Exemplos de engenharia social: 15 ataques e como impedi-los

A engenharia social é, nas palavras da Agência de Segurança Cibernética e de Infraestrutura dos EUA (CISA), um ataque onde "Um atacante utiliza a interação humana (habilidades sociais) para obter ou comprometer informações sobre uma organização ou seus sistemas de computador."Funciona porque tem como alvo pessoas, não softwares. O Relatório de Investigações de Violações de Dados de 2026 da Verizon constatou que O fator humano esteve presente em 62% das violações., um aumento em relação aos 60% do ano anterior.

Aqui estão 15 exemplos de engenharia social, divididos em 3 conjuntos de 5. Cada um deles vem com um sinal de alerta para ficar atento e uma ação preventiva a ser tomada. O conjunto 1 aborda a família de golpes de phishing, o conjunto 2 aborda pretextos e falsificação de identidade, e o conjunto 3 aborda ataques físicos e iscas. Cada conjunto termina com um alerta. Nossa escolha, o exemplo que treinaríamos primeiro, com uma justificativa de uma linha.

Todas as empresas, pessoas e mensagens exemplificadas abaixo são fictícias.

Conjunto 1: A família do phishing

1. Phishing por e-mail. Uma mensagem que parece vir de um banco, fornecedor ou da sua própria equipe de TI pede que você clique em um link e faça login. A CISA afirma que os ataques de phishing usam e-mails ou sites maliciosos para Solicitar informações pessoais fingindo ser uma organização confiável.. Bandeira vermelha: Um endereço de remetente que imita uma empresa real, uma saudação genérica como "Prezado Cliente" ou um link cujo endereço não corresponde ao texto exibido ao passar o cursor sobre ele. Parar: Não clique. Acesse o site digitando o endereço você mesmo ou denuncie a mensagem.
2. Phishing de lança. O mesmo truque, direcionado a uma única pessoa. O remetente usa seu nome, o nome do seu gerente e um projeto no qual você realmente trabalha, informações que podem ser obtidas a partir de dados públicos. Bandeira vermelha: Um pedido estranhamente específico, mas fora do comum, como "envie-me o contrato da Atlas hoje". Parar: Pergunte ao remetente por um canal diferente, como por exemplo, ligando para um número que você já possui.
3. smishing. Phishing por mensagem de texto. A CISA descreve. smishing como engenharia social que explora mensagens SMS, com links, números ou endereços que abrem um navegador ou fazem uma chamada quando clicados. Bandeira vermelha: Uma mensagem de texto indicando "pacote retido" ou "conta bloqueada" com um link curto. Parar: Apague-o e abra você mesmo o aplicativo ou site correto.
4. Visto. Phishing por voz. A CISA afirma. vishing Utiliza chamadas de voz e o identificador de chamadas pode ser falsificado, portanto, uma chamada que mostre um nome familiar não prova nada. Bandeira vermelha: Um interlocutor que exerce pressão e pede um código ou senha. Parar: Desligue e ligue de volta para o número impresso no extrato ou no site da empresa.
5. Phishing por código QR. Um código QR oculta o endereço para o qual direciona. O FBI alertou sobre isso. pacotes não solicitados contendo um código QR que solicita informações pessoais e financeiras do destinatário ou instala software de roubo de dados. Bandeira vermelha: Um código inesperado, sem informações do remetente. Parar: Não escaneie códigos QR de origem desconhecida.

Nossa escolha: exemplo 4, vishing. A Verizon descobriu que, em simulações de phishing, a taxa mediana de cliques em Os vetores centrados em dispositivos móveis, como mensagens de voz e texto, foram 40% maiores. do que por e-mail. As pessoas aprenderam a desconfiar de e-mails mais rapidamente do que aprenderam a desconfiar de ligações telefônicas.

Conjunto 2: Pretextos e falsificação de identidade

A Verizon define pretexting como uma tática de ataque na qual Uma relação de confiança é construída através de cenários inventados. Enganar o usuário para que ele realize uma ação que comprometa a organização, frequentemente por meio de voz, mas também por e-mail ou mensagem de texto. Essa prática representou 6% de todas as violações de segurança no relatório de 2026, contra 16% para phishing.

