Golpe do chefe falso: quando o antivírus não te protege

Imagine a seguinte cena: um funcionário do seu financeiro recebe uma ligação. No visor do celular aparece o nome e o número do gerente dele. Do outro lado, uma voz apressada diz que houve um problema urgente com o acesso e pede que ele entre em um site e digite um código para "liberar" o sistema. Em poucos minutos, sem nunca ter fornecido uma senha, esse funcionário acabou de entregar as chaves da rede da empresa para um criminoso.

Esse é o modo de operação de grupos como o Helix, identificado recentemente por pesquisadores de segurança. E o mais preocupante para quem gerencia uma empresa é o seguinte: nenhum antivírus do mundo teria bloqueado esse ataque. Por quê? Porque não há vírus nenhum envolvido.

Por que esse golpe é tão perigoso

Durante anos, o discurso da segurança girou em torno de malware, ransomware e arquivos suspeitos. Investimos em antivírus, firewalls e filtros de e-mail. Tudo isso continua sendo importante, mas o Helix mostra uma tendência que venho observando na prática: os criminosos perceberam que o elo mais fácil de quebrar não é o software, é a pessoa.

A técnica se chama engenharia social. Em vez de forçar a porta com código malicioso, o atacante convence alguém de dentro a abrir a porta voluntariamente. E faz isso de forma extremamente coordenada:

• Reconhecimento prévio: antes de qualquer ligação, eles pesquisam a estrutura da empresa. Descobrem quem é o gerente, quem responde a quem, quais nomes usar.
• Mascaramento de chamadas: usam tecnologia para que apareça no celular da vítima o nome e o número reais do chefe dela. Isso derruba boa parte da desconfiança natural.
• Senso de urgência: a ligação sempre traz uma pressa artificial. "Preciso disso agora", "o sistema caiu", "não posso esperar". A pressa desliga o pensamento crítico.
• Velocidade brutal: em alguns casos analisados, o tempo entre a ligação, a entrada na rede e o download dos dados foi de menos de uma hora. Quando a TI percebe, o estrago já está feito.

Depois de entrar, o alvo costuma ser onde a empresa guarda seus documentos: repositórios como o SharePoint, pastas compartilhadas, sistemas de arquivos. Os dados são copiados e, em seguida, vem a extorsão: "pague ou vazamos tudo".

O erro de achar que "isso não acontece comigo"

Muitos gestores acreditam que golpes sofisticados são problema de banco e multinacional. É o contrário. A empresa média muitas vezes tem controles fracos, poucos processos formais e uma cultura de "resolver rápido" que joga a favor do atacante. Um funcionário acostumado a atender pedidos urgentes do chefe é o alvo perfeito.

Outro ponto: como não há malware, você não vai ver alerta vermelho no antivírus. O ataque é silencioso do ponto de vista técnico. Ele só é barrado quando há processo humano e controles de acesso bem desenhados.

O que fazer na prática

Boa notícia: as defesas contra esse tipo de golpe não dependem de comprar uma ferramenta cara. Dependem de organização. Algumas medidas que recomendo aos meus clientes:

• Regra de verificação para pedidos urgentes: estabeleça que qualquer solicitação de acesso, transferência ou liberação feita por telefone precisa ser confirmada por um segundo canal. Um retorno de ligação para o número interno oficial, uma mensagem no sistema corporativo. Nunca aja só com base na voz e no número que aparece na tela.
• Restringir acessos a dispositivos gerenciados: ferramentas como e-mail e repositórios de arquivos só devem abrir em computadores fornecidos e controlados pela TI. Isso impede que a máquina de um estranho entre na rede mesmo com um código válido.
• Autenticação multifator bem configurada: MFA ajuda, mas precisa ser resistente a phishing. Golpes assim exploram exatamente o momento de aprovação, então vale usar métodos que não sejam facilmente enganáveis.
• Filtrar sites recém-registrados: os sites falsos usados nesses golpes costumam ser criados poucos dias antes do ataque. Bloquear domínios muito novos na rede corta boa parte dessas armadilhas.
• Detecção de download em massa: configure alertas para grandes volumes de dados sendo baixados em pouco tempo, com bloqueio automático da conexão. É a linha de defesa que ganha os minutos que a equipe precisa para reagir.
• Treinar as pessoas: o treinamento continua sendo o investimento de maior retorno. Um funcionário que sabe que existe o golpe do chefe falso e que tem permissão para desconfiar e verificar vale mais que qualquer licença de software.

O ponto central

A segurança da sua empresa não é mais só uma questão de tecnologia, é uma questão de processo e cultura. Ataques como o do Helix vencem quando a pressa e a confiança superam a verificação. Um negócio organizado, com regras claras sobre quem pode liberar o quê e como confirmar, já elimina a maior parte do risco. O criminoso conta com a pressa. Sua melhor defesa é a calma institucionalizada.