Cyberpediapor Brain
PTDEENESFRITNL

Pretexting, ou a arte do falso pretexto

Um falso apoio informático que telefona ou escreve para obter uma palavra-passe: como funciona o falso pretexto e como o desarmar.

Em 30 segundos

Onde acontece
Por telefone3, por SMS5, por mensagem no Teams7 ou por correio eletrónico2.
O que quer o atacante
Credenciais ou outras informações aproveitáveis2, por vezes um código de utilização única2.
O reflexo
Não dar nada a quem fez o contacto e verificar a sua identidade diretamente junto da organização que diz representar1.
Se já o fez
Avisar de imediato as pessoas competentes na empresa e alterar as palavras-passe reveladas1.

Do que se trata

Um desconhecido telefona, escreve ou envia uma mensagem, apresentando-se como alguém com legitimidade para fazer perguntas: o apoio informático, um fornecedor, um banco, um novo colega. Não precisa de piratear nada se o interlocutor lhe entregar, por si próprio, uma palavra-passe, um código ou uma informação interna. A CISA descreve este esquema: o atacante pode dizer-se novo funcionário, técnico de reparações ou investigador, oferecer falsas provas de identidade e, depois, cruzar as respostas obtidas1.

Esta técnica assenta num falso pretexto, daí o nome inglês, pretexting. O MITRE inclui-a entre as técnicas de recolha de informações por phishing: o objetivo é levar a vítima a revelar dados, muitas vezes credenciais, e não a executar um programa malicioso2.

Perguntas diretas

O que é o pretexting?

É uma forma de engenharia social: o atacante usa o contacto humano para obter ou comprometer informações sobre uma organização ou os seus sistemas1. O pretexto (uma avaria a reparar, uma conta a verificar, um pagamento a regularizar) dá uma razão plausível para pedir alguma coisa.

Porque parece a mensagem tão credível?

Porque o atacante se informou antes. O MITRE observa que estas abordagens aproveitam informações obtidas num reconhecimento prévio, por exemplo nas redes sociais ou nos sites da empresa visada, para fabricar iscos verosímeis4. No caso do Scattered Spider, a CISA refere informações retiradas das redes sociais, de fontes abertas, de ferramentas comerciais de informação e de fugas de bases de dados5.

Quem é visado?

Todos, mas o apoio informático em particular. A Microsoft observa que o grupo Octo Tempest visa com frequência administradores técnicos, como o pessoal de suporte e de help desk, cujos privilégios permitem abrir o acesso a contas6.

O que pede o atacante?

Os pedidos vistos nas fontes são concretos: credenciais, um código de utilização única, a reposição de uma palavra-passe, a transferência de um segundo fator de autenticação para um dispositivo controlado pelo atacante, ou a instalação de uma ferramenta de acesso remoto357.

O que fazer se já respondeu?

A CISA aconselha a comunicar o incidente às pessoas competentes da organização, incluindo os administradores de rede, que poderão vigiar qualquer atividade invulgar, e a alterar sem demora as palavras-passe reveladas, em cada conta onde a mesma palavra-passe era usada1.

1Na pele do atacante1 min

O atacante começa por reunir nomes, funções e procedimentos. Um perfil falso numa rede social pode servir de porta de entrada: o MITRE descreve contas fictícias que propõem ofertas de emprego a funcionários, o que dá uma razão plausível para fazer perguntas sobre os serviços, as regras e o ambiente informático4. As identidades de funcionários podem também vir de fugas anteriores: o MITRE refere que o Scattered Spider usou informações de violações de dados passadas para encontrar nomes de funcionários a utilizar nas suas manobras7.

Segue-se a encenação. Um atacante que não obtém informação suficiente junto de uma pessoa recorre a outra na mesma organização e apoia-se na primeira resposta para parecer legítimo1. As chamadas do Scattered Spider decorrem com frequência em várias etapas: as primeiras servem para saber como o help desk trata uma reposição de palavra-passe, as seguintes para reunir os elementos próprios do funcionário visado5.

Por fim, a pressão. O MITRE assinala o fingimento de ser uma fonte de confiança e o envio de várias mensagens de aparência urgente2, bem como o sentimento de urgência ou de alarme criado no destinatário no caso do phishing por voz3.

