Ataque de phishing com engenharia social no atendimento
Você é escriturário em uma agência do BRB. Às 10h15, uma cliente de 68 anos chega agitada dizendo que recebeu uma ligação de alguém que se apresentou como 'central de segurança do banco'. O interlocutor informou que havia uma compra suspeita de R$ 3.480,00 no cartão dela e pediu que ela confirmasse dados para 'bloquear a transação'. Ela informou o número do cartão, a data de nascimento e leu em voz alta um código de seis dígitos que chegou por SMS. Em seguida, o aplicativo dela exibiu um aviso de novo dispositivo conectado. Ela não clicou em links nem instalou aplicativos. O gerente está em reunião e o sistema de bloqueio de cartões exige autenticação de dois fatores feita pela própria cliente no app.
1. Quais elementos do relato indicam fraude, e por que o código recebido por SMS é o ponto crítico?
Read the worked answer
Os sinais são: (1) contato ativo fingindo ser o banco - instituições não ligam pedindo senha, código ou dados completos do cartão; (2) urgência artificial (compra suspeita de valor alto) para reduzir o tempo de reflexão; (3) pedido de dados que o banco já possui (número do cartão, data de nascimento). O ponto crítico é o código de seis dígitos por SMS: ele é o segundo fator de autenticação. Ao lê-lo, a cliente entregou ao fraudador a prova de posse do telefone, permitindo cadastrar um novo dispositivo e concluir operações como se fosse ela. O aviso de 'novo dispositivo conectado' confirma que a autenticação foi consumida pelo criminoso. Não houve engenharia técnica (link ou app malicioso): foi engenharia social pura, o que significa que antivírus e filtros não teriam evitado o dano.
2. Qual deve ser a sequência de ações imediatas, considerando que o gerente está indisponível e o bloqueio exige dois fatores feitos pela cliente?
Read the worked answer
Ordem sugerida, priorizando conter o prejuízo:
- Bloquear o cartão e a conta pelos canais que não dependem do app comprometido (central de atendimento/telefone oficial, ou acionar colega com alçada). O novo dispositivo cadastrado deve ser desautorizado.
- Orientar a cliente a não repetir o código e a trocar a senha em canal seguro - de preferência em equipamento da agência, não no aparelho possivelmente exposto.
- Registrar o atendimento com horário, valores, dados informados e protocolos, pois isso instrui eventual contestação.
- Abrir ocorrência interna de fraude e orientar o boletim de ocorrência.
- Comunicar o gerente ao fim da reunião e escalar conforme política. Observação de julgamento: o procedimento que exige dois fatores da cliente não deve ser burlado; se o app dela está comprometido, o caminho é o canal alternativo oficial, não pedir que ela mesma contorne a autenticação.
3. A cliente pergunta: 'O banco vai me devolver os R$ 3.480,00?'. Como responder sem prometer resultado?
Read the worked answer
Resposta adequada separa o que se pode afirmar do que depende de análise:
- Afirmar: o caso será registrado, o cartão/conta estão bloqueados e existe canal formal de contestação de transações não reconhecidas, com prazos e regras próprias.
- Não afirmar: que o estorno é automático ou garantido.
- Explicar, em linguagem simples, que a análise considera como o dado foi obtido; aqui, a cliente repassou voluntariamente um código de autenticação a um terceiro que se passou pelo banco, o que é um elemento relevante e precisa ser relatado com honestidade no formulário - omitir isso prejudica a própria cliente.
- Encaminhar: fornecer protocolo, explicar como acompanhar e orientar sobre o boletim de ocorrência. O erro a evitar é tanto prometer devolução quanto negar de antemão: o escriturário registra e informa o rito, não decide o mérito.