RECOMENDAÇÃO CTIR Gov 01/2025 Orientações sobre campanhas de conscientização

1. A presente recomendação tem como objetivo orientar os órgãos e entidades governamentais na realização de campanhas de conscientização direcionadas aos respectivos públicos-alvo, com o intuito de reduzir a eficácia de golpes virtuais envolvendo a temática governamental na sociedade.

2. O Centro de Prevenção, Tratamento e Resposta a Incidentes Cibernéticos do Governo (CTIR Gov) tem observado uma tendência a ataques que exploram o comportamento e as atitudes dos próprios usuários. Esses atacantes, neste caso entendidos como fraudadores, se utilizam de técnicas de engenharia social e por diferentes meios e discursos, procuram enganar e persuadir potenciais vítimas a fornecerem informações sensíveis ou a realizarem ações, como executar códigos maliciosos e acessar páginas falsas. Para garantir maior credibilidade às mensagens maliciosas, os golpistas se utilizam de contextos relacionados a temas governamentais em suas mensagens e/ou páginas maliciosas, como programas de governo, pagamento de tributos, recadastramentos, dentre outros. Com isso, é imperiosa a adoção de uma comunicação esclarecedora junto à população sobre esse tema.

3. O CTIR Gov recomenda a todos os órgãos de governo e entidades vinculadas que coordenem campanhas de esclarecimentos junto ao seu público alvo, com a finalidade de orientá-los sobre os canais oficiais utilizados na comunicação com a população, bem como explicar como esta é conduzida. Tais medidas devem auxiliar os usuários a diferenciar uma comunicação oficial de mensagens enganosas ou páginas maliciosas criadas por fraudadores.

4. Nessa comunicação de esclarecimento com o público-alvo, sugere-se apresentar as seguintes características dos sites/mensagens fraudulentas aos usuários através dos canais oportunos:

• chamam a atenção, apresentando-se como originária de instituições familiares ao usuário (Serasa, Receita Federal, Correios, programas sociais do governo e etc.);
• persuadem o usuário da necessidade de recadastro de senha, atualizações de software, recebimento de prêmio ou vantagem financeira, etc.;
• solicitam dados pessoais, tais como login e senha, dados bancários, número de CPF, telefone e endereço, o que normalmente instituições não solicitam via e-mail;
• apresentam tom de urgência, ligada a ameaças de bloqueio, suspensão de serviços, etc.;
• solicitam cliques em links. Tais links servem para redirecionar o usuário para um site malicioso, com páginas imitando o formato e arte de instituições legítimas. Uma armadilha comum é a existência de um link com a promessa de não se receber mais mensagens tratando do assunto;
• cobram valores financeiros via transferências PIX por serviços prestados gratuitamente pelo governo; e
• abordam assuntos relacionados a eventos atuais ou épocas específicas, como os relativos ao envio do Imposto de Renda, enviados pela Receita Federal.

5. Alguns exemplos que ajudam na identificação de mensagens fraudulentas, podem ser encontrados no site Catálogo de Fraudes da RNP, disponibilizado pelo Centro de Atendimento a Incidentes de Segurança da Rede Nacional de Ensino e Pesquisa (CAIS/RNP), que também serve como fonte de informação para o auxílio a não propagação de fraudes disseminadas por e-mail, bem como na prevenção desse tipo de golpe.

6. Sugere-se ainda, que seja implementada a autenticação de dois fatores para acesso a eventuais sistemas disponibilizados ao público-alvo. A implementação dessa camada extra de segurança deve ser incentivada ostensivamente junto aos usuários através da explicação dos benefícios de sua adoção. Para sistemas com maior grau de criticidade e mediante criteriosa avaliação por parte dos órgãos e entidades, recomenda-se a obrigatoriedade do uso dessa camada adicional de segurança. Cabe destacar a necessidade de uma cuidadosa orientação sobre como operacionalizar essa tecnologia nos dispositivos pessoais, a fim de evitar possíveis perdas de acesso por parte dos usuários.

7. O CTIR Gov adere ao padrão Traffic Light Protocol (TLP), conforme definido pelo Forum of Incident Response and Security Teams (FIRST):

• https://www.gov.br/ctir/pt-br/assuntos/tlp

8. Em concordância com o previsto no Decreto 10.748/2021, o CTIR Gov solicita que as entidades responsáveis pelas ETIR Setoriais orientem a comunidade de suas respectivas áreas sobre o tratado nesta Recomendação, de acordo com suas diretrizes e políticas específicas.

Equipe CTIR Gov.