Quando o invasor entra pela porta da frente: o que o caso relatado no INSS ensina sobre certificados digitais, engenharia social e LGPD
Um falso suporte técnico pode ser suficiente para transformar uma credencial legítima em instrumento de ataque. O episódio relatado por servidores do INSS ajuda a compreender por que segurança digital depende de tecnologia, processos e pessoas.
Imagine a seguinte situação.
Seu computador apresenta um problema. Pouco depois, alguém entra em contato dizendo ser do suporte técnico. A pessoa conhece o ambiente em que você trabalha, sabe explicar o problema e conduz a conversa com segurança. Em algum momento, pede acesso à máquina para resolver a situação.
Você permitiria?
É justamente aí que mora um dos riscos mais difíceis de enfrentar em segurança digital. Nem sempre o criminoso precisa encontrar uma falha sofisticada no sistema. Às vezes, basta convencer uma pessoa legítima a abrir a porta.
Um episódio relatado em agosto de 2026 envolvendo servidores do Instituto Nacional do Seguro Social (INSS) oferece um bom exemplo para entendermos esse problema — desde que façamos uma distinção importante desde o início: há relatos de servidores publicados pela imprensa, mas o INSS nega que seus sistemas tenham sido invadidos.
Essa diferença importa.
E talvez seja justamente ela que torne o caso tão interessante para quem trabalha com privacidade, proteção de dados e segurança da informação.
O risco nem sempre está em alguém conseguir quebrar a fechadura. Às vezes, o maior risco é conseguir convencer alguém a entregar uma chave legítima.
O que sabemos sobre o caso
Em reportagem publicada em 19 de agosto de 2026, a Folha de S.Paulo informou que ao menos seis servidores do INSS relataram terem sido enganados por uma pessoa que se apresentou como integrante do suporte técnico.
Segundo esses relatos, o suposto criminoso teria se aproveitado inclusive de problemas reais existentes nos computadores, tornando a abordagem mais convincente.
A reportagem menciona o possível comprometimento ou clonagem de pelo menos 98 certificados digitais. Em um dos casos relatados, um servidor afirmou que sua matrícula teria sido utilizada para realizar alterações em aproximadamente 700 benefícios, incluindo reativações e mudanças de dados bancários.
É importante manter a precisão: essas informações devem ser apresentadas pelo que são — relatos publicados pela imprensa. Elas não representam, por si só, uma conclusão técnica definitiva sobre eventual comprometimento da infraestrutura central do INSS.
O INSS, por sua vez, negou à reportagem que tenha ocorrido invasão de seus sistemas e informou que determinadas medidas adotadas tiveram caráter preventivo.
Até que existam elementos técnicos ou oficiais suficientes para uma conclusão diferente, não é responsável afirmar simplesmente que “hackers invadiram o INSS”.
Mas isso não reduz o valor educacional do episódio. Pelo contrário.
E se o criminoso conseguir operar utilizando a identidade de alguém que já tem autorização para entrar?
Quando atacar a pessoa é mais fácil do que atacar o sistema
Estamos acostumados a imaginar um ataque cibernético como uma disputa entre computadores.
De um lado, firewalls, antivírus, autenticação, criptografia e sistemas de monitoramento. Do outro, alguém tentando encontrar uma vulnerabilidade capaz de ultrapassar essas barreiras.
A engenharia social muda essa lógica.
Em vez de atacar diretamente a tecnologia, o criminoso procura influenciar uma pessoa.
Orientações oficiais de segurança do Governo Federal tratam a engenharia social como uma técnica baseada em manipulação e exploração do comportamento humano para obter informações, credenciais ou induzir ações capazes de comprometer a segurança.
O falso suporte técnico funciona particularmente bem porque utiliza algo muito poderoso: contexto.
Pense novamente naquela ligação:
“Sou do suporte. Identificamos um problema no seu computador.”
Se o computador realmente estiver apresentando um problema, a história se torna imediatamente mais convincente.
Agora acrescente o nome correto da empresa, alguma informação sobre o sistema utilizado, o nome de um colega ou uma terminologia familiar ao funcionário.
