A Engenharia Social

Por Jorge Paulino

Engenheiro Eletricista e de Produção

A Engenharia Social é a técnica que consiste na obtenção de informações de caráter sigiloso ou a habilidade de enganar pessoas objetivando violar os procedimentos de seguranças, o termo vem do inglês “social engineering”, que designa a arte de contornar dispositivos de segurança, podemos também defini-la como uma técnica de roubo de informações importantes por descuido, persuasão de pessoas ou despreparo da equipe técnica e/ou funcionários.

É a habilidade em obterem-se informações através de manipulação, obtenção de dados ou informações privilegiadas / sigilosas por acesso indevido a determinado ambiente ou sistemas - Organogacionais ou Computacionais.

Os Principais alvos de um ataque e as Estratégias de Proteção

Com todo os aparatos de segurança disponíveis e várias empresas especializadas, dificilmente encontraremos alguma empresa ou organização que não tenha sido vítima de um ataque de engenharia social.

No nosso próprio dia a dia, quem nunca se viu questionado sobre um assunto e, acabou falando dados sem a percepção do conteúdo dito.

Quem nunca falou sobre algum emprego, vaga e oportunidades de compra e, alguém da nossa relação acaba se beneficiando dessa informação e nos questionamos - mas como ele sabia?

Imagina isso em grandes organizações, empresas, órgãos do governo, instituições financeiras, militares e etc...

São situações idênticas, porem envolvem pessoas preparadas, e as formas de ataque são cada vez mais audaciosas e altamente eficazes, e dificilmente deixam rastros, ou quando o deixam é de difícil rastreabilidade que acabam dificultando as ações de combate e a mensuração dos prejuízos.

Área de Risco	Técnica de Ataque	Estratégia de Segurança
Portarias	Acesso físico de pessoas não autorizadas	Treinar os funcionários envolvidos na área de segurança para não permitirem o acesso de pessoas sem o crachá de identificação ou autorizados e ainda checarem a informação
Prédios	Livre acesso às dependências do prédio inclusive as de caráter restrito	Os visitantes deverão estar sempre acompanhados por um funcionário da empresa; nunca digitar senhas na presença de pessoas estranhas ao setor. Manter todos os documentos ou relatórios longe do alcance de pessoas não autorizadas e de preferência em envelopes lacrados.
CPD, Informática (suporte/ manutenção), Central Telefônica e Call Centers	Instalação de programas espiões e analisadores de protocolo para conseguirem burlar a segurança e obter informações confidenciais como senhas da Internet ou Intranet; remoção de equipamentos; roubo de senhas de acesso a linhas telefônicas.	Criar senhas fortes e fazer uso consciente da mesma, alterando-a periodicamente. Manter CPD e sala dos servidores sempre trancadas, e no caso de necessidade restringir o acesso aos técnicos da área, manter o inventário de equipamentos atualizado; controle de acesso às linhas telefônicas; desenvolver uma política de constante alteração das senhas e emitir constantes alertas aos funcionários para manterem em sigilo as suas senhas e evitarem o transito de informações confidenciais por telefone.
Depósito de lixo	Vasculhar o lixo buscando de informações privilegiadas, por descartes simples sem a observância de medidas de segurança.	Guardar o lixo da empresa em lugar seguro, triturar todo documento, e destruir todo o tipo de mídia magnética descartada.

Como ocorre a Engenharia Social:

1- Os Estudos Preliminares - O engenheiro social, busca as mais diversas informações dos usuários como, por exemplo, o número de CPF, data de nascimento, nomes dos pais, manuais da empresa, etc.; informações estas, que ajudarão no estabelecimento de uma relação com alguém da empresa ou indivíduo visado.

2- A abordagem inicial - Exploração de um relacionamento – O engenheiro social procura obter informações da vítima ou empresa como, por exemplo, senha, agenda de compromissos, dados de conta bancária ou cartão de crédito a serem usados no ataque. O ser humano costuma se agradar e sentir-se bem quando elogiado, ficando mais vulnerável e aberto a dar informações, sem perceber o conteúdo da sua fala.

3- O Planejamento – com base nas informações coletadas, são exploradas todas as variáveis possíveis e construído todo um planejamento através dos dados obtidos.

4- A Simulação do Ataque – O Engenheiro Social testa a eficiência do plano, a execução ocorre até a completa assimilação de todos os envolvidos.

5- A ação – com base na estratégia de ação, são analisados os fatores humanos, psicológicos e físicos da estratégia, e a partir daí são colocados em práticas os movimentos iniciais da ação.

As formas de prevenção e proteção

A melhor estratégia de proteção à Engenharia Social é a utilização do bom senso, as empresas investem na manutenção de sistemas, em novas tecnologias, porem esquece de investir em palestras e treinamentos dos funcionários.

