GeoAxis: IA que Descobre Onde uma Foto Foi Tirada Sem GPS ou EXIF | OSINT Brasil OSINT Forense Digital Inteligência Artificial GeoAxis: IA que descobre onde qualquer foto foi tirada — sem GPS nem EXIF Por Rogério Souza — RDS @RDSWEB · 8 min de leitura · Atualizado em 14 de setembro de 2026 O GeoAxis identifica onde uma foto foi tirada analisando apenas o conteúdo visual da imagem — sem depender de GPS, EXIF ou qualquer metadado embutido no arquivo. O que é O GeoAxis é uma plataforma de inteligência de localização por IA: basta enviar uma foto para que a ferramenta identifique onde ela foi tirada em segundos, sem GPS, sem EXIF e sem metadados. Em vez de ler dados embutidos no arquivo, a IA analisa o conteúdo visual da imagem — marcos, terreno, vegetação, arquitetura e outros indícios — e cruza essas informações com bases de referência para apontar a localização. O site resume a proposta n...
O que é engenharia social, principais tipos, exemplos reais e como se proteger — 15 módulos sobre psicologia da persuasão, táticas de manipulação e defesa organizacional, com foco 100% educacional e defensivo, para profissionais de segurança, advogados, compliance, RH e lideranças.
RDS @RDSWEB · Analista de Segurança da Informação e OSINT · 20+ anos de experiência em CTI, investigação defensiva e forense digital
Por que estudar engenharia social
A engenharia social é hoje o vetor de entrada mais usado em incidentes de segurança — não porque firewalls falharam, mas porque uma pessoa foi convencida a clicar, ligar, confirmar ou liberar algo que não deveria. Entender a mecânica psicológica por trás da manipulação é o que transforma um colaborador vulnerável em um sensor humano de detecção de fraude.
Este curso reúne fundamentos de psicologia comportamental, estudo de casos reais (sem instruções operacionais de ataque) e uma estrutura de defesa aplicável tanto a empresas quanto a profissionais que lidam com informação sensível — advogados, peritos, compliance officers e times de segurança.
CEOs & Diretoria
Compliance & Jurídico
Segurança da Informação
RH & Treinamento
Advogados
Auditoria
O que é engenharia social?
É o conjunto de técnicas de manipulação psicológica usadas para induzir uma pessoa a entregar informações sigilosas, conceder acesso indevido ou executar uma ação que compromete sua segurança ou a de uma organização, explorando confiança, autoridade, urgência e outros gatilhos comportamentais em vez de falhas técnicas.
Este curso ensina a atacar ou a se defender?
Tem propósito estritamente defensivo e educacional: reconhecer táticas, identificar sinais de alerta e estruturar defesas — nunca reproduzir ataques reais.
Preciso de conhecimento técnico prévio?
Não. A linguagem é acessível a profissionais não técnicos, com aprofundamento gradual nos módulos mais avançados (deepfakes, resposta a incidentes).
Como a engenharia social se relaciona com phishing e deepfakes?
Phishing, vishing, smishing e deepfakes são canais/ferramentas de entrega. A manipulação psicológica é a base; a tecnologia é apenas o meio.
Quais são os principais tipos de engenharia social?
Phishing, spear phishing e whaling (e-mail), vishing (voz/telefone), smishing (SMS), pretexting (narrativa falsa), baiting (isca física ou digital), tailgating (acesso físico) e, mais recentemente, deepfakes de voz e vídeo gerados por IA.
Quais são exemplos comuns de engenharia social?
Um e-mail falso do "setor de TI" pedindo troca de senha, uma ligação de um suposto gerente de banco, um perfil falso no LinkedIn mapeando a empresa, e a fraude do CEO — em que alguém se passa por um executivo para autorizar uma transferência urgente.
Como identificar e se proteger da engenharia social?
Os principais sinais são urgência artificial, apelo a autoridade não verificável e pedidos que pulam um processo formal. A defesa mais eficaz é verificar por um canal secundário já conhecido antes de qualquer ação sensível.
Tipos de engenharia social: um panorama rápido
Antes de entrar nos módulos, vale um panorama direto sobre o que é engenharia social na prática e quais são os seus principais tipos. De forma resumida, existem quatro grandes famílias de ataque: engenharia social por e-mail (phishing, spear phishing, whaling), por voz e mensagem (vishing e smishing), presencial/física (tailgating, baiting, personificação) e digital via redes sociais (perfis falsos, SOCMINT ofensivo). A partir de 2024, uma quinta família ganhou força: engenharia social potencializada por IA generativa, com deepfakes de voz e vídeo usados para personificar executivos com alta credibilidade.
