--- id: CP-542 slug: acompanhar-visitante-sem-cracha-rececao lang: pt title: Acompanhar um visitante sem crachá description: "Uma pessoa sem crachá nas instalações pode estar a preparar uma intrusão ou a ligar um dispositivo viciado. O reflexo cortês: levá-la à receção." canonical_url: https://startbrain.io/cyberpedia/pt/articles/acompanhar-visitante-sem-cracha-rececao/ markdown_url: https://startbrain.io/cyberpedia/pt/articles/acompanhar-visitante-sem-cracha-rececao.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, «Acompanhar um visitante sem crachá», Cyberpedia, 2026. https://startbrain.io/cyberpedia/pt/articles/acompanhar-visitante-sem-cracha-rececao/ (CC BY 4.0) wing: 5 theme: outsmart_social_engineering reflex: cr-047 schema: G5 updated: "2026-11-03" translations: pt: https://startbrain.io/cyberpedia/pt/articles/acompanhar-visitante-sem-cracha-rececao/ fr: https://startbrain.io/cyberpedia/fr/articles/raccompagner-visiteur-sans-badge-accueil/ en: https://startbrain.io/cyberpedia/en/articles/escorting-visitor-without-badge-reception/ de: https://startbrain.io/cyberpedia/de/articles/besucher-ohne-ausweis-zum-empfang-begleiten/ es: https://startbrain.io/cyberpedia/es/articles/acompanar-visitante-sin-credencial-recepcion/ it: https://startbrain.io/cyberpedia/it/articles/riaccompagnare-visitatore-senza-badge-reception/ nl: https://startbrain.io/cyberpedia/nl/articles/bezoeker-zonder-badge-naar-de-receptie-begeleiden/ sources: - "n": 1 title: social engineering - Glossary | CSRC publisher: NIST url: https://csrc.nist.gov/glossary/term/social_engineering accessed: "2026-11-03" - "n": 2 title: Avoiding Social Engineering and Phishing Attacks publisher: CISA url: https://www.cisa.gov/news-events/news/avoiding-social-engineering-and-phishing-attacks published: "2021-02-01" accessed: "2026-11-03" - "n": 3 title: Hardware Additions, Technique T1200 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1200/ accessed: "2026-11-03" - "n": 4 title: Replication Through Removable Media, Technique T1091 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1091/ accessed: "2026-11-03" - "n": 5 title: Trusted Relationship, Technique T1199 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1199/ accessed: "2026-11-03" - "n": 6 title: Physical Security | Cybersecurity and Infrastructure Security Agency CISA publisher: CISA url: https://www.cisa.gov/topics/physical-security accessed: "2026-11-03" --- # Acompanhar um visitante sem crachá Uma pessoa que circula pelos escritórios sem crachá visível não é necessariamente um intruso: pode ser um visitante perdido ou um novo colega. Pode também ser alguém que conta com a cortesia dos colaboradores para ir além da receção. Esta ficha explica por que razão a situação é um caso de engenharia social e o que um colaborador pode fazer, sem conflito: abordar a pessoa com cortesia, acompanhá-la à receção e avisar a receção ou a segurança. ## Em 30 segundos - Onde acontece: num corredor, junto a uma porta, numa sala de reuniões ou num espaço aberto, quando alguém se desloca sozinho sem crachá visível. - O que quer o atacante: entrar e ligar um dispositivo [3]. - O reflexo: perguntar com amabilidade quem a pessoa vem visitar, acompanhá-la à receção sem a deixar sozinha e depois avisar a receção ou a segurança. - Se já aconteceu: se deixou um desconhecido sozinho ou respondeu às suas perguntas, comunique-o à receção, à segurança ou à equipa de informática. ## Perguntas diretas ### Porque é que um simples visitante sem crachá levanta um problema de cibersegurança? O NIST define a engenharia social como o ato de enganar uma pessoa para obter informações sensíveis, um acesso não autorizado ou uma fraude, ganhando a sua confiança [1]. Uma pessoa sem crachá pode procurar um acesso obtido através da confiança de um colaborador. ### O que pode fazer alguém que entrou nas instalações? As fontes aqui citadas descrevem sobretudo a adição de equipamento. A MITRE descreve atacantes que introduzem fisicamente acessórios, equipamento de rede ou outros dispositivos num sistema ou numa rede para obter acesso [3]. As funções citadas vão da escuta passiva da rede à injeção de teclas e à adição de um ponto de acesso sem fios [3]. ### É um risco teórico? A MITRE observa que as referências públicas de utilização por grupos de atacantes são raras, mas que muitas equipas de auditoria recorrem a esta técnica para o acesso inicial [3]. É citado um caso: o grupo DarkVishnya ligou fisicamente um Bash Bunny, um Raspberry Pi, netbooks e computadores portáteis baratos ao ambiente de uma organização para aceder à sua rede local [3]. ### Deve desconfiar-se de alguém que parece legítimo? Sim, com cortesia. A CISA descreve um atacante de aspeto inofensivo e respeitável, que pode apresentar-se como novo funcionário, técnico de reparações ou investigador, chegando a mostrar credenciais para sustentar essa identidade [2]. A aparência não prova, portanto, nada [2]. Só uma verificação junto da receção ou da pessoa