2O que vê no ecrã1 min

As formas observadas nas fontes são as seguintes.

  • Uma chamada de um suposto técnico que pede a instalação de uma ferramenta de manutenção remota. O MITRE cita chamadas do Scattered Spider em que o atacante se faz passar por pessoal informático para levar as vítimas a descarregar uma ferramenta desse tipo3.
  • Uma mensagem no Microsoft Teams de um falso suporte interno, registada pelo MITRE no caso do Scattered Spider7.
  • Um e-mail cujo remetente usurpa a identidade de um terceiro, o que pode enganar tanto o destinatário como as ferramentas de segurança automáticas2.
  • Uma mensagem que convida a ligar para um número de telefone, onde o atacante tenta recolher informações confidenciais2.

A CISA enumera ainda sinais de alerta clássicos: um endereço de remetente próximo do de uma empresa verdadeira, com alguns carateres alterados ou suprimidos, uma saudação genérica, ligações cujo endereço não corresponde ao texto, erros ou uma apresentação incoerente, um anexo não solicitado com uma falsa urgência1. Estes sinais nem sempre bastam: um pedido bem redigido e bem documentado pode não ter nenhum.

Segue-se uma ilustração neutralizada, descrita a partir dos nomes de domínio que a CISA cita (o nome da empresa visada seguido de «helpdesk» ou de um serviço de autenticação única)5:

Excerto
Illustration, adresse neutralisée :
nom-de-l-entreprise-helpdesk[.]invalid
[Message paraphrasé : le « support » demande de se connecter sur ce site pour vérifier le compte.]
3Por baixo do capôEquipas de TI1 min

Combinam-se três mecanismos. Primeiro, a recolha de informações (organigrama, nomes, procedimentos), que fornece o cenário do pretexto45. Depois, a usurpação de identidade: um funcionário, um técnico ou um recém-contratado. A Microsoft refere que o Octo Tempest imita ao telefone o idioleto das pessoas que personifica, conhece os seus dados pessoais e fez-se passar por novos funcionários para se integrar nos procedimentos de entrada6. Por fim, a autoridade e a urgência, que levam a responder depressa.

O telefone facilita o engano. A CISA sublinha que a telefonia pela internet permite falsificar facilmente o identificador do chamador, o que beneficia a confiança mal colocada do público na segurança do telefone1.

Quando o atacante se faz passar por funcionário junto do suporte, o objetivo é conseguir que se reponha uma palavra-passe ou que se transfira a autenticação multifator para um dispositivo que ele controla5. A Microsoft descreve mesmo casos em que contorna o procedimento usando a conta de um responsável já comprometida para aprovar os seus pedidos6. As confirmações internas só valem, portanto, se o próprio canal for seguro.

4AutópsiasCasos reais2 min

Início de 2022: o Octo Tempest e as trocas de cartões SIM

Segundo a Microsoft, o grupo Octo Tempest foi observado pela primeira vez no início de 2022. Visava operadores de telefonia móvel e empresas de externalização de processos de negócio para desencadear portabilidades de números, as trocas de cartões SIM. Em 2022, tirou partido dessas intrusões vendendo trocas de SIM a outros criminosos e tomando o controlo de contas de pessoas muito ricas para lhes roubar as criptomoedas6.

25 de outubro de 2023: a Microsoft descreve os métodos do Octo Tempest

No seu artigo de 25 de outubro de 2023, a Microsoft explica que este grupo telefona ao help desk de uma organização para obter a reposição da palavra-passe de um utilizador ou o acrescento de um fator de autenticação6. Pode também, uma vez senhor do número de telefone de um funcionário, lançar uma reposição da conta em regime de autosserviço6.

16 de novembro de 2023 e 29 de julho de 2025: o aviso conjunto sobre o Scattered Spider

O aviso conjunto da CISA, do FBI e de agências parceiras foi publicado a 16 de novembro de 2023 e atualizado a 21 de novembro de 2023 e a 29 de julho de 20255. Descreve um grupo que visa grandes empresas e os seus serviços de assistência informática subcontratados5. Os seus membros fizeram-se passar por pessoal informático ou de suporte, por chamada ou SMS, para obter credenciais, e por funcionários para convencer o suporte a repor uma palavra-passe e a transferir o segundo fator5. O aviso recomenda a autenticação multifator resistente ao phishing, protegida contra o bombardeamento de notificações e a troca de SIM5.

