Os ataques de engenharia social estão a explorar cada vez mais a confiança, a autoridade e as rotinas profissionais. Através de uma identidade falsa e de uma história cuidadosamente construída, os atacantes procuram convencer colaboradores a revelar informação, conceder acessos ou executar operações que podem comprometer a segurança das organizações.

Nem todos os ciberataques começam com uma vulnerabilidade informática, uma ligação maliciosa ou um ficheiro infectado. Alguns começam com uma conversa aparentemente normal, um telefonema de alguém que se apresenta como técnico de informática ou uma mensagem de um suposto responsável da organização que solicita uma informação com carácter urgente.

O objectivo é simples: levar a vítima a acreditar que está a interagir com alguém legítimo e que o pedido que lhe está a ser feito é perfeitamente justificado. É esta a lógica do pretexting, uma técnica de engenharia social que assenta na criação de um cenário fictício para manipular o comportamento de uma pessoa e levá-la a divulgar informação, executar determinadas acções ou facilitar o acesso a sistemas e instalações.

De acordo com a classificação CAPEC, mantida pelo MITRE, o pretexting consiste na construção de uma situação inventada, frequentemente acompanhada pela adopção de uma identidade ou função falsa, com o propósito de convencer o alvo a colaborar com o atacante. Mais do que uma simples mentira, pode envolver a criação de uma história coerente, sustentada por informações recolhidas previamente sobre a pessoa ou a organização visada.

Uma identidade falsa, uma história credível

O sucesso deste tipo de ataque depende, em grande medida, da credibilidade do cenário apresentado. O atacante pode fazer-se passar por um colaborador, um superior hierárquico, um fornecedor, um técnico de suporte, um representante bancário ou até uma entidade pública.

A abordagem é construída para corresponder ao contexto profissional da vítima. Um colaborador do departamento financeiro poderá receber um pedido de alteração de dados bancários enviado por alguém que se identifica como fornecedor habitual. Um trabalhador do suporte informático poderá ser contactado por um suposto colega que perdeu o acesso à conta e necessita de recuperar as credenciais. Um responsável de segurança poderá receber um telefonema de alguém que afirma estar a realizar uma intervenção técnica previamente autorizada.

Em todos estes casos, o atacante procura criar uma justificação que torne o pedido plausível e reduza a probabilidade de ser questionado.

Para isso, a recolha de informação prévia pode ser determinante. Dados publicados nos sites institucionais, redes sociais profissionais, comunicados de imprensa, organogramas, anúncios de emprego ou informações sobre fornecedores e parceiros podem ajudar a construir uma narrativa convincente. A familiaridade com nomes, funções, projectos e procedimentos internos contribui para dar legitimidade à abordagem.

A Agência da União Europeia para a Cibersegurança (ENISA) identifica precisamente a utilização de informação recolhida sobre as organizações e os seus colaboradores como uma das formas de tornar as abordagens de engenharia social mais credíveis.

Como se desenvolve um ataque de pretexting?

Embora possa assumir diferentes formas, um ataque deste género tende a seguir uma sequência relativamente simples.

1. Recolha de informação. O atacante procura conhecer a organização, identificar colaboradores, compreender relações hierárquicas e encontrar informação que permita construir uma identidade credível.

2. Construção do pretexto. É criada uma história que justifica o contacto. Pode tratar-se de uma falha técnica, uma auditoria, uma alteração contratual, um pagamento pendente ou uma situação que exige intervenção imediata.

3. Contacto e construção de confiança. A vítima é abordada através de correio electrónico, telefone, mensagens ou mesmo presencialmente. O atacante utiliza a identidade falsa e o contexto preparado para tornar a interacção convincente.

4. Pedido de informação ou acção. Depois de estabelecer alguma confiança, solicita credenciais, dados pessoais, informação financeira, acesso a sistemas ou a realização de uma operação.

5. Exploração do resultado. A informação ou o acesso obtido pode ser utilizado directamente ou servir de ponto de partida para outros ataques, incluindo fraude financeira, comprometimento de contas e intrusão nos sistemas da organização.

O Centro Canadiano de Cibersegurança alerta que o pretexting pode envolver contactos prolongados, nos quais o atacante constrói gradualmente uma relação de confiança antes de solicitar informação sensível ou acesso.

Do falso fornecedor ao falso responsável de informática

Uma das aplicações mais conhecidas desta técnica está associada à fraude em contexto empresarial, nomeadamente ao Business Email Compromise (BEC).

Neste cenário, o atacante pode fazer-se passar por um fornecedor habitual e solicitar a alteração do IBAN associado a pagamentos futuros. O pedido surge acompanhado de uma explicação aparentemente legítima, como uma mudança administrativa ou uma reorganização financeira. Se o colaborador não confirmar a alteração através de um canal independente, os pagamentos podem acabar numa conta controlada pelos criminosos.

