Pedidos de orçamento, alterações bancárias e conversas aparentemente inofensivas podem ser a primeira etapa de um ataque. Com a inteligência artificial generativa, essas abordagens ganharam escala, contexto e poder de persuasão.
Um pedido de orçamento chega ao departamento comercial. Um fornecedor informa que mudou seus dados bancários. Um executivo solicita uma transferência fora do fluxo habitual. Uma pessoa desconhecida propõe uma parceria e inicia uma conversa cordial.
Nada parece tecnicamente suspeito. Não há um anexo infectado, uma URL estranha ou um alerta evidente do antivírus.
Ainda assim, o ataque pode já ter começado.
Esse é o princípio da engenharia social: explorar confiança, autoridade, curiosidade, medo ou urgência para induzir alguém a tomar uma decisão que favoreça o atacante.
O que é engenharia social?
Engenharia social é uma técnica de manipulação que utiliza emoções, comportamentos e relações de confiança para convencer uma pessoa a realizar determinada ação.
Essa ação pode envolver clicar em um link, compartilhar uma informação, realizar um pagamento, instalar um software de acesso remoto, alterar dados cadastrais ou simplesmente responder a uma mensagem.
A diferença é importante: em muitos casos, o cibercriminoso não precisa romper uma barreira tecnológica. Ele precisa apenas convencer alguém a abrir a porta.
Por isso, a engenharia social não deve ser tratada apenas como um problema de tecnologia. Ela representa um risco financeiro, operacional, reputacional e de continuidade para o negócio.
O ataque pode estar tecnicamente limpo — e ainda assim ser perigoso
As ferramentas tradicionais de segurança são eficientes na identificação de anexos maliciosos, URLs conhecidas e códigos suspeitos. O problema é que uma fraude baseada exclusivamente em conversa pode não carregar nenhum desses elementos.
A mensagem pode ser apenas:
“Você consegue falar comigo rapidamente?”
Ou:
“Nossos dados bancários foram atualizados. Por favor, utilize a conta abaixo para o próximo pagamento.”
Em outros casos, o atacante inicia uma conversa aparentemente legítima e mantém o contato durante dias, semanas ou até meses. O objetivo inicial não é necessariamente enviar malware. É testar se a vítima responde, estabelecer confiança e entender como ela se comporta.
O relatório O Fator Humano 2025, da Proofpoint, mostra que a engenharia social pura apareceu em 25% das campanhas de ameaças persistentes avançadas analisadas. Mais de 90% dessas campanhas simulavam interesse em colaboração, reuniões, entrevistas, comentários especializados ou outras formas legítimas de engajamento.
A ameaça, portanto, nem sempre chega com aparência de ameaça. Em muitos casos, ela se apresenta como oportunidade.
A IA melhorou a gramática. Não a intenção.
Durante anos, erros grosseiros de escrita, traduções ruins e mensagens genéricas ajudaram usuários a reconhecer algumas tentativas de fraude.
Esse filtro perdeu força.
Com a inteligência artificial generativa, atacantes conseguem produzir mensagens mais naturais, adaptar o tom ao perfil do destinatário, escrever em diferentes idiomas e criar abordagens coerentes com contextos locais.
Também ficou mais fácil sustentar personagens falsos, personalizar histórias e desenvolver sequências de mensagens que parecem fazer parte de uma conversa legítima.
Em outras palavras, o golpe aprendeu a escrever melhor.
O relatório da Proofpoint apresenta campanhas em diferentes idiomas e considera possível que determinados conteúdos tenham sido produzidos com apoio de inteligência artificial, embora não seja possível confirmar essa origem apenas pela leitura das mensagens.
O ponto central não é descobrir se o texto foi escrito por uma pessoa ou por uma ferramenta de IA. O que importa é reconhecer o padrão de manipulação: pressão, mudança inesperada de processo, solicitação incomum, tentativa de deslocar a conversa para outro canal ou construção gradual de confiança.
Os principais formatos de engenharia social
O relatório destaca cinco temas recorrentes.
Fraude de pagamento adiantado: o atacante promete dinheiro, uma oportunidade, um produto valioso ou uma vantagem futura em troca de um pagamento inicial. Esse tipo de ameaça cresceu 47% durante o período analisado, passando de 38 milhões para 56 milhões de mensagens mensais.
