Questão de Noções de Informática — Ameaças (Vírus, Worms, Trojans, Malware, etc.) — CESPE / CEBRASPE 2026

Phishing: definição e proteção

Gabarito: ERRADO. O item está incorreto porque phishing não é um ataque voltado para a captura de dados em backups já gravados e armazenados; trata-se de uma técnica de engenharia social que visa obter dados pessoais e financeiros do usuário, geralmente por meio de mensagens fraudulentas que simulam comunicações oficiais. A principal proteção contra phishing não é a criptografia de backups, mas sim a conscientização do usuário, a verificação da autenticidade das mensagens e o uso de medidas técnicas como filtros antispam e autenticação em duas etapas.

O phishing é uma das ameaças mais comuns no ambiente digital e se enquadra na categoria de ataques de engenharia social. Diferentemente de malwares que exploram vulnerabilidades técnicas, o phishing explora a confiança e a desatenção do usuário. O atacante se passa por uma entidade confiável — como um banco, uma empresa ou um serviço online — e envia mensagens (e-mails, SMS, mensagens em redes sociais) que induzem a vítima a fornecer informações sensíveis, como senhas, números de cartão de crédito ou dados de acesso. Essas informações são então usadas para fraudes financeiras, roubo de identidade ou outros crimes.

A definição correta de phishing pode ser encontrada em materiais de segurança da informação, como o conteúdo do CERT.br, que descreve o phishing como "o tipo de fraude por meio da qual um golpista tenta obter dados pessoais e financeiros de um usuário, pela utilização combinada de meios técnicos e engenharia social". O ataque ocorre, tipicamente, por meio do envio de mensagens eletrônicas que tentam se passar pela comunicação oficial de uma instituição conhecida, procurando atrair a atenção do usuário e induzi-lo a fornecer dados em páginas falsas ou formulários.

A proteção contra phishing envolve, principalmente, a conscientização e o treinamento dos usuários para reconhecerem sinais de fraude, como remetentes suspeitos, erros de ortografia e URLs enganosas. Medidas técnicas, como filtros antispam, verificação de certificados SSL e autenticação em duas etapas, também ajudam a reduzir o risco. A criptografia de backups, por sua vez, é uma medida de proteção contra acessos não autorizados aos dados armazenados, mas não é a principal defesa contra phishing, que atua na camada de interação com o usuário.

A banca explora aqui uma confusão entre dois conceitos distintos: phishing e proteção de dados em repouso. O phishing é um ataque ativo que depende da ação do usuário (clicar em um link, fornecer dados), enquanto a criptografia de backups é uma medida passiva de proteção da confidencialidade dos dados armazenados. O candidato que associa phishing a backups provavelmente confundiu com outros tipos de ataque, como ransomware, que pode criptografar dados e exigir resgate, ou com a necessidade de proteger backups contra roubo ou acesso indevido.

Item — ❌ Errado

O item afirma que phishing é um ataque voltado para a captura de dados em backups já gravados e armazenados, e que a principal proteção é a criptografia dos dados do backup. Isso está incorreto por dois motivos: (1) phishing não ataca backups, mas sim o usuário, por meio de engenharia social; (2) a criptografia de backups protege a confidencialidade dos dados armazenados, mas não impede que o usuário forneça voluntariamente suas credenciais em um site falso. A definição correta de phishing é a de uma fraude que tenta obter dados pessoais e financeiros por meio de mensagens que simulam comunicações oficiais, conforme descrito no conteúdo de apoio. A proteção principal envolve educação do usuário, verificação de autenticidade das mensagens e uso de medidas técnicas como filtros antispam e autenticação em duas etapas.

Gabarito: ERRADO.