6. Fraude do CEO e comprometimento de e-mail comercial. O Centro de Reclamações sobre Crimes na Internet (IC3) do FBI define comprometimento de e-mail comercial (BEC) Trata-se de um golpe que visa empresas e funciona por meio de contas de e-mail comprometidas e outras comunicações para causar transferências não autorizadas de fundos. Em 2025, o IC3 registrou 24,768 denúncias de BEC (Business Email Compromise) e cerca de US$ 3.05 bilhões em perdas relatadas. Bandeira vermelha: Um pedido urgente de um líder sênior para pagar ou comprar cartões-presente, acompanhado da condição de "não contar a ninguém". Parar: Confirme qualquer solicitação de pagamento por telefone ou pessoalmente.
7. Suporte de TI falso. Alguém alega ser do suporte técnico e precisa da sua senha ou acesso remoto "para resolver um problema". IC3 recebeu 47,794 reclamações de suporte técnico em 2025, com prejuízos reportados superiores a 2.1 bilhões de dólares. Bandeira vermelha: O departamento de TI entrará em contato com você primeiro e solicitará uma senha ou um código de uso único. Parar: As equipes de TI legítimas não precisam da sua senha. Desligue e abra um chamado pelo canal habitual.
8. Alteração na fatura do fornecedor. Um e-mail, aparentemente de um fornecedor habitual, informa que seus dados bancários foram alterados. A definição de BEC (Business Email Compromise) do IC3 abrange golpes que visam... Empresas que trabalham com fornecedores e realizam transferências bancárias regularmente.. Bandeira vermelha: Novos dados bancários com prazo de pagamento. Parar: Antes de fazer qualquer alteração, ligue para o fornecedor usando o número já cadastrado.
9. Recrutador falso. Um "recrutador" aborda um funcionário com uma vaga que parece ser uma promoção e, em seguida, solicita documentos pessoais ou uma tarefa de teste que exige o download de um arquivo. IC3 recebeu 24,688 denúncias de fraudes de emprego em 2025. Bandeira vermelha: Uma oferta para a qual você não se candidatou, com etapas rápidas. Parar: Consulte o recrutador através da página de carreiras da própria empresa e nunca instale software para uma entrevista.
10. Voz deepfake. Uma voz clonada, semelhante à do seu diretor, solicita um pagamento urgente. IC3 diz A clonagem de voz pode ser usada para solicitar pagamentos por transferência bancária. e que as empresas relataram perdas de mais de 30 milhões de dólares em 2025 devido a golpes BEC envolvendo IA. Bandeira vermelha: Uma mensagem de voz ou chamada telefônica que te pressiona a agir antes que você possa verificar. Parar: Combine uma palavra-código ou regra de retorno de chamada para pagamentos, portanto, uma voz convincente não é suficiente.

Nossa escolha: exemplo 6, fraude do CEO e BEC (Business Email Compromise). Este é o exemplo mais caro aqui, superando até mesmo os golpes de suporte técnico nos números da IC3 para 2025, e a ação para impedir isso é barata: uma ligação telefônica para um número conhecido antes que qualquer dinheiro seja movimentado.

Conjunto 3: Ataques físicos e isca

Esses ataques não precisam de teclado. Eles são importantes porque um estranho no prédio pode acessar o que um firewall protege.

11. Festa na traseira do carro. Alguém te segue por uma porta segura "porque está com as mãos ocupadas". Bandeira vermelha: Uma pessoa sem crachá, que se mostra descontraída e amigável. Parar: Peça-lhes educadamente que coloquem seus crachás de acesso ou acompanhe-os até a recepção.
12. Isca com pen drives. Um pen drive com a etiqueta "Revisão salarial 2027" é deixado no estacionamento ou no saguão. Bandeira vermelha: Qualquer unidade removível que você não tenha comprado. Parar: Nunca ligue um dispositivo encontrado na tomada. Entregue-o ao departamento de TI, que poderá inspecioná-lo com segurança.
13. Surfar no ombro. Alguém lê sua tela ou observa você digitar um PIN em um trem ou em uma mesa de trabalho compartilhada. Bandeira vermelha: Uma pessoa que fica muito perto ou que aponta o celular em um ângulo que indique a direção da sua tela. Parar: Use um filtro de privacidade, bloqueie a tela quando se afastar e sente-se de costas para uma parede.
14. Revirar o lixo. E-mails impressos, organogramas e atas de reuniões jogados em uma lixeira comum fornecem ao invasor nomes, números de telefone e títulos de projetos para a próxima ligação. Bandeira vermelha: Papel com nomes ou números em uma lixeira aberta. Parar: Use um triturador de papel ou uma lixeira com chave e mantenha a mesa organizada.
15. Entrega falsa. Um estafeta com um casaco da marca pede para passar pela receção ou para deixar uma encomenda na sala de servidores. Bandeira vermelha: Uma entrega que ninguém pediu, ou uma que não pode ser entregue na recepção. Parar: Entregue na recepção e, em caso de encomendas inesperadas, informe a pessoa cujo nome consta na etiqueta.

