Engenharia Social - Fios de telefone

Fios de telefone. Para pessoas comuns são nada mais do que fios, tão comuns que são capazes de não serem notados, apesar de estarem por toda parte. Mas para alguns não são apenas fios, são portas para um outro universo, um lugar onde existe tudo, nada está fora do alcance, informações sem limites. O controle!

[ Hits: 50.496 ]

Por: Wilker Azevedo em 24/01/2007


O poder da persuasão



A persuasão é uma arma muito poderosa na mão da pessoa certa. A exemplo disso um filme muito bom, "O Júri", onde o ator Jonh Cusak (Nicholas Easter) é um dos jurados e manipula os demais a tomarem decisões.

Através desta técnica é possível conseguir muitas informações. Vejamos um exemplo bem básico:

Tirar cópia do banco de dados de um computador na empresa de médio porte que não tem técnico próprio.

Já que não tem jeito de ir pela rede, então a única saída é pessoalmente.

Veja como é simples:

Você deve se vestir parecendo um técnico de computadores, entra na sala segurando sua maletinha de ferramentas e cumprimenta discretamente e começa a apalpar os gabinetes: "É esse aqui... nossa! Está esquentando mesmo!", se tiver algum funcionário no micro então peça licença ou espere terminar a operação, mas diga para ele que não precisa nem sair do sistema ou você reinicia a máquina, agora abra o gabinete, comece a mexer nos fios, olhe no monitor, acesse uma área de configuração do sistema... olhe, pense, teste, espere o melhor momento e coloque o pen-drive ou qualquer outra tecnologia mais fácil de usar. Com jeitinho você consegue fazer a cópia ou até mesmo trocar o HD.

Este foi um exemplo bem básico onde você consegue ter acesso ao software e hardware da empresa, já vi casos em que pessoas já roubaram memórias do servidor HP, as memórias custavam mais de 5.000,00.

Agora um exemplo mais elevado:

Você quer tirar xerox de documentos grátis em uma empresa. Então o que você faz?

Primeiro vamos definir o cenário:

Empresa de médio porte com uma sala na entrada, uma secretária e uma boa movimentação de funcionários não-uniformizados passando pelo corredor.

Agora você entra bem vestido... não como um deputado, mas como uma pessoa normal, os papéis na mão, entra e faça como os demais funcionários, aja como se já tivesse passado por aí uma quinhentas vezes, nem perceba a secretária. Com o seu ar de confiança e certeza ela jamais notará que você é um desconhecido, pela sua "normalidade" ela vai pensar: "Bom... ele sabe onde está indo."

Então entrar na empresa foi fácil, agora existem três maneiras de conseguir as cópias:
  1. Ir direto na máquina e xerocar, não seja novato na máquina.
  2. Procure a funcionária com cara lerda ou o rapaz novinho.
  3. Usar o nome da secretária.

Geralmente ir direto na máquina resolve o caso, pois você já está dentro da empresa. E para os funcionários... se você já está dentro é porque tem autorização.

Mas você pode procurar uma funcionária que queira fazer amizades ou um rapaz novinho que vai adorar ser prestativo, daí você diz: "Como é que tira xerox? Essa máquina é doida!", dê um sorrisinho, geralmente alivia e quebra o gelo, a pessoa nem pensa em questionar, já vai logo tirando a cópia.

E se a máquina de xerox tiver um funcionário responsável, daí você chega nele e diz: "A Jaqueline (secretária) pediu pra fazer essas cópias."

Se o cara te pedir o controle (papel que consta a autorização), você diz: "??? Ué? Num peguei não!"... espere uns milionésimos de segundos hehehe, se ele não disser: "Precisa não!"... então você completa: "Quer que eu volte lá?"... já meio se deslocando de lugar..., ele vai dizer: "Precisa não!", ou se ele insistir, então você vai indo... para, se vira e pergunta: "Qual é seu nome mesmo?", ... "Roberto", ... aí você vai até a secretária: "Oi! O Roberto está pedindo pra você fazer um controle dessas xerox...", prontinho, ela assina e você volta no Roberto.

Apesar da técnica ser simples, você tem que ganhar um oscar na representação, pois o segredo todo está na sua postura em passar confiança.

Eu poderia colocar aqui ainda as técnicas mais pesadas... no entanto não é muito conveniente. Mesmo sendo para material de estudo e proteção. Não quero trazer problemas.

Conclusão, se você tem uma empresa ou é funcionário de uma, lembre-se bem dos rostos dos funcionários, em caso de alguém estranho, fique de olho. Se ver ele fuçando em cima de mesas, em gavetas ou lixo... vá nele e o cumprimente, procure saber o que ele está fazendo, não dê tempo para ele pensar, quanto mais rápido você lotar ele de perguntas mais chances você tem de fazer ele gaguejar ou pular fora da conversa. Faça perguntas das quais ele não planejou respostas.