O criminoso não precisa parecer um criminoso. Precisa parecer alguém que deveria estar ali.
Por isso, orientar funcionários apenas a “não clicar em links estranhos” está muito longe de ser suficiente. Engenharia social pode acontecer por telefone, e-mail, WhatsApp, videoconferência, ferramentas de acesso remoto ou até pessoalmente.
Um certificado digital não é apenas um arquivo
O episódio relatado também chama atenção para outro ponto que muitas vezes é mal compreendido: o papel do certificado digital.
O Instituto Nacional de Tecnologia da Informação (ITI), responsável por importantes atribuições relacionadas à ICP-Brasil, explica que o certificado digital funciona como uma identidade no ambiente eletrônico, vinculando seu titular a mecanismos criptográficos utilizados para sua identificação.
Na prática, isso significa que estamos falando de algo muito mais importante do que “um arquivo instalado no computador”.
Estamos falando de identidade digital.
E aqui uma comparação simples ajuda.
Imagine uma empresa com câmeras, alarmes, catracas eletrônicas e portas protegidas.
Um invasor poderia tentar arrombar uma dessas portas.
Mas existe outra possibilidade: conseguir o crachá de alguém que trabalha lá.
A fechadura continua funcionando. A catraca continua funcionando. O sistema reconhece o crachá.
O problema é que a pessoa que está usando aquela identidade não deveria estar usando-a.
No ambiente digital, esse princípio ajuda a compreender por que credenciais, certificados, chaves privadas e contas privilegiadas exigem tanta proteção.
Autenticação forte é necessária. Mas não é mágica.
Certificados digitais, autenticação multifator, biometria e senhas fortes são mecanismos importantes de segurança.
Devem ser utilizados.
O erro está em acreditar que qualquer um deles, isoladamente, encerra o problema.
Se uma pessoa for enganada, se um dispositivo for comprometido ou se uma credencial legítima cair nas mãos erradas, o sistema poderá inicialmente enxergar algo que parece normal: um usuário autenticado.
Por isso, segurança precisa funcionar em camadas.
Não basta perguntar quem entrou. Também precisamos observar o que essa identidade está fazendo depois que entrou.
Imagine um funcionário que normalmente realiza algumas alterações por dia e, repentinamente, sua conta começa a executar centenas de operações sensíveis.
Mesmo que a autenticação tenha sido válida, esse comportamento merece atenção.
É justamente por isso que monitoramento de anomalias, gestão de privilégios e registros de atividade são tão importantes quanto o mecanismo utilizado no login.
O que sua empresa faria se isso acontecesse amanhã?
Essa talvez seja a parte mais útil do caso.
Não precisamos esperar saber exatamente o que aconteceu no INSS para fazer algumas perguntas dentro das nossas próprias organizações.
Se alguém ligar agora para um funcionário dizendo ser do suporte, como esse funcionário confirma que está realmente falando com uma pessoa autorizada?
Existe um canal oficial para essa confirmação?
Um técnico pode solicitar acesso remoto diretamente ou precisa seguir um procedimento previamente estabelecido?
Quem possui certificados digitais sabe como protegê-los?
E, principalmente: se amanhã houver suspeita de comprometimento de um certificado ou de sua chave privada, todos saberão para quem ligar e o que fazer?
As normas da ICP-Brasil tratam justamente da necessidade de proteção da chave privada e estabelecem hipóteses de revogação quando há comprometimento.
Isso mostra por que a resposta não pode começar a ser improvisada depois do incidente.
A organização precisa ter previamente definido quem será comunicado, quem pode determinar o bloqueio de acessos, como solicitar a revogação de um certificado, quais evidências devem ser preservadas e como avaliar outros acessos associados àquela identidade.
O mesmo vale para privilégios.
Uma pessoa deve possuir apenas os acessos necessários para exercer sua função. Quanto mais poderosa for uma credencial comprometida, maior poderá ser o impacto de seu uso indevido.
E existe uma camada que nenhuma ferramenta substitui completamente: capacitação.
