Cyberpediapor Brain
PTDEENESFRITNL

Tailgating e piggybacking: entrar sem cartão

Um desconhecido educado entra atrás de si ou com o seu acordo. O que o colaborador vê, as falhas de um acesso físico e os reflexos a adotar.

Em 30 segundos

Onde acontece
Numa porta de entrada, num sas, num piso ou numa sala onde lhe pedem que segure a porta ou deixe passar alguém.
O que o atacante quer
Estar no interior para colocar um dispositivo, ligar um suporte ou obter informações que a rede não lhe daria.
O reflexo
Recusar com delicadeza, encaminhar a pessoa para a receção e depois comunicar a situação.
Se já aconteceu
Avise as pessoas responsáveis pela segurança na sua organização, mesmo que a dúvida seja ligeira.

Do que se trata

O tailgating e o piggybacking designam duas formas de entrar em instalações sem ter direito a isso. No tailgating, a pessoa segue um colaborador sem que este se aperceba, passando antes de a porta se fechar. No piggybacking, entra com o acordo do colaborador, que lhe segura a porta ou lhe empresta o cartão porque o pedido parece normal.

Estes dois cenários são engenharia social: o intruso não força nenhuma fechadura, conta com a cortesia. As fontes aqui citadas não descrevem o próprio tailgating. Descrevem o engano pela palavra, a identidade emprestada e os dispositivos ligados no local, ou seja, o que um intruso pode fazer depois de entrar. Esta ficha limita-se ao que elas dizem.

Perguntas diretas

Qual é a diferença entre tailgating e piggybacking?

No tailgating, a pessoa esgueira-se atrás de si sem que a tenha autorizado. No piggybacking, foi o próprio a deixá-la entrar, por exemplo ao segurar-lhe a porta. O resultado é o mesmo: alguém entrou sem um cartão que fosse seu.

Porque é difícil recusar um desconhecido educado?

Porque o atacante apoia-se na credibilidade. A CISA descreve um atacante que pode parecer « unassuming and respectable », que afirma ser um novo colaborador, um técnico de reparações ou um investigador, e que por vezes apresenta documentos para sustentar essa identidade1.

O que pode fazer um intruso depois de entrar?

A técnica MITRE T1200 descreve a introdução física de acessórios, equipamento de rede ou outros dispositivos num sistema ou numa rede para obter acesso2. Precisa que as referências públicas de utilização por atacantes são raras, mas que muitas equipas de intrusão autorizadas (red teams) recorrem a ela para o acesso inicial2.

Um colaborador tem um papel real no controlo de acessos?

Sim. Um sas, um cartão ou uma receção só servem se todos os utilizarem. As fontes aqui citadas não quantificam a parte das intrusões que passam por uma porta mantida aberta. Mostram, em contrapartida, que o atacante procura o interlocutor que responde e, depois, um segundo se o primeiro não bastar1.

1Na pele do atacante1 min

O intruso escolhe um pretexto que explique a sua presença. A CISA cita o novo colaborador, a pessoa encarregada de uma reparação e o investigador1. Pode também avançar por etapas: se não obtém informações suficientes de uma pessoa, contacta outra na mesma organização e apoia-se no que a primeira disse para parecer mais credível1. Uma receção, um agente de segurança ou um colega que passa podem assim servir, sem o saber, de garantia para o seguinte.

O objetivo varia. Pode tratar-se de armadilhar equipamento: a MITRE cita ferramentas como o Bash Bunny ou o Raspberry Pi, e computadores portáteis baratos, ligados à rede local da organização pelo grupo DarkVishnya2. Pode tratar-se de deixar um suporte amovível, um caso detalhado mais abaixo3.

2O que vê no ecrã2 min

Neste tipo de cenário, não há um ecrã suspeito: o que conta é a própria cena. A ilustração seguinte é inventada e não reproduz nenhum caso real.

Excerto
Ilustração (cena fictícia, nenhum caso real)
[Uma pessoa desconhecida, simpática, com os braços carregados, chega atrás
 de si a uma porta com leitor de cartão e pede que a deixe passar.]
[Explica que a esperam ou que se esqueceu do cartão.]

O que o colaborador nota primeiro é uma cortesia banal. Os sinais úteis estão noutro lado: a pessoa não consegue provar quem é, não tem nenhum contacto interno para indicar ou insiste. A CISA recomenda desconfiar de visitas, chamadas ou mensagens de correio eletrónico não solicitadas de pessoas que se interessam pelos colaboradores ou por informações internas, e verificar a identidade de quem diz representar uma organização diretamente junto dessa organização1. Na prática, não se confia nos contactos que a própria pessoa fornece.

