Engenharia social é a manipulação psicológica sistemática de indivíduos para que executem ações ou divulguem informações que, voluntariamente, comprometem a segurança de um sistema, organização ou processo — explorando vieses cognitivos e dinâmicas sociais em vez de vulnerabilidades técnicas.
1. Definição e Escopo
A expressão “engenharia social” articula, na literatura contemporânea, dois sentidos historicamente distintos mas conceitualmente relacionados. Em sua acepção sociológica clássica, formulada no final do século XIX e consolidada na primeira metade do século XX, designa intervenções planejadas para moldar atitudes, comportamentos e estruturas sociais em escala — tradição que abrange tanto o pensamento conservador-utilitarista (Roscoe Pound, Karl Popper) quanto a moderna teoria da propaganda e das relações públicas (Edward Bernays, Harold Lasswell). Em sua acepção técnico-operacional contemporânea, dominante na literatura de segurança da informação a partir dos anos 1990, designa a manipulação psicológica de indivíduos específicos com objetivo de induzi-los a ações que comprometem mecanismos de segurança — entrega de credenciais, instalação de software malicioso, autorização de transferências financeiras fraudulentas, concessão de acesso físico a instalações restritas.
O escopo contemporâneo da engenharia social articula três dimensões. Em dimensão interpessoal direta, abrange pretextação (criação de personas e cenários plausíveis), elicitação (extração disfarçada de informação em conversas aparentemente casuais), impersonação (assumir identidade de outrem em interação face-a-face, telefônica ou eletrônica) e técnicas de penetração física (tailgating, falsificação de credenciais). Em dimensão mediada por tecnologia, abrange phishing (envio massivo de mensagens fraudulentas), spear phishing (versão hipertargeted), whaling (foco em executivos seniores), vishing (engenharia social por voz, incluindo deepfakes de áudio), smishing (via SMS), ataques de fadiga de MFA, SIM swapping e variantes. Em dimensão organizacional-massa, articula-se com propaganda computacional, microtargeting e operações de informação de larga escala — caso em que a “vítima” deixa de ser indivíduo identificado e passa a ser segmento populacional.
É necessário distinguir engenharia social de noções vizinhas. Ela não equivale a fraude em sentido jurídico estrito (que tem definição legal específica e nem sempre envolve manipulação psicológica), nem a ataque cibernético técnico (que explora vulnerabilidades de software ou hardware), nem a desinformação como categoria (que tem alvo difuso e visa modificar crenças, não compelir ações específicas). É, em sentido próprio, vetor — pode ser instrumental para fraude, para intrusão cibernética, para coleta de inteligência (HUMINT), para operações de influência política. Sua relação com a guerra informacional é dupla: como técnica de obtenção de acesso a sistemas críticos e como componente de operações de manipulação cognitiva em escala (Anderson, 2020; Hadnagy, 2018).
2. Etimologia e Origem Conceitual
A expressão social engineering aparece na literatura inglesa em fins do século XIX, em obras do sociólogo Edward Ross e do reformador David Van Wagenen Gulick, com sentido próximo ao da “engenharia humana” — intervenção planejada para reformar a sociedade segundo critérios técnico-científicos. A expressão é consolidada no debate político-filosófico do entreguerras: Karl Popper, em A Sociedade Aberta e seus Inimigos (1945), distingue piecemeal social engineering (intervenção limitada e revogável, compatível com sociedades abertas) de utopian social engineering (planejamento totalizante, incompatível com a liberdade). Em paralelo, Edward Bernays (1928) e Harold Lasswell (1927) formalizam a propaganda como tecnologia social — vocabulário que dialoga com a tradição “engenharia social” no sentido sociológico.
A transição para o sentido técnico-operacional contemporâneo ocorre entre os anos 1970 e 1990, no léxico da segurança da informação e da subcultura hacker. Tradicionalmente atribui-se a popularização do termo em sua acepção atual a Kevin Mitnick, cuja autobiografia profissional e obras posteriores — em particular The Art of Deception (Mitnick e Simon, 2002) — sistematizam o emprego de manipulação psicológica como vetor primário de intrusão em sistemas computacionais aparentemente seguros. A síntese moderna do campo é proposta por Christopher Hadnagy em Social Engineering: The Science of Human Hacking (2018, 2ª ed.), que articula um framework operacional baseado em reconnaissance, pretexting, elicitation e exploitation, integrando contribuições da psicologia da persuasão (Cialdini, 2006) à literatura técnica de segurança (Anderson, 2020).
