Realizando Chamada de Pretexto de Engenharia Social

Visão Geral

Uma chamada de pretexto (vishing) é uma técnica de engenharia social onde um atacante se passa por uma figura de autoridade confiável por telefone para manipular alvos a divulgar informações sensíveis, realizar ações ou conceder acesso. Em engajamentos de red team, chamadas de pretexto testam o elemento humano dos controles de segurança, medindo a adesão dos funcionários aos procedimentos de verificação e a eficácia do treinamento de conscientização de segurança. O MITRE ATT&CK mapeia isso para T1566.004 (Phishing for Information: Voice) e T1598 (Phishing for Information).

Quando Usar

• Ao realizar avaliações de segurança que envolvam a realização de chamadas de pretexto de engenharia social
• Ao seguir procedimentos de resposta a incidentes para eventos de segurança relacionados
• Ao realizar testes de segurança ou atividades de auditoria agendadas
• Ao validar controles de segurança através de testes práticos

Pré-requisitos

• Autorização por escrito especificando o escopo e os limites da engenharia social
• Lista de funcionários-alvo aprovados (geralmente fornecida pelo cliente)
• Pesquisa OSINT sobre alvos e organização
• Capacidade de falsificar o ID de chamada (autorizado para testes)
• Equipamento de gravação de chamadas (com consentimento legal, conforme necessário)
• Cenários de pretexto aprovados pelo cliente

Mapeamento MITRE ATT&CK

Fase 1: OSINT e Pesquisa de Alvo

# LinkedIn employee enumeration
theHarvester -d targetcorp.com -b linkedin -l 200

# Company org chart and employee roles
# Review LinkedIn, corporate website "About Us" / "Team" pages

# Technology stack identification
# Check job postings for technology references (VPN vendor, email, helpdesk tool)

# Phone system identification
# Call main line, note IVR options, department names, extension patterns

Inteligência chave a ser coletada:

• Número de telefone e procedimentos do helpdesk interno
• Nomes e equipe do departamento de TI
• Fornecedor de VPN/acesso remoto (Cisco AnyConnect, Fortinet, Pulse Secure)
• Formato de e-mail corporativo (primeiro.ultimo, pultimo, etc.)
• Eventos recentes (fusões, mudanças de escritório, atualizações de sistema)
• Nomes de funcionários, cargos, departamentos

Fase 2: Desenvolvimento de Pretexto

Cenários Comuns de Pretexto

Impersonificação de Helpdesk de TI (Mais Eficaz):

"Olá, aqui é [nome] do Service Desk de TI. Estamos migrando todos para o novo cliente VPN esta semana, e vejo que sua conta ainda não foi atualizada. Preciso verificar suas credenciais atuais para garantir que a migração ocorra sem problemas. Você pode confirmar seu nome de usuário e senha atual?"

Fornecedor/Contratado:

"Olá, sou [nome] de [fornecedor conhecido]. Estamos fazendo uma implantação de patch de emergência para [produto] e preciso de acesso remoto ao seu sistema. Você poderia me ajudar a conectar via TeamViewer?"

Assistente Executivo (Autoridade):

"Aqui é [nome] falando em nome de [nome do CFO]. [Ele/Ela] precisa que uma transferência bancária urgente seja processada para um negócio que está fechando hoje. Enviarei os detalhes por e-mail, mas precisamos que isso seja feito na próxima hora."

Edifício/Instalações:

"Olá, aqui é [nome] do gerenciamento de instalações. Estamos atualizando o sistema de acesso por crachá neste fim de semana. Preciso confirmar seu ID de funcionário e o número atual do seu crachá para que seu acesso não seja interrompido."

Checklist de Pretexto

• O pretexto é crível para esta organização?
• Ele cria urgência apropriada sem ser ameaçador?
• Ele se alinha com as descobertas de OSINT (nomes reais de departamentos, sistemas reais)?
• Ele tem uma razão plausível para solicitar informações?
• Existe um plano B se o alvo resistir?
• O cliente aprovou este pretexto específico?

Fase 3: Execução da Chamada

Estrutura da Chamada

1. Introdução (10 segundos): Diga o nome, departamento, motivo da ligação
2. Criação de Rapport (30 segundos): Mencione algo real (evento recente, contexto compartilhado)
3. Estabelecimento de Autoridade (20 segundos): Mencione o nome do gerente, número do ticket, urgência
4. Solicitação de Informações (30 segundos): Peça as informações do alvo naturalmente
5. Lidar com Objeções: Se questionado, responda calmamente com respostas preparadas
6. Encerramento (10 segundos): Agradeça, não deixe suspeitas

Lidar com Objeções

…