Cyberpediapor Brain
PTDEENESFRITNL

Trabalhar num espaço de coworking

Wi-Fi partilhado, vizinhos curiosos, desconhecidos que fazem perguntas: os riscos de um espaço de coworking e os reflexos de um colaborador.

Em 30 segundos

Onde acontece
Na rede Wi-Fi ou por cabo do espaço, na cozinha, na receção, em qualquer lugar onde se inicie uma conversa.
O que quer o atacante
Colocar-se entre o seu posto de trabalho e a Internet para ler ou alterar o que passa, ou recolher informações sobre si e sobre a sua empresa através da conversa.
O reflexo
Não dê nenhuma informação sobre a sua empresa a alguém de quem não sabe se tem o direito de a receber, e verifique a identidade dessa pessoa por um canal que escolha você mesmo.
Se já aconteceu
Avise de imediato os responsáveis pela segurança da sua organização e depois altere as palavras-passe em causa.

Do que se trata

Num espaço de coworking, um colaborador partilha uma sala, uma ligação e, por vezes, uma secretária com pessoas que não conhece. Os vizinhos mudam de um dia para o outro e nada indica quem trabalha para quem.

Esta ficha descreve o que as fontes aqui citadas dizem sobre as situações que ali surgem: uma rede Wi-Fi que outros podem imitar, um dispositivo ligado à rede, um desconhecido que faz perguntas. Essas fontes não tratam de filtros de privacidade, de cacifos nem de VPN, pelo que a ficha não diz nada de concreto sobre eles.

Perguntas diretas

Porque é que o coworking muda o risco?

Porque o ambiente é partilhado. A rede não é a da sua empresa, as pessoas à sua volta não são colegas e um visitante não chama a atenção. As fontes aqui citadas descrevem técnicas gerais (interceção de tráfego, adição de equipamento, engenharia social) que encontram neste cenário um terreno fácil.

O que pode fazer quem se interpõe na rede?

A MITRE descreve a técnica do adversário no meio: o atacante coloca-se entre dois dispositivos em rede para recolher informações ou agir sobre o que circula1. Pode intercetar credenciais, incluindo tokens de acesso e cookies de sessão1. Entre as subtécnicas listadas, uma tem o nome «Evil Twin»1.

Um desconhecido pode ligar equipamento à rede?

A MITRE descreve-o: os adversários podem introduzir fisicamente um acessório, um equipamento de rede ou outro dispositivo num sistema ou numa rede para entrar2. Entre as capacidades citadas está a adição de novos pontos de acesso sem fios a uma rede existente2. A mesma página nota que as referências públicas de utilização por atacantes reais são raras, ao passo que muitas equipas de testes de intrusão a utilizam para o acesso inicial2.

Podem extorquir-me informações sem pirataria nenhuma?

Sim. A CISA descreve o ataque de engenharia social como o uso da relação humana para obter ou comprometer informações sobre uma organização ou os seus sistemas3. O atacante pode parecer discreto e respeitável, dizer-se novo funcionário, reparador ou investigador, e até apresentar documentos comprovativos3.

E se achar que dei uma informação sensível?

A CISA aconselha a comunicá-lo às pessoas competentes da organização, incluindo os administradores de rede, que poderão vigiar atividades invulgares3. É também preciso alterar sem demora as palavras-passe divulgadas e as de todas as contas em que a mesma foi usada3.

1Como funciona2 min

Num espaço partilhado misturam-se duas famílias de riscos: os que passam pela rede e os que passam pelas pessoas.

Do lado da rede, a MITRE explica que o atacante abusa de funções de protocolos comuns, como o ARP ou o DNS, para obrigar um dispositivo a comunicar através de um sistema que controla1. Pode também alterar as definições de DNS de uma vítima para a desviar de sites legítimos ou lhe enviar software malicioso1. Outra via consiste em negociar uma versão mais fraca de um protocolo de comunicação ou de um algoritmo de cifragem1.

O equipamento ligado à rede também entra no quadro. O grupo DarkVishnya, citado pela MITRE, ligou fisicamente um Bash Bunny, um Raspberry Pi, netbooks e computadores portáteis baratos ao ambiente da organização visada para chegar à sua rede local2.

Do lado das pessoas, a recolha de informações tem um nome: a MITRE fala de phishing para obter informações, cujo objetivo é recolher dados junto da vítima em vez de executar código malicioso4. Faz-se por correio eletrónico, mensagens instantâneas ou outras trocas, e pode também levar a vítima a um número de telefone onde o atacante procura obter informações confidenciais4. O atacante faz-se muitas vezes passar por uma fonte com motivo para perguntar e, por vezes, multiplica as mensagens de aparência urgente4.

