--- id: CP-021 slug: pretexting-cenario-autoridade-credivel lang: pt title: Pretexting, ou a arte do falso pretexto description: "Um falso apoio informático que telefona ou escreve para obter uma palavra-passe: como funciona o falso pretexto e como o desarmar." canonical_url: https://startbrain.io/cyberpedia/pt/articles/pretexting-cenario-autoridade-credivel/ markdown_url: https://startbrain.io/cyberpedia/pt/articles/pretexting-cenario-autoridade-credivel.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, «Pretexting, ou a arte do falso pretexto», Cyberpedia, 2026. https://startbrain.io/cyberpedia/pt/articles/pretexting-cenario-autoridade-credivel/ (CC BY 4.0) wing: 1 theme: outsmart_social_engineering reflex: cr-040 schema: G5 updated: "2026-11-03" translations: pt: https://startbrain.io/cyberpedia/pt/articles/pretexting-cenario-autoridade-credivel/ fr: https://startbrain.io/cyberpedia/fr/articles/pretexting-scenario-autorite-credible/ en: https://startbrain.io/cyberpedia/en/articles/pretexting-credible-authority-scenario/ de: https://startbrain.io/cyberpedia/de/articles/pretexting-glaubwuerdiges-autoritaetsszenario/ es: https://startbrain.io/cyberpedia/es/articles/pretexting-escenario-autoridad-creible/ it: https://startbrain.io/cyberpedia/it/articles/pretexting-scenario-autorita-credibile/ nl: https://startbrain.io/cyberpedia/nl/articles/pretexting-geloofwaardig-autoriteitsscenario/ sources: - "n": 1 title: Avoiding Social Engineering and Phishing Attacks publisher: CISA url: https://www.cisa.gov/news-events/news/avoiding-social-engineering-and-phishing-attacks published: "2021-02-01" accessed: "2026-11-03" - "n": 2 title: Phishing for Information, Technique T1598 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1598/ accessed: "2026-11-03" - "n": 3 title: "Phishing: Spearphishing Voice, Sub-technique T1566.004 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1566/004/ accessed: "2026-11-03" - "n": 4 title: "Phishing for Information: Spearphishing Service, Sub-technique T1598.001 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1598/001/ accessed: "2026-11-03" - "n": 5 title: Scattered Spider publisher: CISA url: https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-320a published: "2023-11-16" accessed: "2026-11-03" - "n": 6 title: Octo Tempest crosses boundaries to facilitate extortion, encryption, and destruction publisher: Microsoft url: https://www.microsoft.com/en-us/security/blog/2023/10/25/octo-tempest-crosses-boundaries-to-facilitate-extortion-encryption-and-destruction/ published: "2023-10-25" accessed: "2026-11-03" - "n": 7 title: Scattered Spider, Roasted 0ktapus, Octo Tempest, Storm-0875, UNC3944, Group G1015 | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/groups/G1015/ accessed: "2026-11-03" - "n": 8 title: "Phishing attacks: defending your organisation" publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/guidance/phishing published: "2018-02-05" accessed: "2026-11-03" --- # Pretexting, ou a arte do falso pretexto Um desconhecido telefona, escreve ou envia uma mensagem, apresentando-se como alguém com legitimidade para fazer perguntas: o apoio informático, um fornecedor, um banco, um novo colega. Não precisa de piratear nada se o interlocutor lhe entregar, por si próprio, uma palavra-passe, um código ou uma informação interna. A CISA descreve este esquema: o atacante pode dizer-se novo funcionário, técnico de reparações ou investigador, oferecer falsas provas de identidade e, depois, cruzar as respostas obtidas [1]. Esta técnica assenta num falso pretexto, daí o nome inglês, pretexting. O MITRE inclui-a entre as técnicas de recolha de informações por phishing: o objetivo é levar a vítima a revelar dados, muitas vezes credenciais, e não a executar um programa malicioso [2]. ## Em 30 segundos - Onde acontece: por telefone [3], por SMS [5], por mensagem no Teams [7] ou por correio eletrónico [2]. - O que quer o atacante: credenciais ou outras informações aproveitáveis [2], por vezes um código de utilização única [2]. - O reflexo: não dar nada a quem fez o contacto e verificar a sua identidade diretamente junto da organização que diz representar [1]. - Se já o fez: avisar de imediato as pessoas competentes na empresa e alterar as palavras-passe reveladas [1]. ## Perguntas diretas ### O que é o pretexting? É uma forma de engenharia social: o atacante usa o contacto humano para obter ou comprometer informações sobre uma organização ou os seus sistemas [1]. O pretexto (uma avaria a reparar, uma conta a verificar, um pagamento a regularizar) dá uma razão plausível para pedir alguma coisa. ### Porque parece a mensagem tão credível? Porque o atacante se informou antes. O MITRE observa que estas abordagens aproveitam informações obtidas num reconhecimento prévio, por exemplo nas redes sociais ou nos sites da empresa visada, para