Questão de Segurança da Informação — Engenharia Social e Phishing — INSTITUTO AOCP 2023

Engenharia Social: Smishing e suas variações

Gabarito: letra B. O ataque descrito é smishing, pois o vetor de entrega é o SMS (Short Message Service), e o método é o phishing — enganar o usuário para que clique em um link malicioso e forneça informações bancárias em uma página falsa. A distinção central está no meio de comunicação utilizado: enquanto o vishing usa chamadas telefônicas ou mensagens de voz, o smishing usa mensagens de texto (SMS).

O phishing é uma técnica de engenharia social que visa obter informações confidenciais (como senhas e dados bancários) por meio de comunicações falsificadas que parecem vir de fontes confiáveis. O atacante cria uma isca — um e-mail, um SMS, uma página falsa — e espera que a vítima "morda" essa isca, fornecendo os dados ou clicando em um link malicioso. O termo vem de "fishing" (pescar, em inglês), fazendo alusão ao ato de lançar uma isca e esperar que a vítima a morda.

O smishing é uma variação específica do phishing que utiliza o SMS como vetor de entrega. O atacante envia uma mensagem de texto com conteúdo alarmante ou atraente (como uma cobrança indevida, um prêmio, ou uma atualização de segurança) contendo um link. Ao clicar, o usuário é redirecionado para uma página falsa que imita um site legítimo (como o de um banco), onde são solicitadas informações bancárias. É exatamente o cenário descrito no enunciado: o usuário recebe um SMS, clica no link e é levado a uma página falsa.

A banca explora a confusão entre as variações do phishing. A pegadinha está em identificar o meio de comunicação como critério decisivo. O vishing (voz + phishing) usa chamadas telefônicas ou mensagens de voz; o smishing (SMS + phishing) usa mensagens de texto. O baiting, por sua vez, é uma técnica de engenharia social que oferece uma isca física ou digital (como um pendrive deixado em local público) para atrair a vítima. Já vírus e spyware são tipos de malware, não categorias de ataque de engenharia social.

Guarde a fronteira entre as variações do phishing: o que muda é o canal de comunicação. Essa é a chave para resolver questões que descrevem o método do atacante e o serviço utilizado.

Alternativa A — ❌ Incorreta

O vishing é o phishing realizado por meio de chamadas telefônicas ou mensagens de voz. No enunciado, o vetor de entrega é o SMS, não uma chamada ou mensagem de voz. A banca troca o canal de comunicação para confundir o candidato.

Alternativa B — ✅ Correta ⟵ GABARITO

O smishing é o phishing via SMS, enganando usuários para clicar em links maliciosos. O enunciado descreve exatamente esse cenário: o usuário recebe um SMS com conteúdo de phishing, clica no link e é redirecionado para uma página falsa que solicita informações bancárias. O método é o phishing (engenharia social) e o serviço utilizado é o SMS.

Alternativa C — ❌ Incorreta

O baiting é uma técnica de engenharia social que oferece uma isca (física ou digital) para atrair a vítima, como um pendrive infectado deixado em local público ou um anúncio de download gratuito. Não envolve o envio de SMS nem a criação de uma página falsa para coleta de dados bancários. O enunciado descreve um ataque via SMS, não uma isca física ou digital.

Alternativa D — ❌ Incorreta

Vírus é um tipo de malware que se propaga infectando arquivos e programas, necessitando de execução pelo usuário para se espalhar. Não é uma categoria de ataque de engenharia social e não descreve o método do atacante no enunciado, que é o phishing via SMS.

Alternativa E — ❌ Incorreta

Spyware é um tipo de malware que coleta informações do usuário sem seu consentimento, como hábitos de navegação e teclas digitadas. Embora possa ser usado em ataques de phishing, não é a categoria do ataque descrito, que se caracteriza pelo uso de SMS e página falsa para enganar o usuário.

Gabarito: letra B — smishing.