Engenharia social contra o atendimento: o elo humano da fraude

O fraudador que causa mais prejuízo raramente quebra criptografia ou explora uma falha de software. Ele liga para a central de atendimento. Do outro lado da linha existe uma pessoa treinada para resolver problemas com rapidez, avaliada por tempo médio de atendimento e satisfação do cliente, e com um poder que nenhum invasor consegue obter sozinho: a autoridade de destravar contas, resetar credenciais e trocar o telefone cadastrado.

Esse tipo de ataque tem nome: engenharia social. Em vez de atacar a tecnologia, o golpista ataca o processo e a disposição humana de ajudar. E ele costuma vencer porque chega preparado, com dados pessoais reais da vítima em mãos, enquanto o atendente segue um roteiro que, em muitas empresas, aceita exatamente esses dados como prova de identidade.

Este texto é para quem desenha operação de atendimento, produto ou política de risco: por que o atendente é o alvo, como funciona o roteiro do atacante, por que o dado cadastral falhou como prova e quais defesas reduzem o problema sem depender do julgamento heroico de quem atende.

Por que o atendente é o alvo

A central de atendimento concentra três poderes que interessam ao fraudador. O primeiro é destravar: uma conta bloqueada por suspeita pode voltar a operar com uma ligação convincente. O segundo é resetar: uma credencial "esquecida" é redefinida por um fluxo que passa pelo atendente. O terceiro, e mais valioso, é trocar dados de contato: quem controla o telefone ou o e-mail cadastrado controla, na prática, a recuperação de senha e o recebimento de códigos de confirmação dali em diante.

Há também uma assimetria estrutural. O atacante escolhe o horário, ensaia a história e, se algo der errado, desliga e tenta de novo com outro atendente. O atendente trabalha sob meta de tempo, sob pressão para não frustrar um cliente legítimo e sem visibilidade das outras tentativas contra a mesma conta. Cada recusa a um cliente verdadeiro tem custo imediato; cada concessão indevida só cobra depois. O incentivo individual empurra para o sim.

A Federação Brasileira de Bancos (Febraban) alerta com frequência, em suas campanhas de prevenção, para os golpes de falsa central: o mesmo teatro no sentido inverso, em que o criminoso liga para o cliente se passando pelo banco. Os dois sentidos se alimentam: dados obtidos enganando o cliente viram munição para enganar o atendente, e vice-versa.

O roteiro do atacante

O golpe bem executado segue etapas reconhecíveis.

1. Coleta prévia. O atacante monta um dossiê com dados vazados: nome completo, número do Cadastro de Pessoas Físicas (CPF), data de nascimento, filiação, endereço, às vezes histórico de compras. Um CPF vazado é matéria-prima suficiente para abrir esse caminho, porque muitos fluxos de atendimento ainda tratam esses dados como segredo.
2. Pretexto. Uma história plausível que justifica o pedido: "perdi o celular", "fui vítima de um golpe e preciso bloquear tudo", "estou no exterior sem acesso ao aplicativo". O pretexto bom explica, de antemão, por que os canais normais não servem.
3. Urgência e autoridade. Pressa fabricada ("meu voo sai em uma hora"), sofrimento ("estão roubando minha conta agora") ou hierarquia ("sou do setor de fraudes da própria empresa"). O objetivo é tirar o atendente do procedimento e colocá-lo no modo de exceção.
4. Escalada de pedidos. Começa com o inofensivo: confirmar um dado, verificar um status. Cada resposta vira insumo para a próxima pergunta, até chegar ao pedido que importa: trocar o telefone cadastrado ou resetar a credencial.

Repare que nenhuma etapa exige sofisticação técnica. Exige preparo, sangue frio e uma empresa cujo processo confunda posse de dados com identidade.

Por que o dado cadastral falhou como prova de identidade

Autenticar alguém perguntando o nome da mãe, a data de nascimento ou dígitos de documento tem nome técnico: autenticação baseada em conhecimento, a chamada KBA (knowledge-based authentication). A premissa é que só o titular conhece as respostas. Essa premissa envelheceu mal: depois dos vazamentos de dados em série da última década, é prudente operar assumindo que dados cadastrais vazados circulam em bases criminosas em grande escala.

Mesmo sem vazamento, o modelo é frágil por construção. O dado cadastral é um segredo estático e compartilhado: o mesmo valor é entregue a dezenas de empresas, nunca é rotacionado e não pode ser revogado. Ninguém troca de data de nascimento depois de um incidente.