fabricar iscos verosímeis [4]. No caso do Scattered Spider, a CISA refere informações retiradas das redes sociais, de fontes abertas, de ferramentas comerciais de informação e de fugas de bases de dados [5]. ### Quem é visado? Todos, mas o apoio informático em particular. A Microsoft observa que o grupo Octo Tempest visa com frequência administradores técnicos, como o pessoal de suporte e de help desk, cujos privilégios permitem abrir o acesso a contas [6]. ### O que pede o atacante? Os pedidos vistos nas fontes são concretos: credenciais, um código de utilização única, a reposição de uma palavra-passe, a transferência de um segundo fator de autenticação para um dispositivo controlado pelo atacante, ou a instalação de uma ferramenta de acesso remoto [3][5][7]. ### O que fazer se já respondeu? A CISA aconselha a comunicar o incidente às pessoas competentes da organização, incluindo os administradores de rede, que poderão vigiar qualquer atividade invulgar, e a alterar sem demora as palavras-passe reveladas, em cada conta onde a mesma palavra-passe era usada [1]. ## Na pele do atacante O atacante começa por reunir nomes, funções e procedimentos. Um perfil falso numa rede social pode servir de porta de entrada: o MITRE descreve contas fictícias que propõem ofertas de emprego a funcionários, o que dá uma razão plausível para fazer perguntas sobre os serviços, as regras e o ambiente informático [4]. As identidades de funcionários podem também vir de fugas anteriores: o MITRE refere que o Scattered Spider usou informações de violações de dados passadas para encontrar nomes de funcionários a utilizar nas suas manobras [7]. Segue-se a encenação. Um atacante que não obtém informação suficiente junto de uma pessoa recorre a outra na mesma organização e apoia-se na primeira resposta para parecer legítimo [1]. As chamadas do Scattered Spider decorrem com frequência em várias etapas: as primeiras servem para saber como o help desk trata uma reposição de palavra-passe, as seguintes para reunir os elementos próprios do funcionário visado [5]. Por fim, a pressão. O MITRE assinala o fingimento de ser uma fonte de confiança e o envio de várias mensagens de aparência urgente [2], bem como o sentimento de urgência ou de alarme criado no destinatário no caso do phishing por voz [3]. ## O que vê no ecrã As formas observadas nas fontes são as seguintes. - Uma chamada de um suposto técnico que pede a instalação de uma ferramenta de manutenção remota. O MITRE cita chamadas do Scattered Spider em que o atacante se faz passar por pessoal informático para levar as vítimas a descarregar uma ferramenta desse tipo [3]. - Uma mensagem no Microsoft Teams de um falso suporte interno, registada pelo MITRE no caso do Scattered Spider [7]. - Um e-mail cujo remetente usurpa a identidade de um terceiro, o que pode enganar tanto o destinatário como as ferramentas de segurança automáticas [2]. - Uma mensagem que convida a ligar para um número de telefone, onde o atacante tenta recolher informações confidenciais [2]. A CISA enumera ainda sinais de alerta clássicos: um endereço de remetente próximo do de uma empresa verdadeira, com alguns carateres alterados ou suprimidos, uma saudação genérica, ligações cujo endereço não corresponde ao texto, erros ou uma apresentação incoerente, um anexo não solicitado com uma falsa urgência [1]. Estes sinais nem sempre bastam: um pedido bem redigido e bem documentado pode não ter nenhum. Segue-se uma ilustração neutralizada, descrita a partir dos nomes de domínio que a CISA cita (o nome da empresa visada seguido de «helpdesk» ou de um serviço de autenticação única) [5]: ```text Illustration, adresse neutralisée : nom-de-l-entreprise-helpdesk[.]invalid [Message paraphrasé : le « support » demande de se connecter sur ce site pour vérifier le compte.] ``` ## Por baixo do capô Combinam-se três mecanismos. Primeiro, a recolha de informações (organigrama, nomes, procedimentos), que fornece o cenário do pretexto [4][5]. Depois, a usurpação de identidade: um funcionário, um técnico ou um recém-contratado. A Microsoft refere que o Octo Tempest imita ao telefone o idioleto das pessoas que personifica, conhece os seus dados pessoais e fez-se passar por novos funcionários para se integrar nos procedimentos de entrada [6]. Por fim, a autoridade e a urgência, que levam a responder depressa. O telefone facilita o engano. A CISA sublinha que a telefonia pela internet permite falsificar facilmente o identificador do chamador, o que beneficia a confiança mal colocada do público na segurança do telefone [1]. Quando o atacante se faz passar por funcionário junto do suporte, o objetivo é conseguir que se reponha uma palavra-passe ou que se transfira a autenticação multifator para um dispositivo que ele controla [5]. A Microsoft descreve mesmo casos em que contorna o procedimento usando a conta de um