Nossa escolha: exemplo 11, confraternização antes do jogo. Não exige habilidade, não custa nada e a boa educação é o que faz funcionar. Forneça aos funcionários um roteiro educado, para que questionar alguém pareça normal e não rude.

Como parar todos os 15

Os 15 exemplos têm uma coisa em comum: eles te incentivam a agir rápido e sozinho. Três hábitos quebram essa lógica.

1. Verifique através de um segundo canal. Se uma solicitação envolver dinheiro, uma senha, um código ou acesso, confirme-a por outro meio, usando informações de contato que você já possui. A CISA recomenda que, se você não tiver certeza se uma solicitação é legítima, Verifique entrando em contato diretamente com a empresa.e não com as informações de contato fornecidas na mensagem.
2. Denuncie. A recomendação da CISA para casos suspeitos de phishing é: reportar a mensagem E depois apague. Faça do ato de denunciar algo um processo de um clique, sem necessidade de culpar ninguém, para que a primeira pessoa a detectar um problema avise todos os outros.
3. Vá mais devagar. Listas da CISA linguagem urgente ou emocionalmente apelativa Entre os sinais comuns de phishing, a CISA observa ainda que a gramática perfeita já não é garantia de segurança, visto que alguns e-mails agora apresentam ortografia impecável graças à inteligência artificial. Quando uma mensagem exige rapidez, esse é o sinal para parar.

O treinamento é como os hábitos se consolidam. Com o fator humano presente em 62% das violações, por Relatório da Verizon para 2026Uma equipe que praticou a identificação desses 15 exemplos é uma parte essencial da sua defesa. Para um programa mais completo, consulte nosso guia. treinamento de conscientização de segurança cibernética.

Formas de organizar uma sessão de engenharia social com AhaSlides

Apresente os 15 exemplos ao vivo, em uma sala ou em uma chamada de vídeo, com as respostas na tela à medida que as pessoas respondem.

1. Escolha a resposta: "Real ou falso?" Mostre uma mensagem fictícia para cada exemplo e pergunte se ela é genuína. Revele o sinal de alerta e discuta o assunto.
2. Nuvem de palavras: "O golpe que você mais recebe". A palavra maior indica o que praticar primeiro.
3. Escala de avaliação: "Qual é o seu nível de confiança em identificar uma falsificação?" Solicite uma avaliação de 1 a 5 antes e depois da sessão e compare as médias.
4. Resposta aberta: "Uma mensagem suspeita que recebi". Reúna exemplos reais, sem nomes, e use o melhor deles como cenário da próxima rodada.

O modelo de curso sobre phishing e engenharia social oferece slides prontos para adaptar, e o modelo de conscientização sobre ameaças internas é um bom complemento para toda a equipe.

Perguntas frequentes

Quais são exemplos de engenharia social?

Phishing, pretexting, baiting e tailgating são as principais táticas. Este post lista 15 delas, desde phishing por e-mail e vishing até falso suporte de TI, baiting por USB e entregas falsas.

Qual é o tipo mais comum de engenharia social?

Phishing. O relatório da Verizon de 2026 indica que o phishing representa 16% de todas as violações de segurança, contra 6% para pretextos, e o IC3 recebeu 191,561 denúncias de phishing e spoofing em 2025.

Como prevenir a engenharia social?

Verifique as solicitações por meio de um segundo canal e reporte as suspeitas. Ofereça treinamentos curtos e regulares, pois os ataques mudam mais rápido do que qualquer curso isolado.

O que é pretexting?

Uma história inventada usada para obter informações ou acesso. O atacante conquista a confiança do atacante por meio de um cenário verossímil, como uma ligação para o suporte técnico, e então pede uma senha, um pagamento ou que segurem uma porta aberta.

Por onde começar

Escolha um conjunto de exercícios e apresente-o na próxima reunião de equipe. Se você só tiver tempo para um exemplo, use-o para simular uma ligação inesperada e, em seguida, pergunte a todos o que fariam na próxima vez que uma ligação inesperada fosse realizada.