Crachás, visitantes e portas corta-fogo
Um desconhecido vestido de técnico, uma porta mantida aberta por cortesia: como a engenharia social entra nas instalações e o que fazer.
Em 30 segundos
- Onde acontece
- À entrada das instalações, nas portas de acesso controlado, na receção e nos escritórios, quando um «prestador de serviços» circula sozinho.
- O que quer o atacante
- Entrar, observar, deixar um dispositivo3 ou obter informações4, aproveitando a cortesia dos colaboradores.
- O reflexo
- Não deixe passar ninguém que não conheça, confirme junto da pessoa esperada e acompanhe o desconhecido até à receção.
- Se já aconteceu
- Avise a segurança ou a equipa de segurança sem demora, mesmo que não tenha a certeza de nada.
Do que se trata
Uma intrusão nem sempre passa por um ecrã. Pode começar à entrada do edifício, com uma pessoa que parece ter ali o seu lugar: roupa de técnico, uma encomenda nos braços, um crachá de aspeto correto. O que abre a porta não é uma falha técnica, é a confiança de um colaborador.
Esta ficha explica como funciona este truque e o que cada pessoa pode fazer, no seu posto, para receber um visitante sem deixar entrar um desconhecido. As fontes citadas aqui tratam sobretudo da engenharia social em geral e do acesso através de equipamento ligado no local3. Os gestos de receção descritos mais abaixo são regras de bom senso, a confrontar com as instruções da sua empresa.
Perguntas diretas
Porque se fala de engenharia social numa intrusão física?
Porque o método é o mesmo de um correio eletrónico armadilhado: enganar uma pessoa. A CISA descreve o atacante que usa a interação humana para obter informações sobre uma organização ou os seus sistemas1. Pode parecer «unassuming and respectable» (discreto e respeitável) e fazer-se passar por um novo funcionário, um técnico de reparações ou um investigador, por vezes apresentando credenciais como prova1.
Quem se pode apresentar à porta?
Prestadores de serviços, por exemplo. A MITRE observa que as organizações dão muitas vezes um acesso alargado a fornecedores externos, incluindo subcontratados de infraestruturas, como o aquecimento e a climatização, os elevadores ou a segurança física2. Um visitante com roupa de trabalho corresponde, assim, a uma situação corrente, o que torna o truque credível.
O que procura quem entra sem ter sido convidado?
Segundo a MITRE, um adversário pode introduzir fisicamente acessórios, equipamento de rede ou outros dispositivos num sistema ou numa rede para os usar como via de acesso3. A MITRE descreve também a recolha de informação por burla (phishing for information) como uma tentativa de levar alguém a revelar dados, muitas vezes credenciais4. Entre os seus meios, menciona o uso de várias mensagens de aparência urgente4.
O que fazer perante uma pessoa desconhecida sem acompanhante?
A CISA recomenda desconfiar de chamadas, visitas ou mensagens de correio eletrónico não solicitadas de pessoas que fazem perguntas sobre os colaboradores ou sobre informações internas1. Se o desconhecido invoca uma organização legítima, aconselha a verificar a sua identidade diretamente junto dessa organização1. Na prática, recusa-se com delicadeza deixá-lo passar, acompanha-se à receção e avisa-se a segurança.
Um crachá esquecido ou perdido é mesmo um problema?
As fontes citadas aqui não tratam dos crachás perdidos. O princípio continua simples: um crachá abre portas a quem o traz, seja quem for. Comunique a perda de imediato, para que o acesso possa ser cortado.
1Como funciona1 min
Uma intrusão por engenharia social assenta na credibilidade. A CISA explica que, se o atacante não recolher informações suficientes junto de uma pessoa, pode contactar outra na mesma organização e apoiar-se no que a primeira disse para parecer mais fiável1. Um colaborador que confirma «sim, ele é esperado» sem ter verificado serve assim de garantia ao desconhecido para o que se segue.
A CISA recorda que cada membro da comunidade, colegas incluídos, é «the first line of defense» da segurança5. O NIST inclui a proteção física e ambiental entre as famílias de controlos do seu catálogo SP 800-53, ao lado da sensibilização e da formação6. Ou seja, as portas, os crachás e a formação das pessoas fazem parte do mesmo sistema de segurança que as palavras-passe.
2O que fazer1 min
As ações abaixo são práticas de prudência. Apenas a verificação da identidade junto da organização em causa é sustentada pelas fontes citadas aqui1.
- Receba o visitante na receção, não num corredor, e acompanhe-o do princípio ao fim da visita, até à saída.
