Questão nº 23
Questão de Informática · CESGRANRIO ANP 2016 (nº 23)
Uma hacker ameaçou divulgar na Web informações sigilosas de uma empresa após ter conseguido acesso a seus sistemas de informação. Para conseguir o acesso, ela telefonou para uma das secretárias da diretoria, passando-se por esposa de um dos diretores. Em seguida, ela disse à secretária que seu marido tinha sofrido um acidente e estava hospitalizado. Porém, antes de ficar inconsciente, o diretor lhe havia pedido que entrasse em contato com a empresa a fim de que uma de suas secretárias solicitasse a mudança do seu login e da sua senha, pois ele havia perdido sua agenda no acidente e temia que alguém pudesse invadir os sistemas da empresa, uma vez que esses dados, por descuido seu, estavam anotados na agenda perdida. Em seguida, a suposta esposa forneceu os novos login e senha à secretária.
Esse tipo de ataque para obtenção de informações é chamado de
- Ainformações livres
- Bengenharia social (alternativa correta)
- Cvarredura de vulnerabilidades
- Ddumpster diving
- Eataque físico
Resposta comentada
Gabarito Alternativa B
Engenharia social é a arte de manipular pessoas para que elas mesmas entreguem informações confidenciais, em vez de invadir sistemas diretamente. O atacante explora a confiança, o medo ou a urgência da vítima, como aconteceu no golpe do telefonema falso.
- (A) Incorreta: "Informações livres" não é um termo técnico de ataque; refere-se a dados públicos ou de acesso aberto, não obtidos por manipulação.
- (B) Correta: O ataque é o clássico engenharia social, pois a hacker usou um pretexto falso (acidente do diretor) e a autoridade/urgência para convencer a secretária a alterar o login e a senha, obtendo acesso legítimo por meio do erro humano.
- (C) Incorreta: Varredura de vulnerabilidades é uma técnica técnica automatizada que procura falhas em software ou rede, não envolve interação humana ou telefone.
- (D) Incorreta: Dumpster diving (mergulho no lixo) é revistar o lixo físico ou digital em busca de documentos descartados, não é uma conversa telefônica.
- (E) Incorreta: Ataque físico exige contato direto com equipamentos ou instalações (ex.: invadir a sala de servidores), o que não ocorreu aqui.
Armadilha da banca: O distrator mais tentador é a letra D, pois a história menciona a "agenda perdida", o que pode fazer o aluno associar a busca de informações a um "mergulho no lixo". Porém, a agenda perdida é apenas o pretexto criado pela hacker para justificar a mudança de senha; o ataque em si foi a manipulação psicológica por telefone, não a coleta de dados do lixo.
Fonte: CESGRANRIO ANP 2016 Conhecimentos Comuns (Técnico em Regulação). Reproduzida para fins de estudo.