Extorsão: a vítima recebe ameaças relacionadas à sua integridade, reputação ou exposição de informações. Embora ainda relevante, esse formato apresentou queda superior a 68% no período observado.
Ataques orientados para telefone, ou TOAD: a mensagem induz a vítima a telefonar para um número controlado pelo atacante. Durante a ligação, ela pode ser persuadida a fornecer informações, acessar páginas fraudulentas ou instalar um software de controle remoto.
Tarefa rápida: o atacante inicia o contato com uma solicitação vaga, frequentemente simulando ser um gestor, colega ou executivo. O pedido real surge apenas depois que a vítima responde.
Pedido de orçamento falso: uma solicitação comercial aparentemente legítima pode levar ao envio de documentos, roubo de credenciais, instalação de malware ou desvio financeiro.
A série temporal apresentada na página 7 do relatório evidencia uma mudança importante: enquanto as campanhas de extorsão perderam volume, as fraudes de pagamento adiantado cresceram. Isso demonstra que os atacantes ajustam suas abordagens conforme determinados temas perdem eficiência.
BEC: quando a fraude assume uma identidade conhecida
O comprometimento de e-mail corporativo, conhecido pela sigla BEC, envolve a utilização de identidades empresariais para induzir pagamentos, alterar dados ou obter informações.
O atacante pode se passar por:
- um executivo solicitando uma transferência;
- um funcionário pedindo a alteração da folha de pagamento;
- um fornecedor informando uma nova conta bancária;
- uma empresa parceira enviando uma cobrança;
- um cliente solicitando orçamento ou documentação.
Nem sempre uma conta precisa ser tecnicamente invadida. O atacante pode falsificar o nome do remetente, registrar um domínio semelhante ao verdadeiro ou manipular o endereço de resposta.
Um único caractere diferente pode passar despercebido em meio à pressa de um dia comum.
Por isso, a pergunta mais importante não é apenas “esse e-mail parece legítimo?”. A pergunta correta é: essa solicitação está seguindo o processo legítimo da empresa?
O fator humano não é o problema. É o alvo.
Tratar profissionais como o “elo fraco” da segurança é uma leitura simplista e pouco produtiva.
As pessoas trabalham sob pressão, recebem centenas de mensagens, lidam com urgências reais e precisam tomar decisões rapidamente. Os atacantes conhecem esse ambiente e constroem suas abordagens para explorar exatamente essas condições.
O problema não está apenas em alguém acreditar em uma mensagem convincente. Está em processos que permitem que uma única pessoa altere dados bancários, aprove pagamentos ou instale ferramentas de acesso remoto sem validação adicional.
Uma estratégia madura de segurança não transfere toda a responsabilidade para o usuário. Ela cria barreiras que reduzem decisões improvisadas.
Como reduzir o risco de engenharia social
A proteção exige integração entre pessoas, processos e tecnologia.
1. Conhecer quem está mais exposto
Nem todos os profissionais apresentam o mesmo risco.
Equipes financeiras, executivos, recursos humanos, compras, comercial e atendimento a fornecedores costumam receber solicitações que envolvem dinheiro, dados ou acesso.
A empresa precisa entender quem está sendo abordado, quais informações essas pessoas controlam e que tipos de ataque estão sendo direcionados a elas.
2. Validar solicitações sensíveis por outro canal
Mudanças de dados bancários, pagamentos excepcionais, alterações de folha e pedidos fora do fluxo habitual devem ser confirmados por um canal independente.
Essa confirmação não deve utilizar o telefone, o e-mail ou o link informado na própria mensagem. O contato precisa ser feito por um número ou canal já conhecido pela organização.
3. Utilizar dupla aprovação
Operações financeiras críticas não deveriam depender da decisão isolada de uma pessoa.
A aprovação em duas etapas reduz o risco de uma manipulação individual se transformar imediatamente em prejuízo financeiro.
4. Detectar linguagem e comportamento, não apenas malware
Soluções de segurança precisam analisar contexto, padrões linguísticos, identidade do remetente, comportamento da conversa e histórico de comunicação.
