Qual é a diferença entre phishing e engenharia social?
Engenharia social é qualquer tentativa de manipular uma pessoa para que ela forneça informações, dinheiro ou acesso, e o phishing é sua forma mais comum, realizada por e-mail ou por um site falso. A CISA também identifica a versão por voz, o vishing, e a versão por mensagem de texto, o smishing.
Imagine um escritório de arquitetura fictício com 30 pessoas, a Calloway Partners. Em uma terça-feira, a assistente financeira, Leah, recebe três coisas. Um e-mail do 'diretor-geral', enviado às 7.58am: 'Leah, vou ficar em reunião o dia todo, preciso que você pague hoje o fornecedor do anexo, os dados bancários mudaram, mantenha isso entre nós'. Uma mensagem de texto: 'Sua encomenda está retida, pague aqui a taxa de reentrega de £1.45'. E uma ligação de alguém que diz ser do fornecedor de TI do escritório e precisa que ela leia em voz alta um código de seis dígitos que acabou de enviar 'para corrigir sua caixa de e-mail'. Cada abordagem parece diferente. É o mesmo golpe.
Que táticas de pressão as mensagens de phishing usam?
Mensagens de phishing usam cinco táticas comuns de pressão, que o NCSC lista como autoridade, urgência, emoção, escassez e acontecimentos atuais. Identificar a tática é mais confiável do que identificar um erro de digitação.
Autoridade
A mensagem diz ser de um chefe, banco, órgão público ou fornecedor, para que você sinta que deve atender ao pedido.
Urgência
Um prazo apertado ou uma ameaça de penalidade, para que você aja antes de verificar.
Emoção
Medo, pânico, curiosidade ou esperança, para que você reaja em vez de pensar.
Escassez
Algo com disponibilidade limitada, como um prazo para solicitar reembolso ou ingressos limitados.
Atualidades
Uma referência a notícias, prazos de impostos ou uma indisponibilidade amplamente conhecida, para que a mensagem pareça esperada.
Como a IA mudou os golpes de mensagens fraudulentas?
A IA tornou as mensagens de phishing mais bem elaboradas, então a ortografia e a gramática corretas já não comprovam que uma mensagem é autêntica. As orientações da CISA agora dizem isso diretamente. Invasores também podem escrever no tom de um colega, adaptar uma mensagem à sua função ou imitar uma voz conhecida em uma ligação. Isso torna a antiga lista de verificação de erros de ortografia e saudações estranhas menos útil e aumenta a importância de verificar a solicitação em si. Uma solicitação para movimentar dinheiro, alterar dados bancários, compartilhar um código ou ignorar um procedimento normal deve ser verificada, por mais convincente que pareça.
Como verificar uma mensagem suspeita passo a passo?
Você verifica uma mensagem suspeita por um canal independente: nunca use os links, números de telefone ou endereço de resposta fornecidos nela e entre em contato com a pessoa ou organização por meios que você já sabe serem confiáveis.
1. Pare e identifique a tática
Pergunte qual pressão está sendo exercida. Sigilo somado a urgência e dinheiro é o padrão clássico de fraude em pagamentos.
2. Verifique a solicitação, não apenas o remetente
Nomes de exibição e identificadores de chamadas podem ser falsificados. Uma alteração nos dados bancários ou um pedido de código é o sinal de alerta, independentemente de quem pareça ter enviado a mensagem.
3. Verifique por um canal independente
Ligue para a pessoa usando um número dos seus próprios registros ou digite você mesmo o endereço do site da organização. Tanto a CISA quanto o NCSC dão essa orientação.
4. Nunca compartilhe códigos ou senhas
Equipes de TI e bancos legítimos não pedem que você leia em voz alta um código de uso único ou uma senha.
5. Relate o ocorrido
Use o botão de denúncia do seu e-mail e avise o responsável por TI. No Reino Unido, você pode encaminhar e-mails suspeitos para [email protected]; nos Estados Unidos, a CISA aceita denúncias pelo serviço Report a Cyber Issue.
Como é uma resposta fraca e uma boa resposta?
Uma resposta fraca confia nas aparências. Leah vê o nome do diretor-geral, responde perguntando se o pagamento é mesmo urgente, recebe rapidamente um 'sim, por favor, faça agora' do mesmo endereço falso e paga. Ela ignora a mensagem de texto, mas, querendo ajudar, lê o código para a pessoa que ligou, que o usa para entrar na caixa de e-mail dela.
Uma resposta adequada verifica a solicitação. Leah percebe a combinação de autoridade, urgência e sigilo e liga para o celular do diretor-geral usando a lista de funcionários; ele não enviou nada. Ela exclui a mensagem sobre a encomenda sem tocar no link. Diz à pessoa que ligou que retornará a ligação para o prestador de serviços de TI, desliga e liga para o número que consta no contrato da empresa; o prestador não fez nenhuma ligação. Ela relata os três casos à equipe de TI e encaminha o e-mail para o endereço de denúncias. Nenhum pagamento foi feito e nenhum código foi compartilhado.
O que você deve fazer se já clicou ou respondeu?
Se você já clicou, respondeu ou compartilhou algo, avise imediatamente seu contato de TI, porque agir rápido limita os danos e ninguém deve ser culpabilizado por comunicar um incidente. Usando outro dispositivo, altere a senha de qualquer conta cujos dados você tenha informado e ative a autenticação multifator. Se houver dinheiro ou dados bancários envolvidos, ligue imediatamente para seu banco usando o número do site ou do seu cartão.
Quais são os erros comuns relacionados ao phishing?
O erro mais comum é responder à mensagem suspeita para verificá-la, o que apenas pede ao atacante que confirme a própria história. Outros: confiar no nome exibido ou no identificador de chamadas, depender de erros de ortografia para identificar fraudes, clicar em links de cancelamento de inscrição, informar códigos de uso único em voz alta e ficar em silêncio após um erro por vergonha.
Onde esta aula se encaixa na Tosheo.ai?
Esta aula está na categoria Cibersegurança e no curso de cibersegurança. No Tosheo.ai, a tarefa prática apresenta um conjunto de mensagens fictícias, pede que você identifique a tática de cada uma, escreva a etapa de verificação e elabore um relato, e os critérios de avaliação mostram qual sinal de alerta você deixou passar. É um treinamento de conscientização para funcionários e gestores, não um curso técnico de segurança de e-mail.
Fontes e escopo
NCSC, denuncie um e-mail fraudulento (consultado em 19 de outubro de 2026) ↗
CISA, reconhecer e denunciar phishing (verificado em 19 October 2026) ↗
CISA, como evitar ataques de engenharia social e phishing (verificado em 19 October 2026) ↗