Página anterior     Próxima página

Páginas do artigo
   1. AVISO
   2. O poder da persuasão
   3. Grampeando o telefone e obtendo acesso
   4. Dominando o telefone
   5. Conclusão
Outros artigos deste autor

Como NÃO crackear um programa

IBM apresenta Maqetta, uma contribuição open source para HTML5

Slackware para Desktop ou Notebook em 2021

A Microsoft morreu

Squid 3.1.5 com suporte a TPROXY (sem bridge)

Leitura recomendada

Instalação do Fail2Ban no CentOS 7

É o hora do churrasco de... exploits! Quê?!? Não! Para churrasco e exploits, use Beef

Vulnerabilidade em mais de 6 milhões de sites com flash

MaraDNS: Simples - Seguro - Robusto (parte 3)

SSH completo (passo a passo)

  
Comentários
[1] Comentário enviado por EdDeAlmeida em 24/01/2007 - 13:43h

O artigo está interessante, mas por via das dúvidas vou me cuidar com você!!!

[2] Comentário enviado por d4rkness em 24/01/2007 - 13:57h

Os tempos do jacarezinho voltaram... lol

To procurando um jammer com variação de fequencia... sabe onde eu arrumo?

hehehe

[]'s

[3] Comentário enviado por rdaraujo em 24/01/2007 - 15:02h

leiturinha boa essa viu, :)

[4] Comentário enviado por andersonjackson em 24/01/2007 - 16:17h

Parabens... está quase um Dan Brown... quem começa não consegue parar de ler...

Show de bola

[5] Comentário enviado por removido em 24/01/2007 - 16:48h

o artigo tava bom mesmo ... e engenharia social é isso né ... tem que ter uma boa labia e interpretação que voce consegue tudo o que quer ...

a arte de enganar ...

[6] Comentário enviado por removido em 24/01/2007 - 17:40h

Achei um pouco óbvio o que foi colocado aqui, mas vale como alerta para pessoas que incrivelmente ainda caem em coisas assim.

Por telefone, é assustador o numero de pessoas que passam, não só o CPF mas coisas muito piores. Já vi pessoas que compraram cartoes de celular novos e passaram por telefone, como se tivesse ganho uma "promoção".

Mas parabéns pelo artigo.

[]'s

[7] Comentário enviado por removido em 24/01/2007 - 21:46h

Afffffffffffffffffffff.......................

Acho que vou voltar para a dica de desligar o pc com o dedão do pé usando acpi........

[8] Comentário enviado por dk_millares em 25/01/2007 - 07:38h

Achei interessante a leitura, mas no meu ponto de vista a maioria vai tentar usar o conteudo para o dark side.

Parabens artigo bem elaborado espero que todos saibam utiliza-lo
flw

[9] Comentário enviado por heckjp em 25/01/2007 - 08:47h

Muito bom artigo, um ótimo complemento para o artigo do Domguilherme, pois você conseguiu abordar aspectos que talvez ele tenha esquecido e deu a visão do atacante, coisa que poucos artigos sobre o tema fazem. Parabéns...

[10] Comentário enviado por fernandus em 26/01/2007 - 17:56h

Tem uma política meio velada de que não devemos criticar artigos e coisa e tal...mas olha só...sem flames...parece até que você leu o livro do mitnick...e são dicas óbvias...e nenhum embasamento técnico para o uso de telefonia...Imagino o pessoal entrando nas empresas e se arriscando para tirar uma cópia...

[11] Comentário enviado por superflankerCTBA em 26/01/2007 - 19:13h

Cuck Norris que se cuide..... hahahaha

[12] Comentário enviado por cytron em 26/01/2007 - 22:37h

Tudo bem fernandus, se você observar bem o texto, perceberá que "tirar uma cópia" é apenas um exemplo para o real objetivo do assunto, "engenharia social", alí apresentei a facilidade de "manipular" e explorar falhas das pessoas, o exemplo poderia ser qualquer coisa. Pra ser sincero nunca lí o livro do Mitnick e qualquer outro que não fosso assuntos técnicos como manuais, guias, tutoriais e afins.

As dicas são óbvias, realmente, mas a coisa é tão óbvia que ninguém se preocupa e acaba passando batido, é tão óbvio um homem desconhecido convidar mulheres pobres para serm modelos em outros países e acabarem fazendo programa "como escravas", mas mesmo assim todo mês tem notícia nos jornais.

Todas as técnicas que apresentei neste artigo já utilizei muito. Hoje em dia não, o tempo passa e sempre surgem novas coisas para fazer. Mas sempre surgirão novas pessoas para fazerem o que para nós é passado. A diferença é que elas vão pegar nossos conhecimentos e aprimorar.

Mas é isso aí, curto muito os comentários, inclusive os contras, o mundo não é feito de mel... certo?!!!

[13] Comentário enviado por User-kuruma em 27/01/2007 - 16:37h

Cara, muito legal seu texto, serve de alerta de como devemos combater os picaretas da atualidade. Texto muito envolvente. Parabéns!

