Cyberpediapor Brain
PTDEENESFRITNL

Acompanhar um visitante sem crachá

Uma pessoa sem crachá nas instalações pode estar a preparar uma intrusão ou a ligar um dispositivo viciado. O reflexo cortês: levá-la à receção.

Em 30 segundos

Onde acontece
Num corredor, junto a uma porta, numa sala de reuniões ou num espaço aberto, quando alguém se desloca sozinho sem crachá visível.
O que quer o atacante
Entrar e ligar um dispositivo3.
O reflexo
Perguntar com amabilidade quem a pessoa vem visitar, acompanhá-la à receção sem a deixar sozinha e depois avisar a receção ou a segurança.
Se já aconteceu
Se deixou um desconhecido sozinho ou respondeu às suas perguntas, comunique-o à receção, à segurança ou à equipa de informática.

Do que se trata

Uma pessoa que circula pelos escritórios sem crachá visível não é necessariamente um intruso: pode ser um visitante perdido ou um novo colega. Pode também ser alguém que conta com a cortesia dos colaboradores para ir além da receção.

Esta ficha explica por que razão a situação é um caso de engenharia social e o que um colaborador pode fazer, sem conflito: abordar a pessoa com cortesia, acompanhá-la à receção e avisar a receção ou a segurança.

Perguntas diretas

Porque é que um simples visitante sem crachá levanta um problema de cibersegurança?

O NIST define a engenharia social como o ato de enganar uma pessoa para obter informações sensíveis, um acesso não autorizado ou uma fraude, ganhando a sua confiança1. Uma pessoa sem crachá pode procurar um acesso obtido através da confiança de um colaborador.

O que pode fazer alguém que entrou nas instalações?

As fontes aqui citadas descrevem sobretudo a adição de equipamento. A MITRE descreve atacantes que introduzem fisicamente acessórios, equipamento de rede ou outros dispositivos num sistema ou numa rede para obter acesso3. As funções citadas vão da escuta passiva da rede à injeção de teclas e à adição de um ponto de acesso sem fios3.

É um risco teórico?

A MITRE observa que as referências públicas de utilização por grupos de atacantes são raras, mas que muitas equipas de auditoria recorrem a esta técnica para o acesso inicial3. É citado um caso: o grupo DarkVishnya ligou fisicamente um Bash Bunny, um Raspberry Pi, netbooks e computadores portáteis baratos ao ambiente de uma organização para aceder à sua rede local3.

Deve desconfiar-se de alguém que parece legítimo?

Sim, com cortesia. A CISA descreve um atacante de aspeto inofensivo e respeitável, que pode apresentar-se como novo funcionário, técnico de reparações ou investigador, chegando a mostrar credenciais para sustentar essa identidade2. A aparência não prova, portanto, nada2. Só uma verificação junto da receção ou da pessoa esperada a fornece.

O que dizer, concretamente?

Basta uma frase simples, por exemplo: «Bom dia, posso ajudá-lo? Quem vem visitar? Acompanho-o à receção.» O tom é o de um favor, não o de um controlo. O objetivo é não deixar a pessoa sozinha e entregar a verificação à receção.

1Como funciona1 min

Um visitante com marcação passa pela receção, onde podem ser verificadas a sua identidade e a pessoa que vem visitar. Uma pessoa sem crachá nos pisos de trabalho contornou essa etapa, de propósito ou não. O colaborador não consegue distinguir os dois casos e não tem de o fazer: a receção dispõe das informações para isso.

A CISA lembra que cada membro da comunidade, amigos, famílias, colegas ou vizinhos, é uma primeira linha de defesa da segurança pública6.

O risco informático vem a seguir. Um dispositivo ligado na empresa pode acrescentar funções que um simples suporte de armazenamento não oferece3. Os suportes amovíveis continuam também a ser um meio de propagação: a MITRE descreve software malicioso copiado para um suporte que se executa na inserção graças à função Autorun, inclusive em redes desligadas da Internet4. O mesmo texto indica que dispositivos móveis, e até cabos de carregamento USB, podem servir para infetar um computador4.

