Questão de Segurança da Informação — Tópicos Mesclados de Recursos de Segurança da Informação — FCC 2026

Engenharia social, phishing e a LGPD: resposta a incidentes

Gabarito: letra E. A alternativa correta identifica corretamente a engenharia social como método de manipulação humana e o phishing como vetor do ataque, e determina que a equipe de TI adote medidas de contenção e remediação, tratando o acesso não autorizado como incidente de segurança envolvendo dados pessoais e avaliando a necessidade de comunicação à ANPD e aos titulares, conforme o risco e o impacto — exatamente o que exige a LGPD (Lei 13.709/2018), que impõe ao controlador a adoção de medidas de segurança e a comunicação de incidentes que possam acarretar risco ou dano relevante aos titulares.

A engenharia social é a arte de manipular pessoas para que elas executem ações ou divulguem informações confidenciais, explorando a confiança, o medo ou a curiosidade. O phishing é uma das suas principais ferramentas: o atacante se passa por uma entidade confiável (como o portal interno da Secretaria) e envia mensagens eletrônicas com links ou anexos maliciosos, induzindo a vítima a clicar e, assim, instalar malware ou fornecer credenciais. No caso narrado, os servidores clicaram nos links fraudulentos, o que resultou na instalação de malware e no potencial acesso não autorizado a dados pessoais de contribuintes — um incidente de segurança clássico.

A LGPD, em seu art. 46, estabelece que os agentes de tratamento (controlador e operador) devem adotar medidas de segurança, técnicas e administrativas, aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão. O art. 48, por sua vez, determina que o controlador deve comunicar à autoridade nacional e ao titular a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante. A comunicação deve ser feita em prazo razoável, conforme a gravidade, e deve conter, entre outras informações, a descrição da natureza dos dados pessoais afetados e as medidas de contenção e remediação adotadas.

A banca explora, nas alternativas incorretas, a tentativa de minimizar a responsabilidade do órgão público, atribuindo o incidente a causas externas ou negando a aplicação da LGPD a ações humanas. A alternativa E, ao contrário, reconhece a natureza do ataque (engenharia social + phishing), impõe a adoção de medidas de contenção e remediação, e determina a avaliação da necessidade de comunicação à ANPD e aos titulares — tudo em conformidade com a LGPD. É a única que trata o incidente de forma completa e juridicamente adequada.

A distinção crucial que separa as alternativas é o reconhecimento de que a LGPD se aplica a qualquer incidente de segurança envolvendo dados pessoais, independentemente de ter sido causado por ação humana (como o clique em um link de phishing) ou por falha técnica. A lei não limita sua aplicação a erros em processos automatizados, nem exclui a responsabilidade do controlador quando o incidente decorre de engenharia social. Pelo contrário, a LGPD exige que o controlador adote medidas preventivas e reativas, incluindo a gestão de riscos e a resposta a incidentes.

Alternativa A — ❌ Incorreta

Afirma que malware e phishing são independentes do comportamento dos servidores e que a LGPD não abrange incidentes de destruição ou acesso indevido. Erro duplo: (1) o phishing depende essencialmente da ação do usuário (clicar no link), e a LGPD não exclui incidentes causados por comportamento humano; (2) a LGPD, no art. 46, protege os dados pessoais de "acessos não autorizados" e de "situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão", ou seja, abrange exatamente o tipo de incidente narrado. A alternativa tenta restringir o alcance da lei, o que é incorreto.

Alternativa B — ❌ Incorreta

Afirma que a LGPD se restringe ao cumprimento de bases legais e não à gestão ativa de riscos de engenharia social, e que a ANPD deve proceder à análise de causa raiz ou treinamento de usuários. Erro: a LGPD, no art. 46, exige medidas de segurança, técnicas e administrativas, que incluem a gestão de riscos e a prevenção de incidentes como o phishing. A ANPD é o órgão fiscalizador, mas a responsabilidade pela análise de causa raiz e pelo treinamento é do controlador (a Secretaria), não da ANPD. A alternativa inverte os papéis e minimiza o dever de gestão ativa de riscos.

Alternativa C — ❌ Incorreta

Afirma que a LGPD não se aplica a vazamentos causados por ações humanas, limitando-se a erros em processos de processamento automatizado. Erro grave: a LGPD não faz essa distinção. O art. 46 protege os dados pessoais de "acessos não autorizados" e de "situações acidentais ou ilícitas", independentemente da causa. Um vazamento causado por um servidor que clicou em um link de phishing é um incidente de segurança que a LGPD abrange plenamente. A alternativa tenta excluir a responsabilidade do órgão público, o que é juridicamente insustentável.

Alternativa D — ❌ Incorreta

Classifica o phishing como um tipo de hardware malicioso e afirma que a LGPD não obriga o órgão público a implementar controles preventivos de segurança da informação. Erro duplo: (1) phishing não é hardware malicioso — é uma técnica de engenharia social que utiliza meios eletrônicos (e-mails, sites falsos) para enganar usuários; (2) a LGPD, no art. 46, exige que o controlador adote medidas de segurança, técnicas e administrativas, aptas a proteger os dados pessoais, o que inclui controles preventivos como treinamento de usuários, firewalls, antivírus e políticas de segurança. A alternativa nega a obrigação legal de prevenção, o que é incorreto.

Alternativa E — ✅ Correta ⟵ GABARITO

Identifica corretamente a engenharia social como método de manipulação humana e o phishing como vetor do ataque, e determina que a equipe de TI adote medidas de contenção e remediação. Além disso, trata o acesso não autorizado como incidente de segurança envolvendo dados pessoais e avalia a necessidade de comunicação à ANPD e aos titulares, conforme o risco e o impacto — exatamente o que determina a LGPD, no art. 48, que exige a comunicação de incidentes que possam acarretar risco ou dano relevante. A alternativa está completa e juridicamente correta.

Gabarito: letra E