Uma mensagem pode ser perigosa mesmo quando não contém código, link ou anexo malicioso.
A própria inteligência artificial pode ser utilizada na defesa para reconhecer sinais sutis de impostura, alteração de comportamento e pressão indevida.
5. Proteger domínios, marcas e fornecedores
Domínios semelhantes, nomes falsificados e contas comprometidas de parceiros são recursos frequentes em ataques de engenharia social.
A organização precisa monitorar tentativas de impostura, proteger sua identidade digital e estabelecer processos específicos para confirmar solicitações recebidas de fornecedores.
6. Treinar com situações reais
Treinamentos genéricos e anuais têm efeito limitado.
A conscientização deve refletir as ameaças que realmente atingem cada área. Um profissional de contas a pagar precisa reconhecer alterações bancárias fraudulentas. O comercial precisa saber como avaliar pedidos de orçamento. A liderança deve entender como sua identidade pode ser utilizada em tarefas urgentes e transferências.
Banners contextuais, alertas no momento da decisão e simulações baseadas em ameaças atuais tornam o aprendizado mais aplicável.
7. Automatizar a resposta
Quando uma ameaça é identificada, a empresa precisa agir rapidamente para localizar mensagens semelhantes, bloquear remetentes, remover conteúdos e reduzir a exposição de outros usuários.
Quanto mais manual for esse processo, maior será a janela de risco.
As recomendações da página 13 do relatório organizam essa defesa em cinco frentes: visibilidade, detecções baseadas em inteligência artificial, proteção contra impostura, conscientização personalizada e fluxos de trabalho automatizados.
Sinais que merecem uma segunda verificação
Algumas situações devem interromper o comportamento automático e acionar uma checagem adicional:
- mudança inesperada de conta bancária;
- pedido de sigilo ou urgência incomum;
- solicitação fora do processo habitual;
- pressão para telefonar para um número desconhecido;
- pedido para instalar software de acesso remoto;
- conversa que começa de forma genérica e evolui para uma ação sensível;
- endereço de e-mail semelhante, mas não idêntico ao verdadeiro;
- solicitação financeira feita por um executivo em canal incomum.
Nenhum desses sinais, isoladamente, confirma uma fraude. Mas todos justificam uma validação.
A pergunta não é se alguém receberá uma tentativa
A engenharia social funciona porque utiliza elementos presentes em qualquer organização: confiança, hierarquia, relacionamento, velocidade e necessidade de resposta.
Impedir que toda mensagem fraudulenta chegue ao usuário é um objetivo importante, mas insuficiente. A empresa também precisa estar preparada para o momento em que uma abordagem convincente ultrapassar a primeira barreira.
A maturidade está em construir processos nos quais uma mensagem não possa, sozinha, provocar uma transferência, alterar um cadastro ou conceder acesso.
Quando a ameaça parece legítima, o processo precisa ser mais confiável do que a aparência.
Fale com a Alleasy sobre como fortalecer pessoas, processos e tecnologia contra ataques que não dependem de malware para causar prejuízos.
Perguntas frequentes sobre engenharia social
O que é engenharia social?
Engenharia social é a manipulação de emoções, comportamentos e relações de confiança para induzir uma pessoa a realizar uma ação que favoreça o atacante.
Qual é a diferença entre phishing e engenharia social?
Phishing é uma das formas de aplicação da engenharia social. Enquanto a engenharia social representa a estratégia de manipulação, o phishing utiliza mensagens, páginas ou comunicações fraudulentas como meio para executar essa estratégia.
Como a inteligência artificial está sendo usada em golpes?
A IA generativa pode ajudar atacantes a produzir mensagens mais naturais, personalizadas e adaptadas a diferentes idiomas. Também pode facilitar a criação de identidades falsas e conversas mais consistentes.
Treinamento é suficiente para impedir ataques?
Não. O treinamento é necessário, mas precisa ser combinado com proteção de identidade, análise comportamental, validação de processos, controles financeiros e resposta automatizada.
Como confirmar uma solicitação suspeita?
A confirmação deve ser feita por um canal independente e previamente conhecido. Nunca utilize o telefone, endereço ou link fornecido na própria mensagem suspeita.
