Golpe do falso suporte técnico: como sua equipe é enganada por telefone

O golpe que não invade sistema: ele liga para sua recepção

O golpe do falso suporte técnico é uma das fraudes mais rentáveis do Brasil corporativo justamente porque não depende de nenhuma falha de software. Não existe exploit, não existe vulnerabilidade zero-day, não existe malware sofisticado atravessando o firewall. O criminoso simplesmente disca o número da sua empresa, se apresenta como técnico da operadora, do fornecedor de ERP ou do próprio departamento de TI, e pede que alguém do outro lado da linha execute uma ação corriqueira. Em poucos minutos ele tem acesso remoto à estação de trabalho, credenciais válidas ou uma transferência bancária autorizada por quem tinha alçada para autorizar.

O que torna o ataque tão eficiente é o alvo escolhido. Ele não mira o administrador de rede, que reconheceria a manobra na primeira frase. Ele mira a recepcionista, o assistente financeiro, o estagiário do RH, o vendedor que está viajando e responde o telefone no aeroporto. São pessoas que foram treinadas a resolver problemas rapidamente e a não criar atrito com quem parece ter autoridade. O golpista explora exatamente esse condicionamento profissional: prestatividade vira vetor de ataque.

Empresas brasileiras de médio porte relatam com frequência crescente tentativas em que o atacante já chega sabendo o nome do gestor de TI, o nome do fornecedor de sistema e até o modelo do equipamento instalado. Essa informação não veio de invasão: veio do LinkedIn, do site institucional, de uma nota fiscal pública, de um press release de "parceria firmada". Reconhecimento passivo é gratuito e leva menos de uma hora.

Anatomia da ligação: os cinco movimentos do atacante

O roteiro do golpe é notavelmente padronizado, o que é uma boa notícia — padrão detectável é padrão treinável. A ligação quase sempre segue a mesma sequência psicológica, e reconhecer o movimento em curso é o que dá à sua equipe a chance de interromper antes do dano.

1. Estabelecimento de autoridade. "Aqui é o Rodrigo, do suporte da [fornecedor real que a empresa usa]. Estou com um chamado aberto pelo seu setor de TI." O nome do fornecedor é verdadeiro. O chamado não existe.
2. Criação de urgência. "Detectamos que a sua máquina está propagando tráfego malicioso na rede. Se não corrigirmos nos próximos minutos, vamos ter que isolar o link inteiro da empresa." Urgência derruba o pensamento analítico e ativa o reativo.
3. Pedido de ação técnica trivial. Instalar um "agente de diagnóstico" (AnyDesk, TeamViewer, UltraViewer renomeado), acessar um portal, ditar um código recebido por SMS. Nada disso parece perigoso isoladamente.
4. Isolamento da vítima. "Fica na linha comigo até terminar, por favor. Se desligar, o processo corrompe." O objetivo é impedir que a pessoa consulte um colega, o gestor ou o TI real.
5. Extração. Com acesso remoto ativo, o criminoso captura credenciais salvas no navegador, abre o internet banking, altera dados de fornecedor no ERP ou implanta persistência para voltar depois, com calma.

A variante financeira do golpe dispensa até o acesso remoto. O atacante liga para o contas a pagar se passando por técnico do banco ou do sistema de gestão, informa que houve "falha na conciliação" e envia um boleto de teste. O valor costuma ser modesto na primeira tentativa — R$ 800, R$ 1.500 — justamente para não acionar aprovação de nível superior. Funcionou uma vez, o criminoso volta em trinta dias com valor dez vezes maior.

Nenhum fornecedor legítimo liga sem chamado prévio, exige ação imediata e proíbe que você desligue para confirmar. Se os três sinais aparecem juntos na mesma ligação, é golpe — não existe exceção.

Por que treinamento genérico de segurança não barra esse ataque

A maioria das empresas que sofre o golpe já tinha feito treinamento de segurança. O problema é que esse treinamento quase sempre foi construído em torno de phishing por e-mail: verifique o remetente, passe o mouse sobre o link, desconfie de anexos. São orientações válidas e completamente inúteis contra uma voz humana ao telefone. Não existe cabeçalho de e-mail para inspecionar numa ligação, não existe URL para conferir, não existe erro de português para levantar suspeita — o golpista brasileiro fala português nativo, com sotaque local e vocabulário técnico correto.

Há também um problema de framing. Treinamentos costumam apresentar o atacante como alguém obviamente suspeito, e a equipe sai da sala confiante de que "reconheceria na hora". O golpista real é educado, paciente, articulado e demonstra conhecimento técnico legítimo. Ele sabe o que é uma VLAN, sabe o nome do seu antivírus, sabe explicar por que o procedimento é necessário. Quando a expectativa é encontrar um vigarista desajeitado e a realidade é um profissional convincente, a defesa mental nem chega a ser acionada.

O terceiro furo é a ausência de permissão explícita para dizer não. Se um colaborador júnior sente que desligar na cara de um suposto técnico do fornecedor pode gerar reclamação, atraso ou constrangimento com a chefia, ele vai colaborar com o golpista para evitar o problema menor e imediato. Segurança que depende de o funcionário assumir risco de carreira não é política de segurança — é sorte.

