Campanha de engenharia social usa NDAs falsos para evitar deteccao
A Gen Digital identificou uma campanha de engenharia social em que golpistas se passaram por um executivo da propria empresa e por um consultor da PwC para induzir um funcionario a mover a conversa para WhatsApp e email pessoal usando um NDA falso. O objetivo era isolar a vitima dos canais corporativos monitorados antes de solicitar uma transferencia fraudulenta de dinheiro, tatica classica de fraude do tipo BEC (Business Email Compromise). O funcionario percebeu as inconsistencias e colaborou com a investigacao, evitando o prejuizo.
A Gen Digital, dona de marcas como Norton e Avast, revelou uma campanha de engenharia social direcionada contra os proprios funcionarios. Um colaborador foi abordado por alguem que se apresentou como um executivo real da empresa baseado em Dublin; pouco depois, um segundo golpista entrou na conversa se passando por um consultor da PwC, dando uma aparencia de legitimidade multipartes ao contato. O funcionario, por ter formacao juridica, percebeu inconsistencias na narrativa e decidiu jogar junto para observar ate onde os criminosos iriam, permitindo que a Gen documentasse a tatica com detalhe.
Por dentro, o golpe segue um roteiro classico de fraude do tipo BEC (Business Email Compromise) com um verniz de compliance corporativo: os atacantes pedem um email pessoal da vitima e apresentam um NDA (acordo de confidencialidade) fabricado, orientando que toda comunicacao sobre uma suposta 'aquisicao' passe a ocorrer por WhatsApp e email pessoal, fora dos canais corporativos monitorados e logados pela empresa. A escolha de um tema de fusao/aquisicao nao foi aleatoria: os criminosos citaram a aquisicao real da Avast pela NortonLifeLock em 2022, emprestando credibilidade e mostrando que houve pesquisa previa sobre a historia da empresa-alvo.
O mecanismo psicologico e o de sempre em fraudes de pretexto: autoridade (executivo mais consultoria big four), urgencia e sigilo justificado por um documento legal. O NDA funciona como uma desculpa perfeita para a vitima nao verificar a solicitacao com colegas ou com o setor financeiro, exatamente o passo que romperia o golpe. O objetivo final, mesmo nao tendo se concretizado neste caso, costuma ser o mesmo em campanhas BEC: levar a vitima a autorizar uma transferencia de dinheiro ou a compartilhar credenciais e dados sensiveis num canal sem trilha de auditoria.
Na pratica, a defesa mais eficaz e simples: nenhum NDA ou pedido de confidencialidade legitimo exige abandonar os canais oficiais de comunicacao da empresa, muito menos usar WhatsApp pessoal para tratar de fusoes, pagamentos ou dados sensiveis. Solicitacoes desse tipo devem ser verificadas por um canal independente ja conhecido (ligar para o numero oficial do suposto executivo, confirmar com o juridico interno), e qualquer pedido de transferencia financeira precisa passar por dupla aprovacao formal, nunca decidida dentro da propria conversa que gerou a solicitacao.