OpenCyber Academy
Tecnólogo · Capítulo 5 · Português
Código do curso: OCA-075Capítulo 05: OCA-075-C005

Capítulo 5 — Letramento em segurança

Ensino gratuito e aberto para quem deseja proteger pessoas e tecnologias. Não é preciso criar uma conta para estudar ou consultar as respostas.

Mapa da aula

Aula 05 publicada. Mapa, exemplo, EX013.

flowchart TD
  N0["5.1 Técnicas comuns"]
  N1["5.2 Por que as pessoas caem"]
  N2["5.3 Papel da conscientização"]
  N3["Síntese"]
  N0 --> N1 --> N2 --> N3
  N3 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX013"]

Desenho lógico

flowchart LR
  N0["5.1 Técnicas comuns"]
  N1["5.2 Por que as pessoas caem"]
  N2["5.3 Papel da conscientização"]
  N3["Síntese"]
  N0 --> N1 --> N2 --> N3 --> Q["EX013"]

[5.1 Técnicas comuns]
    |
    v
[5.2 Por que as pessoas caem]
    |
    v
[5.3 Papel da conscientização]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX013]

Objetivos de aprendizagem

Você vai (1) explicar técnicas comuns de engenharia social; (2) descrever por que as pessoas caem nelas; (3) explicar o papel das orientações de conscientização.

5.1 Técnicas comuns

Lucas estuda as técnicas descritas por Hadnagy (2018): e-mails de phishing, pretexting por telefone e falsificação de identidade. Na Brightwell, os ataques mais prováveis são faturas falsas de fornecedores, páginas de login falsas do sistema de agendamento e ligações de quem finge ser do fornecedor do sistema de gestão pedindo acesso remoto. Ele escreve descrições curtas de cada um, com exemplos sintéticos, para que os colegas reconheçam os padrões sem serem expostos a conteúdo malicioso real. Compartilha as descrições numa reunião de equipe, em que as recepcionistas acrescentam dois exemplos de ligações que receberam, que ele reescreve sem nenhum detalhe identificador.

5.2 Por que as pessoas caem

Cialdini (2021) descreve princípios de influência como autoridade, urgência, escassez e afinidade. Uma ligação do suposto fornecedor afirmando que um sistema vai parar de funcionar em uma hora, a menos que uma recepcionista conceda acesso remoto, usa autoridade e urgência. Lucas observa que as recepcionistas são treinadas para ser prestativas e rápidas, o que os atacantes exploram. Cair numa ligação assim reflete hábitos normais e úteis usados contra as pessoas, e não estupidez. Esse entendimento molda seu trabalho posterior em procedimentos de verificação que dispensam os funcionários de fazer esses julgamentos sozinhos. Marta concorda.

5.3 Papel da conscientização

A NIST SP 800-50r1 (Hansche et al., 2024) descreve a conscientização como uma parte de um programa de aprendizagem, ao lado do treinamento por função. Lucas vê que a conscientização pode ajudar os funcionários a reconhecer padrões, mas Bada, Sasse e Nurse (2019) alertam que a conscientização sozinha raramente muda o comportamento. Ele conclui que a Brightwell precisa tanto de uma conscientização breve quanto de procedimentos práticos, como ligar de volta para os fornecedores em números conhecidos, para que os funcionários saibam o que fazer, e não apenas o que temer. Ele registra essa conclusão no relatório de estágio e a discute com a gerente do consultório, que concorda em testar as duas abordagens juntas.

Exemplo resolvido

Lucas descreve os ataques prováveis na Brightwell, explica-os com os princípios de Cialdini e posiciona a conscientização ao lado dos procedimentos.

Caso sintético. Os exemplos são sintéticos; Hadnagy (2018), Cialdini (2021), a SP 800-50r1 e Bada et al. (2019) são reais.

Erros e limites

Os tipos de ataque mudam. A conscientização se desgasta.

Exercícios

Síntese

O letramento em segurança explica as técnicas e por que elas funcionam, e combina conscientização com procedimentos.

Respostas comentadas

EX013. Autoridade e urgência.

EX014. Ser prestativo e rápido.

EX015. Procedimentos práticos, como ligar de volta para os fornecedores em números conhecidos.