O roteiro de defesa: procedimento, não instinto

A contramedida eficaz não é pedir que a equipe "fique atenta". Atenção não escala e não sobrevive a um dia ruim. O que funciona é substituir o julgamento individual por um procedimento fixo, curto o suficiente para ser memorizado e obrigatório o suficiente para não gerar culpa em quem o aplica.

• Regra do retorno obrigatório. Qualquer ligação que peça ação técnica, credencial, código ou pagamento termina com: "Vou desligar e retornar pelo número oficial do cadastro." O número usado no retorno nunca é o informado pelo interlocutor — é o que já está no contrato, no site oficial ou no cadastro de fornecedores. Isso quebra o golpe por completo, sem exigir que ninguém identifique nada.
• Palavra-chave interna. Defina uma frase de verificação conhecida apenas pela equipe e pelo TI. Suporte legítimo interno sabe a frase; atacante não.
• Lista fechada de ferramentas de acesso remoto. Documente quais softwares o TI realmente usa. Qualquer pedido para instalar algo fora da lista é recusa automática, sem discussão.
• Escalonamento sem custo social. Deixe explícito e por escrito que interromper uma ligação para confirmar com o TI nunca gera advertência — mesmo que a ligação fosse legítima e mesmo que atrase o atendimento.
• Segunda pessoa para movimentação financeira. Nenhuma alteração de dado bancário de fornecedor, nenhum pagamento fora do fluxo normal, acontece com aprovação de uma pessoa só, independentemente do valor.
• Canal de reporte de tentativa. Tentativa frustrada é informação de inteligência. Se três setores receberam a mesma ligação na mesma semana, a empresa está sendo trabalhada de forma sistemática e o TI precisa saber hoje, não no post-mortem.

Vale simular. Um teste controlado por telefone, feito com autorização da diretoria e sem exposição pública de quem falhou, revela em uma tarde o que dez horas de treinamento em slide não revelam. O objetivo da simulação nunca é punir — é medir onde o procedimento não está instalado e reforçar exatamente ali.

Controles técnicos que reduzem o dano quando alguém erra

Treinamento reduz a probabilidade do incidente; arquitetura reduz o impacto. Como nenhuma equipe acerta 100% das vezes, a camada técnica precisa assumir que uma ligação vai funcionar em algum momento e limitar o que o atacante consegue fazer a partir daí.

Bloquear instalação de software por usuário padrão elimina de imediato o vetor mais comum: se o colaborador não tem privilégio administrativo local, ele não consegue instalar o agente de acesso remoto nem sob orientação passo a passo. Somado a isso, controle de aplicação em modo lista de permissão impede execução de binários portáteis, que dispensam instalação. MFA resistente a phishing — chave física ou autenticação por certificado, não SMS — neutraliza a captura de código ditado ao telefone, que é o segundo vetor mais explorado. Segmentação de rede garante que a estação comprometida da recepção não enxergue o servidor de arquivos nem o ambiente de backup.

Do lado financeiro, os controles são igualmente concretos: cadastro de fornecedor com dados bancários travados e alteração exigindo dupla aprovação com confirmação por canal independente; limite de valor por transação individual; e conciliação diária, não mensal. Um golpe descoberto em vinte e quatro horas ainda tem chance de reversão bancária. Descoberto em trinta dias, virou prejuízo contábil. E, cobrindo tudo, backup em regra 3-2-1 com cópia imutável, porque o falso suporte é com frequência apenas o primeiro passo de uma operação de ransomware que se materializa semanas depois.

Como a Duk estrutura essa defesa no dia a dia do cliente

Em 18+ anos atendendo empresas brasileiras, a Duk Informática & Cloud viu esse golpe evoluir de tentativa amadora para operação organizada, com script, divisão de funções e reconhecimento prévio do alvo. A conclusão prática de mais de 550 clientes atendidos é sempre a mesma: quem sofre dano relevante não é quem tinha equipe despreparada, é quem tinha procedimento informal. Empresa com regra escrita e canal de verificação claro barra a ligação já no primeiro movimento; empresa que depende do bom senso individual perde na primeira vez em que o funcionário certo atende no dia errado.

Nosso trabalho combina as duas camadas. Do lado humano, ajudamos a desenhar o procedimento de verificação, a lista fechada de ferramentas de acesso remoto e o fluxo de escalonamento sem custo social — e treinamos a equipe com o roteiro real do atacante, não com material genérico de phishing por e-mail. Do lado técnico, como Microsoft Gold Partner, implantamos remoção de privilégio administrativo local, MFA resistente a phishing no Microsoft 365, políticas de aplicação, segmentação de rede e backup imutável, com monitoramento e SLA de suporte 24/7 a partir do nosso data center próprio em Alphaville.

O ponto central é que o falso suporte técnico não é um problema de tecnologia nem um problema de pessoas isoladamente — é uma falha de processo que atravessa os dois. Empresa que trata o assunto como campanha anual de conscientização continua exposta. Empresa que trata como procedimento operacional, com dono definido, revisão periódica e controle técnico de suporte, transforma o golpe em uma ligação que termina em trinta segundos com um "vou retornar pelo número do contrato" — e nada mais acontece.