As palestras e treinamentos devem ser extensivos a toda a empresa e de forma hierarquizada, de acordo com o seu grau de envolvimento, porem em comum é o fato de quando houver indícios de “ataque”, deverá haver um alerta imediato.

Principais Medidas para a Prevenção e Proteção

Estratégias de Segurança	Abordagem
Treinamentos e Palestras	Conscientização dos funcionários do valor e da responsabilidade da informação que elas tem acesso, tanto as de aspecto pessoal quanto as institucionais.
Política de Segurança Patrimonial	Dispor de funcionários de segurança treinados a fim de monitorar entrada e saída da organização e com os controles de acesso as dependências do prédio.
Política de Segurança de Informações/ Controles de Acesso à Internet/intranet	Estabelecer procedimentos que eliminem quaisquer trocas de senhas. Estimulo ao uso de senhas de difícil descoberta evitando as óbvias e imediata remoção das contas de usuários que não mais façam parte da instituição. Criação de mecanismos de controle de acesso e restrição de acessos evitando privilégios a mínimos a usuários, de acordo com a sua área/setror - a fim de que estes possam realizar suas atividades. Criar o controle de acesso restringindo a permissão de usuários que possam criar/remover/alterar contas e instalar software danosos à organização.

A engenharia social explora as vulnerabilidades, e grande parte dos incidentes tem como fator predominante a intervenção humana.

Muitas vezes, os investimentos em segurança não acompanham o crescimento das empresas, a segurança tem a ver com atualizações tecnológicas, de pessoas e dos processos.

É recomendável uma política de segurança centralizada, investimentos no fator humano e nas atualizações tecnológicas e em casos de ataque, possuir um plano de contingência (o Plano B)-evitando em casos de ataque a descontinuidade dos processos.

Fontes:

A Arte de Enganar , Kevin D. Mitnick e William L. Simon

Engenharia Social - Um Perigo Eminente, Marcos Antonio Popper e Juliano Tonizetti Brignoli, Monografia (Conclusão de Pós-Graduação – ICPG -Gestão Empresarial e Estratégias de Informática da Universidade da Região de Joinville.

Sugiro o excelente vídeo A Arte de Enganar com a Engenharia Social - Palestra realizada por Marcos Flávio Araújo Assunção, onde ele apresenta os principais tipos de golpes e fraudes realizados pelos chamados Engenheiros Sociais, disponível no Canal Engenharia ver em http://engenharianodiaadia.blogspot.com/p/engenharia-em-videos.html.

Autorizada a reprodução total ou parcial deste Artigo, desde que citada a fonte. Vedada a memorização e/ou recuperação total ou parcial, bem como a inclusão de trechos ou partes, em qualquer sistema de processamento de dados.

Uma linha de alta tensão sobre sua cabeça

Texto extraído do Blog http://ceticismo.net/

Por Jean Remy Davée Guimarães

Instituto de Biofísica Carlos Chagas Filho

Universidade Federal do Rio de Janeiro

Hoje aprendemos a temer as radiações ionizantes emitidas por radionuclídeos naturais e artificiais, aparelhos de raios-X e outras fontes.

Essas radiações estão entre as mais energéticas do espectro eletromagnético e são assim chamadas por possuírem energia suficiente para provocar ionização, o que afeta a ligação entre átomos e resulta em uma série de efeitos físicos, químicos e biológicos, como quebra de moléculas.

Pensou no seu precioso DNA? Acertou. Essas radiações podem atuar como uma espécie de kryptonita verde (mas infelizmente incolor e invisível) que pode enfraquecer o homem comum. É complicado, tecnológico, meio secreto. Está associado tanto a pesquisa e saúde quanto a destruição em massa. É traiçoeiro por não ter cor ou odor e por não manifestar seus efeitos no momento da exposição. E ainda produz Godzillas e outros monstros de filme B! Hiroshima, Chernobyl, Goiânia… Brrrr! Eis aí todos os ingredientes para uma forte percepção de risco. Assim, ao contemplarmos uma central eletronuclear como as usinas de Angra 1 ou 2, pensamos nos apagões que não tivemos graças a elas, no problema dos rejeitos radioativos, no risco de acidente com vazamento radioativo. Mas nem nos passa pela cabeça temer a linha de alta tensão sob a qual paramos o carro para tirar a foto de nossas únicas centrais nucleares. Afinal, linhas de transmissão fazem parte da paisagem, assim como as antenas de rádio, televisão e celular.

