Engenharia social e simulação de phishing
As pessoas são o alvo mais visado, e a maior parte das violações começa com alguém a ser convencido a clicar, a ligar de volta ou a entregar um código. Realizamos campanhas autorizadas de phishing, spear-phishing, vishing e smishing para medir esse risco humano e para verificar se a sua deteção e os seus mecanismos de comunicação de incidentes funcionam de facto. É um exercício de aprendizagem, pensado para reforçar a resiliência, e não para apanhar as pessoas em falta.
A superfície de ataque humana
A engenharia social visa as pessoas através dos canais que os atacantes realmente usam. Tal como um atacante real, apoiamo-nos em OSINT para conceber cenários realistas e autorizados por e-mail, telefone e SMS. Medimos tanto a facilidade com que as pessoas caem no engano como a solidez do seu processo de deteção e resposta.
- Phishing: campanhas de e-mail amplas e realistas que medem as taxas de clique e de submissão
- Spear-phishing: iscos direcionados e informados por OSINT contra funções nomeadas
- Vishing: chamadas com pretexto de voz (p. ex. cenários de help-desk e de reposição de MFA)
- Smishing: pretextos por SMS e entrega de ligações maliciosas
- Realismo do payload e da página de destino (captura de credenciais, anexo, pedido de MFA)
- Deteção e comunicação: os controlos e as pessoas responderam?
Realista, autorizado, mapeado ao ATT&CK
Cada campanha é explicitamente autorizada e decorre dentro de regras de atuação acordadas. Usamos OSINT para conceber pretextos credíveis e associamos as técnicas às táticas de Acesso Inicial e Reconhecimento do MITRE ATT&CK. O objetivo é aprender: reportamos padrões e processos para melhorar a sensibilização e a resposta, nunca para expor indivíduos.
- 1
Definição do âmbito e autorização
Acordamos os objetivos, os canais, os grupos-alvo e as regras de atuação, com autorização escrita explícita e um NDA.
- 2
OSINT e conceção de pretextos
Recolhemos informação de fontes abertas e concebemos cenários credíveis e dentro do âmbito para cada canal.
- 3
Execução da campanha
Realizamos as campanhas de phishing, vishing e smishing dentro da janela e das regras acordadas.
- 4
Medição da resposta
Medimos a suscetibilidade e se a deteção, o bloqueio e a comunicação pelos utilizadores realmente dispararam.
- 5
Relatório e sensibilização
Entregamos resultados agregados e recomendações enquadradas para a sensibilização e a melhoria de processos.
O que recebe
Uma imagem clara e agregada do risco humano e da resposta, com os dados e as recomendações para melhorar a formação e a deteção. Tudo é apresentado para reforçar a resiliência, e não para atribuir culpas.
- Resumo executivo do risco humano e da postura de resposta
- Métricas agregadas da campanha: taxas de clique, de submissão e de comunicação por canal
- Resultados de deteção e comunicação: os controlos e as pessoas responderam?
- Técnicas mapeadas ao MITRE ATT&CK (Acesso Inicial, Reconhecimento)
- Recomendações priorizadas para formação de sensibilização e controlos
- Relatório agregado e não punitivo (sem culpabilização individual)
Assente no MITRE ATT&CK e em testes autorizados
As campanhas seguem o MITRE ATT&CK (táticas de Acesso Inicial e Reconhecimento) e só decorrem mediante autorização escrita explícita e regras de atuação acordadas. A engenharia social é um exercício de aprendizagem: os resultados são reportados de forma agregada para melhorar a sensibilização, os controlos e a resposta, nunca para expor indivíduos. Os cenários são concebidos com OSINT para serem realistas sem sair do âmbito acordado.