Vishing: Como os cibercriminosos manipulam as suas equipas ao telefone

O cenário repete-se semanalmente em dezenas de organizações: o técnico do suporte de TI atende o telefone. Do outro lado da linha, uma voz ofegante apresenta-se como um administrador ou diretor comercial bloqueado no aeroporto antes de uma negociação estratégica. O seu acesso VPN está inacessível, a aplicação de autenticação multifator (MFA) deixou de responder e exige a reposição imediata da palavra-passe para não perder um contrato decisivo. Perante este misto de urgência e aparente autoridade, o reflexo de empatia e o receio da hierarquia levam frequentemente o técnico a contornar o procedimento de segurança estabelecido.

O vishing (contração de "voice" e "phishing") representa atualmente um dos vetores de intrusão mais perigosos para os Sistemas de Informação. Ao contrário das mensagens de correio eletrónico fraudulentas que as ferramentas de filtragem conseguem travar, uma chamada vocal explora a vulnerabilidade mais imprevisível de qualquer organização: o fator psicológico humano. Numa altura em que os atacantes aperfeiçoam métodos com recurso a ferramentas vocais avançadas, compreender os seus gatilhos de persuasão torna-se uma prioridade incontornável para qualquer CISO.

Quais são as técnicas de manipulação utilizadas num ataque de vishing?#

Em resumo: Os atacantes combinam a recolha minuciosa de dados públicos, a usurpação de autoridade interna, a criação de uma falsa urgência crítica e o recurso à lisonja para levar um colaborador ou a equipa de TI a desativar barreiras defensivas, validar pedidos MFA ou repor credenciais de acesso.

Para terem sucesso, os cibercriminosos raramente marcam um número ao acaso. O vishing apoia-se numa estrutura de engenharia social calculada, dividida em várias etapas psicológicas estruturadas:

• OSINT preparatório (Open Source Intelligence): O atacante analisa o LinkedIn, redes sociais e o portal institucional da empresa. Mapeia nomes de responsáveis, expressões internas habituais, plataformas colaborativas em uso e agendas públicas de deslocações.
• O pretexto legítimo (pretexting): O atacante assume um papel verosímil. Pode fazer-se passar por um recém-chegado desorientado no seu primeiro dia, um auditor externo mandatado pela administração ou um técnico de infraestruturas a realizar uma manutenção noturna urgente.
• Saturação cognitiva pela urgência: Ao introduzir uma dose elevada de stress (avaria iminente, ameaça de sanções ou prejuízos financeiros imediatos), o interlocutor força a vítima a ignorar o raciocínio crítico e as verificações de rotina.
• Inversão de papéis no suporte: O atacante simula frequentemente estar a auxiliar a vítima a resolver um problema técnico fictício, transformando uma intrusão abusiva num ato de cooperação e entreajuda.

Por que razão o suporte de TI e o MFA são os alvos preferenciais?#

Em resumo: O suporte informático detém privilégios de administração alargados e uma cultura focada na resolução rápida de incidentes. Os invasores tiram partido desta postura colaborativa para contornar o MFA através de fadiga de aprovação ou para conseguir a reposição direta de credenciais.

O centro de suporte (helpdesk) é um ponto de entrada de eleição para o cibercrime. As equipas técnicas são avaliadas pelo tempo de resposta e pela eficácia no fecho de pedidos. Perante um interlocutor convincente que alega ter perdido o telemóvel da empresa, o técnico pode ceder à tentação de associar um novo dispositivo de autenticação sem exigir validação prévia por videoconferência ou contacto de retorno por canais oficiais.

A manipulação de MFA através do canal de voz

A autenticação multifator deixa de constituir uma proteção robusta se o utilizador for manipulado ao telefone. Os atacantes recorrem ao vishing para coordenar vagas de "fadiga de MFA" (envio consecutivo de notificações push). Enquanto o colaborador é sobrecarregado com alertas no telemóvel, o atacante telefona fingindo ser da equipa de segurança: "Identificámos uma anomalia na sua conta; por favor confirme o próximo pedido no ecrã para bloquearmos o ataque". A vítima aceita a notificação e o atacante obtém acesso imediato à infraestrutura interna.

