Durante muito tempo, golpes de engenharia social foram associados a abordagens relativamente simples: uma mensagem de e-mail mal escrita, um SMS suspeito ou uma ligação insistente tentando convencer a vítima a fornecer alguma informação. Embora esse tipo de fraude ainda funcione, os grupos criminosos vêm aprimorando suas técnicas e, cada vez mais, combinam diferentes canais de comunicação para construir histórias mais convincentes.
É nesse contexto que ganham espaço os chamados golpes omnichannel, ou golpes multicanais. Em vez de depender de uma única interação, o criminoso utiliza telefone, e-mail, SMS, aplicativos de mensagens, redes sociais e, em alguns casos, até presença física para criar uma narrativa coerente. A vítima não recebe apenas uma tentativa de fraude, mas uma sequência de acontecimentos que parece confirmar a legitimidade da abordagem.
O conceito de omnichannel é bastante conhecido no varejo e no atendimento ao cliente. A ideia é oferecer uma experiência integrada entre diferentes canais. No universo dos golpes, o princípio é parecido, mas aplicado de forma maliciosa. Um criminoso pode iniciar o contato por telefone, continuar a conversa pelo WhatsApp, enviar posteriormente um e-mail e, em determinado momento, apresentar uma informação que parece comprovar sua identidade. Cada interação funciona como uma peça da mesma história.
Esse modelo é particularmente eficaz porque explora um mecanismo psicológico importante: a confirmação entre diferentes fontes aumenta a percepção de legitimidade. Quando uma pessoa recebe uma ligação e, minutos depois, uma mensagem aparentemente relacionada ao mesmo assunto, ela tende a interpretar a segunda interação como confirmação da primeira. O golpe deixa de parecer uma abordagem isolada e passa a se comportar como uma situação real.
Entre as diferentes técnicas utilizadas nesses golpes, o vishing, termo usado para golpes realizados por voz ou telefone, tem ganhado um papel importante como porta de entrada. A ligação permite que o criminoso estabeleça rapidamente uma relação de confiança e, principalmente, conduza a conversa em tempo real. Diferentemente de um e-mail que pode ser ignorado, uma ligação cria pressão imediata e permite ao fraudador adaptar o discurso conforme as respostas da vítima.
É comum que o criminoso se apresente como funcionário de banco, empresa de tecnologia, operadora de telefonia, órgão público ou até integrante do departamento de segurança da própria organização. O objetivo inicial nem sempre é obter imediatamente uma senha ou realizar uma transferência. Muitas vezes, a primeira conversa serve para coletar informações e preparar a próxima etapa.
O criminoso pode confirmar nome, cargo, setor, rotina, número corporativo ou informações sobre determinado processo interno. Esses dados podem ser utilizados posteriormente para tornar outras abordagens muito mais convincentes.
Depois da ligação, outros canais podem ser utilizados para reforçar a narrativa. É nesse momento que aparecem técnicas como phishing, normalmente associado a e-mails fraudulentos, e smishing, quando a abordagem ocorre por SMS ou mensagens semelhantes.
Imagine, por exemplo, que um funcionário receba uma ligação informando que existe uma suposta tentativa de acesso à sua conta corporativa. Durante a conversa, o criminoso afirma que enviará um procedimento de validação por e-mail. Pouco depois, chega uma mensagem com logotipo, identidade visual e linguagem semelhante à utilizada pela empresa.
Há um link para uma página falsa de autenticação ou para algum procedimento solicitado durante a ligação. O segundo contato parece legítimo justamente porque está conectado ao primeiro.
Em outras situações, o SMS pode chegar primeiro, seguido por uma ligação de alguém que se apresenta como integrante da equipe responsável pelo atendimento. O objetivo é o mesmo: fazer com que canais diferentes pareçam independentes quando, na verdade, estão sendo coordenados pelo mesmo grupo.
A evolução dos golpes multicanais não acontece apenas na internet. Em ataques mais sofisticados, os criminosos podem utilizar elementos físicos para reforçar a história. Uma possibilidade é explorar ambientes corporativos controlados por meio de engenharia social presencial, tentando obter acesso a determinados espaços ou convencer funcionários de que determinada pessoa realmente pertence a uma organização ou prestador de serviço.