Exemplos de engenharia social que aparecem com frequência em incidentes reais reportados na imprensa: a fraude do CEO (transferência financeira urgente autorizada por uma suposta ligação ou vídeo do executivo), o falso suporte técnico (pedido de instalação de software de acesso remoto), o falso fornecedor (boleto adulterado) e o golpe do "novo número" no WhatsApp corporativo. Em todos os casos, a técnica central é a mesma: criar um pretexto plausível e uma janela de urgência que impeça a vítima de parar e verificar.
Módulos do curso
Módulo 1 — Introdução à Engenharia Social fundamentos
Definição formal, breve histórico (do "social engineering" pré-digital aos golpes por IA generativa) e por que a manipulação humana continua sendo mais eficiente do que quebrar criptografia. Diferença entre engenharia social técnica (phishing) e não técnica (pretexting presencial, telefônico).
Você vai entender
Os três elementos presentes em todo ataque: pretexto, canal e ação desejada
Por que engenharia social escala melhor que exploração técnica
O ciclo do ataque: reconhecimento → construção de confiança → exploração → saída
Módulo 2 — Psicologia da Persuasão: os seis princípios fundamentos
Estudo dos princípios de influência amplamente documentados na literatura de psicologia social — reciprocidade, compromisso e coerência, prova social, autoridade, afeição/simpatia e escassez — e como cada um é mapeado para um pretexto típico de engenharia social.
Sinal de alerta:
Sensação de urgência artificial ("responda em 10 minutos ou sua conta será bloqueada")
Apelo a uma figura de autoridade não verificável diretamente
Pedido que quebra um processo formal já estabelecido
Módulo 3 — Vieses Cognitivos Explorados por Atacantes fundamentos
Heurísticas de decisão rápida (o chamado "Sistema 1" do pensamento, na literatura de Kahneman) exploradas em pretextos: viés de autoridade, efeito de ancoragem, aversão à perda, viés de confirmação e o "efeito halo" de marcas conhecidas usadas em phishing. Aplicação prática: por que um e-mail com o logotipo certo já reduz o ceticismo da vítima antes mesmo da leitura do texto.
Defesa: treinar o "Sistema 2" (pensamento lento e deliberado) com uma pausa obrigatória de verificação antes de qualquer ação sensível — mesmo sob pressão de tempo.
Módulo 4 — Reconhecimento: como o atacante pesquisa o alvo preparação
Visão defensiva sobre como informações públicas (redes sociais, sites corporativos, vazamentos de dados, metadados de documentos) são usadas para construir pretextos convincentes — sem detalhar procedimentos ofensivos. O objetivo é você entender sua própria superfície de exposição (organograma público, cargos no LinkedIn, e-mails padronizados, fotos com crachás visíveis).
Redução de superfície: auditar periodicamente o que a empresa e os colaboradores expõem publicamente (cargos, hierarquia, fornecedores, rotina de viagens de executivos).
Módulo 5 — Pretexting: a construção da narrativa táticas
Como um pretexto plausível é montado (papel assumido, contexto, justificativa para o pedido) e por que pretextos que imitam processos internos reais (TI, RH, financeiro, fornecedor) são os mais eficazes. Estudo de padrões recorrentes: falso suporte técnico, falsa auditoria, falso fornecedor cobrando pagamento.
Sinal de alerta:
O interlocutor sabe detalhes internos genéricos, mas hesita diante de uma pergunta específica de confirmação
Insiste em resolver tudo fora do canal e do processo formal já existente
Módulo 6 — Phishing, Spear Phishing e Whaling canais
Diferenças entre phishing em massa, spear phishing direcionado e whaling (alvo executivo). Anatomia de um e-mail malicioso do ponto de vista de detecção: domínio parecido (typosquatting), remetente falsificado, link mascarado, anexo com extensão dupla, tom de urgência.
Checklist de verificação de e-mail suspeito:
O domínio do remetente confere exatamente com o oficial?
O link, ao passar o mouse por cima, aponta para onde o texto diz?
Há pressão de tempo ou ameaça de consequência?
O pedido pula uma etapa de aprovação normal?
Módulo 7 — Vishing e Smishing (voz e SMS) canais
Golpes por telefone (falso suporte bancário, falso setor de TI) e por SMS (falsa entrega, falso banco). Papel do "caller ID spoofing" e, em 2026, da clonagem de voz por IA para personificar executivos em ligações urgentes ("fraude do CEO por voz").
Defesa: nunca autorizar transferências ou liberar dados por telefone sem confirmação em um segundo canal já conhecido (callback para o número oficial, não o número informado pelo interlocutor).
Módulo 8 — Engenharia Social Física canais
Tailgating (entrar em área restrita seguindo alguém), baiting (pendrive "esquecido" propositalmente), dumpster diving (busca de documentos descartados) e personificação de prestadores de serviço (técnico, entregador, fiscal). Foco em controles de recepção, crachás e descarte seguro de documentos.
