CEOs São os Alvos Preferidos: Como Phishing e Engenharia Social Derrubam Empresas

## O Mito do "Hacker de Capuz" vs. A Realidade

Esqueça invasões cinematográficas com código verde na tela preta. **91% dos ataques cibernéticos bem-sucedidos** começam com um e-mail. Não um e-mail genérico — um e-mail personalizado, escrito com dados reais sobre a vítima.

### Anatomia de um Spear Phishing Contra um CEO

1. **Reconhecimento (OSINT)**: O atacante pesquisa o CEO no LinkedIn, Instagram, artigos e eventos. Descobre que ele participou de uma conferência na semana passada.
2. **Construção do Pretexto**: Cria um e-mail fingindo ser o organizador da conferência, anexando as "fotos oficiais do evento" em um arquivo ZIP.
3. **Payload**: O ZIP contém um arquivo .lnk (atalho) disfarçado de PDF que executa um PowerShell reverso.
4. **Comprometimento**: O atacante agora tem acesso ao e-mail corporativo do CEO.
5. **BEC (Business Email Compromise)**: Do e-mail do CEO, envia instruções ao financeiro para transferir R$ 200k para uma "nova conta do fornecedor".

### Sinais de Alerta (Red Flags)

- **Urgência artificial**: "Preciso disso AGORA", "A reunião é em 30 minutos".
- **Mudança de conta bancária**: Qualquer solicitação de alteração de dados de pagamento deve ser confirmada por telefone.
- **Domínio quase idêntico**: `empresa.com` vs `ernpresa.com` (m → rn).
- **Anexos inesperados**: Especialmente de contatos que normalmente não enviam arquivos.

### Defesas Culturais (Mais Importantes que Tecnologia)

- **Verificação em dois canais**: Qualquer solicitação financeira requer confirmação por meio diferente.
- **Cultura "sem medo de perguntar"**: O estagiário deve se sentir à vontade para questionar um e-mail do CEO.
- **Simulações mensais**: Phishing simulado com relatórios de quem clicou.
- **DMARC/SPF/DKIM**: Políticas de e-mail que impedem spoofing do seu domínio.

> **A maior vulnerabilidade de qualquer empresa é a confiança humana. Na RET, treinamos times para operar com "paranóia saudável" — verificar tudo, confiar em nada por padrão.**