O primeiro reflexo é recusar com delicadeza e depois encaminhar a pessoa para a receção. O NCSC recomenda verificar os pedidos importantes recebidos por correio eletrónico através de um segundo meio de comunicação, incluindo uma confirmação presencial5. Transposta para a porta, esta lógica dá o seguinte: uma pessoa que diz ser esperada pode ser anunciada pelo seu contacto interno.

Segue-se a comunicação. O NCSC descreve uma cultura em que os utilizadores comunicam as tentativas, incluindo aquelas a que cederam, o que informa a organização sobre os ataques em curso5. A CISA pede que se avisem as pessoas competentes da organização, incluindo os administradores de rede, se se pensar ter revelado informações sensíveis, para que fiquem atentas a qualquer atividade invulgar1.

3Por baixo do capôEquipas de TI1 min

O controlo de acessos assenta em várias camadas: sas, cartão, receção. Cada uma pode ser contornada se uma pessoa autorizada abrir a passagem. As fontes aqui citadas não detalham estes mecanismos. Dão, em contrapartida, as defesas que contam quando um intruso já está dentro das paredes.

A MITRE recomenda regras de controlo de acesso à rede, como certificados de dispositivo e a norma 802.1x, e restringir o DHCP aos dispositivos registados para impedir que um dispositivo desconhecido comunique com sistemas de confiança2. Recomenda também bloquear dispositivos e acessórios desconhecidos através da configuração dos postos de trabalho e de um agente de monitorização2.

Quanto aos suportes amovíveis, a MITRE explica que um telemóvel ligado por USB, incluindo através de alguns cabos de carregamento, pode infetar um computador, sobretudo se a função Autorun estiver ativada3. Aconselha a limitar o uso de periféricos USB e de suportes amovíveis numa rede3.

4AutópsiasCasos reais1 min

Scattered Spider, aviso conjunto de 16 de novembro de 2023, atualizado a 29 de julho de 2025

Este aviso foi publicado pelo FBI, pela CISA e por várias agências parceiras, entre as quais o NCSC britânico4. Descreve um grupo criminoso que visa grandes empresas e os seus serviços de assistência informática subcontratados4. O caso não diz respeito a uma intrusão física: trata-se de engano por telefone e SMS. Mostra, ainda assim, o mesmo mecanismo do tailgating, a usurpação de uma identidade de confiança. O grupo fez-se passar por pessoal de informática ou de apoio para obter credenciais ou para levar a que fossem lançadas ferramentas de acesso remoto4. A atualização de julho de 2025 acrescenta que membros do grupo também se fizeram passar por colaboradores para obter a reposição de uma palavra-passe4.

FIN7 e as pens USB enviadas pelo correio

A MITRE refere que agentes do FIN7 enviaram pelo correio pens USB a potenciais vítimas. Continham software malicioso que instala várias portas dos fundos, por vezes para operações de ransomware3. Algumas pens comportavam-se como um teclado virtual3. A fonte não indica data para este caso. Mostra que um dispositivo físico pode chegar sem que nenhum intruso entre.

Ficha

Identificador
CP-023
Ala
1. Ataques e técnicas
Competência Brain
Travar a engenharia social (outsmart_social_engineering)
Reflexo Brain
cr-042
Esquema
G5 · Árvore de decisão do reflexo
Idiomas
de, en, es, fr, it, nl, pt
Fontes
5 fontes verificadas em 3 de novembro de 2026
Fontes5 fontes
  1. CISA, «Avoiding Social Engineering and Phishing Attacks | CISA», 1 de fevereiro de 2021. https://www.cisa.gov/news-events/news/avoiding-social-engineering-and-phishing-attacks (consultado em 3 de novembro de 2026)
  2. MITRE ATT&CK, «Hardware Additions, Technique T1200 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1200/ (consultado em 3 de novembro de 2026)
  3. MITRE ATT&CK, «Replication Through Removable Media, Technique T1091 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1091/ (consultado em 3 de novembro de 2026)
  4. CISA, «Scattered Spider | CISA», 16 de novembro de 2023. https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-320a (consultado em 3 de novembro de 2026)
  5. NCSC (Royaume-Uni), «Phishing attacks: defending your organisation», 5 de fevereiro de 2018. https://www.ncsc.gov.uk/guidance/phishing (consultado em 3 de novembro de 2026)

Citar este artigo

Brain, «Tailgating e piggybacking: entrar sem cartão», Cyberpedia, 2026. https://startbrain.io/cyberpedia/pt/articles/tailgating-piggybacking-intrusao-instalacoes/

BibTeX 
@misc{brain_cp023_pt_2026,
  author = {Brain},
  title = {Tailgating e piggybacking: entrar sem cartão},
  year = {2026},
  howpublished = {Cyberpedia},
  url = {https://startbrain.io/cyberpedia/pt/articles/tailgating-piggybacking-intrusao-instalacoes/},
  note = {CC BY 4.0}
}
Licença CC BY 4.0