Defesa: política de "crachá visível sempre" com direito e dever de qualquer colaborador questionar quem não o exibe; descarte de documentos sensíveis sempre por fragmentadora, nunca em lixo comum.
Módulo 9 — Engenharia Social em Redes Sociais (SOCMINT) canais
Como perfis falsos, solicitações de conexão no LinkedIn e mensagens diretas são usados para mapear organogramas, validar pretextos e iniciar contato de confiança antes do golpe principal. Relação com o conceito de "catfishing" corporativo.
Sinal de alerta:
Perfil recém-criado, com poucas conexões em comum e histórico profissional genérico
Evolução rápida da conversa de rede social para um canal privado (WhatsApp, e-mail pessoal)
Módulo 10 — Deepfakes e IA Generativa ameaça emergente
Vídeos e áudios sintéticos usados para personificar executivos em videochamadas ou ligações, e textos gerados por IA que eliminam os erros gramaticais que antes denunciavam phishing. Discussão sobre por que a verificação por canal secundário se torna ainda mais crítica nesse cenário.
Sinais possíveis em deepfakes de voz/vídeo:
Áudio ligeiramente robótico, cadência irregular ou atraso incomum na resposta
Recusa em usar um canal de vídeo ao vivo adicional para confirmar
Pedido de sigilo absoluto sobre a solicitação
Módulo 11 — Indicadores e Sinais de Alerta (Red Flags) detecção
Consolidação de todos os "red flags" estudados nos módulos anteriores em um framework único de checagem rápida, aplicável a e-mail, telefone, presencial e redes sociais.
Framework rápido (3 perguntas): Eu esperava este contato? Consigo confirmar por um canal que eu já conhecia antes desta mensagem chegar? A urgência é real ou é o pedido em si que está criando a urgência?
Módulo 12 — Defesa Organizacional: Treinamento e Cultura defesa
Como estruturar um programa de conscientização (awareness) contínuo em vez de um treinamento anual isolado: simulações periódicas de phishing, microtreinamentos, canal simples para reportar suspeitas sem punição ao colaborador que caiu no golpe.
Métrica que importa: tempo médio até o primeiro report de um e-mail suspeito — reduzir esse tempo vale mais do que reduzir a taxa de cliques em simulações.
Módulo 13 — Resposta a Incidentes de Engenharia Social defesa
Passos imediatos após suspeita ou confirmação de um ataque bem-sucedido: contenção (troca de credenciais, isolamento), comunicação interna, notificação a áreas jurídica/compliance, e quando acionar suporte especializado em investigação digital.
Não faça: não apagar e-mails, logs ou mensagens suspeitas antes de preservá-los como evidência — isso pode inviabilizar tanto a investigação interna quanto uma eventual ação judicial.
Módulo 14 — Aspectos Legais no Brasil e Ética conformidade
Enquadramento de golpes de engenharia social à luz da LGPD (vazamento de dados pessoais), do Marco Civil da Internet e do Código de Processo Penal (produção de prova digital em caso de fraude). Limites éticos de qualquer atividade de simulação interna (pentest de engenharia social) — sempre com autorização formal e escopo definido.
Boa prática: toda simulação interna de engenharia social deve ter escopo, autorização formal da direção e comunicação prévia ao jurídico/compliance — nunca ser conduzida de forma não autorizada, mesmo internamente.
Módulo 15 — Estudo de Casos e Checklist Final aplicação
Revisão de casos amplamente noticiados de fraude do CEO, comprometimento de e-mail corporativo (BEC) e vishing bancário, discutidos exclusivamente a partir de reportagens públicas, com checklist final de autoavaliação de maturidade defensiva da organização.
Checklist final: a organização tem canal de report sem punição? Usa verificação por canal secundário para pedidos financeiros? Treina continuamente, não apenas uma vez por ano? Tem plano de resposta a incidentes de engenharia social documentado?
Como se proteger
Verificação por canal secundário
Nunca confirmar pedidos sensíveis pelo mesmo canal em que chegaram; usar um número/contato já conhecido para validar.
Treinamento contínuo
Simulações periódicas de phishing e microtreinamentos, não um evento anual isolado.
Segurança comportamental (EDR/XDR)
Detecção de comportamento anômalo mesmo quando o usuário foi enganado e a credencial é legítima.
Zero Trust e MFA
Autenticação multifator resistente a phishing (chaves físicas/passkeys) reduz o impacto de credenciais roubadas.
Monitoramento de Threat Intelligence
Acompanhar campanhas ativas direcionadas ao setor e vazamentos que alimentam pretextos.
Plano de resposta a incidentes
Fluxo claro e sem punição imediata para quem reporta ter caído em um golpe — velocidade do report é mais importante que culpa.
Comentários
Postar um comentário