Questão de Noções de Informática — Ameaças (Vírus, Worms, Trojans, Malware, etc.) — INSTITUTO AOCP 2025

Engenharia social: a arte de enganar pessoas

Gabarito: letra E. A técnica de manipulação psicológica que engana usuários para obter dados confidenciais, como senhas e informações bancárias, é a engenharia social — ela explora o fator humano, e não vulnerabilidades técnicas, para comprometer a segurança. As demais alternativas descrevem outras ameaças ou mecanismos de proteção, que não se encaixam na definição apresentada.

A engenharia social é uma das ameaças mais perigosas à segurança da informação justamente porque ataca o elo mais fraco da corrente: a pessoa. Enquanto vírus, worms e rootkits exploram falhas de software ou do sistema operacional, a engenharia social explora a confiança, a curiosidade, o medo ou a pressa do usuário. O atacante cria cenários convincentes — um e-mail falso do banco, uma ligação de um falso suporte técnico, uma mensagem de um "amigo" — para induzir a vítima a revelar senhas, números de cartão, dados pessoais ou a executar ações que comprometem a segurança.

O termo "engenharia" aqui não é por acaso: o atacante "engenheira" uma situação, planeja cada passo da interação, para manipular o comportamento humano. É uma técnica que pode ser usada de forma isolada ou como porta de entrada para outros ataques, como a instalação de malwares. Por exemplo, um e-mail de phishing (uma das formas mais comuns de engenharia social) pode convencer o usuário a clicar em um link malicioso que instala um keylogger — um tipo de spyware que captura as teclas digitadas, incluindo senhas bancárias.

É importante distinguir a engenharia social das demais ameaças listadas nas alternativas. Spoofing, por exemplo, é a falsificação de identidade (como forjar o remetente de um e-mail), mas é uma técnica técnica, não psicológica. Criptografia e certificado digital são mecanismos de proteção, não ameaças. Rootkit é um conjunto de programas que esconde a presença de um invasor em um computador comprometido, mantendo o acesso — também é uma ameaça técnica, não psicológica.

A banca explora exatamente essa confusão: o candidato que sabe o que é cada termo, mas não consegue identificar qual deles se baseia na manipulação psicológica, pode cair em uma das alternativas técnicas. A palavra-chave do enunciado é "manipulação psicológica" — é isso que separa a engenharia social das demais.

Alternativa A — ❌ Incorreta

Spoofing é a técnica de falsificar informações para se passar por outra entidade, como forjar o endereço IP de origem (IP spoofing) ou o remetente de um e-mail (e-mail spoofing). Embora possa ser usado em ataques de engenharia social, o spoofing em si é uma técnica técnica de falsificação, não uma técnica de manipulação psicológica. O erro está em confundir a ferramenta com a abordagem: o spoofing engana sistemas, não diretamente pessoas.

Alternativa B — ❌ Incorreta

Criptografia é um mecanismo de proteção que transforma dados legíveis em um formato ilegível (cifrado), garantindo confidencialidade e integridade. É uma ferramenta de defesa, não uma ameaça. A alternativa está totalmente fora do escopo do enunciado, que pede uma técnica de ataque baseada em manipulação psicológica.

Alternativa C — ❌ Incorreta

Rootkit é um conjunto de programas e técnicas que permite esconder e assegurar a presença de um invasor ou de outro código malicioso em um computador comprometido. Ele não é usado para obter acesso, mas para manter o acesso já obtido, ocultando sua atividade. É uma ameaça técnica, que age no sistema, não na psicologia do usuário.

Alternativa D — ❌ Incorreta

Certificado digital é um documento eletrônico que associa uma entidade (pessoa, empresa, servidor) a uma chave pública, permitindo autenticação e assinatura digital. É um mecanismo de segurança, não uma ameaça. Assim como a criptografia, está fora do escopo da questão.

Alternativa E — ✅ Correta ⟵ GABARITO

Engenharia social é exatamente a técnica de manipulação psicológica descrita no enunciado. Ela envolve enganar usuários para obter informações confidenciais, como senhas e dados bancários, explorando a confiança, o medo ou a falta de atenção. É a única alternativa que se encaixa perfeitamente na definição apresentada.

Gabarito: letra E