--- id: CP-365 slug: seguranca-fisica-cracas-visitantes lang: pt title: Crachás, visitantes e portas corta-fogo description: "Um desconhecido vestido de técnico, uma porta mantida aberta por cortesia: como a engenharia social entra nas instalações e o que fazer." canonical_url: https://startbrain.io/cyberpedia/pt/articles/seguranca-fisica-cracas-visitantes/ markdown_url: https://startbrain.io/cyberpedia/pt/articles/seguranca-fisica-cracas-visitantes.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, «Crachás, visitantes e portas corta-fogo», Cyberpedia, 2026. https://startbrain.io/cyberpedia/pt/articles/seguranca-fisica-cracas-visitantes/ (CC BY 4.0) wing: 5 theme: handle_scams reflex: cr-084 schema: G5 updated: "2026-11-03" translations: pt: https://startbrain.io/cyberpedia/pt/articles/seguranca-fisica-cracas-visitantes/ fr: https://startbrain.io/cyberpedia/fr/articles/securite-physique-badges-prestataires/ en: https://startbrain.io/cyberpedia/en/articles/physical-security-badges-visitors/ de: https://startbrain.io/cyberpedia/de/articles/zutrittskontrolle-ausweise-dienstleister/ es: https://startbrain.io/cyberpedia/es/articles/seguridad-fisica-credenciales-visitantes/ it: https://startbrain.io/cyberpedia/it/articles/sicurezza-fisica-badge-visitatori/ nl: https://startbrain.io/cyberpedia/nl/articles/fysieke-beveiliging-toegangspassen-bezoekers/ sources: - "n": 1 title: Avoiding Social Engineering and Phishing Attacks publisher: CISA url: https://www.cisa.gov/news-events/news/avoiding-social-engineering-and-phishing-attacks published: "2021-02-01" accessed: "2026-11-03" - "n": 2 title: Trusted Relationship, Technique T1199 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1199/ accessed: "2026-11-03" - "n": 3 title: Hardware Additions, Technique T1200 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1200/ accessed: "2026-11-03" - "n": 4 title: Phishing for Information, Technique T1598 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1598/ accessed: "2026-11-03" - "n": 5 title: Physical Security | Cybersecurity and Infrastructure Security Agency CISA publisher: CISA url: https://www.cisa.gov/topics/physical-security accessed: "2026-11-03" - "n": 6 title: SP 800-53 Rev. 5, Security and Privacy Controls for Information Systems and Organizations | CSRC publisher: NIST url: https://csrc.nist.gov/pubs/sp/800/53/r5/upd1/final accessed: "2026-11-03" --- # Crachás, visitantes e portas corta-fogo Uma intrusão nem sempre passa por um ecrã. Pode começar à entrada do edifício, com uma pessoa que parece ter ali o seu lugar: roupa de técnico, uma encomenda nos braços, um crachá de aspeto correto. O que abre a porta não é uma falha técnica, é a confiança de um colaborador. Esta ficha explica como funciona este truque e o que cada pessoa pode fazer, no seu posto, para receber um visitante sem deixar entrar um desconhecido. As fontes citadas aqui tratam sobretudo da engenharia social em geral e do acesso através de equipamento ligado no local [3]. Os gestos de receção descritos mais abaixo são regras de bom senso, a confrontar com as instruções da sua empresa. ## Em 30 segundos - Onde acontece: à entrada das instalações, nas portas de acesso controlado, na receção e nos escritórios, quando um «prestador de serviços» circula sozinho. - O que quer o atacante: entrar, observar, deixar um dispositivo [3] ou obter informações [4], aproveitando a cortesia dos colaboradores. - O reflexo: não deixe passar ninguém que não conheça, confirme junto da pessoa esperada e acompanhe o desconhecido até à receção. - Se já aconteceu: avise a segurança ou a equipa de segurança sem demora, mesmo que não tenha a certeza de nada. ## Perguntas diretas ### Porque se fala de engenharia social numa intrusão física? Porque o método é o mesmo de um correio eletrónico armadilhado: enganar uma pessoa. A CISA descreve o atacante que usa a interação humana para obter informações sobre uma organização ou os seus sistemas [1]. Pode parecer «unassuming and respectable» (discreto e respeitável) e fazer-se passar por um novo funcionário, um técnico de reparações ou um investigador, por vezes apresentando credenciais como prova [1]. ### Quem se pode apresentar à porta? Prestadores de serviços, por exemplo. A MITRE observa que as organizações dão muitas vezes um acesso alargado a fornecedores externos, incluindo subcontratados de infraestruturas, como o aquecimento e a climatização, os elevadores ou a segurança física [2]. Um visitante com roupa de trabalho corresponde, assim, a uma situação corrente, o que torna o truque credível. ### O que procura quem entra sem ter sido convidado? Segundo a MITRE, um adversário pode introduzir fisicamente acessórios, equipamento de rede ou outros dispositivos num sistema ou numa rede para os usar como via de acesso [3]. A MITRE descreve também a recolha de informação por burla (phishing for information) como uma tentativa de levar alguém a revelar dados, muitas vezes credenciais [4]. Entre os seus meios, menciona o uso de várias mensagens de aparência urgente [4]. ### O que fazer perante uma pessoa desconhecida sem acompanhante? A CISA recomenda desconfiar de chamadas, visitas ou mensagens de correio eletrónico não solicitadas de pessoas que fazem perguntas sobre os colaboradores ou sobre informações internas [1]. Se o desconhecido invoca uma organização legítima, aconselha a verificar a sua identidade diretamente junto dessa organização [1]. Na prática, recusa-se