Questão de Noções de Informática — Segurança da Informação — Quadrix 2024

Engenharia Social — Ataques e Ameaças em Segurança da Informação

Gabarito: letra D. A definição apresentada no enunciado — manipulação psicológica para induzir pessoas a realizar ações ou divulgar informações confidenciais, por telefone, e-mail ou mensagens instantâneas — descreve exatamente a engenharia social, que explora a confiança e o comportamento humano em vez de vulnerabilidades técnicas. As demais alternativas (keyloggers, força bruta, botnets e spyware) são ameaças de natureza técnica, não psicológica.

A engenharia social é uma das ameaças mais perigosas à segurança da informação justamente porque ataca o elo mais fraco da cadeia: o ser humano. Enquanto firewalls, antivírus e criptografia protegem contra ataques técnicos, a engenharia social busca convencer o usuário a entregar voluntariamente dados como senhas, números de cartão de crédito e informações financeiras. O atacante pode agir pessoalmente, por telefone, por e-mail ou por mensagens instantâneas, criando cenários de confiança para obter o que deseja. O material de apoio destaca que "a engenharia social não possui o menor vínculo com o hacking, são técnicas totalmente diferentes uma da outra" — ou seja, não se trata de invadir sistemas, mas de manipular pessoas.

Na prática, um exemplo clássico é o golpista que se passa por funcionário do banco e liga para a vítima dizendo que há uma "movimentação suspeita" na conta, pedindo que ela confirme a senha ou os dados do cartão. Outro exemplo é o e-mail de phishing que imita uma instituição conhecida e solicita que o usuário clique em um link e informe suas credenciais. Em todos esses casos, o atacante usa a persuasão e a confiança como ferramentas principais, sem precisar de nenhuma vulnerabilidade técnica no sistema da vítima.

É importante distinguir a engenharia social das demais ameaças listadas nas alternativas. Keyloggers, botnets e spyware são malwares — programas maliciosos que se instalam no computador para capturar teclas, controlar a máquina ou monitorar atividades. O ataque de força bruta, por sua vez, é uma tentativa técnica de adivinhar senhas testando combinações exaustivamente. Nenhum deles envolve manipulação psicológica; todos dependem de falhas técnicas ou da instalação de software malicioso. A engenharia social, ao contrário, pode ocorrer sem nenhum software envolvido, apenas com uma conversa bem conduzida.

A banca explora exatamente essa confusão: o candidato que não domina o conceito pode associar a definição a um malware (como spyware ou keylogger) por pensar em "coleta de informações". Mas a palavra-chave do enunciado é "manipulação psicológica" — isso elimina qualquer alternativa que descreva um programa ou ataque técnico. Guarde essa fronteira: engenharia social = fator humano; malware/força bruta = fator técnico. É nela que as alternativas se dividem.

Alternativa A — ❌ Incorreta

Keyloggers são programas maliciosos (um tipo de spyware) capazes de capturar e armazenar as teclas digitadas pelo usuário no teclado do computador. Não há manipulação psicológica: o keylogger age silenciosamente no sistema, registrando tudo o que é digitado, como senhas e números de cartão. A definição do enunciado fala em induzir a pessoa a agir ou revelar informações — algo que o keylogger não faz, pois apenas coleta dados sem interação com o usuário.

Alternativa B — ❌ Incorreta

O ataque de força bruta é uma técnica de tentativa e erro para descobrir senhas ou chaves de acesso, testando sistematicamente todas as combinações possíveis até encontrar a correta. É um ataque puramente técnico, que não envolve qualquer manipulação psicológica ou contato com a vítima. O enunciado descreve uma abordagem que usa a persuasão e o engano, o que não se aplica à força bruta.

Alternativa C — ❌ Incorreta

Botnets são redes de computadores infectados (zumbis) controlados remotamente por um atacante, geralmente usadas para enviar spam, realizar ataques de negação de serviço (DDoS) ou outras atividades maliciosas em massa. A infecção ocorre por malware, não por manipulação psicológica. A definição do enunciado fala em induzir indivíduos a agir ou revelar dados — algo que um botnet não faz, pois ele opera nos bastidores, sem interação direta com a vítima.

Alternativa D — ✅ Correta ⟵ GABARITO

A engenharia social é exatamente o que o enunciado descreve: manipulação psicológica para induzir pessoas a realizar ações ou divulgar informações confidenciais, podendo ocorrer por chamadas telefônicas, e-mails e mensagens instantâneas. O material de apoio confirma que a engenharia social consiste em "técnicas para convencer o usuário a entregar dados como senhas bancárias, número do cartão de crédito, dados financeiros em geral". É a única alternativa que envolve o fator humano como vetor do ataque, sem depender de vulnerabilidades técnicas.

Alternativa E — ❌ Incorreta

Spyware é um tipo de malware (programa espião) que se infiltra no sistema para coletar informações pessoais ou confidenciais do usuário de forma ilícita e encaminhá-las a terceiros. Embora colete dados, o spyware age por meio de infecção técnica, sem manipulação psicológica ou interação com a vítima. O enunciado descreve uma abordagem baseada em engano e persuasão, o que não corresponde ao funcionamento de um spyware.

Gabarito: letra D — engenharia social.