8.2 · Engenharia social: como confirmar antes de agir

≈ 2 min de leitura

A servidora não responde à mensagem urgente que pede o código e liga para o número que já conhece: confirme primeiro, pelo canal de sempre.

Ouvir a aula narrada≈ 3 min · na voz do instrutor

Para ouvir a partir de um trecho, passe o mouse ou toque num parágrafo e use 🎧 Ouvir daqui.

é o nome das técnicas que enganam pessoas para que elas mesmas abram a porta: passem uma senha, façam um pagamento, enviem dados. O golpista não precisa invadir o sistema se alguém entregar a chave.

Quadro com dois cartões lado a lado. À esquerda, os sinais de alerta da engenharia social: urgência, segredo, pedido de senha, código, dinheiro ou dados fora do caminho normal, número novo ou canal diferente, e pressão por medo, pena, ameaça ou ordem do secretário. À direita, como confirmar, segundo o CERT.br: 1, fale pelo contato que você já conhece, nunca pelo que veio na mensagem; 2, combine uma senha com quem você conhece; 3, confirme primeiro, transfira depois; 4, na dúvida, considere falso. Abaixo: no órgão, use o canal oficial, e avise a TI mesmo que você não tenha caído.

A IA deixou a isca mais convincente, mas os sinais de alerta continuam os mesmos:

urgência: "tem que ser agora";
segredo: "não comente com ninguém";
de senha, código, dinheiro ou dados, fora do caminho normal;
número novo ou canal diferente: foto conhecida num contato desconhecido;
pressão: medo, pena, ameaça ou "é ordem do secretário".

Veja esta mensagem:

"Oi, é a Lúcia, da diretoria. Troquei de número. Estou em reunião e não posso falar. Chegou um código no seu celular por engano, me manda rapidinho?"

Exemplo fictício, criado para a aula.

Quatro sinais numa mensagem só. E o código é o que protege a sua conta: quem tem o código pode entrar nela.

Como confirmar. O CERT.br, o centro brasileiro de resposta a incidentes de segurança na internet, que publica a Cartilha de Segurança para Internet, orienta:

Fale pelo contato que você já conhece. O número de sempre, o ramal da lista oficial ou pessoalmente. Nunca use o telefone ou o link que veio na própria mensagem.
Combine uma "senha" com quem você conhece. Uma palavra-código, combinada pessoalmente, que só vocês sabem. A equipe também pode ter uma para pedidos fora do comum.
Confirme primeiro, transfira depois. Nenhum pagamento, troca de conta ou envio de dados antes da confirmação.
Na dúvida, considere falso. Pergunte-se: essa pessoa diria isso? Envolve dinheiro ou dados? Há urgência ou apelo emocional?

No órgão, use o canal oficial. Troca de conta bancária de fornecedor só pelo procedimento formal, confirmada pelo contato que já consta no contrato ou no processo. Dados só saem pelos sistemas e fluxos do órgão.

Avise a TI mesmo que você não tenha caído. A tentativa contra você pode estar chegando à equipe inteira. A equipe de tecnologia da informação, a TI, pode alertar os colegas e bloquear o remetente.

A lei trata esses golpes com rigor. Quando a vítima é enganada por ligações, mensagens, e-mails ou redes sociais, a fraude eletrônica tem pena maior que a do estelionato comum. É o artigo 171, parágrafo 2º-A, do Código Penal, com a redação dada pela Lei 15.397, de 2026. E a pena do estelionato aumenta quando a vítima é uma entidade de direito público, como um município ou uma autarquia. Mas a melhor proteção continua sendo não cair.

💡 Para pensar: com quem você combinaria uma palavra-código, no trabalho e em casa?

AnteriorConcluir e avançar →