Em seguranca online, senhas fracas e baixos padroes decriptografia talvez sejam parte do problema, mas a maior dificuldade continuasendo nos mesmos.De todas as licoes a serem aprendidas com o ataque a contano Twitter de Naoki Hiroshima - e a perda do seu cobicado @N - e que a questaomais preocupante e tambem a mais dificil de ser resolvida. Em seguranca online,senhas fracas e baixos padroes de criptografia talvez sejam parte do problema,mas a maior dificuldade continua sendo nos mesmos.Hiroshima descreveu os acontecimentos que o levaram a abrirmao da sua conta no Twitter - que foi avaliada em 50 mil dolares, com base emofertas previamente oferecidas ao usuario - em uma postagem no site Medium naquarta-feira (29).Nao foi a quebra de uma senha sofisticada ou umavulnerabilidade 0-day que selou o acordo. De fato, foi preciso apenas umtelefonema ou dois.A saga comecou no dia 20 de janeiro, quando Hiroshimarelatou que alguem tentou invadir a sua conta no PayPal. Ele tinha ativado aautenticacao de dois fatores, e quando o cracker tentou resetar a senha elerecebeu uma mensagem de texto solicitando a aprovacao para tal acao - que foiignorada.Sem poder ultrapassar os portoes do PayPal, o cracker deu umpasso surpreendente de atacar o dominio pessoal de Hiroshima por meio doGoDaddy. Para provar a sua identidade, o cibercriminoso precisou apenasinformar os ultimos numero do cartao de credito da vitima.Como se faz isso? Dando apenas um telefonema. Simples assim.De acordo com Hiroshima, o cracker tambem tinha ligado para o suporte do Paypale usou truques de engenharia social para obter do representante os dadosnecessarios.E nem e tao dificil imaginar como foi a conversa: "Oi,eu perdi minha carteira e nao sei qual cartao de credito eu tenho associado aminha conta no Paypal, voce poderia me dizer os ultimos quatro digitos que vocetem no arquivo", ou algo assim.Com a conta do GoDaddy em maos, o cracker extorquidoHiroshima, convencendo-o a entregar o @N. Uma variedade de investigacoes jaestao em curso, mas a conta agora esta sobre o controle de um tal de"Badal_NEWS".Engenharia social ainda funciona... e muito bemO que deu errado? E facil dizer que a culpa e do Paypal e daGoDaddy, mas o denominador comum em ambos os casos e a simples natureza humana.Para realmente entender como a engenharia social funciona, coloque-seno lugar da empresa que recebe o telefonema do cibercriminoso. Um usuario em panico te chama, pedindo sua ajuda para umproblema. Ele foi vitima de um crime ou de um acidente, e os sistemas deseguranca padrao disponiveis na web nao estao ajudando. Uma empresa como aPaypal provavelmente recebe milhares de chamadas assim todos os dias, e agrande maioria sao de pessoas totalmente legitimas - pessoas reais, com crisesreais.E natural querer ajuda-las, e um bom hacker vai terhabilidades de atuacao que sao tao desenvolvidas como suas habilidades detecnologia. Mas, considerando o nivel geral de formacao e experiencia que amaioria dos operadores de suporte possuem, muito provavelmente nao e taodificil convence-lo a entregar alguns dados por telefone. Para citar David Mamet, "Isso e chamado de jogo deconfianca. Por que? Porque voce me deu a sua confianca? Nao. Porque eu te dei aminha".O