A psicologia da fraude: seis alavancas que a engenharia social continua a usar

Um vendedor que batia à porta com uma história verosímil e um papel com selo trabalhava sobre as mesmas teclas que hoje um email com o assunto “pagamento pendente, fecho do mês” pressiona. Mudou o suporte, mudou a escala e mudou a velocidade. A sequência da persuasão ficou quase intacta, e essa permanência é o objeto da psicologia da engenharia social.

Essa continuidade explica porque é que a engenharia social resiste tão bem à passagem do tempo. Uma vulnerabilidade técnica corrige-se com um patch. As regularidades do comportamento humano de que uma fraude se aproveita são anteriores a qualquer sistema informático e não têm atualização disponível. Olhá-las de perto muda o desenho de um programa de sensibilização, porque compreender que alavanca está a ser ativada leva a um lugar diferente de ensinar a reconhecer o invólucro da mensagem.

Porque é que a engenharia social não precisa de uma falha técnica?

A engenharia social consegue que uma pessoa autorizada faça por vontade própria aquilo que o atacante não consegue fazer pelos seus próprios meios. Em vez de forçar um controlo, solicita-o. E solicita-o na língua dos sinais que usamos para decidir depressa em quem acreditar, de modo que o pedido chega antes da suspeita.

Quando alguém decide se atende um pedido, raramente avalia as provas. Lê sinais: quem o assina, com quanta pressa chega, se outros já o fizeram, se soa parecido com o de sempre. Esses atalhos funcionam porque o mundo quotidiano é maioritariamente cooperativo, e sem eles nenhuma organização conseguiria trabalhar à velocidade a que trabalha.

O atacante trabalha sobre o sinal antes de trabalhar sobre a prova. Quando defendemos que o phishing não é um problema de conhecimento, o foco estava no lado de quem recebe e no porquê de saber não bastar no instante da decisão. Aqui o foco muda de lado e descreve que tecla escolhe pressionar quem ataca.

Quais são as seis alavancas de persuasão que ativam uma fraude?

A psicologia social descreve seis princípios de influência que atravessam quase qualquer situação em que alguém consegue que outra pessoa aceite um pedido. O trabalho de Robert Cialdini sistematizou-os a partir da observação de vendedores, angariadores de fundos e negociadores profissionais. Nenhum foi formulado a pensar em cibersegurança e todos têm a sua versão numa fraude digital.

1. Autoridade. O pedido desce de uma posição com poder para premiar ou sancionar. Um email assinado pela direção financeira, ou uma suposta notificação de uma autoridade fiscal, raramente recebe a pergunta que mereceria.
2. Escassez. A janela está a fechar. Restam duas horas para confirmar, a vaga está a esgotar-se, o prazo termina hoje. A urgência não acrescenta informação, subtrai tempo de análise.
3. Prova social. Os outros já o fizeram. “O resto da equipa já validou os seus dados” transforma uma anomalia em rotina partilhada.
4. Reciprocidade. Algo foi dado primeiro. O falso suporte técnico que “resolve” um problema menor antes de pedir as credenciais compra uma dívida que a maioria das pessoas honra.
5. Simpatia. O pedido chega de alguém afim ou agradável. Um perfil que partilha o mesmo empregador, a mesma cidade ou a mesma profissão obtém uma atenção que um desconhecido não obtém.
6. Compromisso e coerência. Um sim pequeno abre a porta a um grande. Confirmar um dado inócuo no início da conversa deixa a pessoa sustentada pela sua própria coerência quando chega o pedido a sério.

Convém não confundir estas alavancas com as condições de quem recebe a mensagem. A carga de trabalho ou a pressa descrevem o estado de quem decide. As alavancas descrevem a manobra de quem pede. Um ataque eficaz combina as duas coisas, e é por isso que a mesma mensagem rende de forma diferente numa segunda-feira às nove e numa sexta-feira às sete da tarde.

Porque é que as mesmas alavancas funcionam no email, no telefone e no vídeo?

