A maioria dos conselhos sobre prevenção de violações, incluindo nosso próprio guia sobre como evitar violações de dados, concentra-se em manter invasores fora da rede da sua empresa. O uso de credenciais mais fortes, resistência a phishing, sistemas corrigidos e fornecedores verificados são componentes essenciais dessa prática. Todas são práticas fundamentais, mas não podem ser suas únicas táticas de proteção contra violação de dados: elas não ajudarão você se um invasor conseguir violar a sua rede.
Obter acesso e roubar dados são coisas diferentes. Um invasor que compromete uma caixa de entrada, um laptop ou uma conexão de fornecedor ainda não roubou nada. Ele conquistou uma posição inicial, e o que acontece entre esse ponto de apoio e o momento em que os dados saem da empresa é uma fase que a maioria das orientações de segurança para PMEs pula completamente, pois não se trata apenas de proteger a sua rede; trata-se também de perceber que os dados estão sendo transferidos para fora dela.
Essa fase é chamada de exfiltração e geralmente dura dias ou se estende por meses sem ser detectada. Isso é possível devido a ferramentas e canais que parecem totalmente normais para quem não está atento a eles. As notificações de violação geralmente chegam tarde não porque as organizações foram descuidadas com o comprometimento inicial, mas porque o invasor não foi detectado dentro da rede empresarial.
A fase de exfiltração: o que acontece entre o acesso e o roubo
Por que a exfiltração é difícil de identificar?
O que as empresas devem monitorar
Como a detecção precoce pode mudar sua posição legal
O que acontece com os dados empresariais exfiltrados?
Contenha o que um invasor pode alcançar
A fase de exfiltração: o que acontece entre o acesso e o roubo
Quando um invasor obtém acesso inicial, seja por meio de um e-mail de phishing, uma credencial roubada ou uma conexão de fornecedor comprometida, ele raramente parte direto para o roubo de dados. Agir de imediato traz o risco de disparar um alerta antes de encontrar algo valioso; portanto, o padrão mais comum é a paciência.
O invasor dedica tempo mapeando o ambiente, incluindo:
- Onde os registros financeiros estão armazenados
- Avaliar quais ferramentas SaaS contêm dados de clientes
- Localizar contas com o acesso mais amplo
- Detectar se há monitoramento de atividades em vigor.
Esse estágio de reconhecimento pode ser lento. Alguns invasores agem em questão de horas, especialmente em casos oportunistas de ransomware em que a velocidade importa mais do que a discrição. Outros, principalmente em casos que envolvem roubo de dados a longo prazo ou espionagem, permanecem incorporados por semanas ou meses, aprendendo padrões normais de atividade a ponto de se misturar a eles.
De qualquer forma, quando o invasor começa a transferir os dados para fora, ele geralmente já sabe com precisão o que quer e qual conta ou sistema permitirá a extração sem acionar nenhum alarme.
Como é a exfiltração de dados
A exfiltração maliciosa é difícil de detectar porque se parece com uma atividade cotidiana. Os administradores de TI não estão procurando transferências de arquivos ligeiramente maiores do que o habitual ou pastas sincronizadas em locais indevidos.
Transferências de dados grandes ou incomuns
Essa é a forma mais direta de exfiltração. Por exemplo, uma conta pode repentinamente extrair gigabytes de um servidor de arquivos ou banco de dados que normalmente acessa apenas de vez em quando, ou exportar dados em massa de uma plataforma de CRM ou RH.
Em ambientes com uso intenso de SaaS, a exfiltração frequentemente acontece por meio dos próprios recursos de exportação da plataforma: downloads de CSV em massa, exportações em PDF de registros de clientes ou uma sequência de capturas de tela feitas de um painel de controle que não possui botão de exportação.
Um caso típico pode ser assim: uma conta de RH comprometida é usada, ao longo de várias semanas, para realizar pequenas exportações graduais de registros de funcionários, em vez de um único download em massa evidente. Cada exportação individual parece comum por si só, dentro do esperado para alguém nessa função em uma plataforma de RH.
É apenas o padrão ao longo das semanas — a mesma conta exportando dados semelhantes em intervalos incomuns — que revelaria o que está acontecendo, e esse padrão só se torna visível para uma empresa que está atenta a ele.
Comprometimento de caixa de entrada
Um invasor que compromete uma caixa de correio de e-mail empresarial pode configurar uma regra que copia silenciosamente cada mensagem, ou cada mensagem correspondente a certas palavras-chave, para um endereço externo, garantindo um fluxo contínuo de correspondência confidencial muito depois de o e-mail de phishing original ter sido esquecido.
