No final de outubro de 2026, Damien ficou em segundo lugar no CTF de Social Engineering do Hackfest de Québec, a sua sétima participação nesta competição. Vinte concorrentes enfrentaram um exercício de recolha de informações e manipulação telefónica centrado em 28 empresas, com trinta minutos para obter o máximo de informações de verdadeiros funcionários.
- Damien terminou em segundo lugar no CTF de Social Engineering do Hackfest de Québec.
- A prova combinava recolha de informações e manipulação telefónica sobre 28 empresas.
- Damien obteve 39 dos 67 objetivos ao fazer-se passar por sindicalista.
- Para Damien, um humano partilha por vezes a informação mais valiosa sem perceber porquê.
A primeira etapa decorreu por escrito, uma semana antes do Hackfest. Os concorrentes tinham de preencher um relatório de reconhecimento com uma longa série de perguntas sobre empresas como a Decathlon, a Ikea, a Air Canada ou a Home Depot, por exemplo sobre o prestador de serviços de controlo de pragas, a empresa que gere as máquinas de venda automática ou a existência de uma cafetaria. Cada resposta tinha de ser justificada por uma fonte aberta e verificável. Damien indica ter encontrado cerca de 95% das respostas, um resultado que, no entanto, representava apenas metade da avaliação.
A outra metade desenrolou-se por telefone, e a hora da chamada foi sorteada. Damien calhou na pausa para o almoço, um momento em que alguns funcionários só dispõem de quinze minutos. Apesar disso, conseguiu continuar a competição.
Para estas interações, preparou cinco ferramentas. Cita nomeadamente um diretório que permite associar contactos, funções e departamentos, um sintetizador de ambientes sonoros composto por cerca de cinquenta ficheiros MP3, e uma inteligência artificial caseira, que apresenta como uma forma de recuperar rapidamente elementos de contexto já recolhidos e verificados. Segundo ele, « o tom, o ritmo, os silêncios, as hesitações e as reações do meu interlocutor continuam a ser essenciais », e nenhum software pode garantir a leitura perfeita de um comportamento humano.
Mudar de personagem para chegar à final
Na final, os concorrentes dispunham de vinte minutos para reunir informações com a ajuda do público, e depois de trinta minutos para telefonar. Dos 67 objetivos a alcançar, Damien obteve 39 diretamente dos seus interlocutores. Para ganhar credibilidade, construiu a personagem de um sindicalista encarregado de finalizar um inquérito interno sobre reivindicações salariais, depois de ter lido a imprensa local durante dez dias.
Conta que um supervisor, que tinha feito uma formação em cibersegurança três semanas antes, introduziu um endereço de Internet sugerido durante a chamada. A sua justificação marcou o autor: « Introduzi-o porque tem o nome da minha empresa, caso contrário não introduzo nada! » Damien sublinha que a presença do nome de uma empresa num endereço não garante nada.
O concurso incluía também um dispositivo de medição: os concorrentes estavam ligados a um detetor de mentiras e a um monitor cardíaco durante as suas chamadas. O coração de um deles atingiu 155 batimentos por minuto.
Segundo lugar e uma lição sobre o humano
Damien recorda uma frase do hacker Kevin Mitnick, ouvida na sua passagem por Lille: « Sabes, Damien, o mais complicado não é falar com eles, é ouvir a respiração deles! »
Durante os três dias da competição, Damien telefonou a 43 pessoas e contactou-as todas novamente para lhes explicar o contexto. Indica que a frase de um participante, « Bem, pois então, fui apanhado! », resume a experiência. Considera que a sensibilização deve confrontar os trabalhadores com situações realistas, porque a verdadeira armadilha pode começar com uma conversa banal.
« Em ciberinteligência, a informação mais valiosa nem sempre é a que uma ferramenta descobre. Por vezes, é aquela que um humano aceita partilhar, sem sequer perceber porque é que lha pedem. »