com delicadeza deixá-lo passar, acompanha-se à receção e avisa-se a segurança. ### Um crachá esquecido ou perdido é mesmo um problema? As fontes citadas aqui não tratam dos crachás perdidos. O princípio continua simples: um crachá abre portas a quem o traz, seja quem for. Comunique a perda de imediato, para que o acesso possa ser cortado. ## Como funciona Uma intrusão por engenharia social assenta na credibilidade. A CISA explica que, se o atacante não recolher informações suficientes junto de uma pessoa, pode contactar outra na mesma organização e apoiar-se no que a primeira disse para parecer mais fiável [1]. Um colaborador que confirma «sim, ele é esperado» sem ter verificado serve assim de garantia ao desconhecido para o que se segue. A CISA recorda que cada membro da comunidade, colegas incluídos, é «the first line of defense» da segurança [5]. O NIST inclui a proteção física e ambiental entre as famílias de controlos do seu catálogo SP 800-53, ao lado da sensibilização e da formação [6]. Ou seja, as portas, os crachás e a formação das pessoas fazem parte do mesmo sistema de segurança que as palavras-passe. ## O que fazer As ações abaixo são práticas de prudência. Apenas a verificação da identidade junto da organização em causa é sustentada pelas fontes citadas aqui [1]. - Receba o visitante na receção, não num corredor, e acompanhe-o do princípio ao fim da visita, até à saída. - Verifique a identidade e o crachá junto da pessoa que o espera, com um número que já conheça, não o que o visitante lhe der. - Não segure a porta a uma pessoa que não conhece, mesmo que traga caixas. Ofereça-se para a acompanhar à receção. - Nunca empreste o seu crachá nem deixe um colega ou um prestador de serviços usá-lo no seu lugar. - Comunique de imediato um crachá perdido ou esquecido, sem esperar pelo dia seguinte. - Nunca bloqueie uma porta corta-fogo na posição aberta nem a destranque nunca por comodidade. Se incomodar, avise a segurança. - Se uma pessoa desconhecida circular sozinha, pergunte com delicadeza quem vem visitar e depois acompanhe-a à receção ou alerte a segurança. ## Armadilhas Três mecanismos repetem-se nos relatos de engenharia social. As fontes citadas aqui documentam os dois primeiros para outros canais que não a porta de entrada, mas também valem na receção. - A urgência fingida. A MITRE refere o envio de várias mensagens de aparência urgente para levar o alvo a responder [4]. À entrada, isto traduz-se em «estou atrasado, a equipa está à minha espera». - A falsa legitimidade. A CISA nota que o atacante pode dizer-se técnico de reparações e apresentar credenciais como prova [1]. Roupa de trabalho e um crachá não provam nada enquanto a pessoa esperada não tiver confirmado. - A cortesia. Não é mencionada nas fontes citadas aqui. Leva, no entanto, a deixar passar alguém para não o melindrar. Recusar com cortesia não é uma falta. Outra armadilha está naquilo que não se vê: um pequeno dispositivo deixado debaixo de uma secretária ou ligado a uma tomada de rede. A MITRE cita, entre as capacidades deste equipamento, a escuta passiva da rede, a alteração do tráfego, a injeção de teclas e a adição de pontos de acesso sem fios [3]. Um dispositivo desconhecido ou um cabo que não devia estar ali comunica-se, não se desliga por conta própria. ## Casos reais ### DarkVishnya, bancos atacados por ligação direta A MITRE cita o grupo DarkVishnya, que ligou fisicamente dispositivos (um Bash Bunny, um Raspberry Pi, netbooks e portáteis baratos) ao ambiente da organização visada para aceder à sua rede local [3]. A MITRE remete para uma análise datada de 6 de dezembro de 2018, intitulada «DarkVishnya: Banks attacked through direct connection to local network» [3]. As fontes citadas aqui não indicam como os dispositivos foram introduzidos nas instalações. A MITRE precisa também que as utilizações documentadas publicamente por agentes maliciosos são raras, ao passo que muitas equipas de testes de intrusão usam estes acréscimos de equipamento como primeiro acesso [3]. ## Fontes 1. CISA, «Avoiding Social Engineering and Phishing Attacks», 1 de fevereiro de 2021. https://www.cisa.gov/news-events/news/avoiding-social-engineering-and-phishing-attacks (consultado em 3 de novembro de 2026) 2. MITRE ATT&CK, «Trusted Relationship, Technique T1199 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1199/ (consultado em 3 de novembro de 2026) 3. MITRE ATT&CK, «Hardware Additions, Technique T1200 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1200/ (consultado em 3 de novembro de 2026) 4. MITRE ATT&CK, «Phishing for Information, Technique T1598 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1598/ (consultado em 3 de novembro de 2026) 5. CISA, «Physical Security | Cybersecurity and Infrastructure Security Agency CISA». https://www.cisa.gov/topics/physical-security (consultado em 3 de novembro de 2026) 6. NIST, «SP 800-53 Rev. 5, Security and Privacy Controls for Information Systems and Organizations | CSRC». https://csrc.nist.gov/pubs/sp/800/53/r5/upd1/final (consultado em 3 de novembro de 2026) --- Fonte original: Cyberpedia, a enciclopédia pública de cibersegurança e IA publicada pela Brain. Versão canónica: https://startbrain.io/cyberpedia/pt/articles/seguranca-fisica-cracas-visitantes/ Pode reutilizar livremente este texto sob a licença CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), desde que cite «Brain, Cyberpedia» com uma ligação para o endereço acima.