[14] Comentário enviado por removido em 27/01/2007 - 19:37h

Wilker

Trabalhei com segurança patrimonial durante alguns anos e sempre me interessei pelos processos de engenharia social, linguagem e persuasão e técnicas afins. Achei seu texto interessante, mesmo que desprovido de esclarecimentos muito técnicos, até mesmo porque acredito que a menção dos mesmos não seria adequada.

O fato é que as maiores brechas de segurança das empresas são, quase sempre, o elemento humano. E a falha começa na seleção de pessoal, uma vez que são admitidos para o quadro, indivíduos tímidos, falantes e/ou retraídos demais. Não raro me deparei com situações de risco devido à presença de elementos com essas características na equipe.

Outra coisa comum e falha, é a mera substituição do elemento humano apto, por mecanismos eletro-eletrônicos para fins de segurança. Um bom exemplo são as chamadas cercas elétricas e eletrônicas e os detectores de metais. veja como são inúteis se não instaladas corretamente:

As cercas elétricas: Para aumentar o lucro, as empresas instaladoras diminuem o número de hastes fixadoras dos fios. Com isso, é possível erguer o 1º fio com material isolante sem deixar que encoste no 2º logo acima sem arrebentar ou disparar o alarme. Então o cara passa por baixo com certa facilidade e segurança, uma vez que o grau de curvatura fica muito ampla;

As cercas eletrônicas: também por medida de economia elas são distanciadas ao máximo. Como os sensores fazem conexão direta entre um poste e outro e dependem de uma corrente elétrica muito bem dosada, meio metro a mais entre os postes fará com que não funcionem adequadamente. Para burlar esse sistema, basta observar no local, aquele caso onde a distancia entre sensores seja a maior da média. Identificado o ponto, entre na exata metade da distancia entre estes postes;

Porta Trava Metais: Os gerentes dos bancos, para não constragerem os clientes, determinam a regulagem dos sensores destas portas para um nível que consideram seguro. Este nível seguro abrange volumes metálicos de valor aproximado ao de um revólver ou pouco maiores. O mesmo mecanismo pode ser regulado para captar até o zíper de um jeans. A forma de burlar esse sistema é ridiculamente fácil, mas não a mencionarei.

[]s!



[15] Comentário enviado por fellipe em 07/02/2007 - 13:37h

Vc esqueceu de um requisito: cara de pau. Coisa que eu não teria para fazer nada disso. Se formos nos preocupar muito com a parte do telefone, ficaríamos neuróticos... A parte de tirar cópias de graça achei um pouco difícil... ah não ser que a secretária seja muito viajona, a empresa não tenha praticamente nenhuma segurança e vc saiba exatamente onde está a máquina. Quanto a parte do CPF... bom, é sabido que nenhuma empresa liga para a sua casa pedindo CPF (ah não ser que te liguem oferecendo cartão de crédito e vc compre por telefone). Do contrário, eles pedem CPF quando VOCÊ liga para eles.

De qualquer forma, é bom saber de tudo isso para ficar precavido (principalmente contra vc, hehehe).

Parabens pelo artigo.

[16] Comentário enviado por cytron em 18/02/2007 - 21:04h

Caiapó, falou bem! Eu acho muito engraçado as pessoas colocando os celulares delas nas gavetinhas para passarem pelas portas eletrônicas, enquanto eu passo com meu celular e um molho de chaves. Já passei até com dois celulares, tamanho suficiente para um artefato explosivo de grandes proporções.

Hehe felipe, tem perigo mais não! Mas é aquela coisa, apesar de todos saberem que a empresa não liga para pedir o CPF, as pessoas sempre acabam falando, faça o teste você mesmo. E elas relaxam mais ainda se você fornecer qualquer informação como nome ou endereço.

Aquele famoso golpe aplicado contra os aposentados funcina dessa mesma maneira, os golpistas ligam para a casa de uma aposentada, se passam por um funcionário do INSS e acabam conseguindo o número do benefício e fazem empréstimos e saques. Minha mãe quase foi vítima desse golpe, só que não foi por telefone, eles foram pessoalmente no portão da casa e só não conseguiram fazer nada porque minha mãe estava com o benefício bloqueado devido a falta de um laudo médico que ficou devendo ao INSS.

Uma boa lábia é uma das mais perigosas armas do serumano.

[17] Comentário enviado por flaviocc em 11/11/2007 - 00:03h

Essa do cpf é boa...
só pra constar, se quiser o cpf de alguém, é só pegar o cheque...
no cheque consta o teu nome completo e cpf!

[18] Comentário enviado por joserribeirojuni em 23/05/2008 - 16:53h

hsuashuahsuahsuhauhsuhau,


Esse cara me da medo !

[19] Comentário enviado por luizvieira em 24/07/2009 - 07:55h

Ótimos exemplos!
E é justamente o que vemos no dia a dia.
Trabalho com Segurança da Informação e é o elemento humano a maior brecha existente em qualquer sistema, afinal "não há patch de segurança para a burrice humana"!
[ ]'s


Contribuir com comentário




Patrocínio

Site hospedado pelo provedor RedeHost.
Linux banner

Destaques

Artigos

Dicas

Tópicos

Top 10 do mês

Scripts