Em português, a tradução literal “engenharia social” prevaleceu em ambos os sentidos, frequentemente causando ambiguidade no debate acadêmico. Em russo, sotsial’naya inzheneriya (социальная инженерия); em chinês, shehui gongcheng (社会工程); em alemão, Social Engineering (manteve-se o termo inglês na literatura técnica). A literatura contemporânea exige, portanto, explicitação do sentido sempre que o termo é mobilizado em contexto não trivial.
3. Desenvolvimento Histórico
A pré-história da engenharia social, em sua acepção técnico-operacional, confunde-se com a história do golpe (con), da espionagem clássica e do tradecraft humano (HUMINT). Manuais militares antigos — Sun Tzu, Maquiavel, Caleb Carr — abordam sistematicamente o uso de cobertura, pretexto e manipulação psicológica em operações de inteligência. A tradição moderna ocidental de HUMINT, durante a Guerra Fria, sistematiza essa prática em frameworks como o MICE (Money, Ideology, Coercion, Ego) — taxonomia das motivações exploradas para recrutar ativos em serviços estrangeiros, ainda utilizada com adaptações pelos serviços de inteligência ocidentais e russos. As medidas ativas soviéticas, exaustivamente documentadas por Rid (2020), integram técnicas que hoje seriam classificadas como engenharia social a operações de influência política em larga escala.
A fase fundadora da engenharia social cibernética (1970–1995) é dominada pela cultura phreaker e hacker dos primórdios das telecomunicações e da internet. Casos paradigmáticos incluem as intrusões de Kevin Mitnick em sistemas da Pacific Bell, da Sun Microsystems e de outras corporações — feitas predominantemente por manipulação telefônica de funcionários humanos, com mínimo emprego de exploração técnica. O caso de Mitnick, exposto na biografia The Cuckoo’s Egg de Clifford Stoll (1989) e em sua própria autobiografia, sistematiza o argumento central da literatura subsequente: a vulnerabilidade humana é, em geral, ordens de magnitude maior que a vulnerabilidade técnica de sistemas computacionais bem desenhados.
A fase de industrialização (1995–2010) corresponde à emergência do phishing em larga escala (registrado pela primeira vez em meados dos anos 1990 contra usuários da AOL), à massificação do correio eletrônico como vetor de ataque e à adoção da engenharia social pelo crime organizado financeiro. Surgem as primeiras campanhas internacionais de fraude bancária — incluindo as variantes brasileiras documentadas pela Polícia Federal e pelos centros de resposta CERT.br e Cais/RNP desde o início dos anos 2000.
A fase estatal-doutrinária (2010–presente) corresponde à adoção sistemática da engenharia social por serviços de inteligência e por grupos APT vinculados a Estados. Casos como Operação Aurora (2009, atribuída a APTs chineses contra Google e empresas de tecnologia ocidentais); intrusões persistentes do APT28/Fancy Bear e APT29/Cozy Bear em órgãos governamentais e organizações políticas ocidentais; campanhas atribuídas ao grupo norte-coreano Lazarus contra alvos financeiros e de criptomoedas; e a campanha do grupo LAPSUS$ contra grandes empresas de tecnologia (2021–2022) — todos esses casos confirmam o status da engenharia social como vetor primário de intrusão contemporânea. A literatura mais recente — em particular Anderson (2020) e Hadnagy (2018) — incorpora ao framework analítico o impacto da IA generativa e dos deepfakes de áudio e vídeo sobre a escala e a sofisticação possíveis.
4. Debate Teórico
Três debates principais atravessam o campo.
O primeiro debate é conceitual-genealógico: em que medida a “engenharia social” técnico-operacional contemporânea é continuidade do tradecraft HUMINT clássico ou fenômeno qualitativamente novo? Para autores como Anderson (2020), há continuidade analítica fundamental: a engenharia social é HUMINT aplicada a sistemas computacionais, e as mesmas técnicas — pretextação, elicitação, exploração de viés de autoridade — operam em ambos os domínios. Para outros, a integração com infraestrutura tecnológica de massa altera qualitativamente o fenômeno: a engenharia social contemporânea opera em escala industrial (bilhões de mensagens de phishing por dia), com automação parcial e com retorno econômico que viabiliza investimento contínuo em refinamento operacional.
O segundo debate é psicológico-cognitivo: qual o aparato teórico mais adequado para explicar a eficácia da engenharia social? A síntese dominante mobiliza a tradição da psicologia da persuasão de Cialdini (2006) — reciprocidade, escassez, autoridade, consistência, simpatia, prova social — articulada à literatura sobre heurísticas e vieses cognitivos (Daniel Kahneman, Amos Tversky). Hadnagy (2018) propõe um framework operacional baseado nesse arcabouço. Autores mais recentes incorporam contribuições da economia comportamental, da teoria da decisão sob incerteza e dos estudos sobre atenção e sobrecarga cognitiva — argumentando que a eficácia da engenharia social contemporânea é potencializada pelo ambiente de saturação informacional em que a maioria dos profissionais opera.
