“O problema não é a tecnologia, são as pessoas”: ‘SoundsVishy’ aposta na literacia para mudar comportamentos

Phishing, vishing, smishing, deepfakes. Os termos que há muito fazem parte do vocabulário dos profissionais de cibersegurança começam a deixar a esfera do IT para se tornarem progressivamente familiares na opinião pública.

A criação de awareness sobre estes conceitos de engenharia social é um dos principais objetivos do SoundsVishy, o mais recente projeto de Teresa Pereira, Cyber Threat Hunter e convidada da IT Security Conference 2025.

A conta de Instagram – com o mesmo nome – procura ajudar a identificar o tipo de ataque e o plano de atuação em cada um dos casos. A abordagem passa, com recurso a exemplos práticos e partilha de printscreens, por levar os utilizadores a identificarem o tipo de ataque. “Depois de deixar o desafio ativo durante umas horas, explico se é ou não smishing ou vishing. Vou desde o domínio até à análise da mensagem em si. O meu objetivo é que o utilizador pare, pense, leia, porque muitos de nós não o fazem”, revela Teresa Pereira.

A especialista admite que o trabalho de sensibilização, intrínseco ao projeto, “não é fácil”, uma vez que o problema continua a assentar, sobretudo, no fator humano: “A raiz do problema não é a tecnologia, são as pessoas e, aqui, o caminho é muito mais longo. As pessoas querem sistemas que detetem por elas, não querem ser elas a fazer e a ter o trabalho”.

Teresa Pereira considera que, no fim da linha, o projeto pretende “mudar comportamentos e adaptar”. “O projeto foi criado para não só chegar às organizações, mas também chegar às pessoas e mostrar-lhes que este é um dever de todos, não é só das pessoas que trabalham em cibersegurança”.

Se a primeira fase da interação assenta na passagem de conhecimento e no fornecimento de ferramentas para a identificação dos diversos ataques, o passa a palavra e a consequente evangelização entre utilizadores sobre os diferentes termos são o objetivo seguinte. “Pretendo lançar o desafio, mas depois cria-se toda uma cadeia de diálogos e comportamentos”, afirma a criadora do projeto

Porque continua o awareness a falhar?

Em novembro de 2025, no âmbito de mais uma edição da Web Summit em Lisboa, Christian Reinhardt, Chief Cyber Psychologist da SoSafe, empresa especializada em soluções de security awareness e simulação de phishing, revelava, em entrevista à IT Security, que a maioria dos programas de consciencialização em cibersegurança “falha tanto no conteúdo como na entrega”.

A visão de Teresa Pereira vai ao encontro desta ideia, uma vez que a especialista considera que a sensibilização também continua a falhar nas organizações portuguesas, estabelecendo uma comparação com a educação: “a educação vem de casa – se não o fazes em casa, na escola também não vais fazer; funciona da mesma forma quando aplicado à empresa onde trabalhas”.

Outro fator a ter em conta é a ideia de que “só acontece aos outros” e de que a maioria dos utilizadores não são um alvo a considerar: “Toda a gente é interessante. Não é necessário sermos o alvo final; só precisamos de ser alguém intermediário que dá o acesso”, relembra Teresa Pereira.

Pegada digital à mercê dos atacantes

Numa era de banalização das redes sociais, o consequente aumento de exposição de conteúdos pessoais e familiares é um dos fatores de risco a ter em conta na equação do awareness. “Quando vemos este tipo de comportamentos e de publicações, temos tendência para fazer o mesmo porque achamos que vai gerar interesse nas pessoas. Quando alguém o faz, está a colocar, sem se aperceber, a sua vida na internet, o que cria uma base de dados interessante para criar campanhas mais customizadas”.

IA aumenta sofisticação

A Inteligência Artificial (IA) veio adicionar uma camada ainda mais complexa à engenharia social. No atual ecossistema, Teresa Pereira destaca ataques de smishing onde as mensagens são cada vez mais completas, mais direcionadas e com menos erros ortográficos; já as chamadas fraudulentas (vishing), com recurso a IA, ainda são pouco exploradas em contexto nacional.

“Muitas vezes o objetivo final da engenharia social não é provocar algum dano como, por exemplo, retirar dinheiro da conta; às vezes, basta procurar informação sobre ti e isso chega para fazer chantagem”, esclarece.

O futuro do combate à engenharia social passa, assim, pela sensibilização e pela mudança de comportamentos: “Necessitamos de awareness, de mudar comportamentos, de percebermos o que temos dentro [das organizações] e melhorar”, conclui.