Comprometimento de armazenamento em nuvem
O armazenamento em nuvem pessoal é outra rota comum. O laptop comprometido de um funcionário ou uma conta comprometida com acesso aos arquivos da empresa pode ser usado para copiar documentos para uma conta pessoal do Dropbox, Google Drive ou serviço semelhante — uma transferência que costuma parecer idêntica a um backup legítimo de arquivos, a menos que alguém verifique para onde os dados foram enviados.
Por que a exfiltração é difícil de identificar?
A verdade desconfortável sobre a exfiltração é que ela geralmente não requer nenhum tipo de malware(nova janela). Um invasor que usa uma conta comprometida para exportar um relatório, encaminhar alguns e-mails ou enviar arquivos para um drive na nuvem está usando as mesmas ferramentas e permissões que um funcionário legítimo usa todos os dias.
Não há nenhum executável suspeito para o software antivírus sinalizar nem processos incomuns para a detecção de ponto de extremidade capturar, pois nada na atividade é tecnicamente anormal. Ela só parece incorreta dentro do contexto, e o contexto é exatamente o que a maioria das ferramentas de segurança para PMEs não foi desenvolvida para avaliar.
É por isso que defesas focadas no perímetro, por mais bem implementadas que sejam, não são suficientes por si só. Uma empresa pode fazer tudo certo no ponto de entrada, exigir credenciais fortes, treinar funcionários contra phishing, corrigir todos os sistemas e ainda assim não ter como saber que uma conta comprometida está transferindo arquivos continuamente para um destino externo, já que essa atividade nunca foi feita para parecer suspeita.
Pesquisadores de segurança às vezes chamam isso de “living off the land”: usar os próprios softwares legítimos, integrações em nuvem e ferramentas administrativas do alvo em vez de usar ferramentas que um produto antivírus reconheceria como ilegítimas.
Um cliente de sincronização de arquivos, um recurso de exportação integrado ou uma regra padrão de e-mail não são ferramentas maliciosas em si. É por isso que um invasor que depende deles pode operar por tanto tempo sem disparar nada desenvolvido para detectar malware.
O que as empresas devem monitorar
Identificar a exfiltração logo no início se resume a observar um pequeno número de sinais específicos, em vez de escanear amplamente em busca de atividades suspeitas.
Tráfego e exportações
Volumes ou destinos incomuns de transferência de dados merecem a máxima atenção. Sua organização deve ficar atenta a picos de tráfego de saída, exportações em massa de um sistema que normalmente não as realiza ou qualquer transferência com destino não reconhecido.
A orientação do NCSC sobre segurança de dados(nova janela) recomenda especificamente registrar o acesso a dados confidenciais e monitorar consultas incomuns ou tentativas de exportação em massa, justamente porque esse padrão é um sinal de atividade fora do uso normal.
Regras de encaminhamento de e-mail
Vale a pena auditar diretamente as regras de encaminhamento de e-mail, especialmente em qualquer conta envolvida em um caso suspeito de phishing. Uma regra que encaminha mensagens discretamente para um endereço desconhecido pode passar despercebida por meses, e essa é uma das coisas mais simples de verificar quando você sabe o que procurar.
Inícios de sessão incomuns
A atividade de início de sessão em horários ou locais inesperados é um sinal que merece atenção. Um início de sessão às 3h da manhã em um país onde a empresa não tem presença não é prova conclusiva por si só, mas, quando cruzado com uma transferência de dados por volta do mesmo horário, é um detalhe que pode confirmar um incidente.
A atividade em contas de administrador fora do horário comercial merece atenção especial, pois essas contas geralmente têm o acesso mais amplo ao sistema e são alvos preferenciais exatamente por esse motivo.
Atividades nessas contas tarde da noite, nos fins de semana ou em períodos nos quais se sabe que o administrador real está fora do escritório são um dos indicadores mais confiáveis de que a conta, e não apenas o dispositivo, foi comprometida.
Como a detecção precoce pode mudar sua posição legal
Tanto no GDPR da UE quanto no GDPR do Reino Unido, o Artigo 33(nova janela) dá às organizações 72 horas para notificar a autoridade supervisora competente assim que tomarem conhecimento de que ocorreu uma violação que afete dados pessoais; seja o ICO no Reino Unido(nova janela) ou a autoridade nacional de proteção de dados de cada estado-membro da UE.