De que forma a inteligência artificial amplia a ameaça vocal?#

A evolução dos modelos generativos veio alterar profundamente a dinâmica da engenharia social por telefone. Basta hoje recolher uma amostra áudio de escassos segundos (retirada de um vídeo no YouTube, de um podcast ou de uma conferência pública) para clonar a voz de um gestor com elevada fidelidade, replicando o tom, as pausas e o timbre característicos.

Perante artifícios tão convincentes, as palestras teóricas já não chegam para desenvolver a capacidade de deteção dos colaboradores. Para evidenciar como uma identidade vocal ou visual pode ser replicada de forma simples, a Brain Security concebeu o Deepfake Studio, um estúdio pedagógico acessível gratuitamente online sem registo de conta. Ao experimentarem estas tecnologias em sessões práticas de sensibilização, os profissionais percebem o funcionamento dos mecanismos de clonagem e aprendem a não validar pedidos sensíveis apenas pelo reconhecimento de uma voz familiar.

INTERFACE E EXPERIÊNCIA BRAIN SECURITY · Deepfake Studio

Que contramedidas humanas devem ser implementadas contra chamadas fraudulentas?#

A tecnologia isolada não neutraliza ataques assentes em engenharia social e exploração psicológica. A resiliência da sua organização depende de procedimentos rigorosos e de reflexos partilhados pelas equipas:

• Protocolo rigoroso de chamada de retorno (Out-of-Band): Para alterações sensíveis (redefinição remota de credenciais, registo de novo equipamento MFA ou transferências financeiras), defina uma regra mandatória. O suporte desliga a chamada e contacta o colaborador através do contacto oficial presente na base de dados da empresa, validando o pedido por via alternativa.
• Legitimação do direito à dúvida: Nenhum membro da equipa deve sofrer advertências por recusar uma ordem urgente atribuída a uma chefia sem antes validar a identidade do interlocutor. O suporte das lideranças à verificação de segurança é a primeira linha de defesa.
• Palavras-passe de segurança partilhadas na equipa: Para intervenções críticas ou operações fora das instalações, o estabelecimento de códigos internos de emergência acordados previamente permite confirmar identidades com total segurança.
• Simulações imersivas continuadas: Instruções documentadas perdem impacto rapidamente, mas a prática cria rotinas defensivas duradouras. Confrontados com cenários realistas, técnicos e utilizadores assimilam os sinais clássicos de perigo (pressão anormal, exigência de quebra de regras, excesso de familiaridade).

A integridade dos acessos da sua empresa depende do discernimento das suas equipas quando atendem o telefone. Pretende avaliar o nível de prontidão da sua organização contra ameaças humanas e estruturar um treino à medida dos seus desafios? Partilhe connosco os seus objetivos para reunir com os nossos especialistas em engenharia social.

Para aprofundar: artigos relacionados e soluções da Brain Security#

Artigos complementares sobre este tema

• Ataque BEC e alteração de IBAN: Travar a fraude do falso fornecedor (Phishing e Engenharia social) : Como detetar uma alteração fraudulenta de IBAN com o email do fornecedor comprometido? Sinais de alerta, validação por chamada e reflexos cruciais.
• Typosquatting e domínios homóglifos: Ensinar as equipas a ler um URL (Phishing e Engenharia social) : Descubra como detetar typosquatting e ataques homóglifos. Treine as suas equipas para identificar armadilhas em URLs e travar o phishing.
• Phishing AiTM: Porque até o código 2FA inserido numa página falsa é roubado (Phishing e Engenharia social) : Saiba como o phishing AiTM contorna o MFA através do roubo de cookies de sessão e descubra as estratégias essenciais para proteger a sua organização.
• Clonagem de voz por IA contra o Helpdesk de TI: Bloquear a reposição fraudulenta de MFA (Literacia em IA e AI Act) : Descubra como travar a clonagem de voz por IA e vishing no helpdesk com validação fora de banda rigorosa e o Deepfake Studio da Brain Security.

Descobrir as soluções da Brain Security no site

• Solução associada : Deepfake Studio : A cabine deepfake: autoriza a webcam, vê-se transformado ao vivo por uma IA e nunca mais olha para uma imagem da mesma forma.
• Consultar os casos de uso por necessidade e setor
• Comparar os nossos formatos de sensibilização ciber e IA
• Explorar todo o catálogo interativo da Brain Security
• Falar das suas necessidades com a nossa equipa (demo e implementação)