5O que fazer1 min

O reflexo resume-se assim: não se responde a quem fez o contacto, verifica-se por outro canal.

  • Desconfie de uma chamada, de uma visita ou de uma mensagem não solicitada que faça perguntas sobre os funcionários ou a organização interna. Se o desconhecido se reclamar de uma organização legítima, verifique a sua identidade diretamente junto dela1.
  • Não dê informações sobre si nem sobre a empresa, incluindo a estrutura e as redes, sem ter a certeza de que a pessoa tem o direito de as conhecer1.
  • Em caso de dúvida sobre um pedido por e-mail, contacte diretamente a entidade, sem usar os contactos que constam da mensagem ou do site associado ao pedido: procure-os em trocas anteriores1.
  • Comunique a tentativa, mesmo que não tenha dado nada. O NCSC britânico recomenda uma cultura em que se comunica sem receio de censura, pois os funcionários que temem sanções não comunicam os seus erros8.

Do lado da organização, o MITRE lembra que os utilizadores podem ser formados para detetar e comunicar estas técnicas e para desconfiar de quem telefona, verificando a sua identidade3.

Ficha

Identificador
CP-021
Ala
1. Ataques e técnicas
Competência Brain
Travar a engenharia social (outsmart_social_engineering)
Reflexo Brain
cr-040
Esquema
G5 · Árvore de decisão do reflexo
Idiomas
de, en, es, fr, it, nl, pt
Fontes
8 fontes verificadas em 3 de novembro de 2026
Fontes8 fontes
  1. CISA, «Avoiding Social Engineering and Phishing Attacks», 1 de fevereiro de 2021. https://www.cisa.gov/news-events/news/avoiding-social-engineering-and-phishing-attacks (consultado em 3 de novembro de 2026)
  2. MITRE ATT&CK, «Phishing for Information, Technique T1598 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1598/ (consultado em 3 de novembro de 2026)
  3. MITRE ATT&CK, «Phishing: Spearphishing Voice, Sub-technique T1566.004 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1566/004/ (consultado em 3 de novembro de 2026)
  4. MITRE ATT&CK, «Phishing for Information: Spearphishing Service, Sub-technique T1598.001 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1598/001/ (consultado em 3 de novembro de 2026)
  5. CISA, «Scattered Spider», 16 de novembro de 2023. https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-320a (consultado em 3 de novembro de 2026)
  6. Microsoft, «Octo Tempest crosses boundaries to facilitate extortion, encryption, and destruction», 25 de outubro de 2023. https://www.microsoft.com/en-us/security/blog/2023/10/25/octo-tempest-crosses-boundaries-to-facilitate-extortion-encryption-and-destruction/ (consultado em 3 de novembro de 2026)
  7. MITRE ATT&CK, «Scattered Spider, Roasted 0ktapus, Octo Tempest, Storm-0875, UNC3944, Group G1015 | MITRE ATT&CK®». https://attack.mitre.org/groups/G1015/ (consultado em 3 de novembro de 2026)
  8. NCSC (Royaume-Uni), «Phishing attacks: defending your organisation», 5 de fevereiro de 2018. https://www.ncsc.gov.uk/guidance/phishing (consultado em 3 de novembro de 2026)

Citar este artigo

Brain, «Pretexting, ou a arte do falso pretexto», Cyberpedia, 2026. https://startbrain.io/cyberpedia/pt/articles/pretexting-cenario-autoridade-credivel/

BibTeX 
@misc{brain_cp021_pt_2026,
  author = {Brain},
  title = {Pretexting, ou a arte do falso pretexto},
  year = {2026},
  howpublished = {Cyberpedia},
  url = {https://startbrain.io/cyberpedia/pt/articles/pretexting-cenario-autoridade-credivel/},
  note = {CC BY 4.0}
}
Licença CC BY 4.0