A paisagem domestica é também repleta de emissores de radiações não ionizantes, como os eletrodomésticos em geral, incluindo o computador e o monitor no qual você esta lendo esta coluna, sem falar em nosso inseparável amigo e algoz, o celular. Todos os seres vivos evoluíram em um mundo com campos elétricos e magnéticos naturais de baixa intensidade e frequência, mas o tecnoambiente que criamos multiplicou as fontes emissoras, bem como sua potência. Hoje estamos todos expostos a uma mistura complexa de campos elétricos e magnéticos em muitas frequências diferentes em casa, no trabalho, no trajeto entre um e outro e na viagem de férias também. Se é fato que essas radiações eletromagnéticas – produzidas em todos os aparelhos em que há passagem de corrente elétrica – não são ionizantes, o campo eletromagnético criado por elas gera um fluxo de corrente elétrica no corpo que pode interferir nas correntes elétricas que existem naturalmente no organismo e que são parte essencial das funções corporais normais. Todos os nervos, por exemplo, enviam sinais por meio da transmissão de impulsos elétricos. A maioria das reações bioquímicas também envolve processos elétricos. Não é absurdo, portanto, imaginarmos a possibilidade de efeitos biológicos indesejáveis decorrentes da exposição às radiações. Porém, como não houve um Chernobyl eletromagnetico não ionizante, esse fantasma não tirou o sono de quase ninguém. Estávamos todos ocupados demais usufruindo dos inegáveis confortos trazidos por toda a eletroparafernália em constante evolução. Os eventuais riscos só começaram a ser levados a sério cerca de 30 anos atrás, quando passaram a ser objeto de estudos, inclusive sob patrocínio da Organização Mundial de Saúde (OMS).

Essa entidade publicou em 2002 o livro Estabelecendo um diálogo sobre riscos de campos eletromagnéticos, originalmente publicado em Inglês e traduzido para o português pelo Centro de Pesquisas em Energia Elétrica (Cepel).

Nesse documento, podemos ler o seguinte:

“Em 2001, um grupo de trabalho integrado por peritos, constituído pela Iarc (International Agency for Research on Cancer) da OMS, reviu estudos relacionados com a carcinogenicidade de campos elétricos e magnéticos estáticos e de frequências extremamente baixas (ELF) Nota: isto inclui as linhas de transmissão. Usando a classificação padrão da Iarc que pondera as evidências humanas, animais e de laboratório, campos magnéticos ELF foram classificados como possivelmente carcinogênicos para humanos com base em estudos epidemiológicos de leucemia infantil. Evidências para todos os outros tipos de câncer em crianças e adultos [...] foram consideradas inadequadas para a mesma classificação devido a informações científicas insuficientes ou inconsistentes.” E em relação ao popular celular, emissor móvel de campos de altas frequências?

“Diversos estudos epidemiológicos recentes com usuários de telefones móveis não encontraram evidência convincente de um aumento no risco de câncer do cérebro. No entanto, a tecnologia ainda é muito recente para que seja possível desconsiderar efeitos de longo prazo.”

Bem-vindo ao complexo mundo da epidemiologia e da comunicação de risco! E agora, atendo ou não atendo?

No caso das linhas de alta tensão, seus opositores argumentam que, face às incertezas, deveríamos usar o principio de precaução. Mas não é necessário optar entre banho frio e leucemia infantil. Há soluções que reduzem drasticamente a exposição aos campos eletromagnéticos, tal como enterrar as linhas de transmissão. De quebra, melhoraríamos a paisagem, que se veria livre dessas estruturas de alto valor pratico e de valor estético… hum, como dizer? … deixa pra lá. Naturalmente, essa solução custa mais caro, mas é exatamente a opção que está sendo reivindicada à Eletropaulo por um bairro paulistano de classe média alta cruzado por uma importante linha de transmissão. Uma pesquisa realizada em 2003 na França pelo Observatoire de l’Énergie concluiu que 62% da população estaria disposta a aceitar um ligeiro aumento do custo da energia elétrica para financiar a instalação de linhas subterrâneas, em substituição às familiares torres de metal que os temporais e os aviões fora de rumo teimam em derrubar, deixando milhões de pessoas sem energia, inclusive as vítimas da “possível carcinogenicidade”. Como num filme B. Mas o tema foi objeto de debate público no senado francês em 2003 e, em 27 de junho de 2008, durante a Cúpula de Zaragoza, os governos de Espanha e França decidiram realizar uma conexão elétrica subterrânea em corrente contínua entre os dois países. Segundo as autoridades locais, a negociação relativa ao projeto “dará amplo espaço à expressão da população” e “se deterá sobre as opções de traçado e os aspectos ambientais e de saúde”. No Brasil, o Projeto Internacional de Campos Eletromagnéticos, da OMS, tem como atores principais a Agência Nacional de Vigilância Sanitária (Anvisa) e a Agência Nacional de Telecomunicações (Anatel).

Pode apostar: você ainda vai ouvir sobre esse assunto. No celular, na TV, no rádio.