A CISA acrescenta um mecanismo que o coworking favorece: se o atacante não obtém informações suficientes de uma pessoa, contacta outra na mesma organização e apoia-se no que a primeira disse para parecer credível3. Uma resposta inofensiva dada junto da máquina do café pode assim servir de apoio à pergunta seguinte.

2O que fazer1 min
  • Verifique a identidade de quem diga vir de uma organização legítima, diretamente junto dessa organização3.
  • Desconfie de chamadas, visitas ou mensagens não solicitadas sobre colaboradores ou informações internas3.
  • Não dê informações pessoais nem sobre a sua empresa, incluindo a estrutura ou as redes, a menos que tenha a certeza de que a pessoa tem o direito de as receber3.
  • Leve a sério os erros de certificado: a MITRE recomenda formar os utilizadores para desconfiarem deles, porque um atacante pode usar certificados próprios para intercetar tráfego HTTPS1.
  • Verifique se o endereço de um site começa por «https» e não por «http» antes de lhe enviar informações sensíveis3.
  • Ative a autenticação multifator: com um segundo fator, um atacante não consegue aceder a uma conta apenas com a palavra-passe roubada6.
  • Se uma mensagem lhe parecer suspeita, não clique em nenhuma ligação nem telefone para nenhum número que ela contenha. Procure outro meio de contactar a empresa ou a pessoa, por exemplo o seu site oficial5.
  • Comunique o incidente, mesmo que tenha clicado: o NCSC precisa que saber mais cedo permite limitar os danos e que os utilizadores devem conhecer de antemão o meio de comunicar, porque o dispositivo comprometido pode privá-los dos meios de comunicação habituais6.
3As armadilhas1 min

A primeira armadilha é a cortesia. Um desconhecido pode parecer simpático e legítimo, e a CISA refere que pode até apresentar documentos comprovativos da sua identidade3. Um crachá ou um nome mencionado não prova, portanto, nada.

A segunda é a urgência. Entre os sinais de phishing, a CISA cita uma linguagem pressionante ou emotiva, com consequências graves anunciadas em caso de falta de resposta imediata5. Acrescenta que os erros ortográficos já não são um sinal fiável, porque alguns correios eletrónicos têm agora uma gramática perfeita5.

A terceira é o endereço falso. Um endereço de remetente pode imitar o de uma empresa alterando ou omitindo alguns carateres3, e a CISA dá o exemplo de um endereço como «amazan.com»5. A falsificação do remetente pode enganar tanto as pessoas como as ferramentas automáticas4.

A quarta é o contacto por outro canal. Uma chamada pode passar por voz sobre IP, que permite falsificar facilmente a identidade de quem liga3. Um número apresentado no ecrã não basta, portanto, para confirmar um interlocutor.

Por fim, o medo da sanção trava a comunicação. O NCSC indica que os utilizadores que temem represálias não comunicam os seus erros a tempo, ou nem sequer os comunicam6.

Ficha

Identificador
CP-543
Ala
5. Vida no escritório e reflexos
Competência Brain
Travar a engenharia social (outsmart_social_engineering)
Reflexo Brain
cr-048
Esquema
G5 · Árvore de decisão do reflexo
Idiomas
de, en, es, fr, it, nl, pt
Fontes
6 fontes verificadas em 3 de novembro de 2026
Fontes6 fontes
  1. MITRE ATT&CK, «Adversary-in-the-Middle, Technique T1557 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1557/ (consultado em 3 de novembro de 2026)
  2. MITRE ATT&CK, «Hardware Additions, Technique T1200 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1200/ (consultado em 3 de novembro de 2026)
  3. CISA, «Avoiding Social Engineering and Phishing Attacks», 1 de fevereiro de 2021. https://www.cisa.gov/news-events/news/avoiding-social-engineering-and-phishing-attacks (consultado em 3 de novembro de 2026)
  4. MITRE ATT&CK, «Phishing for Information, Technique T1598 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1598/ (consultado em 3 de novembro de 2026)
  5. CISA, «Recognize and Report Phishing». https://www.cisa.gov/secure-our-world/recognize-and-report-phishing (consultado em 3 de novembro de 2026)
  6. NCSC (Royaume-Uni), «Phishing attacks: defending your organisation», 5 de fevereiro de 2018. https://www.ncsc.gov.uk/guidance/phishing (consultado em 3 de novembro de 2026)

Citar este artigo

Brain, «Trabalhar num espaço de coworking», Cyberpedia, 2026. https://startbrain.io/cyberpedia/pt/articles/trabalhar-em-coworking/

BibTeX 
@misc{brain_cp543_pt_2026,
  author = {Brain},
  title = {Trabalhar num espaço de coworking},
  year = {2026},
  howpublished = {Cyberpedia},
  url = {https://startbrain.io/cyberpedia/pt/articles/trabalhar-em-coworking/},
  note = {CC BY 4.0}
}
Licença CC BY 4.0