Cyberpediapor Brain
PTDEENESFRITNL

Honeypots e honeytokens: armadilhas para detetar o intruso

Servidor falso, documento falso, chave de acesso falsa: o que são os engodos de segurança e o que o colaborador deve fazer se se cruzar com um.

Em 30 segundos

Onde acontece
Em sistemas, ficheiros ou contas que a equipa de segurança colocou de propósito, sem que os colaboradores tenham de se ocupar deles.
O que quer o atacante
Encontrar palavras-passe, chaves ou tokens de acesso. O engodo oferece-lhe exatamente isso, mas não leva a lado nenhum.
O reflexo
Não tocar num engodo, nunca instalar um por iniciativa própria e comunicar à segurança qualquer mensagem de alerta ou ficheiro suspeito.
Se já aconteceu
Avisar a segurança sem demora, indicando o que foi aberto e a que hora.

Do que se trata

Um honeypot é um engodo. O glossário do NIST define-o como um sistema (por exemplo, um servidor web) ou um recurso de um sistema (por exemplo, um ficheiro num servidor) concebido para ser atrativo para piratas informáticos e intrusos, «like honey is attractive to bears»1. Nesta ficha, «honeytoken» designa a mesma ideia a uma escala menor: um dado sem utilização real, como um identificador falso ou uma chave de acesso falsa, colocado onde um intruso o vai encontrar. As fontes citadas aqui não definem este termo.

Para um colaborador, estas armadilhas ficam quase sempre invisíveis. Servem a segurança da empresa, que as instala e vigia. Esta ficha explica o princípio, o que se espera de cada pessoa se um engodo surgir no seu caminho e as falhas que tornam estes dispositivos inúteis ou perigosos.

Perguntas diretas

Para que serve um engodo?

Serve para detetar uma intrusão. O NCSC britânico lembra que o primeiro objetivo da cibersegurança é impedir os ataques2. Nem sempre é possível2. O papel de um centro de operações de segurança (SOC) é limitar os danos, detetando e tratando os ataques que contornam os controlos preventivos2. Um engodo é um meio de deteção entre outros: junta-se às proteções que bloqueiam, não as substitui.

Porque é que um intruso cai na armadilha?

Porque procura precisamente aquilo que o engodo imita. A MITRE descreve adversários que vasculham os sistemas de ficheiros locais e as partilhas de rede à procura de ficheiros com credenciais mal protegidas3. Podem ser ficheiros criados por utilizadores para anotar as suas palavras-passe, ficheiros de configuração com palavras-passe ou código-fonte com palavras-passe incorporadas3. Esses mesmos adversários podem enumerar ficheiros e pastas para decidir o que fazer a seguir4. Um falso ficheiro de palavras-passe, guardado no sítio certo, parece uma descoberta.

Um colaborador pode ativar um engodo por engano?

É possível, e a ficha não consegue dizer com que frequência: as fontes do dossiê não o documentam. A regra é, por isso, simples. Um ficheiro, uma conta ou uma partilha que nada tenha a ver com o seu trabalho não se abre por curiosidade. Se o abriu, diga-o à segurança em vez de o calar.

Um colaborador deve instalar um engodo em casa ou no seu posto de trabalho?

Não. Um engodo mal colocado pode criar um problema em vez de resolver um. A escolha do local, do isolamento e da vigilância cabe à equipa de segurança.

1Como funciona2 min

Existem três grandes famílias de engodos, que a ficha distingue a partir dos exemplos do glossário do NIST1 e das fichas da MITRE35.

  • O servidor ou sistema falso: é o honeypot no sentido do NIST, um sistema atrativo para o intruso1.
  • O documento falso ou ficheiro falso: um recurso colocado num servidor, que o NIST inclui igualmente na definição de honeypot1.
  • O token falso ou a chave de acesso falsa: um token de aplicação serve para fazer pedidos autorizados em nome de um utilizador ou de um serviço, e é comum em aplicações na nuvem e em contentores5. Um adversário que roube esses tokens pode aceder a dados e agir com os direitos das contas em causa5. Um token falso, segundo o raciocínio da ficha, atrairia a mesma cobiça.

O princípio do alerta assenta na utilização: o engodo não tem qualquer função no trabalho quotidiano, pelo que qualquer contacto com ele merece ser analisado. As fontes do dossiê não detalham o funcionamento técnico das ferramentas comerciais, e esta ficha não o descreve.

O mesmo raciocínio vale para as contas. A MITRE refere que as contas na nuvem, criadas por uma organização para os seus utilizadores, serviços ou administração, são alvos6. Um adversário pode visá-las por força bruta ou por phishing6. Uma conta falsa poderia servir de isco nesse terreno, segundo o raciocínio da ficha.

