E-mail da empresa foi invadido: o passo a passo para retomar o controle

Trocar a senha é o primeiro passo, e sozinho ele não resolve. Depois de redefinir a senha, encerre todas as sessões ativas, porque quem já estava conectado continua conectado. Em seguida confira três coisas no painel de administração: se o invasor cadastrou um método de segundo fator próprio, se criou regras na caixa de entrada (inclusive ocultas) e se autorizou algum aplicativo. Enquanto qualquer um desses três existir, ele volta sem precisar da senha.

Este guia traz a ordem correta dos primeiros 30 minutos, onde o invasor costuma se esconder depois da troca de senha, como descobrir há quanto tempo ele estava lá e em que situação a invasão precisa ser comunicada à ANPD.

Como saber se a conta foi mesmo invadida

Na maioria dos casos a empresa não descobre a invasão por um alerta. Descobre por um efeito colateral, e quase sempre tarde. Estes são os sinais mais comuns:

• Um cliente ou fornecedor avisa que recebeu um e-mail estranho seu. É o aviso mais frequente. Costuma ser uma cobrança com dados bancários diferentes ou um link pedindo login.

• Mensagens que você não enviou aparecem em Itens Enviados, ou pior, some tudo de lá porque o invasor apaga o rastro.

• E-mails somem da caixa de entrada sem explicação, principalmente os que falam de pagamento, nota fiscal ou boleto. É sinal de regra criada para desviar.

• Respostas a conversas que você não iniciou, com o histórico correto abaixo, indicando que alguém está usando a conta dentro de negociações reais.

• Aviso de login de outro país ou de horário estranho, quando o alerta está ativo. Muitas empresas têm esse alerta e ninguém lê.

Vale um cuidado antes de agir: nem todo comportamento estranho é invasão, e nem toda invasão dá sinal. Se terceiros estão recebendo mensagens em seu nome mas nada aparece nos Itens Enviados, pode ser phishing usando um domínio parecido, e não acesso à sua caixa. Nesse caso o problema é outro, e a resposta também.

Os primeiros 30 minutos, na ordem certa

A ordem importa porque cada passo fecha uma porta diferente. Trocar a senha e parar por aí é o erro mais comum, e é o que faz a empresa achar que resolveu enquanto o invasor continua lendo tudo.

Ordem	Ação	Onde fazer	Se pular esse passo
1	Bloquear a conta ou redefinir a senha	Painel de administração, não pelo próprio usuário	O invasor segue entrando com a senha antiga
2	Encerrar todas as sessões ativas	Painel de administração	Quem já estava logado continua logado, mesmo com senha nova
3	Conferir os métodos de segundo fator cadastrados	Configurações de segurança do usuário	Ele cadastrou o próprio celular e volta quando quiser
4	Procurar regras de caixa de entrada, inclusive as ocultas	Regras da caixa e painel administrativo do e-mail	Ele continua recebendo cópia de tudo
5	Revogar aplicativos com permissão concedida	Aplicativos conectados à conta	A autorização continua válida sem precisar de senha
6	Revisar delegações e permissão de envio em nome de outro	Permissões da caixa de correio	Ele envia mensagens como se fosse o usuário

Dois cuidados que a documentação da Microsoft sobre resposta a uma conta de e-mail comprometida destaca e que costumam passar batido: não envie a nova senha por e-mail, porque o invasor pode estar lendo a caixa, e lembre que senhas de aplicativo não são revogadas automaticamente na troca da senha principal.

Onde o invasor continua depois que você troca a senha

Quem invade uma caixa corporativa raramente quer causar barulho. Quer ficar. E para ficar, ele deixa mecanismos que sobrevivem à troca de senha. São quatro os mais comuns.

• Regras na caixa de entrada, e aqui está o detalhe que quase todo mundo perde: existem regras que não aparecem na interface web. A documentação da Microsoft orienta a listar as regras com o parâmetro que inclui as ocultas, porque uma regra criada por script pode ficar invisível para quem olha só pelo Outlook. Vale perguntar ao seu TI se a checagem incluiu as regras ocultas ou só as visíveis.

• Encaminhamento configurado no servidor, não na caixa. É diferente da regra de caixa de entrada e fica em outro lugar. Uma cópia de tudo sai para um endereço externo sem deixar rastro na pasta do usuário.

• Aplicativo autorizado com permissão de leitura. Se em algum momento o usuário clicou em “permitir” para um aplicativo, aquela autorização continua funcionando independentemente da senha. Revogar é o único jeito.

• Método de segundo fator cadastrado pelo invasor. Ele adiciona o próprio número ou aplicativo autenticador. Na próxima vez, entra pela porta da frente e a empresa acha que foi o usuário.

Enquanto qualquer um dos quatro estiver ativo, a conta não foi recuperada. Foi só maquiada. É por isso que tratar o caso como incidente de segurança, com uma sequência definida, muda o resultado em relação a resolver por improviso.

Há quanto tempo ele estava lá dentro

Essa pergunta define o tamanho do problema, e a resposta está nos registros de acesso. Vale levantar de onde partiram os logins, em que horários e quais foram os primeiros acessos estranhos. Em muitos casos a invasão começou semanas antes do dia em que alguém percebeu.

