Uma norma interna da FAB aponta que a engenharia social e a vaidade militar estão por trás da esmagadora maioria das falhas de proteção de dados sigilosos.
Em 2020, o grupo hacker Digital Space expôs dados de 1.117 alunos da Escola Preparatória de Cadetes do Ar (EPCAR).
Receba nossas notícias independente dos algorítimos das redes sociais, entre no nosso grupo agora
Anos mais tarde, em setembro de 2026, novos vazamentos atribuídos a uma conta de cibercrime voltaram a acender o alerta nos quartéis.
No entanto, o verdadeiro calcanhar de Aquiles da cibersegurança na FAB não se funda somente em invasões tecnológicas sofisticadas, mas também na vulnerabilidade humana.
O perigo oculto da engenharia social na FAB
O inimigo mais insidioso da FAB quanto a cibersegurança e a preservação de dados é a engenharia social.
O uso da engenharia social ultrapassa ou precede o óbvio emprego de tecnologias avançadas no ataque à cibersegurança.
Suas bases se escondem na atitude e no comportamento dos militares no trato com dados, conhecimentos e materiais sensíveis.
Na FAB está em vigor uma norma interna chamada FCA 200-2, que desenvolve o conceito de Mentalidade de Segurança.
Aprovada pela Portaria nº 3 /CIAER, de 19/12/2008, essa legislação alerta os militares da FAB acerca de cuidados essenciais à salvaguarda de assuntos sigilosos nas organizações, tendo como espinha dorsal a engenharia social.
Os pilares da segurança e o elo humano
A segurança da informação baseia-se em três pilares fundamentais: a confidencialidade, a integridade e a disponibilidade.
Contudo, a efetividade dessa estrutura é constantemente testada pelo elo mais suscetível de qualquer sistema de proteção: o ser humano.
Pessoas desatentas, descuidadas ou alheias aos protocolos de salvaguarda têm o potencial de comprometer até mesmo os planos de segurança mais elaborados.
Indiscrição e engenharia social: principais ameaças
Entre as ameaças recorrentes destacam-se a indiscrição e a engenharia social.
A indiscrição ocorre frequentemente em ambientes sociais e locais públicos, nos quais conversas casuais expõem fragmentos de dados que, se reunidos por grupos com interesses antagônicos, formam um conhecimento estratégico sensível.
A engenharia social, por sua vez, atua explorando diretamente a ingenuidade, a boa-fé e o excesso de autoconfiança dos indivíduos.
Por meio de contatos telefônicos fraudulentos, e-mails de falsa cooperação ou mensagens instantâneas, o atacante induz a vítima a fornecer senhas, executar programas ou conceder acessos indevidos.
Os quatro fatores comportamentais de risco segundo a FCA 200-2
O comprometimento de dados sensíveis raramente resulta de ações intencionais; na maioria dos casos, decorre de desatenção ou falhas de conduta.
A FCA 200-2 identifica quatro fatores comportamentais decisivos para a ocorrência dessas falhas:
Vaidade
Responsável por cerca de 90% das indiscrições, a vaidade vem da necessidade do indivíduo de demonstrar conhecimento ou ostentar acesso a informações privilegiadas.
Confiança inadequada
Manifesta-se ao compartilhar assuntos sigilosos com pessoas próximas ou ao tratar temas sensíveis por meios de comunicação sem criptografia, esquecendo que o conhecimento pertence à instituição e está sob posse temporária para o exercício do dever.
Entusiasmo
A empolgação excessiva ao debater ou defender um projeto reduz o senso crítico, facilitando a extração involuntária de dados por interlocutores atentos.
Ignorância
O desconhecimento do valor das informações detidas faz com que dados sobre efetivos, equipamentos, recursos financeiros, tecnologias e vulnerabilidades sejam divulgados de forma inadvertida.
Superando as falhas humanas na cibersegurança militar
No ambiente de Tecnologia da Informação, é comum a falsa percepção de que recursos tecnológicos, como firewalls e antivírus, são suficientes para garantir a proteção.
No entanto, práticas como o uso de senhas anotadas em locais visíveis, o compartilhamento de credenciais pessoais ou a violação de normas para cumprir prazos anulam os controles automatizados.
Para conter esses riscos, é indispensável cumprir com rigor o princípio da necessidade de conhecer, que limita o acesso a assuntos sigilosos apenas a pessoas credenciadas.
Além disso, medidas operacionais de obstrução devem ocorrer, como manter a mesa de trabalho limpa, evitar a exposição de documentos e empregar criptografia na transmissão de mensagens eletrônicas sensíveis.
O FCA 200-2 sobre cibersegurança diz que o processo é contínuo e depende da conscientização e do treinamento do efetivo.
No final das contas, o manual da FAB deixa claro que o melhor combate contra a engenharia social começa com a autovigilância individual dos militares.