Engenharia Social em 2025: As 7 Táticas que Hackers Usam Contra Seus Funcionários Agora

O Ataque que Não Precisa de Código

Enquanto empresas investem em firewalls e SIEM, atacantes aprenderam que o caminho mais eficiente passa pela central de atendimento, pelo help desk e pelo WhatsApp do gerente financeiro.

Em 2025, engenharia social foi turbinada por IA generativa e pela quantidade de informação pessoal disponível publicamente. Resultado: ataques mais convincentes, escaláveis e difíceis de detectar.

Tática 1: Vishing com Clonagem de Voz por IA

Ferramentas de clonagem de voz precisam de apenas 3 segundos de áudio para replicar qualquer pessoa. Em 2024, empresa britânica transferiu 220.000 euros para um suposto CEO — áudio sintético por IA. Em 2025, essa tecnologia custa menos de $50/mês.

Tática 2: Pretexting Hiper-Personalizado

Atacantes usam LinkedIn, Instagram e Glassdoor para criar contextos cirúrgicos: "Sou da equipe de RH. Sobre sua solicitação de home office enviada na sexta..." — e a vítima não suspeita porque o atacante conhece detalhes reais.

Tática 3: Quishing (QR Code Phishing)

Filtros de e-mail evoluíram — então o payload migrou para QR codes que contornam completamente os filtros de URL corporativos.

Tática 4: BEC com IA Generativa

LLMs geram e-mails de BEC adaptando tom e estilo ao histórico da vítima. Uma conta similar ([email protected]) com conteúdo por IA é suficientemente convincente.

Tática 5: Funcionários em Transição

Onboarding, demissão ou mudança de cargo = alvo prioritário. Ainda não conhecem bem os protocolos e aceitam pedidos incomuns sem questionar.

Tática 6: Comprometimento de Fornecedores

Se a empresa-alvo tem boas defesas, comprometa um fornecedor com defesas piores e use a credibilidade dele para injetar solicitações maliciosas.

Tática 7: Deepfakes em Videoconferência

Em 2024, empresa em Hong Kong perdeu 25 milhões de dólares após transferência solicitada em videochamada com o suposto CFO — deepfake ao vivo. A tecnologia ficou acessível em 2025.

Como se Defender

• Simule ataques reais — inclua vishing, pretexting e WhatsApp nos exercícios
• Verificação por canal secundário para transferências e resets de credencial
• Treinamento com casos reais — funcionários aprendem com histórias, não com PDFs
• Cultura de "ok questionar" — funcionários que temem ser mal-educados são o alvo perfeito

Tecnologia de segurança sem o elemento humano é como ter uma fechadura de alta tecnologia com a chave embaixo do tapete.

A CyberZ realiza simulações completas de engenharia social com relatório e programa de treinamento. Saiba mais.