Outra possibilidade passa pela personificação de um responsável hierárquico. Um colaborador recebe uma mensagem, aparentemente enviada pela administração, a solicitar uma transferência urgente, a partilha de informação confidencial ou a aquisição de cartões-presente. A referência à autoridade, a urgência e, por vezes, a exigência de confidencialidade são utilizadas para desencorajar a validação do pedido.

O mesmo princípio pode ser aplicado ao suporte técnico. Um atacante contacta o serviço de assistência informática, identifica-se como funcionário e alega ter perdido o acesso à conta. Pode invocar uma reunião importante, uma deslocação ou uma situação de emergência para pressionar o técnico a redefinir uma palavra-passe ou alterar os mecanismos de autenticação.

O Centro Nacional de Cibersegurança (CNCS) tem alertado para campanhas de CEO Fraud e Business Email Compromise. Segundo a informação divulgada pelo organismo em Abril de 2026, estas tipologias representaram 18% dos incidentes de engenharia social notificados ao CERT.PT durante 2025. O dado diz respeito a estas modalidades de fraude e não ao conjunto dos ataques de pretexting, mas ilustra a relevância da personificação e da manipulação de colaboradores no contexto empresarial.

O impacto da inteligência artificial

A utilização de ferramentas de inteligência artificial acrescenta novas possibilidades à construção destes cenários. A produção de mensagens mais personalizadas, a imitação de estilos de comunicação e a criação de conteúdos áudio ou vídeo podem tornar a personificação mais convincente.

A utilização de gravações de voz disponíveis publicamente, por exemplo, pode facilitar tentativas de imitação de responsáveis empresariais. Um telefonema com uma voz familiar, associado a um pedido urgente e a informações correctas sobre a estrutura da organização, pode aumentar a pressão sobre quem recebe a chamada.

A tecnologia não elimina, contudo, a necessidade de preparação e recolha de informação por parte dos atacantes. Continua a ser necessário identificar alvos, compreender os seus contextos e construir uma narrativa suficientemente credível para obter a colaboração da vítima.

Por isso, a resposta não pode depender exclusivamente de ferramentas tecnológicas de detecção. É necessário garantir que os procedimentos internos continuam a ser cumpridos, mesmo quando o pedido parece vir de alguém conhecido ou de uma pessoa com autoridade.

A prevenção começa nos procedimentos

Uma das principais dificuldades na prevenção do pretexting reside no facto de a comunicação poder não apresentar sinais técnicos evidentes de fraude. Um correio electrónico pode não conter qualquer ligação maliciosa ou anexo suspeito. Um telefonema pode decorrer sem qualquer indício de comprometimento dos sistemas.

A defesa depende, por isso, de uma combinação de medidas técnicas, organizacionais e comportamentais.

Entre as principais recomendações estão:

• Verificar a identidade por um canal independente: perante pedidos invulgares, confirmar a legitimidade do interlocutor através de um contacto previamente conhecido e não utilizando os dados fornecidos na própria mensagem.
• Estabelecer procedimentos para operações sensíveis: alterações de dados bancários, transferências, redefinições de credenciais e concessão de acessos devem obedecer a processos de validação definidos.
• Não contornar os mecanismos de segurança: nenhum pedido, mesmo que atribuído à administração ou a um responsável hierárquico, deve justificar a partilha de palavras-passe ou a desactivação de controlos.
• Limitar privilégios e acessos: os colaboradores devem dispor apenas das permissões necessárias às respectivas funções, reduzindo o impacto de uma eventual manipulação.
• Promover formação e exercícios de sensibilização: os trabalhadores devem conhecer as técnicas de personificação, os sinais de alerta e os procedimentos de comunicação de situações suspeitas.
• Criar canais de comunicação de incidentes: qualquer colaborador deve poder reportar rapidamente um contacto suspeito, sem receio de represálias por ter questionado um pedido.

A autenticação multifactor, a monitorização de acessos e os mecanismos de protecção do correio electrónico são igualmente importantes, mas não substituem a validação humana de pedidos sensíveis.

A confiança não dispensa a verificação

O pretexting demonstra que a segurança das organizações não depende apenas da robustez das suas infra-estruturas tecnológicas. Depende também da forma como as pessoas interpretam pedidos, validam identidades e cumprem procedimentos, sobretudo quando são confrontadas com situações de urgência ou pressão hierárquica.

Num ambiente empresarial marcado pela rapidez das operações e pela crescente interdependência entre colaboradores, fornecedores e prestadores de serviços, a confiança é indispensável. Mas não deve ser confundida com ausência de verificação.

A regra deve ser clara: a identidade de quem solicita uma informação ou uma operação deve ser confirmada, independentemente da familiaridade do nome, da função invocada ou da aparente legitimidade do contexto. Porque, num ataque de pretexting, a porta de entrada pode não ser uma falha informática. Pode ser simplesmente uma história bem contada.