Engenharia social: o golpe que não precisa de malware nenhum pra funcionar

Boa parte dos ataques que causam prejuízo financeiro real numa empresa não precisa de vulnerabilidade de sistema nenhuma. O criminoso não invade o firewall, ele convence alguém de dentro a abrir a porta. Esse é o funcionamento básico da engenharia social, hoje a modalidade de ataque mais barata, mais escalável e mais difícil de bloquear com ferramenta.

Por que o crime virou economia de escala

Achar uma vulnerabilidade zero-day num sistema corporativo robusto custa tempo e poder computacional caro. Mandar um e-mail fraudulento em massa custa perto de zero. Quando invadir rede vira questão de custo-benefício, o fator humano acaba sendo o alvo natural: é a parte mais barata de comprometer.

Boa parte dos ataques bem-sucedidos hoje começa com phishing. Segundo o Verizon DBIR 2026, o phishing deu origem a 16% das violações de dados registradas globalmente, e outros levantamentos do setor estimam que entre 80% e 90% dos ataques direcionados a empresa têm o phishing como porta de entrada, mesmo quando o golpe final é bem mais sofisticado que isso. Erro humano e engenharia social, somados, aparecem em 60% das violações de dados no mundo.

PME não é alvo pequeno demais

A ideia de que só empresa grande é alvo de cibercrime não corresponde mais à realidade. Segundo o SMB Cyber Readiness Index 2026, da ESET, 45% das pequenas e médias empresas brasileiras sofreram ao menos um incidente de cibersegurança nos últimos 12 meses, e 14% delas sofreram mais de um ataque no período. Entre as afetadas, 34% levaram de duas a seis semanas pra normalizar a operação, tempo em que faturamento e atendimento ficam comprometidos.

O mesmo estudo aponta que 62% das PMEs brasileiras citam falha de segurança em ambiente de nuvem como maior risco percebido, e a mesma fatia aponta ataque baseado em inteligência artificial como uma das principais ameaças, sinal de que o problema já mudou de cara mesmo pra quem opera em escala menor.

O que a mensagem manipula, não o que ela invade

O ataque não depende de código malicioso, depende de psicologia. Quatro gatilhos aparecem quase sempre, sozinhos ou combinados. Urgência artificial, prazo apertado com penalidade grave se não agir agora, empurra a vítima pra reação impulsiva. Autoridade forjada, mensagem que parece vir de diretor, banco ou órgão público, inibe o questionamento. Confiança construída, com logotipo idêntico e assinatura de e-mail clonada, baixa a guarda de quem já tem relação comercial com aquela marca. E curiosidade ou oportunidade, oferta boa demais ou arquivo com nome instigante, puxa o clique por vontade própria, não por medo.

A IA tirou o maior sinal de alerta

Erro de português e tradução malfeita costumavam ser o jeito mais fácil de identificar phishing vindo de fora. Modelo de linguagem eliminou essa barreira: hoje a mensagem sai fluente, no tom certo, adaptada pro jargão de cada setor. O efeito prático já tem número: mensagem de phishing escrita por IA converte em até 54% de taxa de clique, contra 12% da versão escrita manualmente, segundo levantamento do setor de segurança.

O mesmo avanço vale pro golpe por voz. Clonagem de voz reduziu a confirmação por telefone, antes considerada prova relativamente segura de identidade, a mais um elo que pode ser falsificado.

O preço, em número redondo

O relatório Cost of a Data Breach 2025, da IBM com o Ponemon Institute, mediu o custo médio de uma violação de dados no Brasil em R$ 7,19 milhões, alta de 6,5% sobre os R$ 6,75 milhões do ano anterior. Por setor, o levantamento aponta R$ 11,43 milhões em saúde, R$ 8,92 milhões no setor financeiro e R$ 8,51 milhões em serviços. Quando o vetor inicial é especificamente phishing, o custo médio sobe pra R$ 7,18 milhões segundo a IBM, e outro levantamento do setor situa o custo de incidente por phishing no Brasil em R$ 7,75 milhões.

Um dado que o próprio relatório da IBM isola vale reter: empresa que adota IA e automação de segurança de forma extensa fecha com custo médio de R$ 6,48 milhões por incidente, contra R$ 8,78 milhões de quem não usa nada disso, uma diferença de 26%. Ainda assim, 87% das organizações brasileiras pesquisadas não têm política de governança de IA, e 61% não têm nenhum controle de acesso pra ferramenta de IA usada internamente, uma lacuna que vira ela mesma um vetor de risco.

Além do custo direto do incidente, existe o passivo regulatório. A LGPD prevê multa de até 2% do faturamento da empresa, limitada a R$ 50 milhões por infração, pra quem negligencia medida razoável de proteção de dado pessoal.

O que dá pra consertar sem gastar uma fortuna

Ferramenta de perímetro, por mais avançada, não tem como julgar se um diretor autenticado no próprio computador está agindo por vontade própria ou sob manipulação. Pra esse tipo de ataque, o remédio mais eficaz não é tecnológico, é processual, e custa pouco pra implementar.

Autenticação multifator é o item de maior custo-benefício da lista: mesmo que a senha vaze, o acesso completo continua bloqueado sem o segundo fator, que fica fisicamente com o usuário legítimo. Verificação fora de banda é a segunda camada mais simples: qualquer pedido incomum, principalmente envolvendo pagamento ou dado sensível, se confirma por um canal diferente do que trouxe o pedido, como uma ligação pro ramal já cadastrado, nunca pro telefone que veio junto da mensagem suspeita. Privilégio mínimo reduz o estrago quando alguém cai no golpe: acesso de cada pessoa limitado ao que o cargo realmente exige, não ao máximo que o sistema permite. E treinamento recorrente, não só na admissão, mantém a equipe reconhecendo os quatro gatilhos emocionais mesmo quando a mensagem chega bem escrita.

Nenhuma dessas quatro medidas depende de orçamento grande. Depende de virar rotina.

Referências

IBM Newsroom Brasil: Custo médio de uma violação de dados no Brasil atinge R$ 7,19 milhões TI Inside: Quase metade das PMEs sofreu incidente de cibersegurança no último ano, aponta estudo Eletrolar News: Nuvem, IA e phishing lideram riscos de cibersegurança para PMEs