Questão de Noções de Informática — Ataques — Quadrix 2024

Pretexting: engenharia social e a falsa identidade

Gabarito: CERTO. A técnica de pretexting consiste exatamente em o atacante criar um pretexto — uma história ou identidade falsa — para se passar por alguém em quem a vítima confia (como um funcionário de banco, um parente ou um colega de trabalho) e, a partir dessa confiança, obter informações sensíveis, como dados bancários. A assertiva descreve com precisão o conceito, que é uma das formas de engenharia social, e não se confunde com phishing, hoax ou outras pragas virtuais.

O pretexting é uma técnica de engenharia social, ou seja, um método de manipulação psicológica que explora a confiança e a boa-fé das pessoas para obter informações ou acesso a sistemas. Diferentemente de ataques puramente técnicos, como a exploração de vulnerabilidades de software, o pretexting ataca o elo mais fraco da segurança da informação: o ser humano. O atacante monta um cenário plausível (o "pretexto") — por exemplo, liga para a vítima se passando por um funcionário do banco que precisa "confirmar" dados para liberar uma transação — e, com isso, induz a vítima a fornecer voluntariamente informações que não deveria revelar.

A distinção mais importante é entre pretexting e phishing. No phishing, o golpista também se faz passar por uma pessoa ou empresa confiável, mas o faz por meio de mensagens eletrônicas (e-mails, SMS, páginas falsas) que induzem o usuário a clicar em links maliciosos ou preencher formulários. No pretexting, a abordagem é mais direta e interativa: o atacante cria uma situação (o pretexto) e conversa com a vítima, seja por telefone, pessoalmente ou até por mensagens, para extrair as informações. Ambos são engenharia social, mas o pretexting não depende necessariamente de um meio eletrônico — pode ser uma simples ligação telefônica.

Outra confusão comum é com o hoax (boato), que é uma mensagem com conteúdo alarmante ou falso, geralmente repassada em massa, mas sem o objetivo direto de obter dados da vítima — o hoax visa espalhar desinformação ou causar pânico. Já o pretexting tem objetivo claro de coleta de informações. Também não se confunde com spoofing, que é a falsificação de identidade técnica (como forjar o remetente de um e-mail ou um endereço IP), embora o pretexting possa usar spoofing como ferramenta auxiliar.

Na prática, o pretexting é amplamente usado em golpes bancários: o atacante liga para a vítima se passando por um gerente do banco, informa que houve uma "movimentação suspeita" e pede que a vítima confirme senha, número de cartão ou código de segurança. A vítima, acreditando estar falando com o banco, fornece os dados. Esse é exatamente o cenário descrito na assertiva: o atacante se passa por alguém que a vítima conhece ou em quem confia e usa esse pretexto para obter informações.

A banca explora aqui a confusão entre pretexting e phishing, mas a assertiva é fiel ao conceito de pretexting. Guarde a diferença: pretexting é a criação de um pretexto (uma história falsa) para obter informações diretamente da vítima; phishing é o envio de mensagens falsas que induzem a vítima a fornecer dados ou acessar páginas fraudulentas. É essa fronteira que separa as duas técnicas e que a questão testa.

Item — ✅ CERTO

A assertiva descreve com precisão o pretexting: o atacante se passa por alguém em quem a vítima confia (pretexto) e utiliza essa confiança para obter informações sensíveis, como dados bancários. Isso é exatamente o que define a técnica de engenharia social conhecida como pretexting. Não há erro conceitual — a descrição é fiel ao conceito, e a técnica se enquadra no rol de pragas virtuais e ameaças à segurança da informação.

Gabarito: CERTO