Data brokers e redes sociais: Os “Big Brother” da engenharia social

Mas quantos destes utilizadores recorrem às redes sociais apenas para consumir conteúdo de terceiros, sem publicar qualquer tipo de conteúdo nos seus próprios perfis? A verdade é que, para muitos, as redes sociais funcionam como uma espécie de "diário digital", onde partilham as suas viagens, a vida profissional, a família, os amigos, os desgostos amorosos, os locais onde fazem compras, a cidade onde vivem e, em alguns casos, detalhes ainda mais pessoais.

Do ponto de vista da engenharia social, toda esta informação é extremamente apelativa para um atacante. Na verdade, pode ser suficiente para construir uma campanha de engenharia social altamente credível, direcionada a um indivíduo ou a um grupo específico. Até uma simples parceria com uma marca pode servir de pretexto para uma campanha maliciosa.

Atualmente, a engenharia social continua a ser uma das principais portas de entrada para os atacantes nas organizações. Afinal, para quê investir horas ou dias na exploração de uma vulnerabilidade técnica quando uma chamada de vishing de apenas 30 minutos pode comprometer uma conta?

Segundo diversos relatórios publicados em 2025, as chamadas de vishing aumentaram 442%, os ataques de smishing cresceram entre 30% e 40% a cada quatro meses e foram ainda observados cerca de 4 milhões de emails de phishing enviados durante o período analisado.

Todas as campanhas de engenharia social assentam num pilar comum: a confiança. Esta confiança pode ser construída de várias formas, dependendo do tipo de ataque: phishing, vishing ou smishing. No entanto, uma das abordagens mais eficazes e rápidas consiste em criar aquilo a que chamamos "social proof", ou seja, demonstrar ao alvo que pertencemos a uma entidade que lhe é familiar e que já dispomos de alguma informação sobre ele. Com a quantidade de informação disponível nas redes sociais, este "social proof" torna-se relativamente fácil de construir.

Mas recuemos um pouco. Se já identificámos o nosso alvo, reunimos a informação que pretendemos utilizar e definimos o cenário e o tipo de campanha, como obtemos o endereço de email ou o número de telefone dessa pessoa?

É aqui que entram os data brokers. Os data brokers são entidades especializadas na recolha, agregação e análise de informação sobre indivíduos, incluindo dados pessoais, que posteriormente comercializam junto de outras empresas, muitas vezes para fins de marketing e publicidade. Na Europa, o RGPD (Regulamento Geral sobre a Proteção de Dados) foi criado para garantir que os cidadãos consentem a recolha e o tratamento dos seus dados por estas entidades. No entanto, continua a ser impressionante e, por vezes, assustadora, a quantidade de informação que muitos destes data brokers possuem sobre um indivíduo.

Em muitos casos, um perfil de LinkedIn ou um simples nome de utilizador são suficientes para obter acesso ao endereço de email ou ao número de telefone de uma pessoa, por um custo que pode ser tão baixo quanto 0 €.

Nos últimos anos, e em grande parte devido à evolução da Inteligência Artificial, têm surgido novas ferramentas capazes de detetar e bloquear ataques de engenharia social de forma cada vez mais eficaz.

Considero extremamente positivo existirem soluções tecnológicas que filtram emails fraudulentos, bloqueiam chamadas suspeitas ou impedem a entrega de mensagens maliciosas antes de estas chegarem ao destinatário. No entanto, gosto de recorrer à seguinte analogia: a cibersegurança é como uma cebola.

O que torna uma organização ou um indivíduo mais resiliente não é uma única solução, mas sim a implementação de várias camadas de proteção. E importa recordar que nenhum sistema é 100% seguro e nenhuma pessoa é totalmente imune a ataques, especialmente quando falamos de engenharia social. Uma dessas camadas fundamentais da "cebola", ou, neste caso, da cibersegurança, é a consciencialização.

No caso das redes sociais, a consciencialização passa por publicar apenas o estritamente necessário, evitando a exposição de detalhes pessoais, como informações sobre familiares, amigos, relacionamentos ou localizações. Manter os perfis privados e aceitar apenas pedidos de ligação ou amizade de pessoas conhecidas são medidas igualmente importantes. É também fundamental ter em consideração que os gostos, comentários e outras interações podem fornecer informação valiosa para campanhas de engenharia social. Quanto a este aspeto, deixo a decisão ao critério de cada um, embora recomende moderação.

No caso dos data brokers, a consciencialização passa por ler sempre as letras pequenas, recusar consentimentos desnecessários e evitar aceitar cláusulas que solicitem informação excessiva ou particularmente sensível. Sempre que nos sejam pedidos dados pessoais sem um enquadramento claro de consentimento, devemos questionar a necessidade dessa recolha e evitar fornecer qualquer informação sem garantias adequadas de conformidade com o RGPD.

Nos Estados Unidos da América existem diversas plataformas que, mediante subscrição paga, contactam vários data brokers e solicitam a eliminação da informação associada a um determinado indivíduo. Em Portugal, estas plataformas ainda não se encontram disponíveis, pelo que a solução mais comum passa atualmente pelo envio de pedidos de opt-out diretamente aos data brokers.

Em suma, por mais avançadas que sejam as tecnologias de deteção e bloqueio de ataques de engenharia social, pessoas informadas e preparadas continuam a ser a melhor linha de defesa.

A cibersegurança é um trabalho coletivo. E tu fazes parte da equipa!