Questão de Segurança da Informação — Engenharia Social e Phishing — CESPE / CEBRASPE 2023
Segurança da Informação›Engenharia Social e Phishing
Código
ce398055
Banca
CESPE / CEBRASPE
Órgão
DATAPREV
Ano
2023
Cargo
Ana TI ( )
Considerando conceitos e padrões criptográficos, conceitos de blockchain e detecção, resposta, tratamento e recuperação de incidentes cibernéticos, julgue o item a seguir.
Denomina-se phishing a ação de o agente do ataque colocar-se entre a comunicação de dois usuários válidos, interceptar as mensagens enviadas, passando-se por uma das partes, e poder alterá-las ou bloqueá-las.
CCerto
EErrado
Revelar gabarito e comentário▾
GabaritoE — Errado
Comentário gerado por IA. É um apoio ao estudo, ancorado em fontes, mas pode conter imprecisões — confira sempre na fonte oficial (lei, súmula, edital e gabarito da banca). Encontrou um erro? Use “Reportar”.
Phishing e Man-in-the-Middle: distinção essencial
❌ ERRADO. A descrição apresentada não corresponde ao phishing, mas sim ao ataque man-in-the-middle (MITM), no qual o agente se interpõe na comunicação entre duas partes legítimas, intercepta, altera ou bloqueia as mensagens. O phishing, por sua vez, é uma técnica de engenharia social em que o golpista se passa por uma entidade confiável para induzir a vítima a fornecer dados pessoais ou financeiros, geralmente por meio de mensagens eletrônicas e páginas falsas.
Para entender a diferença, é preciso partir do conceito de engenharia social: a manipulação psicológica de pessoas para que executem ações ou revelem informações confidenciais. O phishing é uma das aplicações mais comuns dessa técnica — o atacante "pesca" (alusão a fishing) a vítima com uma isca, como um e-mail que simula ser de um banco, e a leva a clicar em um link malicioso ou preencher um formulário falso. O elemento central é o engano da vítima, que age voluntariamente (embora induzida) ao fornecer seus dados.
Já o ataque man-in-the-middle opera de forma distinta: o agente se coloca entre dois usuários que se comunicam, interceptando o tráfego. Ele pode apenas escutar (passive eavesdropping), ou ativamente alterar as mensagens antes de repassá-las, ou ainda bloqueá-las. As vítimas acreditam estar se comunicando diretamente uma com a outra, mas, na verdade, todo o fluxo passa pelo atacante, que pode se passar por uma das partes. Esse ataque explora vulnerabilidades técnicas da comunicação, não (necessariamente) a psicologia humana.
A banca explora exatamente essa confusão: o enunciado descreve com precisão o MITM e o rotula como phishing. É uma pegadinha clássica de troca de conceitos. Para fixar:
Critério
Phishing
Man-in-the-Middle (MITM)
Natureza
Engenharia social (manipulação psicológica)
Ataque técnico à comunicação
Posição do atacante
Externo, engana a vítima
Entre as duas partes, intercepta o fluxo
Ação principal
Induzir a vítima a fornecer dados
Interceptar, alterar ou bloquear mensagens
Depende da vítima?
Sim, a vítima age (clica, preenche)
Não, a vítima não percebe a interceptação
Exemplo típico
E-mail falso de banco com link malicioso
Ataque em rede Wi-Fi pública, sequestro de sessão
NÃO CAIA NESSA!
A banca troca os conceitos: descreve o man-in-the-middle e o chama de phishing. O candidato que decora apenas a definição superficial de phishing ("se passar por alguém") pode cair na armadilha, pois o MITM também envolve se passar por uma das partes. A diferença crucial está na posição do atacante: no phishing ele está fora da comunicação, enganando a vítima; no MITM ele está dentro do fluxo, interceptando e alterando os dados. Lembre-se: phishing = engano; MITM = interceptação.
Ataques cibernéticos
1Phishing
Engenharia social
Engana a vítima
Vítima fornece dados
2Man-in-the-middle
Intercepta comunicação
Entre dois usuários
Altera ou bloqueia mensagens
LEVEL · soulevel.com.br
Alternativa E — ❌ Incorreta (Gabarito)
A afirmação está errada porque descreve o ataque man-in-the-middle, não o phishing. No MITM, o agente se coloca entre dois usuários válidos, intercepta as mensagens, pode se passar por uma das partes e alterá-las ou bloqueá-las — exatamente o que o enunciado diz. O phishing, por outro lado, é uma fraude de engenharia social em que o golpista se faz passar por uma pessoa ou empresa confiável para obter dados pessoais e financeiros da vítima, tipicamente via e-mail ou site falso. A pegadinha está na troca de conceitos: o enunciado mistura a definição de MITM com o nome "phishing".