Questão de Segurança da Informação — Engenharia Social e Phishing — INSTITUTO AOCP 2024

Engenharia social: o elo humano da segurança da informação

Gabarito: letra B. O ataque descrito no enunciado — valer-se de aspectos psicológicos para manipular funcionários e obter informações confidenciais — é a definição clássica de engenharia social, que explora o fator humano, o elo mais vulnerável de qualquer sistema de segurança. As demais alternativas (força bruta, DoS/DDoS, MitM e XSS) são ataques de natureza técnica, que não dependem da manipulação psicológica de pessoas.

A engenharia social é um tipo de ataque que não explora vulnerabilidades de software, hardware ou rede, mas sim a psicologia humana. O atacante se aproveita de traços comportamentais — confiança, medo, curiosidade, senso de urgência — para convencer a vítima a executar uma ação ou revelar informações confidenciais. O elemento mais vulnerável de qualquer sistema de segurança da informação é o ser humano, e é exatamente essa fragilidade que a engenharia social ataca.

Um exemplo clássico: um atacante se passa por um profissional de alto nível da organização, alegando um problema urgente de acesso ao sistema, e consegue que um funcionário revele sua senha ou libere o acesso a uma área restrita. Outro exemplo comum é o phishing, que é uma técnica de engenharia social: o golpista envia um e-mail que parece vir de uma fonte confiável (banco, rede social, administrador de TI) e induz a vítima a clicar em um link malicioso ou fornecer dados pessoais e financeiros.

A distinção fundamental que separa a engenharia social dos demais ataques é o vetor de exploração: enquanto ataques como força bruta, DoS/DDoS, MitM e XSS exploram falhas técnicas (senhas fracas, indisponibilidade de serviço, interceptação de comunicação, vulnerabilidades de aplicação web), a engenharia social explora a interação humana e a manipulação psicológica. É por isso que as defesas técnicas (firewalls, antivírus, criptografia) não são suficientes: é preciso investir em conscientização e treinamento dos usuários.

A banca explora exatamente essa fronteira: o enunciado descreve um ataque que "se vale de aspectos psicológicos para manipular os funcionários" — a palavra-chave é psicológicos. Qualquer alternativa que descreva um ataque puramente técnico está incorreta. Guarde o critério: se o ataque depende de enganar uma pessoa, é engenharia social; se depende de explorar uma falha de sistema, é um ataque técnico.

Alternativa A — ❌ Incorreta

Ataques de força bruta consistem em adivinhar senhas ou credenciais por tentativa e erro automatizada, explorando senhas fracas. Não envolvem manipulação psicológica de pessoas — é um ataque técnico contra o sistema de autenticação. A defesa adequada é o uso de senhas fortes, autenticação multifator e bloqueio de tentativas.

Alternativa B — ✅ Correta ⟵ GABARITO

A engenharia social é exatamente a modalidade descrita: manipulação psicológica de pessoas para a execução de ações ou divulgação de informações confidenciais. O enunciado menciona "aspectos psicológicos" e "manipular os funcionários", que são os termos-chave que identificam a engenharia social. O phishing, citado no contexto, é uma das técnicas mais comuns de engenharia social.

Alternativa C — ❌ Incorreta

Ataques de negação de serviço (DoS/DDoS) visam tirar de operação um serviço ou dispositivo, esgotando recursos como largura de banda ou capacidade de processamento. Não há manipulação psicológica — é um ataque de disponibilidade, não de confiança humana.

Alternativa D — ❌ Incorreta

O ataque Man-in-the-Middle (MitM) consiste na interceptação e possível alteração da comunicação entre duas partes, sem que elas percebam. É um ataque técnico de rede, que explora a falta de criptografia ou falhas de autenticação, não a psicologia dos usuários.

Alternativa E — ❌ Incorreta

Cross-Site Scripting (XSS) é uma vulnerabilidade de aplicações web que permite a injeção de scripts maliciosos em páginas visualizadas por outros usuários. É um ataque técnico que explora falhas de validação de entrada, não a manipulação psicológica de pessoas.

Gabarito: letra B