- Verifique a identidade e o crachá junto da pessoa que o espera, com um número que já conheça, não o que o visitante lhe der.
- Não segure a porta a uma pessoa que não conhece, mesmo que traga caixas. Ofereça-se para a acompanhar à receção.
- Nunca empreste o seu crachá nem deixe um colega ou um prestador de serviços usá-lo no seu lugar.
- Comunique de imediato um crachá perdido ou esquecido, sem esperar pelo dia seguinte.
- Nunca bloqueie uma porta corta-fogo na posição aberta nem a destranque nunca por comodidade. Se incomodar, avise a segurança.
- Se uma pessoa desconhecida circular sozinha, pergunte com delicadeza quem vem visitar e depois acompanhe-a à receção ou alerte a segurança.
3Armadilhas1 min
Três mecanismos repetem-se nos relatos de engenharia social. As fontes citadas aqui documentam os dois primeiros para outros canais que não a porta de entrada, mas também valem na receção.
- A urgência fingida. A MITRE refere o envio de várias mensagens de aparência urgente para levar o alvo a responder4. À entrada, isto traduz-se em «estou atrasado, a equipa está à minha espera».
- A falsa legitimidade. A CISA nota que o atacante pode dizer-se técnico de reparações e apresentar credenciais como prova1. Roupa de trabalho e um crachá não provam nada enquanto a pessoa esperada não tiver confirmado.
- A cortesia. Não é mencionada nas fontes citadas aqui. Leva, no entanto, a deixar passar alguém para não o melindrar. Recusar com cortesia não é uma falta.
Outra armadilha está naquilo que não se vê: um pequeno dispositivo deixado debaixo de uma secretária ou ligado a uma tomada de rede. A MITRE cita, entre as capacidades deste equipamento, a escuta passiva da rede, a alteração do tráfego, a injeção de teclas e a adição de pontos de acesso sem fios3. Um dispositivo desconhecido ou um cabo que não devia estar ali comunica-se, não se desliga por conta própria.
4Casos reais1 min
DarkVishnya, bancos atacados por ligação direta
A MITRE cita o grupo DarkVishnya, que ligou fisicamente dispositivos (um Bash Bunny, um Raspberry Pi, netbooks e portáteis baratos) ao ambiente da organização visada para aceder à sua rede local3. A MITRE remete para uma análise datada de 6 de dezembro de 2018, intitulada «DarkVishnya: Banks attacked through direct connection to local network»3. As fontes citadas aqui não indicam como os dispositivos foram introduzidos nas instalações.
A MITRE precisa também que as utilizações documentadas publicamente por agentes maliciosos são raras, ao passo que muitas equipas de testes de intrusão usam estes acréscimos de equipamento como primeiro acesso3.
Ficha
- Identificador
- CP-365
- Ala
- 5. Vida no escritório e reflexos
- Competência Brain
- Evitar as burlas (handle_scams)
- Reflexo Brain
- cr-084
- Esquema
- G5 · Árvore de decisão do reflexo
- Idiomas
- de, en, es, fr, it, nl, pt
- Fontes
- 6 fontes verificadas em 3 de novembro de 2026
Fontes6 fontes
- CISA, «Avoiding Social Engineering and Phishing Attacks», 1 de fevereiro de 2021. https://www.cisa.gov/news-events/news/avoiding-social-engineering-and-phishing-attacks (consultado em 3 de novembro de 2026)
- MITRE ATT&CK, «Trusted Relationship, Technique T1199 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1199/ (consultado em 3 de novembro de 2026)
- MITRE ATT&CK, «Hardware Additions, Technique T1200 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1200/ (consultado em 3 de novembro de 2026)
- MITRE ATT&CK, «Phishing for Information, Technique T1598 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1598/ (consultado em 3 de novembro de 2026)
- CISA, «Physical Security | Cybersecurity and Infrastructure Security Agency CISA». https://www.cisa.gov/topics/physical-security (consultado em 3 de novembro de 2026)
- NIST, «SP 800-53 Rev. 5, Security and Privacy Controls for Information Systems and Organizations | CSRC». https://csrc.nist.gov/pubs/sp/800/53/r5/upd1/final (consultado em 3 de novembro de 2026)
Citar este artigo
Brain, «Crachás, visitantes e portas corta-fogo», Cyberpedia, 2026. https:/
BibTeX
@misc{brain_cp365_pt_2026,
author = {Brain},
title = {Crachás, visitantes e portas corta-fogo},
year = {2026},
howpublished = {Cyberpedia},
url = {https://startbrain.io/cyberpedia/pt/articles/seguranca-fisica-cracas-visitantes/},
note = {CC BY 4.0}
}