O que é e como se proteger de tail­ga­ting?

Hoje em dia, empresas tendem a con­cen­trar esforços para se proteger contra ameaças virtuais, como de crimes ci­ber­né­ti­cos. Em contextos assim, a ocor­rên­cia de crimes físicos, como de tail­ga­ting, pode ser su­bes­ti­mada. Igual­mente perigosos, estes também devem ser pre­ve­ni­dos, para que não causem danos e prejuízos. Ao contrário de fraudes on-line, como o scamming, o tail­ga­ting ocorre off-line, podendo ou não utilizar-se de tec­no­lo­gias para ser aplicado. Mesmo assim, ele oferece tantos riscos quanto outros tipos de golpes.

O que é tail­ga­ting?

Assim como phishing, vishing e smishing, tail­ga­ting é uma técnica de en­ge­nha­ria social. No tail­ga­ting, pessoas não au­to­ri­za­das tentam burlar pontos de controle de entrada para obterem acesso a áreas restritas.

O nome do ataque, em inglês, faz re­fe­rên­cia ao termo usado para descrever o ato de um veículo seguir um outro veículo à curta distância. Em ataques de tail­ga­ting, invasores se aproximam de pessoas au­to­ri­za­das, com o objetivo de passarem des­per­ce­bi­das pelos pontos de segurança e checagem, e al­can­ça­rem a área restrita almejada. Isso pode ocorrer em prédios co­mer­ci­ais, em centros de pro­ces­sa­mento de dados, em hospitais e em quaisquer outros locais com entrada restrita, por motivo de segurança. Ao aden­tra­rem o local desejado, os invasores ocupam-se de roubar in­for­ma­ções con­fi­den­ci­ais ou em instalar softwares ma­li­ci­o­sos, por exemplo.

Como são feitos ataques de tail­ga­ting?

Ataques de tail­ga­ting ge­ral­mente são simples, pois eles se baseiam em com­por­ta­men­tos humanos pre­vi­sí­veis, como nas ocasiões em que pessoas abrem a porta para outras, por um gesto de gentileza. É comum que, para disfarçar, intrusos conversem bre­ve­mente com fun­ci­o­ná­rios reais de uma empresa, para trans­mi­ti­rem a impressão de que são con­fiá­veis. Ou seja: quem pratica tail­ga­ting se aproveita da in­ge­nui­dade das pessoas. De modo geral, o golpe é es­tru­tu­rado nas seguintes etapas:

1. Escolher um alvo: O invasor escolhe o local a ser invadido.
2. Comportar-se com nor­ma­li­dade: O invasor se comporta como se fosse um dos fun­ci­o­ná­rios desse local.
3. Apro­vei­tar uma chance: O invasor aguarda até uma pessoa au­to­ri­zada abrir a porta.
4. Obter acesso: Quando o invasor consegue entrar na área restrita, ele passa a executar as ações nocivas pla­ne­ja­das.

Apesar de sua estrutura simples, ataques de tail­ga­ting podem ocorrer das mais di­fe­ren­tes formas: invasores utilizam-se de variadas técnicas, a depender dos alvos. Entre as mais comuns estão:

• O fun­ci­o­ná­rio esquecido: O invasor age como se fosse um fun­ci­o­ná­rio da empresa, que sim­ples­mente esqueceu seu crachá ou dis­po­si­tivo de entrada. Com essa desculpa, ele pede ajuda a outro fun­ci­o­ná­rio para adentrar a área restrita.
• Uma emer­gên­cia: O invasor forja uma situação de emer­gên­cia para pedir em­pres­tado o celular da vítima. Em posse do dis­po­si­tivo, ele acessa sites que baixam softwares ma­li­ci­o­sos, como, por exemplo, sites de spyware.
• O for­ne­ce­dor: O invasor se disfarça de en­tre­ga­dor de mer­ca­do­rias, car­re­gando objetos pesados ou volumosos para que alguém se ofereça para abrir a porta sem perguntar nada.
• O novo fun­ci­o­ná­rio: O invasor diz ser novo na empresa e pede ajuda para encontrar um de­ter­mi­nado local, sendo guiado até seu alvo.
• O colega ocupado: O invasor encena uma conversa te­lefô­nica ou outra situação que dê a impressão de que ele trabalha na ins­ti­tui­ção e está ocupado, sem condições de pegar suas cre­den­ci­ais de entrada. Neste momento, ele aproveita a entrada de um fun­ci­o­ná­rio real e o acompanha.
• O visitante: O invasor diz ter um horário marcado com um fun­ci­o­ná­rio da empresa. Assim, o controle de entrada permite que ele entre no prédio.
• Uma iden­ti­dade falsa: Em posse de do­cu­men­tos de iden­ti­fi­ca­ção falsos ou roubados, o invasor engana os se­gu­ran­ças ou o sistema ele­trô­nico da portaria.
• Uma distração: Um cúmplice distrai os se­gu­ran­ças ou os outros fun­ci­o­ná­rios do local, enquanto o invasor entra no prédio.