O terceiro debate é estrutural-defensivo: as estratégias defensivas mais eficazes operam em qual camada? Há posição que privilegia treinamento contínuo de usuários (security awareness); posição que privilegia controles técnicos compensatórios (autenticação multifator robusta, zero trust architecture, segmentação de rede); e posição integrada (Anderson, 2020) que argumenta que apenas a combinação entre defesas técnicas, processos organizacionais bem desenhados e cultura institucional adequada produz resiliência efetiva. A literatura tende a convergir nessa última posição, com ênfase crescente em arquiteturas que reduzem a superfície da decisão humana como ponto único de falha.
5. Casos Documentados
Operação Aurora (2009). Série de intrusões cibernéticas atribuídas a grupos APT vinculados ao Estado chinês contra Google, Adobe, Juniper Networks e dezenas de outras grandes empresas de tecnologia e defesa ocidentais. O vetor inicial foi engenharia social via spear phishing: funcionários específicos — escolhidos com base em inteligência prévia sobre suas funções e acessos — receberam mensagens cuidadosamente personalizadas que continham links para sites que exploraram vulnerabilidade zero-day no Internet Explorer. O caso, divulgado publicamente pelo Google em janeiro de 2010, tornou-se referência fundamental da literatura sobre APT e demonstrou que perímetros técnicos robustos podem ser contornados pelo elo humano com investimento relativamente modesto em reconnaissance e pretextação.
Operação LAPSUS$ (2021–2022). Grupo de extorsão cibernética predominantemente operado por jovens (incluindo cidadãos britânicos e brasileiros, com ações coordenadas em diferentes jurisdições) que comprometeu, em série, grandes corporações de tecnologia — Microsoft, Nvidia, Okta, Samsung, Ubisoft, T-Mobile, entre outras — quase exclusivamente por meio de engenharia social. O grupo utilizou suborno de funcionários de operadoras de telefonia para executar SIM swapping (transferindo o número de telefone do alvo para um SIM controlado pelo grupo), spam de prompts de MFA até a fadiga e impersonação em chamadas para helpdesks corporativos. O caso é particularmente relevante para o contexto brasileiro: parte significativa da operação foi conduzida do Brasil, e investigações conjuntas da Polícia Federal brasileira com agências internacionais resultaram em prisões em 2022 e 2023. Demonstra que a engenharia social humana, sem sofisticação técnica notável, pode comprometer corporações com bilhões de dólares em investimento em segurança.
Deepfake de áudio em fraude corporativa (2019–presente). Em 2019, um CEO de subsidiária britânica de uma empresa de energia alemã foi induzido, por chamada telefônica em que a voz do CEO da matriz havia sido sintetizada por IA, a transferir 220 mil euros para uma conta húngara fraudulenta. O caso é frequentemente citado como o primeiro grande incidente público documentado de fraude por engenharia social baseada em deepfake de áudio. A partir de 2023, com a democratização de modelos generativos de voz e vídeo, a frequência desse tipo de ataque cresceu exponencialmente — caso documentado por relatórios anuais de Verizon DBIR, Mandiant e CrowdStrike. O fenômeno articula engenharia social a IA generativa de forma que torna obsoletas várias contramedidas baseadas em verificação por voz.
6. Implicações para o Contexto Brasileiro
A engenharia social tem relevância de primeira ordem para o contexto brasileiro, articulada em três eixos. No eixo de segurança nacional e infraestrutura crítica, o Brasil é alvo recorrente de campanhas de engenharia social dirigidas a órgãos governamentais, empresas estatais (notadamente Petrobras, Banco do Brasil, Eletrobras), infraestrutura financeira (Sistema Brasileiro de Pagamentos, PIX) e operadores de infraestrutura crítica. Relatórios do CERT.br, do Centro de Tratamento de Incidentes de Segurança em Redes de Computadores (CTIR Gov) e do Comando de Defesa Cibernética (ComDCiber) documentam incidência consistente de campanhas de phishing e spear phishing dirigidas a quadros do serviço público federal e a setores estratégicos. No eixo de crime organizado financeiro, o Brasil tem ecossistema particularmente maduro de fraude por engenharia social — golpes do “falso funcionário do banco”, do “falso parente em emergência”, de manipulação no WhatsApp, e variantes atualizadas pós-implementação do PIX em 2020. Dados consolidados pela FEBRABAN, pelo Banco Central e pela Polícia Federal indicam volume bilionário anual de prejuízos decorrentes dessas modalidades. No eixo de proteção de dados pessoais governamentais, o Brasil enfrenta sucessivos incidentes de vazamentos massivos — notadamente os vazamentos atribuídos a manipulação interna ou a acesso indevido a bases como o CadÚnico, sistemas do SUS, Receita Federal e Detrans estaduais — em que engenharia social aplicada a servidores ou prestadores de serviço foi vetor relevante.