2O que fazer1 min
  • Aborde a pessoa sem demora e com cortesia, perguntando quem vem visitar.
  • Acompanhe-a até à receção, em vez de lhe indicar o caminho, e não a deixe sozinha pelo percurso.
  • Avise a receção ou a segurança do que se passou, mesmo que tudo pareça normal.
  • Se a pessoa afirmar pertencer a uma organização conhecida, a verificação faz-se pela receção ou por um contacto que já conheça. A CISA aconselha a verificar a identidade diretamente junto da organização e a desconfiar de visitas não solicitadas de pessoas que fazem perguntas sobre os funcionários ou sobre informações internas2.
  • Não responda a perguntas sobre a organização da empresa, as suas equipas ou a sua rede enquanto não tiver certeza da autoridade do seu interlocutor2.
3As armadilhas2 min

O falso prestador de serviços. A CISA cita o técnico de reparações entre os papéis que um atacante pode desempenhar2. A MITRE salienta, por seu lado, que as organizações dão muitas vezes um acesso alargado aos seus sistemas internos a prestadores externos, por exemplo para o ar condicionado, os elevadores ou a segurança física, e que essa relação de confiança recebe por vezes menos controlo do que os acessos habituais5. Perante alguém que diz ser prestador de serviços, a verificação faz-se pela receção, não pela aparência.

A informação que se acumula. Um atacante que não obtém informações suficientes junto de uma pessoa pode recorrer a outra na mesma organização, apoiando-se no que a primeira disse para parecer mais credível2. Uma resposta inocente dada num corredor pode servir para a conversa seguinte.

O constrangimento. Receber o receio de ofender um visitante é natural. A fórmula que ajuda: propor acompanhar a pessoa, o que continua a ser um gesto de acolhimento. O NIST descreve a engenharia social como o ato de ganhar a confiança da pessoa1.

Entrar atrás de alguém. Deixar entrar uma pessoa atrás de si numa porta com leitor de crachá poupa-lhe a passagem pela receção. A regra continua a ser a mesma: uma pessoa sem crachá nem acompanhante é encaminhada para a receção.

A urgência ou a autoridade ostentada. A CISA assinala, a propósito dos e-mails, que um falso sentimento de urgência serve para levar alguém a agir sem examinar2. A mesma prudência vale cara a cara: a receção verifica, por maior que seja a pressa demonstrada.

Ficha

Identificador
CP-542
Ala
5. Vida no escritório e reflexos
Competência Brain
Travar a engenharia social (outsmart_social_engineering)
Reflexo Brain
cr-047
Esquema
G5 · Árvore de decisão do reflexo
Idiomas
de, en, es, fr, it, nl, pt
Fontes
6 fontes verificadas em 3 de novembro de 2026
Fontes6 fontes
  1. NIST, «social engineering - Glossary | CSRC». https://csrc.nist.gov/glossary/term/social_engineering (consultado em 3 de novembro de 2026)
  2. CISA, «Avoiding Social Engineering and Phishing Attacks», 1 de fevereiro de 2021. https://www.cisa.gov/news-events/news/avoiding-social-engineering-and-phishing-attacks (consultado em 3 de novembro de 2026)
  3. MITRE ATT&CK, «Hardware Additions, Technique T1200 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1200/ (consultado em 3 de novembro de 2026)
  4. MITRE ATT&CK, «Replication Through Removable Media, Technique T1091 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1091/ (consultado em 3 de novembro de 2026)
  5. MITRE ATT&CK, «Trusted Relationship, Technique T1199 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1199/ (consultado em 3 de novembro de 2026)
  6. CISA, «Physical Security | Cybersecurity and Infrastructure Security Agency CISA». https://www.cisa.gov/topics/physical-security (consultado em 3 de novembro de 2026)

Citar este artigo

Brain, «Acompanhar um visitante sem crachá», Cyberpedia, 2026. https://startbrain.io/cyberpedia/pt/articles/acompanhar-visitante-sem-cracha-rececao/

BibTeX 
@misc{brain_cp542_pt_2026,
  author = {Brain},
  title = {Acompanhar um visitante sem crachá},
  year = {2026},
  howpublished = {Cyberpedia},
  url = {https://startbrain.io/cyberpedia/pt/articles/acompanhar-visitante-sem-cracha-rececao/},
  note = {CC BY 4.0}
}
Licença CC BY 4.0