Uma visita aparentemente legítima pode ser utilizada para reforçar informações obtidas anteriormente por telefone. Da mesma forma, dados coletados digitalmente podem ajudar o criminoso a escolher uma abordagem física mais convincente. Essa combinação é especialmente preocupante porque rompe uma distinção que muitas empresas ainda fazem entre segurança física e segurança digital. Em um golpe omnichannel, os dois ambientes podem fazer parte da mesma operação.
É importante entender que essa evolução não significa necessariamente que todos os criminosos tenham se tornado especialistas em tecnologia. Muitos golpes continuam explorando comportamentos humanos bastante conhecidos, como urgência, autoridade, medo, curiosidade e desejo de resolver rapidamente um problema. A diferença está na coordenação da abordagem.
Mesmo quando uma pessoa é capaz de identificar um phishing simples, ela pode ter mais dificuldade quando a mesma história é apresentada por diferentes canais. A informação recebida por telefone parece ser confirmada por um e-mail. O e-mail parece ser reforçado por um SMS. Um funcionário supostamente confirma a situação em uma chamada posterior. A sequência cria uma sensação de contexto que pode diminuir a desconfiança.
Por isso, não é adequado imaginar que o combate à engenharia social depende apenas de ensinar funcionários a identificar mensagens suspeitas. A prevenção precisa considerar também situações em que o conteúdo, isoladamente, parece plausível.
A primeira medida é investir em treinamento contínuo de pessoal, indo além de campanhas pontuais sobre phishing. Funcionários precisam compreender como ataques multicanais funcionam e, principalmente, aprender a reconhecer inconsistências entre diferentes formas de contato.
Procedimentos internos também são importantes. Uma solicitação recebida por telefone não deve necessariamente ser considerada válida apenas porque uma mensagem posterior parece confirmá-la. Processos de autenticação, confirmação por canais oficiais e validação independente podem impedir que o criminoso controle toda a conversa.
Também é importante preparar os funcionários para reportar situações suspeitas sem receio de punição. Quanto mais rapidamente uma organização identifica uma tentativa de fraude, maiores são as chances de bloquear outras etapas do ataque e proteger outras pessoas.
Outro ponto frequentemente negligenciado é a notificação às autoridades competentes. Mesmo quando uma tentativa de golpe não resulta em prejuízo financeiro, o registro pode contribuir para investigações, identificação de padrões e associação entre ocorrências.
As empresas também podem utilizar os incidentes para melhorar seus próprios controles. Um golpe bem documentado ajuda a identificar quais informações foram exploradas, quais canais foram utilizados e em que momento a engenharia social conseguiu avançar.
A evolução dos golpes exige uma resposta igualmente estruturada. Em vez de considerar cada ligação, e-mail ou mensagem como um evento isolado, organizações precisam enxergar a possibilidade de que todos façam parte de uma mesma operação.
Os golpes omnichannel representam uma evolução natural da engenharia social. A lógica continua sendo a exploração da confiança e do comportamento humano, mas os criminosos passaram a combinar recursos diferentes para tornar suas histórias mais consistentes.
Ainda existem golpes extremamente simples, e muitas pessoas continuam sendo vítimas deles. Entretanto, a existência dessas fraudes não deve levar as empresas a subestimar ataques mais elaborados. À medida que grupos criminosos profissionalizam suas operações, é razoável esperar abordagens mais coordenadas, personalizadas e capazes de atravessar diferentes canais.
Por isso, segurança não deve depender apenas da capacidade de alguém identificar um e-mail falso ou desconfiar de uma ligação. Ela precisa envolver treinamento, processos, validação, comunicação interna e, sempre que necessário, o reporte às autoridades. Em um golpe omnichannel, cada canal pode parecer apenas mais uma peça do atendimento. O problema é que, muitas vezes, todas essas peças estão sendo controladas pela mesma pessoa..
3º PAINEL ESKIVE - Cibercrime e os Golpes Omnichannel
Assista a uma discussão multifacetada, mediada por nossa CEO Priscila Meyer e com participação de Thiago Bordini (especialista em cyber threat intelligence) e Elias Edenis (policial civil e professor de investigação de cibercrimes na ACADEPOL/SC) sobre a febre dos golpes multicanais. Confira gratuitamente! ⭣