Porque a alavanca não vive no canal. Vive na relação que a mensagem finge ter com quem a recebe. Mudar de suporte muda a textura do sinal falsificado, não o mecanismo que o torna credível.

A fraude por email empresarial (BEC, Business Email Compromise) mostra-o com clareza. Segundo o relatório anual do IC3 do FBI, essa categoria acumulou 3,046 mil milhões de dólares em perdas reportadas durante 2025 e ficou em segundo lugar, atrás da fraude de investimento. O valor mantém-se acima dos 2,7 mil milhões três anos consecutivos, com uma técnica que quase sempre se apoia na autoridade e na escassez combinadas.

A chamada telefónica acrescenta presença e retira o rasto escrito, o que reforça a autoridade e encurta a margem para verificar. O código QR impresso transfere o pedido para um objeto físico que o olho não sabe auditar, e é por isso que simular um ataque com código QR mede algo diferente de simular um email. O vídeo sintético leva a falsificação do sinal ao ponto em que a prova audiovisual deixa de ser garantia, questão que já abordámos a partir do ângulo do método acima do conteúdo.

Um catálogo de canais, então, envelhece depressa. Um catálogo de alavancas envelhece muito mais devagar. A consequência prática aparece no momento de desenhar um programa. Se o inventário de ameaças se organiza por suporte, cada nova tecnologia obriga a acrescentar um módulo. Se se organiza por alavanca, a nova tecnologia entra como mais um exemplo de algo que as pessoas já aprenderam a notar.

É possível treinar o reconhecimento de uma alavanca?

É possível, embora não decorando a lista. Reconhecer uma alavanca pelo nome numa formação e notá-la a operar sobre nós próprios são duas competências distintas. A treinável é a segunda, e consiste em advertir o estado interno que a alavanca produz antes de advertir a intenção que colocou essa alavanca ali.

Esse estado tem marcas bastante reconhecíveis. Surge uma pressa que não corresponde ao assunto real, incomoda contradizer alguém que parece ter hierarquia e custa dizer não a quem acabou de fazer um favor. O alarme útil não está na mensagem, que costuma ser impecável, mas naquilo que a mensagem desperta.

Uma formação que trabalha este plano parece-se pouco com uma lista de indicadores suspeitos. Coloca a pessoa em situações onde a alavanca atua a sério, dá nome ao que sentiu quando o pedido chegou e deixa instalado um único comportamento de saída, que é verificar por um canal diferente daquele que trouxe o pedido.

A regra é fácil de recordar porque não exige diagnosticar a técnica do atacante. Basta notar a pressa e devolver a decisão a um terreno onde o sinal falsificado perde força, algo tão simples como ligar para o número interno que já estava na agenda.

Daí que a intervenção mais eficaz seja a que aparece no momento da decisão e não semanas antes, lógica que já explorámos ao falar dos nudges que chegam no momento certo. E daí também que a resposta organizacional correta perante alguém que caiu seja redesenhar o ambiente de decisão antes de sancionar, distinção que desenvolvemos ao separar erro, negligência e intenção.

Como a SMARTFENSE trabalha isto

Na plataforma da SMARTFENSE as simulações são desenhadas em torno da alavanca e não apenas do formato. Uma simulação de ataque de phishing que apela à autoridade de um diretor põe à prova algo diferente de uma que apela à simpatia de um colega, mesmo quando ambas chegam por email e ambas medem o clique.

Esse critério também atravessa as ferramentas abertas do site. O verificador de exposição a fraude por email empresarial permite ver quão fácil é falsificar a identidade de um domínio, que é a matéria-prima com que se fabrica o sinal de autoridade. Conhecer a superfície técnica do engano ajuda a compreender que alavanca fica ao alcance do atacante.

O que cada nova tecnologia traz são canais, não alavancas. As alavancas já estavam lá. Um programa de sensibilização que ensina a reconhecê-las prepara as pessoas para a fraude que ainda não existe.