Engenharia Social: a arte de mentir e o pensamento crítico

Fingir ser quem não é, criar uma história plausível, ganhar a confiança de alguém pra obter uma vantagem. Isso não nasceu com computador, é mais velho que qualquer firewall. A engenharia social dá nome técnico à arte de mentir aplicada a sistemas de informação.

Em 2015 conduzi uma pesquisa de campo no MBA da Universidade Municipal de São Caetano do Sul (USCS) sobre como esse vetor opera dentro de empresas brasileiras. Onze anos depois, com IA generativa criando pretextos convincentes em segundos e deepfakes clonando voz com 30 segundos de áudio, o jogo mudou. O alvo não: continua sendo a confiança humana.

Esse post conecta o que aprendi naquela pesquisa com o cenário de 2026, e fecha no que considero a barreira mais importante hoje, o pensamento crítico.

Conceitos fundamentais

O elo mais fraco

Por mais que empresa invista em firewall, criptografia, MFA e segmentação de rede, ainda existe uma camada que atualização de software não resolve, a pessoa do outro lado. O fator humano é o elo mais frágil da cadeia de segurança (ALVES, 2010).

Não é desatenção, é como o cérebro funciona. Junior (2006) elenca quatro vulnerabilidades comportamentais que o engenheiro social explora:

1. Vontade de ajudar: o ser humano coopera por padrão. Quem pede ajuda dispara um reflexo social antigo.
2. Busca por relacionamento: gostamos de gostar e ser gostados; confiança aumenta com simpatia.
3. Compartilhamento de responsabilidade: em grupo, ninguém se sente único responsável por bloquear o estranho.
4. Persuasão: a capacidade de convencer é uma técnica treinável. O alvo, não.

Some isso a um colaborador desmotivado e a fragilidade cresce (PRESCOTT, 2007). Quem não se sente parte do projeto baixa a guarda, repassa senha, abre exceção, “quebra um galho”.

Treinamento técnico não cobre essa camada. O que cobre é cultura: clima onde dizer “não” pra um pedido suspeito é elogiado, não punido.

As 5 fases de um ataque

Engenharia social não é improviso. Quando o ataque tem alvo definido, segue um roteiro. Milosevic (2013) descreve cinco fases:

PRE-ENGAGEMENT → INTELLIGENCE GATHERING → PRETEXTING → EXPLOITATION → POST-EXPLOITATION

Cada <details> abaixo expande uma fase. Reconhecer o roteiro ajuda a interromper o golpe antes da fase 4.

DEFINIR ALVO → ESCOPO → REGRAS DE ABORDAGEM

LINKEDIN → INSTAGRAM → SITE DA EMPRESA → REGISTRO PÚBLICO → LIXO CORPORATIVO

PERSONA → HISTÓRIA → CANAL → GATILHO EMOCIONAL

ABORDAGEM → PEDIDO → AÇÃO DA VÍTIMA

COLETA → PERSISTÊNCIA → APAGAR LOGS → SAÍDA

Snapshot 2015 → 2026

A pesquisa que fiz em 2015 ouviu 31 profissionais de áreas diversas (analistas, auxiliares, coordenadores, gerentes) sobre práticas reais de segurança no dia a dia. Amostra pequena, sem pretensão estatística, mas reveladora. Alguns números que me marcaram, e como eles envelheceram:

Aquela pesquisa retratou empresas que dependiam do bom senso individual pra segurança. Em 2026 a infraestrutura mudou, mas o vetor humano segue intacto. Pior: agora o atacante tem IA generativa como copiloto.

A arte de mentir, em 2026

Em 2015 phishing era reconhecível. Erro de português, remetente esquisito, design quebrado. O conselho “olhe com atenção” funcionava. Em 2026, isso virou anedota.

LLM (Large Language Model, Modelo de Linguagem Grande) gera e-mail impecável em segundos. Voz clonada com 30 segundos de áudio do YouTube. Vídeo deepfake convincente o bastante pra enganar uma chamada rápida. O custo de produzir um golpe credível caiu pra centavos. O alcance subiu pra escala industrial.

De: [email protected]
Assunto: Atualizaçao Urgente!!! - Conta Bloquead@

Prezado Cliente,

Sua conta foi bloqueda por motivos de segurança.
Click aqui para desbloquiar: http://bradesco-seguro.tk/login.php

Atenciosamente,
Equipe Bancaria

De: [email protected] (spoofed)
Assunto: Confirmação de transferência DOC #BR2026050412

Olá, Thiago, tudo bem?

Vi pelo seu LinkedIn que você foi promovido recentemente, parabéns!
Estou na agência da Brigadeiro e identifiquei uma transferência DOC
agendada da sua conta PJ pra fornecedor "Cajá Studios LTDA" no valor
de R$ 8.450,00, com débito programado pra hoje às 16h.

Como o valor passou do limite cadastrado pra esse fornecedor,
preciso confirmar a operação por segurança. Pode me ligar no
11-3251-XXXX ramal 4302? Se preferir, te ligo agora pelo telefone
que tenho aqui.

