Vishing e Falso Apoio Informático: Engenharia Social por Telefone

O vishing (phishing por voz) é um ataque de engenharia social em que o atacante telefona à vítima, se apresenta como uma pessoa ou entidade de confiança e a convence a partilhar informação ou a fazer uma ação. Um dos cenários mais comuns é o falso help desk: "Ligamos da informática, há um problema no seu sistema." À medida que os colaboradores ficam mais atentos aos links nos emails, os atacantes passam para o telefone, o SMS e o chat ao vivo. Neste artigo explicamos como funcionam estes ataques e como as organizações se podem preparar.

"Ligamos da informática"

Muitos colaboradores que ouvem esta frase partilham os seus dados. Quem liga fala mesmo como a equipa de TI, usa os termos internos certos, tem pressa e é convincente.

Segundo um relatório da CrowdStrike publicado no fim de abril de 2026, dois grupos de cibercrime chamados Cordial Spider e Snarky Spider fazem exatamente isto. Fazendo-se passar por apoio informático ao telefone, encaminham os colaboradores para páginas falsas que imitam a página de autenticação única (SSO) da empresa, capturam os dados de sessão e registam os seus próprios dispositivos MFA. O relatório indica que um dos grupos começou a extrair dados em menos de uma hora.

O telefone resulta melhor do que o email

Segundo o Data Breach Investigations Report de 2026 da Verizon, a engenharia social por telefone e SMS tem uma taxa de êxito 40 por cento superior à do phishing por email.

O relatório descreve um padrão que se repete:

1. Primeiro, a caixa de correio do colaborador é inundada de spam.
2. Assim cria-se uma "emergência informática" realista.
3. Depois, alguém faz-se passar pelo help desk por telefone ou Teams e pede acesso remoto ao computador "para resolver o problema".

Sem código malicioso, sem links suspeitos. Nada que os sistemas técnicos possam detetar.

Telemóveis pessoais e o pretexto da passkey

Segundo as conclusões publicadas pela equipa de informações sobre ameaças da Google no verão de 2026, um grupo de atacantes liga aos colaboradores para os telemóveis pessoais, em vez das linhas da empresa. Em alguns casos conseguiram até falsificar o número do verdadeiro help desk.

O cenário é normalmente o mesmo: "Tem de configurar uma passkey para uma atualização de segurança urgente." Quando o colaborador introduz os dados na página para onde é encaminhado, a password e a sessão são roubadas de imediato. Recentemente, o grupo tem-se concentrado nos setores financeiro e jurídico, sobretudo em empresas em processos de fusão ou aquisição.

Chat ao vivo: uma nova armadilha que transmite confiança

Numa campanha identificada pelos investigadores da Cofense, os atacantes usaram o chat ao vivo em vez do email:

1. Um email que parece vir do PayPal: "Tem direito a um reembolso de 200 dólares."
2. Quando o utilizador clica no botão, abre-se uma janela de chat semelhante a um verdadeiro ecrã de apoio ao cliente.
3. O "assistente" pede os dados da conta para tratar do reembolso.
4. Chega um código MFA ao telemóvel do utilizador, e o assistente pede também esse código.
5. A seguir são pedidos dados de faturação, data de nascimento e número do cartão "para confirmação".

Como o chat ao vivo é em tempo real e pessoal, tranquiliza as pessoas. A MFA não travou este ataque, porque foi o próprio utilizador que entregou o código.

Porque as medidas técnicas não chegam

Uma tentativa falhada de ataque a gestores de topo da empresa de segurança Outpost24, em março de 2026, mostra que até uma defesa em camadas pode não travar um ataque que chega ao utilizador. O ataque usou um email com assinatura DKIM válida, redirecionamento através de infraestruturas de confiança, um domínio registado de novo com historial limpo e uma página que bloqueava os analisadores automáticos. No último passo, pedia-se ao alvo que introduzisse os dados da sua conta Microsoft.

Se um ataque chega ao utilizador mesmo numa organização com tantas proteções, a última linha de defesa é a atenção do utilizador.

Como se devem preparar as organizações?

1. Ensine a todos a regra de ouro: os verdadeiros departamentos de TI nunca ligam aos utilizadores a pedir a password ou o código MFA. Esta regra não deve ter exceções.
2. Procedimento de devolução da chamada: se uma chamada que diz vir da informática parecer suspeita, o colaborador deve desligar e ligar para o número conhecido do help desk.
3. Proteja também o help desk: os atacantes podem ligar para o help desk a fingir ser um colaborador e pedir a reposição da MFA. Os procedimentos de verificação de identidade devem funcionar nos dois sentidos.
4. Leve as simulações além do email: se o programa de sensibilização ainda assenta só no email, os colaboradores ficam impreparados para o canal de ataque que mais cresce. Os cenários de voz e SMS devem fazer parte do programa.
5. Inclua os telemóveis pessoais: explique que os colaboradores também devem ter cuidado com chamadas "de trabalho" para os seus números pessoais.

Perguntas frequentes

---
As simulações direcionadas da InfoLore cobrem cenários de telefone e SMS, além do email. Contacte-nos para medir a preparação da sua organização para o falso help desk.