Do ponto de vista do marco regulatório, a Lei nº 13.709/2018 (LGPD) estabelece responsabilidades de controlador e operador no tratamento de dados pessoais, incluindo obrigações de segurança e notificação de incidentes — arcabouço que cria incentivos para investimento em defesa contra engenharia social. O Marco Civil da Internet (Lei nº 12.965/2014) estabelece princípios gerais. O Código Penal, em seus arts. 154-A (invasão de dispositivo informático, com redação atualizada pela Lei nº 14.155/2021) e 171 (estelionato, com qualificadora específica para fraude eletrônica introduzida pela mesma Lei nº 14.155/2021), tipifica condutas centrais. A Lei nº 12.737/2012 (“Lei Carolina Dieckmann”) já havia criminalizado a invasão de dispositivos. A Estratégia Nacional de Segurança Cibernética (E-Ciber, 2020) e a Estratégia Nacional de Defesa Cibernética (Ministério da Defesa, 2020) estabelecem o quadro doutrinário e estratégico.
Do ponto de vista do debate acadêmico brasileiro, o tema é tratado em literatura técnica e jurídica especializada. Centros como o Centro de Estudos, Resposta e Tratamento de Incidentes de Segurança no Brasil (CERT.br/NIC.br), o Tempest Security Intelligence, o Apura Cyber Intelligence, programas de pós-graduação em segurança da informação (UnB, USP, Unicamp, UFRGS) e centros de pesquisa em direito digital (CGI.br, ITS-Rio, InternetLab, IRIS) produziram literatura técnica e analítica de referência. Há ainda relativa lacuna na articulação entre a literatura técnica de engenharia social, a literatura sociológica clássica sobre o termo, e a literatura emergente sobre segurança cognitiva e guerra informacional — articulação que constitui agenda de pesquisa promissora para o NEGISC e para a comunidade brasileira de estudos estratégicos. Para o pesquisador, o caso brasileiro oferece terreno empiricamente rico — alta penetração digital, ecossistema bancário tecnologicamente avançado, marco regulatório recente — para examinar a interação entre engenharia social, proteção de dados e segurança cognitiva em contexto de democracia média de grande porte.
7. Ver Também
8. Referências
ANDERSON, Ross. Security Engineering: A Guide to Building Dependable Distributed Systems. 3. ed. Indianapolis: Wiley, 2020.
BERNAYS, Edward L. Propaganda. Nova York: Liveright, 1928.
BRASIL. Lei nº 12.737, de 30 de novembro de 2012. Dispõe sobre a tipificação criminal de delitos informáticos. Diário Oficial da União, Brasília, DF, 3 dez. 2012.
BRASIL. Lei nº 12.965, de 23 de abril de 2014. Estabelece princípios, garantias, direitos e deveres para o uso da Internet no Brasil (Marco Civil da Internet). Diário Oficial da União, Brasília, DF, 24 abr. 2014.
BRASIL. Lei nº 13.709, de 14 de agosto de 2018. Lei Geral de Proteção de Dados Pessoais (LGPD). Diário Oficial da União, Brasília, DF, 15 ago. 2018.
BRASIL. Lei nº 14.155, de 27 de maio de 2021. Altera o Código Penal para tornar mais graves os crimes de violação de dispositivo informático, furto e estelionato cometidos de forma eletrônica ou pela internet. Diário Oficial da União, Brasília, DF, 28 maio 2021.
CIALDINI, Robert B. Influence: The Psychology of Persuasion. Nova York: Harper Business, 2006.
HADNAGY, Christopher. Social Engineering: The Science of Human Hacking. 2. ed. Indianapolis: Wiley, 2018.
LASSWELL, Harold D. Propaganda Technique in the World War. Nova York: Knopf, 1927.
MITNICK, Kevin D.; SIMON, William L. The Art of Deception: Controlling the Human Element of Security. Indianapolis: Wiley, 2002.
RID, Thomas. Active Measures: The Secret History of Disinformation and Political Warfare. Nova York: Farrar, Straus and Giroux, 2020.
STOLL, Clifford. The Cuckoo’s Egg: Tracking a Spy Through the Maze of Computer Espionage. Nova York: Doubleday, 1989.
Verbete submetido ao NEGISC — Núcleo de Estudos em Guerra Informacional e Segurança Cognitiva / GEPSI / IREL / UnB. Licença CC BY-SA 4.0.