O período importa por dois motivos práticos. O primeiro é saber o que o invasor pode ter lido, o que muda a conversa com clientes e fornecedores. O segundo é entender se houve saída de informação, e não só leitura, porque isso é o que define o passo seguinte.

Um exemplo do que costuma aparecer nessa apuração: em um escritório de contabilidade, a caixa comprometida era a do setor de faturamento, e o invasor tinha uma regra desviando todas as mensagens com a palavra “boleto”. Ninguém notou por dois meses, porque os clientes reclamavam de cobrança e o time achava que era falha do sistema de envio. O aviso veio quando um cliente pagou para a conta errada.

Se a apuração indicar acesso a documentos com dados de clientes, o caso deixa de ser só técnico e passa a ser também de vazamento de dados, com obrigações próprias.

A invasão precisa ser comunicada à ANPD?

Depende do que a apuração mostrar, e a regra tem prazo.

Segundo a página oficial da ANPD sobre comunicação de incidente de segurança, baseada na Resolução CD/ANPD nº 15, de 24 de abril de 2024, a comunicação à ANPD e aos titulares deve ser feita pelo controlador no prazo de três dias úteis, contados do conhecimento do incidente que possa acarretar risco ou dano relevante aos titulares. A mesma página registra que a comunicação voluntária e antecipada demonstra transparência e boa-fé, o que é considerado favoravelmente pela autoridade.

Três dias úteis é pouco tempo para quem ainda está tentando entender o que aconteceu. Por isso a apuração técnica precisa correr em paralelo à contenção, e não depois dela. Na prática, quem cuida da proteção de dados na empresa deve ser avisado no mesmo dia em que a invasão é identificada, mesmo antes de existir conclusão, para que o prazo não comece a correr sem ninguém saber.

Vale a ressalva: nem toda conta invadida gera obrigação de comunicar. A avaliação depende de haver dados pessoais envolvidos e de o incidente representar risco ou dano relevante aos titulares, o que precisa ser analisado caso a caso, com apoio de quem responde pela proteção de dados na empresa.

O que fazer para não acontecer de novo

Recuperar a conta resolve o episódio. Não repetir depende de três medidas, e nenhuma delas é cara.

• Segundo fator em todas as contas, sem exceção. É o controle de maior efeito aqui, porque a senha vazada deixa de ser suficiente. O MFA costuma já estar disponível no pacote de e-mail que a empresa paga, e a resistência costuma ser de conveniência, não de custo. Preferir aplicativo autenticador a código por SMS.

• Auditoria periódica das regras de encaminhamento. Uma verificação a cada trimestre nas caixas do financeiro, da diretoria e do comercial encontra o que passou despercebido. É rápido e não depende de comprar nada.

• Alerta de login fora do padrão, com alguém lendo. O alerta existe na maioria dos ambientes e vai para uma caixa que ninguém abre. Definir quem recebe e o que fazer ao receber é metade do trabalho.

Uma ressalva importante para não criar falsa sensação de segurança: o segundo fator reduz muito o risco de invasão por senha vazada, mas não impede todos os cenários. Existem ataques que capturam a sessão já autenticada, e existe o caso em que quem foi comprometido é o fornecedor, e não você. O conjunto de práticas de proteção de dados cobre essas outras frentes, incluindo backup e controle de acesso.

Como a HLTI conduz esse tipo de incidente

No atendimento a uma conta comprometida, a sequência é a da tabela acima, executada pelo painel de administração e registrada passo a passo: bloqueio, encerramento de sessões, revisão dos métodos de segundo fator, varredura de regras incluindo as ocultas, revogação de aplicativos autorizados e conferência de delegações.

Em paralelo corre o levantamento do período de acesso, para dizer ao gestor o que pode ter sido visto e por quanto tempo. Esse registro é o que sustenta a conversa com clientes e a avaliação sobre comunicar ou não o incidente dentro do prazo. Depois, entram as medidas para não repetir: cobertura de segundo fator, auditoria periódica de regras e definição de quem recebe os alertas.

O acompanhamento é contínuo, com NOC 24×7. Hoje, 98% dos incidentes são tratados de forma proativa, antes de virarem chamado, e casos críticos têm resposta em até 1 hora e resolução em até 4 horas em contrato. O modelo de TI gerenciada não tem multa de fidelidade: para encerrar, bastam 30 dias de aviso prévio.

Conclusão

Recuperar um e-mail invadido é uma sequência, não um botão. Senha nova, encerramento de todas as sessões, revisão dos métodos de segundo fator, varredura das regras da caixa incluindo as ocultas, revogação de aplicativos autorizados e conferência de delegações. Enquanto qualquer um desses pontos ficar de fora, a conta continua acessível.

Em paralelo vem a pergunta que define o resto: há quanto tempo o invasor estava lá e o que ele pode ter lido. Se houver dados pessoais envolvidos e risco relevante aos titulares, o prazo de comunicação é de três dias úteis, o que exige avisar quem responde pela proteção de dados já no primeiro dia.

A HLTI atua há mais de 34 anos em TI, com mais de 175 empresas atendidas e 700 projetos entregues, oferecendo resposta a incidentes, suporte proativo e contrato sem multa de fidelidade. Se você suspeita que uma conta da sua empresa foi comprometida, ou quer saber como está a proteção do seu e-mail hoje, fale com a nossa equipe e solicite o diagnóstico da sua infraestrutura.

---

Perguntas Frequentes