Engenharia social é uma tática onde atacantes manipulam pessoas para obter acesso ou informações sensíveis. Pode aparecer em cenários de suporte ao cliente como alguém fingindo ser um usuário legítimo que está bloqueado fora da conta.
Mesmo com boas práticas de autenticação, é difícil prevenir totalmente esses casos — por isso é importante treinar sua equipe e configurar seu workspace de forma defensiva.
Este guia explica como você pode usar os recursos do Intercom para reduzir sua exposição e ajudar sua equipe a responder efetivamente quando uma conversa parecer suspeita.
1️⃣ Proteja seu Messenger
Se você está usando o Intercom para users logados, sempre autentique seus users com um JSON Web Token (JWT). Isso garante que o Messenger só seja iniciado para sessões reais e autenticadas dos seus users. Qualquer tentativa de falsificar identidade (ex.: iniciar uma conversa como outro user) falhará se o JWT não for válido. Para mais informações, veja: Autenticando users no Messenger com JSON web tokens (JWTs)
Verifique se seu Messenger está em um estado seguro nas configurações de segurança do seu Messenger
Note que isso funciona apenas para users, com user_ids, continue lendo para saber como proteger sua equipe contra conversas suspeitas de leads.
Diferenciando entre Leads e Users
Ao visualizar conversas na Inbox:
Leads são pessoas que iniciam conversas enquanto estão deslogadas. Frequentemente aparecem com informações mínimas ou nenhuma informação de identificação.
Users são aqueles que estão logados e autenticados, ou que se autenticam durante a conversa.
Leads e users são identificados no painel lateral dentro da Inbox. É útil notar como eles são identificados. Aqui está um lead que iniciou uma conversa no Messenger sem inserir um endereço de email:
Aqui está o mesmo lead após inserir um endereço de email no Messenger.
ℹ️ O Intercom não verifica se os leads possuem os endereços de email fornecidos no Messenger.
Se o user estiver logado, ele aparecerá como user.
Se um user fizer login no mesmo navegador após iniciar uma conversa como lead, como mostrado na captura de tela, ele será atualizado para user.
Para mais informações sobre a diferença entre leads e users, veja: Como visitantes, leads e users funcionam no Intercom?
Para saber mais sobre a fusão de user e lead, veja: Mesclar perfis de lead e user
Configure automações para coletar informações de identificação
Automações e Workflows são formas muito poderosas de configurar o Intercom para se adequar aos seus processos. Dependendo do lead, user ou conteúdo da mensagem, você pode tomar ações específicas.
Usando Automações Simples, você pode configurar o Intercom para:
Pedir aos leads que forneçam seu endereço de email antes de começarem a conversar
Solicitar contexto extra como nome, empresa ou ID da conta
Atribuir essas conversas a inboxes ou equipes específicas para revisão extra
Crie workflows personalizados para cenários de risco
Você pode criar workflows que respondem de forma diferente dependendo de quem inicia a conversa
🟡 É alguém apenas navegando? Faça perguntas leves ou direcione para conteúdo de autoatendimento.
🔁 É um user real que esqueceu de fazer login? Solicite o login e verifique o email.
🚨 É um user real que está bloqueado fora da conta?: Direcione para um fluxo seguro com verificação de dados, notas para colegas e expectativas claras de tempo de resposta.
Você pode configurar o Fin para:
Pedir aos leads que façam login antes de continuar
Oferecer opções de recuperação de conta (ex.: botão “Estou bloqueado”)
Escalar para um humano se necessário — e marcar a conversa claramente para que seu colega saiba que deve ter cautela
Aqui está um exemplo de configuração de workflow para Leads. Neste caso, estamos tentando cobrir os 3 cenários acima:
Tenha inboxes e visualizações separadas
Para proteção extra, você também pode separar conversas com leads não autenticados em uma inbox diferente para que fique claro que tudo nessa inbox merece vigilância extra.
Você pode conseguir isso com Team Inboxes. Veja mais em Organize team inboxes
Mantenha-se vigilante contra engenharia social
Mesmo com as melhores automações, agentes humanos desempenham um papel fundamental.
Prepare sua equipe para:
Treiná-los para sempre verificar os detalhes do user antes de fazer alterações na conta
Incentivá-los a verificar registros de users correspondentes, endereços de email e histórico de login
Adicionar notas internas e tags para comunicar suspeitas internamente
Perguntas Frequentes
Como posso verificar se os leads possuem os endereços de email que inserem no Messenger?
Atualmente, não temos um recurso para verificar endereços de email inseridos no Messenger. Se você quiser ver esse recurso, por favor, envie uma solicitação para nossa equipe de suporte. Enquanto isso, recomendamos configurar workflows para incentivar leads a se cadastrarem, fazer login ou tratar as conversas com mais cautela.
Dito isso, você pode potencialmente usar um Conector de Dados para verificar endereços se essa funcionalidade estiver disponível em outro lugar.