2O que faz1 min
  • Não toca no que não lhe diz respeito. Um ficheiro chamado «palavras_passe» numa pasta partilhada que nunca utiliza não é uma boa oportunidade.
  • Não copia, não testa nem partilha qualquer identificador, chave ou token encontrado por acaso.
  • Comunica à segurança qualquer mensagem de alerta inesperada, qualquer ficheiro ou conta suspeita, com o nome, a localização e a hora.
  • Não instala um engodo por sua conta, nem num posto de trabalho, nem num espaço na nuvem.
  • Não guarda as suas próprias palavras-passe num ficheiro: a MITRE cita precisamente esses ficheiros entre os que os adversários procuram3.
3As armadilhas2 min

O engodo demasiado fácil de reconhecer

Um documento falso grosseiro, com um nome demasiado óbvio, não engana ninguém. As fontes do dossiê não dizem como conseguir um engodo credível: o ponto é apenas assinalado aqui, sem instruções técnicas.

O alerta ignorado

Detetar não serve de nada se ninguém reagir. O NCSC descreve o SOC como um conjunto que deteta e responde2. O seu guia trata tanto da deteção como da resposta a incidentes2.

O engodo mal isolado

As fontes do dossiê não tratam do isolamento de um engodo em relação ao resto da rede. A MITRE recomenda, em contrapartida, de forma geral, reduzir a superfície de ataque eliminando software, funcionalidades e serviços desnecessários8, o que vale também para um engodo esquecido.

Os dados pessoais recolhidos sem enquadramento

Se um engodo registar o que uma pessoa faz, as regras sobre dados pessoais podem aplicar-se. O RGPD, no seu artigo 5.º, exige que sejam tratados de forma lícita, leal e transparente7. Devem ser recolhidos para finalidades determinadas, explícitas e legítimas7. Devem também limitar-se ao que é necessário7. Exige ainda uma segurança adequada do tratamento7. Um dispositivo de vigilância sem finalidade clara nem informação das pessoas afasta-se destes princípios.

A conta na nuvem visada

Uma conta na nuvem sincronizada com os sistemas internos pode abrir caminho até à própria empresa: a MITRE precisa que contas federadas ou sincronizadas podem permitir agir simultaneamente nos sistemas internos e na nuvem6. A ficha deduz daqui que uma conta falsa deste tipo deveria ser isolada como uma conta sensível.

Ficha

Identificador
CP-235
Ala
3. Protocolos e defesa
Competência Brain
Navegar em segurança (browse_safely)
Reflexo Brain
cr-078
Esquema
G3 · Corte anatómico
Idiomas
de, en, es, fr, it, nl, pt
Fontes
8 fontes verificadas em 3 de novembro de 2026
Fontes8 fontes
  1. NIST, «honeypot - Glossary | CSRC». https://csrc.nist.gov/glossary/term/honeypot (consultado em 3 de novembro de 2026)
  2. NCSC (Royaume-Uni), «Building a Security Operations Centre (SOC)», 23 de maio de 2022. https://www.ncsc.gov.uk/collection/building-a-security-operations-centre (consultado em 3 de novembro de 2026)
  3. MITRE ATT&CK, «Unsecured Credentials: Credentials In Files, Sub-technique T1552.001 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1552/001/ (consultado em 3 de novembro de 2026)
  4. MITRE ATT&CK, «File and Directory Discovery, Technique T1083 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1083/ (consultado em 3 de novembro de 2026)
  5. MITRE ATT&CK, «Steal Application Access Token, Technique T1528 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1528/ (consultado em 3 de novembro de 2026)
  6. MITRE ATT&CK, «Valid Accounts: Cloud Accounts, Sub-technique T1078.004 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1078/004/ (consultado em 3 de novembro de 2026)
  7. CNIL, «CHAPITRE II - Principes». https://www.cnil.fr/fr/reglement-europeen-protection-donnees/chapitre2 (consultado em 3 de novembro de 2026)
  8. MITRE ATT&CK, «Disable or Remove Feature or Program, Mitigation M1042 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/mitigations/M1042/ (consultado em 3 de novembro de 2026)

Citar este artigo

Brain, «Honeypots e honeytokens: armadilhas para detetar o intruso», Cyberpedia, 2026. https://startbrain.io/cyberpedia/pt/articles/honeypot-honeytoken-canarytokens-engodos/

BibTeX 
@misc{brain_cp235_pt_2026,
  author = {Brain},
  title = {Honeypots e honeytokens: armadilhas para detetar o intruso},
  year = {2026},
  howpublished = {Cyberpedia},
  url = {https://startbrain.io/cyberpedia/pt/articles/honeypot-honeytoken-canarytokens-engodos/},
  note = {CC BY 4.0}
}
Licença CC BY 4.0