Treinar pessoas contra engenharia social não significa colocar funcionários diante de uma apresentação genérica uma vez por ano.
Significa prepará-los para situações que parecem reais porque, muitas vezes, serão reais.
“Preciso acessar sua máquina.”
“Seu certificado apresentou um problema.”
“Informe este código para concluirmos o atendimento.”
“Instale esta ferramenta para eu corrigir o computador.”
Quem já discutiu essas situações tende a reconhecer melhor quando alguma coisa está fora do procedimento.
E o que tudo isso tem a ver com LGPD?
Muito.
A proteção de dados pessoais não pode ser responsabilidade apenas da equipe de tecnologia.
A própria Autoridade Nacional de Proteção de Dados (ANPD) inclui roubo de credenciais/engenharia social entre as categorias relacionadas aos incidentes de segurança comunicados à Autoridade.
Isso é coerente com uma ideia fundamental da governança em privacidade: proteger dados exige combinar tecnologia, processos e pessoas.
Uma organização pode investir em excelentes ferramentas e continuar exposta se não controlar adequadamente acessos, privilégios, identidades digitais, procedimentos de suporte e resposta a incidentes.
É por isso que uma pergunta como “nosso sistema é seguro?” é importante, mas insuficiente.
Há outra pergunta que precisa acompanhá-la:
O que acontece se uma pessoa autorizada for enganada?
Segurança também se aprende
Casos como o relatado no INSS chamam atenção porque envolvem tecnologia, certificados digitais e possíveis operações indevidas. Mas o aprendizado mais importante talvez seja muito mais cotidiano.
Uma ligação.
Uma pessoa convincente.
Um problema verdadeiro.
Um pedido aparentemente razoável.
E uma decisão tomada em poucos segundos.
É nesse pequeno intervalo que muitas camadas sofisticadas de segurança podem ser colocadas à prova.
Por isso, segurança digital e proteção de dados não são assuntos que se resolvem apenas comprando ferramentas. Exigem conhecimento, procedimentos claros e atualização contínua das pessoas que tomam decisões todos os dias.
Conhecimento também é uma camada de proteção.
Segurança digital, privacidade e proteção de dados não são temas que terminam depois de uma palestra, da instalação de uma ferramenta ou da criação de uma política.
A Academia Lirolla trabalha para transformar temas de privacidade, proteção de dados, segurança e governança em conhecimento aplicável à realidade profissional, mantendo seus alunos em processo contínuo de atualização.
Conheça a Academia Lirolla →Tecnologia protege sistemas. Pessoas preparadas ajudam a proteger decisões.
Fontes consultadas
Fontes oficiais
Instituto Nacional de Tecnologia da Informação (ITI) — informações oficiais sobre certificação digital e ICP-Brasil.
Consultar fonte oficial
Instituto Nacional de Tecnologia da Informação (ITI) — documentação normativa relacionada à proteção de chaves privadas e revogação de certificados.
Consultar documentação
Autoridade Nacional de Proteção de Dados (ANPD) — informações e estatísticas relacionadas a incidentes de segurança, incluindo roubo de credenciais e engenharia social.
Consultar dados da ANPD
Gabinete de Segurança Institucional da Presidência da República (GSI/PR) — orientações relacionadas à segurança da informação, engenharia social e gestão de acessos privilegiados.
Consultar orientação
Fonte jornalística utilizada para contextualização do episódio
Folha de S.Paulo, 19 de agosto de 2026 — reportagem sobre os relatos apresentados por servidores do INSS e a manifestação do Instituto.
Consultar reportagem
Nota editorial: as informações específicas sobre o episódio envolvendo servidores do INSS são apresentadas conforme as informações publicamente disponíveis na data deste artigo. Os relatos publicados pela imprensa não representam, por si só, conclusão técnica definitiva sobre eventual comprometimento dos sistemas do Instituto.
Academia Lirolla
Capacitação Estratégica em Privacidade, Governança, Segurança Digital e Inteligência Artificial.
Conhecimento que permanece vivo.
