O fator humano e a engenharia social

Continuo a ver incidentes que não começam numa vulnerabilidade de software. Começam numa mensagem que parece urgente, num chefe que «não pode falar agora» e num empregado que não quer ficar mal. A engenharia social não é magia. É desenho da pressa.

Porque os avisos não bastam

Um cartaz de «não clique» não compete com uma folha de pagamentos que se paga hoje ou com um fornecedor que ameaça cortar o serviço. A defesa humana é um procedimento de verificação, não uma campanha. Se verificar um superior é mal visto, o atacante já tem política interna a seu favor.

A cultura hacker, lida com seriedade, ensina exatamente isso: o adversário não ataca o sistema que imagina; ataca o hábito que não questiona. Um tom de autoridade, um canal informal e uma exceção «só desta vez» bastam para abrir uma porta que o perímetro julgava fechada.

Como opera a pressa

1. Fabrica-se urgência: uma transferência, um acesso, um silêncio que «não pode esperar».
2. Fabrica-se autoridade: o nome de um diretor, um advogado, um fornecedor crítico.
3. Pede-se uma exceção ao procedimento, não um assalto técnico.
4. Aproveita-se o medo de ficar mal mais do que o medo do incidente.

Três hábitos de uma organização difícil de enganar

• Canais de confirmação para dinheiro, acessos e mudanças de conta. Sempre. Sem exceções para «desta vez».
• Permissão cultural para duvidar. Quem pergunta não se expõe ao ridículo.
• Simulacros que ensinam, não que caçam. O objetivo é reduzir o tempo de verificação, não publicar um ranking de parvos.

Perguntas de conselho

• Que pagamentos, acessos ou mudanças de fornecedor se podem fazer sem um segundo canal de confirmação?
• Um empregado que duvida de uma ordem da presidência fica protegido ou exposto?
• Quando foi o último simulacro de engenharia social que terminou em aprendizagem e não em humilhação?
• A alta direção submete-se ao mesmo procedimento que o resto, ou é a exceção permanente?