Abraços,
Márcia Toledo
Gerente de Relacionamento PJ
Bradesco Brigadeiro

A diferença entre os dois exemplos não é técnica, é cultural. O segundo passa por qualquer filtro de e-mail e qualquer humano apressado. A defesa não pode mais ser “olhe com atenção”. Tem que ser “desconfie por padrão”.

Pensamento crítico como antídoto

Se a tecnologia de ataque está nivelada com a de defesa, o que sobra é o método de pensar. Pensamento crítico aplicado à segurança é menos sobre saber muito e mais sobre desacelerar antes de agir.

Daniel Kahneman, em Rápido e Devagar: Duas Formas de Pensar (2011), descreve dois sistemas mentais. Sistema 1 é rápido, automático, intuitivo, ótimo pra dirigir, péssimo pra detectar fraude. Sistema 2 é lento, deliberado, custoso, indispensável pra avaliar pretexto. Engenharia social ataca o Sistema 1. A defesa é forçar o Sistema 2 antes da ação.

Quatro disciplinas práticas:

1. Default deny humano: o equivalente comportamental do “default deny” técnico. Pedido fora do canal padrão é negado por padrão até prova em contrário. Não é rudeza, é higiene.
2. Verificação por canal independente: recebeu ligação do “banco”? Desligue, ligue de volta no número impresso no cartão. Recebeu mensagem do “diretor”? Confirme pessoalmente ou em outro canal. Nunca valide pelo mesmo canal que iniciou a abordagem.
3. Detecção de gatilho: perceber quando alguém está apertando os botões clássicos. Urgência (“é agora ou nunca”), autoridade (“o presidente pediu”), medo (“você vai ser demitido”), reciprocidade (“ajudei você semana passada”). Gatilho não invalida o pedido, sinaliza que vale verificar duas vezes.
4. Tolerância ao “não”: cultura que pune quem questiona pedido de chefe é fábrica de vítima de fraude. Cultura saudável aplaude a checagem, mesmo quando o pedido era legítimo.

A pergunta certa não é “isso é phishing?”, é “estou no Sistema 1 ou no Sistema 2 agora?”. A primeira você acerta no chute. A segunda você pode forçar.

Seis barreiras de segurança

Laureano (2005) organiza as defesas em seis camadas, cada uma com função própria. Continua válido em 2026, com leitura atualizada:

Nenhuma camada isolada resolve. Em conjunto, elevam o custo do ataque a ponto de redirecionar o atacante pra alvo mais fácil. Esse é o objetivo realista, não invulnerabilidade.

Checklist prático

O que dá pra aplicar hoje, sem orçamento, em qualquer empresa:

• MFA em tudo que aceita. Não é opcional. Senha vazada já não basta.
• Gerenciador de senha. Uma senha forte por serviço, sem reúso. Já tratei isso no post sobre gestão de senhas.
• Bloqueio automático de tela em 5 minutos de inatividade, no desktop e no celular corporativo.
• Fragmentação física de papel com dado sensível. Triturador é barato, vazamento por dumpster diving sai caro.
• Política escrita de canal alternativo: “TI nunca pede sua senha por telefone ou WhatsApp”.
• Canal de denúncia interno sem retaliação. Quem reporta phishing é parabenizado, não interrogado.
• Treinamento contínuo com exemplos reais e atualizados (deepfake, phishing por IA), não só material de 2015.
• Auditoria periódica dos acessos privilegiados. Quem ainda precisa daquilo? Quando foi a última vez que usou?

Encerrando

A engenharia social funciona porque mente bem, e mentir bem ficou muito mais barato com IA. A pesquisa que fiz em 2015 mostrava lacunas que dependiam de bom senso individual. Em 2026 essas lacunas continuam, agora exploradas por atacantes com superpoderes generativos.

A barreira mais resistente que a gente tem segue sendo cultural: desconfiar por padrão, verificar por canal independente, aceitar que dizer “não” pra um pedido estranho é trabalho bem feito. Pensamento crítico não substitui MFA, criptografia, segmentação ou detecção. Ele é o que faz tudo isso valer alguma coisa quando o atacante chega pelo lado humano.

Pensamento crítico sempre!

Referências

• CARVALHO, Thiago Cajaiba de. Engenharia Social: Lidando com Segurança da Informação na Gestão Corporativa Interna. 2015. Monografia (MBA em Gestão Estratégica de TI), Universidade Municipal de São Caetano do Sul, São Caetano do Sul, SP.
• MITNICK, Kevin; SIMON, William. A arte de enganar. São Paulo: Pearson Education do Brasil, 2003.
• KAHNEMAN, Daniel. Rápido e devagar: duas formas de pensar. Rio de Janeiro: Objetiva, 2012.
• IAN MANN. Engenharia Social: Série Prevenção de Fraudes. São Paulo: Edgard Blucher, 2011.
• ALVES, Cassio Bastos. Segurança da Informação vs. Engenharia Social. TCC, Centro Universitário do Distrito Federal, 2010.
• LAUREANO, Marcos Aurelio Pchek. Gestão de Segurança da Informação. 2005.