Exemplo de tail­ga­ting

Este exemplo concreto prova como ataques de tail­ga­ting podem ser efi­ci­en­tes e perigosos, prin­ci­pal­mente quando as pessoas ignoram as normas de segurança ou acreditam na boa fé dos demais. É essencial que você permaneça sempre atento em de­ter­mi­na­dos momentos da vida cotidiana, para evitar ser vítima desse tipo de ataque:

O prédio da sede de um grande banco está equipado com as mais modernas tec­no­lo­gias de segurança e tem vigias que observam per­ma­nen­te­mente a área de entrada. Mesmo assim, um invasor escolheu este local como alvo do seu ataque de tail­ga­ting. Ele planeja acessar os sistemas internos da ins­ti­tui­ção para roubar in­for­ma­ções con­fi­den­ci­ais. Para começar, o invasor descobriu que o banco permite a entrada de técnicos de TI externos todas as quintas-feiras, para a execução de trabalhos de ma­nu­ten­ção. Ao saber disso, o invasor compra uma roupa parecida com a usada pelos técnicos e prepara do­cu­men­tos de iden­ti­fi­ca­ção falsos.

No dia do ataque, ele se aproxima do prédio do banco. Para ficar ainda mais parecido com os fun­ci­o­ná­rios de TI ver­da­dei­ros, além da ves­ti­menta, ele carrega uma bolsa com aparelhos ele­trô­ni­cos. Na entrada, ele encontra o grupo de técnicos de TI e puxa papo, para dar a impressão de pertencer à equipe. Sem despertar qualquer suspeita dos vigias, ele adentra o local junto com os demais. Na área interna, o invasor aborda um fun­ci­o­ná­rio qualquer dizendo ser novo na equipe de TI, e pergunta onde ficam os ser­vi­do­res, para que o fun­ci­o­ná­rio lhe mostre o caminho. Na sala de ser­vi­do­res, o invasor liga seu notebook, conecta-o ao sistema e extrai dados con­fi­den­ci­ais. Depois de coletar as in­for­ma­ções que deseja, ele sai do prédio com toda tran­qui­li­dade. Conclusão: com um plano de tail­ga­ting simples, este invasor conseguiu obter acesso a uma área restrita de segurança e roubar dados con­fi­den­ci­ais de um banco.

Como se proteger contra tail­ga­ting?

Falhas humanas, chamadas de layer 8 problems em inglês, dizem respeito a condutas ina­de­qua­das de in­di­ví­duos. São elas as prin­ci­pais res­pon­sá­veis por brechas que pos­si­bi­li­tam ações de tail­ga­ting. Além de utilizar as mais modernas tec­no­lo­gias de segurança em suas ins­ta­la­ções, empresas também devem realizar campanhas de cons­ci­en­ti­za­ção de fun­ci­o­ná­rios para prevenir esse tipo de ataque:

• Trei­na­mento: Fun­ci­o­ná­rios devem ser in­for­ma­dos sobre os riscos de ataques de tail­ga­ting e treinados para re­co­nhe­cer invasores de imediato.
• Câmeras: A ins­ta­la­ção de câmeras de segurança pode con­tri­buir para a in­ti­mi­da­ção de invasores e outros cri­mi­no­sos. Além disso, elas pos­si­bi­li­tam a in­ves­ti­ga­ção de ataques tail­ga­ting, caso eles venham a ocorrer.
• Au­ten­ti­ca­ção de dois fatores: Sistemas que requerem não só um cartão de iden­ti­fi­ca­ção ou uma senha, mas também dados bi­o­mé­tri­cos, como im­pres­sões digitais, podem reduzir o risco de tail­ga­ting.
• Barreiras físicas: Portas gi­ra­tó­rias, barreiras para controle de acesso ou catracas que permitam a passagem de somente uma pessoa por vez di­fi­cul­tam a entrada de invasores em áreas restritas.
• Ge­ren­ci­a­mento de vi­si­tan­tes: Vi­si­tan­tes e pres­ta­do­res de serviços externos devem se registrar ao entrar no prédio e usar crachás ou adesivos de iden­ti­fi­ca­ção, em local visível.
• Inspeções de segurança fre­quen­tes: Testar e atualizar as medidas de segurança re­gu­lar­mente ajudam a iden­ti­fi­car e corrigir possíveis falhas dos sistemas de controle de acessos.

Para se proteger ade­qua­da­mente contra tail­ga­ting, também é essencial que você im­ple­mente medidas de segurança nos seus sistemas ele­trô­ni­cos. Entre as medidas que podem ser adotas estão a re­a­li­za­ção frequente de atu­a­li­za­ções de software e de backups, como dita a regra 3-2-1. Além disso, não deixe de con­fi­gu­rar senhas seguras.