A nota fiscal que chegou no horário do almoço
Uma mensagem pede para “só atualizar o boleto” com a logomarca certa e o nome de um fornecedor real. A pessoa que recebe está atrasada, com a fila cheia, e o valor cabe no limite que ela já paga todo mês. Nada neste capítulo ensina a montar essa mensagem. O que importa para defesa é reconhecer o *tipo* de evento: alguém tenta deslocar uma ação privilegiada, pagar, revelar, instalar, encaminhar, para um canal onde a verificação costumeira não ocorre. Engenharia social ataca o processo humano, não só o filtro de e-mail. Controles técnicos reduzem entrega, controles de processo impedem o clique solitário, e a cultura decide se a pessoa pede ajuda. Os três andam juntos.
SPF, DKIM e DMARC: provar quem mandou o e-mail
O SMTP original deixa qualquer servidor afirmar ser qualquer remetente. Três padrões, publicados no DNS do domínio, fecham parte dessa brecha. O SPF lista quais servidores podem enviar e-mail em nome do domínio. O DKIM assina cada mensagem com uma chave privada cuja pública fica no DNS, provando que o conteúdo não mudou no caminho.
O DMARC amarra os dois ao endereço que o usuário vê no campo "De" (o alinhamento) e diz ao receptor o que fazer quando a verificação falha: none (só relatar), quarantine (mandar para spam) ou reject (recusar). Ele também envia relatórios agregados ao dono do domínio, revelando quem está usando o seu nome.
DMARC com p=reject impede que golpistas usem exatamente o seu domínio. Não impede domínios parecidos, como vexoris-pagamentos.co. Por isso o controle técnico precisa do controle de processo: dado bancário não muda por e-mail, ponto.
Autoridade e urgência são alavancas de processo, não de “pessoas fracas”
Sistemas humanos aceleram quando alguém parece autorizado e o prazo parece único. Folha de pagamento, jurídico, suporte, diretoria: todos têm janelas em que dizer “não” parece caro. Engenharia social explora essas janelas. A defesa não é moralizar o funcionário. É desenhar o processo para que o “não” padrão seja seguro: alçada dupla para mudança de dados bancários, janela de espera para novo beneficiário, recusa de instrução por canal informal, direito explícito de atrasar um pagamento suspeito sem retaliação. Quando a liderança cobra velocidade acima da verificação, ela está financiando o golpe. Campanhas de conscientização que humilham quem errou treinam o silêncio. Silêncio é o pior telemetria humana que um SOC pode ter.