Questão de Noções de Informática — Segurança da Informação — Quadrix 2023

Phishing: conceito e características

Gabarito: letra C. O phishing é uma técnica de engenharia social que, geralmente, utiliza e-mails com uma história convincente para induzir o usuário a clicar em um link ou abrir um anexo, levando-o a fornecer dados pessoais e financeiros. As demais alternativas contêm erros conceituais, como afirmar que não há proteção possível, que não é engenharia social, que não pode ser direcionado ou que apenas usuários domésticos são vulneráveis.

O phishing é um dos cibercrimes mais comuns e perigosos da atualidade. Trata-se de uma técnica de engenharia social — ou seja, uma forma de manipulação psicológica — combinada com meios técnicos, na qual o golpista se passa por uma pessoa ou instituição confiável (como um banco, uma empresa ou um site popular) para enganar a vítima. O objetivo é obter informações sensíveis, como senhas, números de cartão de crédito, dados de identidade e outros dados pessoais.

A palavra "phishing" é um neologismo derivado de "fishing" (pesca, em inglês), fazendo alusão ao ato de lançar uma isca e esperar que a vítima "morda". O golpista cria uma mensagem atraente ou alarmante — como um aviso de que a conta será bloqueada, uma promoção imperdível ou uma cobrança indevida — e insere um link para uma página falsa ou um anexo malicioso. Ao clicar, o usuário é direcionado a um site que imita o legítimo, onde insere seus dados, ou acaba instalando um malware que coleta as informações.

É importante destacar que o phishing pode ser direcionado a um indivíduo ou organização específica — nesse caso, é chamado de spear phishing. Também é fundamental entender que qualquer pessoa ou instituição está vulnerável, desde usuários domésticos até grandes corporações, e que existem diversas formas de proteção, como a conscientização dos usuários, o treinamento, a verificação de remetentes e links, e o uso de soluções de segurança.

A banca explora exatamente esses equívocos comuns nas alternativas incorretas: a ideia de que não há proteção, de que não é engenharia social, de que não pode ser direcionado e de que apenas usuários domésticos são alvos. A alternativa correta, por sua vez, descreve com precisão a mecânica do ataque: o uso de e-mails com uma história para induzir o clique em um link ou a abertura de um anexo.

Alternativa A — ❌ Incorreta

Afirma que não há como se proteger contra o phishing por ele usar técnicas modernas. Isso é falso: existem diversas medidas de proteção, como a conscientização e o treinamento dos usuários, a verificação cuidadosa de remetentes e URLs, o uso de filtros antispam, a atualização de softwares e a adoção de soluções de segurança (antivírus, firewall). A proteção não é absoluta, mas é possível e necessária.

Alternativa B — ❌ Incorreta

Afirma que o phishing não é considerado engenharia social porque não interage diretamente com o usuário. É exatamente o contrário: o phishing é uma das principais técnicas de engenharia social, pois explora a confiança e a psicologia humana — a interação ocorre por meio da mensagem enganosa que induz o usuário a agir (clicar, abrir anexo, fornecer dados). A engenharia social não exige contato presencial; a interação se dá pela comunicação eletrônica.

Alternativa C — ✅ Correta ⟵ GABARITO

Descreve com precisão a mecânica do phishing: o golpista envia e-mails que contêm uma história convincente — como um problema na conta, uma promoção ou uma cobrança — para induzir o usuário a clicar em um link malicioso ou abrir um anexo infectado. Essa é a forma mais comum de execução do ataque, conforme descrito na literatura de segurança da informação.

Alternativa D — ❌ Incorreta

Afirma que o phishing não pode ser um ataque direcionado a um indivíduo específico. Isso é falso: existe a modalidade spear phishing, que é justamente o phishing direcionado a uma pessoa ou organização específica, com mensagens personalizadas para aumentar a chance de sucesso. O phishing pode ser tanto em massa (enviado a milhares de usuários) quanto direcionado.

Alternativa E — ❌ Incorreta

Afirma que somente usuários domésticos estão vulneráveis e que, nas instituições, os usuários estão completamente protegidos. Isso é falso: qualquer usuário ou organização está vulnerável ao phishing. As instituições podem ter mais camadas de proteção, mas seus funcionários continuam sendo alvos frequentes — muitas vezes, o ataque à instituição começa justamente por um funcionário que cai em um e-mail de phishing.

Gabarito: letra C