas ameaças, a importância de uma segurança cibernética robusta não pode ser exagerada. É fundamental investir em soluções confiáveis de segurança cibernética de marcas confiáveis como Norton, Avast, TotalAV, Bitdefender, McAfee, Panda e Avira. Esses provedores oferecem recursos de proteção avançados que protegem contra as mais recentes ciberameaças.
Essas ferramentas não apenas fornecem proteção essencial contra malware e vírus, mas também oferecem camadas de segurança para a defesa contra as táticas sofisticadas usadas na engenharia social. Ao escolher uma solução antivírus confiável, indivíduos e organizações podem reduzir significativamente sua vulnerabilidade a esses riscos cibernéticos em constante evolução.
Fontes
- Wired.com
- Commerce.senate.gov
- Time.com
- HHS.gov
- Washingtonpost.com
- Moonlock.com
- BBC.com
- BBC.com
- Techxplore.com
Autor: Tibor Moes
Fundador e editor-chefe do SoftwareLab
Tibor testou 39 programas antivírus e 30 serviços de VPN, e possui um certificado de pós-graduação em segurança cibernética da Universidade de Stanford.
Ele usa o Norton para proteger seus dispositivos, o CyberGhost para sua privacidade e o Dashlane para suas senhas.
O senhor pode encontrá-lo no LinkedIn ou entrar em contato com ele aqui.