responsável já comprometida para aprovar os seus pedidos [6]. As confirmações internas só valem, portanto, se o próprio canal for seguro. ## Autópsias ### Início de 2022: o Octo Tempest e as trocas de cartões SIM Segundo a Microsoft, o grupo Octo Tempest foi observado pela primeira vez no início de 2022. Visava operadores de telefonia móvel e empresas de externalização de processos de negócio para desencadear portabilidades de números, as trocas de cartões SIM. Em 2022, tirou partido dessas intrusões vendendo trocas de SIM a outros criminosos e tomando o controlo de contas de pessoas muito ricas para lhes roubar as criptomoedas [6]. ### 25 de outubro de 2023: a Microsoft descreve os métodos do Octo Tempest No seu artigo de 25 de outubro de 2023, a Microsoft explica que este grupo telefona ao help desk de uma organização para obter a reposição da palavra-passe de um utilizador ou o acrescento de um fator de autenticação [6]. Pode também, uma vez senhor do número de telefone de um funcionário, lançar uma reposição da conta em regime de autosserviço [6]. ### 16 de novembro de 2023 e 29 de julho de 2025: o aviso conjunto sobre o Scattered Spider O aviso conjunto da CISA, do FBI e de agências parceiras foi publicado a 16 de novembro de 2023 e atualizado a 21 de novembro de 2023 e a 29 de julho de 2025 [5]. Descreve um grupo que visa grandes empresas e os seus serviços de assistência informática subcontratados [5]. Os seus membros fizeram-se passar por pessoal informático ou de suporte, por chamada ou SMS, para obter credenciais, e por funcionários para convencer o suporte a repor uma palavra-passe e a transferir o segundo fator [5]. O aviso recomenda a autenticação multifator resistente ao phishing, protegida contra o bombardeamento de notificações e a troca de SIM [5]. ## O que fazer O reflexo resume-se assim: não se responde a quem fez o contacto, verifica-se por outro canal. - Desconfie de uma chamada, de uma visita ou de uma mensagem não solicitada que faça perguntas sobre os funcionários ou a organização interna. Se o desconhecido se reclamar de uma organização legítima, verifique a sua identidade diretamente junto dela [1]. - Não dê informações sobre si nem sobre a empresa, incluindo a estrutura e as redes, sem ter a certeza de que a pessoa tem o direito de as conhecer [1]. - Em caso de dúvida sobre um pedido por e-mail, contacte diretamente a entidade, sem usar os contactos que constam da mensagem ou do site associado ao pedido: procure-os em trocas anteriores [1]. - Comunique a tentativa, mesmo que não tenha dado nada. O NCSC britânico recomenda uma cultura em que se comunica sem receio de censura, pois os funcionários que temem sanções não comunicam os seus erros [8]. Do lado da organização, o MITRE lembra que os utilizadores podem ser formados para detetar e comunicar estas técnicas e para desconfiar de quem telefona, verificando a sua identidade [3]. ## Fontes 1. CISA, «Avoiding Social Engineering and Phishing Attacks», 1 de fevereiro de 2021. https://www.cisa.gov/news-events/news/avoiding-social-engineering-and-phishing-attacks (consultado em 3 de novembro de 2026) 2. MITRE ATT&CK, «Phishing for Information, Technique T1598 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1598/ (consultado em 3 de novembro de 2026) 3. MITRE ATT&CK, «Phishing: Spearphishing Voice, Sub-technique T1566.004 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1566/004/ (consultado em 3 de novembro de 2026) 4. MITRE ATT&CK, «Phishing for Information: Spearphishing Service, Sub-technique T1598.001 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1598/001/ (consultado em 3 de novembro de 2026) 5. CISA, «Scattered Spider», 16 de novembro de 2023. https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-320a (consultado em 3 de novembro de 2026) 6. Microsoft, «Octo Tempest crosses boundaries to facilitate extortion, encryption, and destruction», 25 de outubro de 2023. https://www.microsoft.com/en-us/security/blog/2023/10/25/octo-tempest-crosses-boundaries-to-facilitate-extortion-encryption-and-destruction/ (consultado em 3 de novembro de 2026) 7. MITRE ATT&CK, «Scattered Spider, Roasted 0ktapus, Octo Tempest, Storm-0875, UNC3944, Group G1015 | MITRE ATT&CK®». https://attack.mitre.org/groups/G1015/ (consultado em 3 de novembro de 2026) 8. NCSC (Royaume-Uni), «Phishing attacks: defending your organisation», 5 de fevereiro de 2018. https://www.ncsc.gov.uk/guidance/phishing (consultado em 3 de novembro de 2026) --- Fonte original: Cyberpedia, a enciclopédia pública de cibersegurança e IA publicada pela Brain. Versão canónica: https://startbrain.io/cyberpedia/pt/articles/pretexting-cenario-autoridade-credivel/ Pode reutilizar livremente este texto sob a licença CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), desde que cite «Brain, Cyberpedia» com uma ligação para o endereço acima.