A referência técnica aqui é a Special Publication 800-63B (SP 800-63B) do National Institute of Standards and Technology (NIST), o instituto de padrões do governo americano. As diretrizes de identidade digital do NIST SP 800-63B não incluem perguntas sobre dados pessoais entre os autenticadores aceitáveis: autenticar exige um segredo que só o titular controla, e um dado que terceiros conhecem ou podem obter não cumpre esse papel. Quem acerta as respostas do cadastro não provou ser o titular; provou apenas ter acesso aos dados do titular.

Desenho de defesa institucional

A defesa que funciona não depende de atendentes desconfiados por natureza. Depende de processo, com fricção proporcional ao risco da ação: consultar um boleto é uma coisa, trocar o telefone cadastrado é outra, e o fluxo precisa tratá-las de forma diferente.

Re-verificação forte para ações sensíveis

Defina uma lista curta e explícita de ações sensíveis: troca de telefone ou e-mail, reset de credencial, desbloqueio de conta, aumento de limite, alteração de chave de recebimento. Nenhuma delas se completa só com a conversa. O atendente inicia; a confirmação acontece fora da ligação, por um fator que o golpista não controla: um código de uso único aprovado dentro do aplicativo, ou uma nova verificação de identidade com prova de vida, que exige documento e um rosto real e presente diante da câmera. Códigos por mensagem de texto (SMS, Short Message Service) são melhores que nada, mas o SMS tem limites conhecidos como fator de autenticação, justamente porque a troca do chip também pode ser obtida por engenharia social contra a operadora. Na UNIFOKAL, por exemplo, o desenho recomendado é a instituição iniciar uma nova verificação de identidade, com documento e prova de vida, e o atendente só concluir a ação quando o resultado aprovado chega pelo webhook, sem nunca receber ou ditar código algum.

Script que confirma sem revelar

O atendente jamais completa informação. "Seu telefone termina em 4321, certo?" é um vazamento com voz educada. A regra operacional é uma só: quem liga fornece, o sistema confirma. E a resposta a um dado errado é neutra ("não consigo validar por este canal"), sem indicar qual campo falhou, porque cada acerto e cada erro informam o atacante para a próxima ligação.

Limites duros e segunda aprovação

Escreva o que o atendimento não pode fazer sozinho, em nenhuma hipótese. Trocas de dados de contato e resets críticos pedem segunda aprovação de outra pessoa, uma janela de espera com aviso ao titular, ou ambos. E o aviso da troca de telefone vai para o telefone antigo: é a última chance de o titular verdadeiro puxar o freio.

Treinar, medir e auditar

Treinamento sem medição vira palestra. Rode simulações autorizadas de engenharia social contra a própria central e trate o resultado como métrica de processo, não como culpa individual. Registre tentativas suspeitas como evento de segurança pesquisável (conta alvo, pretexto usado, dado que o atacante já conhecia) e cruze registros: engenharia social é campanha, não ligação isolada. Por fim, audite: toda ação sensível executada via atendimento precisa de trilha de quem fez, quando e com qual justificativa.

O enquadramento penal no Brasil

No direito brasileiro, o golpe por engenharia social costuma ser analisado sob a moldura do estelionato, definido no art. 171 do Código Penal (Decreto-Lei 2.848/1940) como obter vantagem ilícita, em prejuízo alheio, induzindo ou mantendo alguém em erro mediante artifício ou ardil. Enganar um atendente para destravar a conta de terceiro se encaixa com naturalidade nessa descrição.

A Lei 14.155/2021 endureceu esse quadro ao alterar o Código Penal para punir com mais rigor a fraude cometida por meio eletrônico, incluindo a hipótese em que a vítima é induzida a fornecer as informações que viabilizam o golpe. O enquadramento exato de cada caso depende das circunstâncias concretas e cabe ao Judiciário. Para a empresa, a lição prática é preservar evidências: gravações das ligações, logs das ações executadas e trilha de auditoria, sem as quais nem a investigação interna nem a criminal avançam.

Fontes citadas

• NIST SP 800-63B, Digital Identity Guidelines: Authentication and Lifecycle Management, National Institute of Standards and Technology
• Código Penal, Decreto-Lei 2.848/1940, art. 171
• Lei 14.155/2021
• Febraban (Federação Brasileira de Bancos), campanhas de prevenção a golpes de engenharia social e de falsa central