esperada a fornece. ### O que dizer, concretamente? Basta uma frase simples, por exemplo: «Bom dia, posso ajudá-lo? Quem vem visitar? Acompanho-o à receção.» O tom é o de um favor, não o de um controlo. O objetivo é não deixar a pessoa sozinha e entregar a verificação à receção. ## Como funciona Um visitante com marcação passa pela receção, onde podem ser verificadas a sua identidade e a pessoa que vem visitar. Uma pessoa sem crachá nos pisos de trabalho contornou essa etapa, de propósito ou não. O colaborador não consegue distinguir os dois casos e não tem de o fazer: a receção dispõe das informações para isso. A CISA lembra que cada membro da comunidade, amigos, famílias, colegas ou vizinhos, é uma primeira linha de defesa da segurança pública [6]. O risco informático vem a seguir. Um dispositivo ligado na empresa pode acrescentar funções que um simples suporte de armazenamento não oferece [3]. Os suportes amovíveis continuam também a ser um meio de propagação: a MITRE descreve software malicioso copiado para um suporte que se executa na inserção graças à função Autorun, inclusive em redes desligadas da Internet [4]. O mesmo texto indica que dispositivos móveis, e até cabos de carregamento USB, podem servir para infetar um computador [4]. ## O que fazer - Aborde a pessoa sem demora e com cortesia, perguntando quem vem visitar. - Acompanhe-a até à receção, em vez de lhe indicar o caminho, e não a deixe sozinha pelo percurso. - Avise a receção ou a segurança do que se passou, mesmo que tudo pareça normal. - Se a pessoa afirmar pertencer a uma organização conhecida, a verificação faz-se pela receção ou por um contacto que já conheça. A CISA aconselha a verificar a identidade diretamente junto da organização e a desconfiar de visitas não solicitadas de pessoas que fazem perguntas sobre os funcionários ou sobre informações internas [2]. - Não responda a perguntas sobre a organização da empresa, as suas equipas ou a sua rede enquanto não tiver certeza da autoridade do seu interlocutor [2]. ## As armadilhas O falso prestador de serviços. A CISA cita o técnico de reparações entre os papéis que um atacante pode desempenhar [2]. A MITRE salienta, por seu lado, que as organizações dão muitas vezes um acesso alargado aos seus sistemas internos a prestadores externos, por exemplo para o ar condicionado, os elevadores ou a segurança física, e que essa relação de confiança recebe por vezes menos controlo do que os acessos habituais [5]. Perante alguém que diz ser prestador de serviços, a verificação faz-se pela receção, não pela aparência. A informação que se acumula. Um atacante que não obtém informações suficientes junto de uma pessoa pode recorrer a outra na mesma organização, apoiando-se no que a primeira disse para parecer mais credível [2]. Uma resposta inocente dada num corredor pode servir para a conversa seguinte. O constrangimento. Receber o receio de ofender um visitante é natural. A fórmula que ajuda: propor acompanhar a pessoa, o que continua a ser um gesto de acolhimento. O NIST descreve a engenharia social como o ato de ganhar a confiança da pessoa [1]. Entrar atrás de alguém. Deixar entrar uma pessoa atrás de si numa porta com leitor de crachá poupa-lhe a passagem pela receção. A regra continua a ser a mesma: uma pessoa sem crachá nem acompanhante é encaminhada para a receção. A urgência ou a autoridade ostentada. A CISA assinala, a propósito dos e-mails, que um falso sentimento de urgência serve para levar alguém a agir sem examinar [2]. A mesma prudência vale cara a cara: a receção verifica, por maior que seja a pressa demonstrada. ## Fontes 1. NIST, «social engineering - Glossary | CSRC». https://csrc.nist.gov/glossary/term/social_engineering (consultado em 3 de novembro de 2026) 2. CISA, «Avoiding Social Engineering and Phishing Attacks», 1 de fevereiro de 2021. https://www.cisa.gov/news-events/news/avoiding-social-engineering-and-phishing-attacks (consultado em 3 de novembro de 2026) 3. MITRE ATT&CK, «Hardware Additions, Technique T1200 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1200/ (consultado em 3 de novembro de 2026) 4. MITRE ATT&CK, «Replication Through Removable Media, Technique T1091 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1091/ (consultado em 3 de novembro de 2026) 5. MITRE ATT&CK, «Trusted Relationship, Technique T1199 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1199/ (consultado em 3 de novembro de 2026) 6. CISA, «Physical Security | Cybersecurity and Infrastructure Security Agency CISA». https://www.cisa.gov/topics/physical-security (consultado em 3 de novembro de 2026) --- Fonte original: Cyberpedia, a enciclopédia pública de cibersegurança e IA publicada pela Brain. Versão canónica: https://startbrain.io/cyberpedia/pt/articles/acompanhar-visitante-sem-cracha-rececao/ Pode reutilizar livremente este texto sob a licença CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), desde que cite «Brain, Cyberpedia» com uma ligação para o endereço acima.