Você fecha o notebook no fim do expediente e vai para casa. O e-mail da empresa continua logado no navegador do escritório. Pois foi exatamente essa brecha que uma invasão de e-mail corporativo descrita esta semana pela Kaspersky aprendeu a explorar – e o detalhe que assusta é que ela não precisou da sua senha.
A invasão de e-mail corporativo acontece quando um terceiro acessa a caixa de mensagens da empresa sem autorização. No caso descrito pela Kaspersky, a ferramenta nem usa a senha: ela aproveita a sessão deixada aberta no navegador e as chaves de autorização que ele guarda para não pedir login toda hora. Por isso, trocar a senha não resolve sozinho – quem resolve é a gestão do acesso.
Como a invasão de e-mail corporativo acontece sem a senha
Primeiro, vale traduzir o que os pesquisadores encontraram. Segundo a pesquisa da Kaspersky, a ferramenta foi usada para comprometer contas corporativas de e-mail. Em seguida, ela se aproveita de um detalhe do dia a dia: se o funcionário não encerra a sessão, o navegador mantém o acesso ativo.
A partir daí, o atacante se conecta ao navegador e passa a ler e-mail, agenda e arquivos direto pela conexão do serviço – sem senha e sem alerta. Como não há tentativa de login errada, nada acende o sinal vermelho. Por isso, a ferramenta pode ficar semanas sem ser notada. Além disso, ela pede permissões amplas: e-mail, armazenamento na nuvem e contatos.
O ponto para o dono de pequena empresa não é o nome da ferramenta. É a lição: a porta que ficou aberta vale mais para o invasor do que a senha mais forte do mundo.
Por que a conta sem gestão é o elo fraco
Repare onde está o problema. Não é o e-mail na nuvem, nem a plataforma que a empresa usa – é a conta sem gestão. Ou seja, a sessão que ninguém encerra, o acesso de terceiro que ninguém revisa e a política que ninguém aplica.
Na prática, isso aparece assim: o computador do balcão fica logado o dia inteiro; um aplicativo pediu acesso à conta há meses e continua conectado; e cada funcionário configura o e-mail do seu jeito. Portanto, o risco não nasce de um ataque sofisticado – nasce da rotina sem dono.
O que um e-mail gerenciado faz diferente
Aqui entra a virada. Um e-mail gerenciado não promete que nada nunca vai acontecer – promete controle, revisão e resposta. Em vez de deixar cada conta por conta própria, ele encerra sessões, revisa quem tem acesso, audita os aplicativos conectados e aplica a mesma política em todas as caixas da empresa.
Além disso, há alguém do outro lado. A Ai Soluções faz e cuida: configura, monitora e, quando algo foge do padrão, o suporte responde em até 60 minutos. Some a isso o controle de acessos e o monitoramento de alterações e o backup automático diário, e a empresa troca o improviso por previsibilidade. Não é imunidade – é gestão.
Checklist rápido para blindar o e-mail da empresa
Primeiro, encerre a sessão do e-mail nos computadores compartilhados ao fim do dia. Depois, revise os aplicativos e serviços de terceiros conectados à conta e remova o que ninguém usa. Em seguida, ative a autenticação em dois fatores e padronize as boas práticas no uso do e-mail corporativo para todos. Por fim, defina um responsável que revisa acessos e responde rápido.
Perguntas frequentes
Trocar a senha resolve a invasão de e-mail corporativo? Nem sempre. Quando o acesso vem de uma sessão aberta ou de uma autorização já concedida, a senha nova não fecha a porta. É preciso encerrar as sessões, revogar acessos e revisar os aplicativos conectados.
O antivírus sozinho protege o e-mail da empresa? Não. O antivírus ajuda contra arquivos maliciosos, mas não gerencia quem tem acesso à conta. A proteção depende de controle de acesso, política aplicada e revisão contínua.
O que é uma chave de autorização (token)? É um crachá que o navegador guarda depois que você entra, para não pedir a senha toda hora. Se alguém copia esse crachá, entra sem a senha – por isso a gestão desses acessos importa tanto.
Conclusão
A ferramenta descrita pela Kaspersky não invadiu porque a senha era fraca. Invadiu porque a conta estava sem gestão. E é essa a diferença que separa a empresa que controla o acesso ao próprio e-mail da que só descobre o problema quando já é tarde.
Se fosse hoje, você saberia dizer quais aplicativos e pessoas têm acesso ao e-mail da sua empresa?
Ai Soluções – Tecnologia que mantém sua empresa funcionando.
Escrito por Victor Milan - Fundador e CEO da Ai Soluções · 19 anos em T.I. (desde 2007)
Especialista em suporte de T.I. para pequenas empresas. À frente da Ai Soluções desde 2014, cuida do ambiente de T.I. de empresas em todo o Brasil, 100% remoto, a partir de Ariquemes - RO - e escreve de gestor para gestor, sobre o que resolve na prática.