A exigência é essencialmente a mesma em todas as jurisdições: a contagem do prazo começa para a sua organização no momento do conhecimento, e não a partir do momento em que a violação de fato ocorreu. É por isso que um monitoramento minucioso da exfiltração é tão importante para a conformidade, e não apenas para a segurança.
Uma empresa que detecta a exfiltração precocemente — por meio de auditorias de regras de encaminhamento, monitoramento de transferências ou alertas de início de sessão incomum — pode fazer a notificação de forma proativa, em seu próprio ritmo, com uma visão razoavelmente clara do que foi extraído.
Uma empresa que só descobre uma violação semanas ou meses depois, muitas vezes porque um cliente reclamou ou porque dados roubados surgiram em um fórum criminoso, notifica de forma reativa, sob pressão, frequentemente com um panorama incompleto da extensão do incidente e com um órgão regulador questionando por que demorou tanto para perceber.
A diferença vai além do impacto sobre a sua reputação. Ela molda a maneira como todo o incidente é avaliado e quanta tolerância o órgão regulador estará inclinado a conceder.
O que acontece com os dados empresariais exfiltrados?
O Data Breach Observatory da Proton rastreia o que surge na dark web após a ocorrência de uma violação, e esse padrão é um choque de realidade útil sobre o que a exfiltração realmente busca.
De acordo com a atualização de 2026 do Data Breach Observatory, nomes e endereços de e-mail aparecem em quase nove de cada dez violações rastreadas, detalhes de contato como números de telefone e endereços físicos surgem em cerca de três quartos delas, e senhas são expostas em quase metade dos casos.
Categorias mais confidenciais, como documentos emitidos pelo governo, registros de saúde e outras informações de identificação pessoal, aparecem em pouco mais de um terço das violações, enquanto dados financeiros diretos surgem em uma fatia menor, cerca de um em cada vinte.
As PMEs representam a maioria das violações monitoradas pelo Observatório e estão desproporcionalmente presentes entre os incidentes que envolvem as categorias mais sensíveis de dados.
Essa combinação — ataques frequentes e alta taxa de exposição de dados confidenciais — é consistente com o tipo de exfiltração descrito neste artigo: ataques que ocorrem durante um longo período nos sistemas de uma organização menor tendem a render mais, pois ninguém sabia que os dados estavam vazando e os invasores puderam levar tudo.
Contenha o que um invasor pode alcançar
O monitoramento de exfiltração detecta os dados no momento em que estão sendo transferidos para fora, mas a dimensão do problema é decidida antes, pelo que uma conta comprometida pode alcançar inicialmente. Um invasor que obtém acesso a uma conta com permissões amplas e irrestritas pode extrair dados de muito mais sistemas do que um que compromete uma conta estritamente limitada ao que essa função específica exige.
Credenciais exclusivas em cada conta, combinadas com acesso limitado ao que a função realmente exige, reduzem diretamente a superfície de exfiltração. Se uma conta de marketing comprometida só consegue alcançar sistemas de marketing, o pior cenário fica limitado por definição, em vez de depender da moderação do invasor ou de um sistema de monitoramento para flagrá-lo a tempo.
Esta é a mesma lógica de contenção que limita o raio de impacto em violações baseadas em credenciais em geral: a conta comprometida só deve ser capaz de vazar aquilo que tinha permissão legítima para acessar.
Um gerenciador de senhas empresarial como o Proton Pass for Business torna viável manter essa delimitação, pois elimina a tentação de reutilizar um conjunto conveniente de credenciais amplas entre ferramentas apenas porque gerenciar credenciais exclusivas manualmente não é escalável.
Quando cada conta tem sua própria credencial e o acesso é avaliado com base no que a função realmente precisa, uma única conta comprometida deixa de ser um caminho para todos os dados da organização e se torna, na pior das hipóteses, um incidente contido.
O Proton Pass for Business pode dar suporte à sua empresa com:
- Políticas de equipe personalizáveis que ajudam você a aplicar sua política de senhas com requisitos de senha, autenticação de dois fatores (A2F) obrigatória e regras de compartilhamento de dados revogadas
- Registros de uso que permitem a você visualizar a atividade dentro da sua rede, com suporte adicional do nosso programa avançado de alta segurança Proton Sentinel
- Grupos organizados por função, projeto ou nível de acesso, simplificando o gerenciamento de acessos e garantindo que cada membro da equipe tenha acesso apenas ao que precisa.
Impeça a exfiltração de dados baseada em credenciais com um gerenciador de senhas empresarial.
