Em março de 2025, no Brasil, um trabalhador subcontratado de uma empresa que liga instituições financeiras ao Pix, o sistema brasileiro de pagamentos instantâneos, foi abordado à saída de um bar. Uma semana depois, recebeu uma chamada: 5 mil reais pelo login e pela palavra-passe. Mais tarde, outros 10 mil reais para executar, no computador do trabalho, os comandos que lhe chegavam por uma página na internet.
Em julho, o ataque à C&M Software tornou-se público. Segundo a Polícia Civil de São Paulo, só de uma das instituições atingidas saíram 541 milhões de reais em transferências fraudulentas, como noticiou o SBT News a 04/07/2025. O acesso era verdadeiro. A palavra-passe era verdadeira. A máquina era a da empresa.
Nenhuma firewall trava isto, porque nada ali parece um ataque. É trabalho, feito por quem tem permissão para o fazer.
A pergunta que fica para quem gere um parque grande não é se alguém da equipa pode ser abordado. É o que o posto de trabalho mostraria se isso acontecesse.
O aliciamento tornou-se rotina no submundo
O caso brasileiro não foi uma exceção. Um levantamento da Intel 471, divulgado no início de outubro de 2026, analisou o recrutamento de trabalhadores em fóruns e canais criminosos. O estudo foi resumido pela Help Net Security a 02/10/2026.
Dos 85 registos analisados, 45 eram anúncios de recrutamento: a maior categoria da amostra. Outros 15 traziam alguém a afirmar que já tinha acesso interno, e 12 ofereciam “serviços” prestados a partir de dentro da empresa.
Os setores mais referidos foram os transportes (19 menções), a tecnologia (17) e as telecomunicações (15). O que se pede é banal: consultar uma ficha de cliente, repor uma conta, aprovar uma transação, alterar um registo.
O próprio levantamento avisa que estes números descrevem a amostra e não a frequência do problema em cada setor. Mas mostram o modelo de negócio: o crime não precisa de invadir quando pode alugar quem já está lá dentro.
Porque é que a defesa de perímetro não vê
Quase toda a proteção de uma rede empresarial foi pensada para separar quem é de dentro de quem é de fora. Palavra-passe forte, segundo fator, VPN, segmentação. Tudo isto funciona contra quem tenta entrar.
Contra quem já entrou com a própria credencial, cada uma destas camadas confirma o acesso em vez de o questionar. O segundo fator é aprovado pelo dono da conta. A VPN liga a máquina certa. O sistema regista um utilizador autorizado.
Por isso, o insider aliciado é um problema do posto de trabalho antes de ser um problema de rede. É na máquina que o comportamento muda: o horário, o programa que aparece, o privilégio que alguém passa a usar, o dado que sai.
O que costuma mudar no posto de trabalho antes do estrago
Nenhum sinal isolado prova nada. Há mil razões legítimas para alguém trabalhar fora de horas. O que pesa é a combinação e a insistência.
Horário
Utilização recorrente fora da janela combinada, sem aprovação, por quem não tinha esse padrão. No caso brasileiro, o próprio trabalhador disse à polícia que inseria comandos no sistema desde maio, meses antes do ataque.
Programa novo
Ferramenta de acesso remoto instalada sem pedido ao suporte, cliente de nuvem pessoal, utilitário de linha de comandos que ninguém da área usa. Software que não constava do inventário do mês anterior.
Privilégio
Quem passou a trabalhar como administrador local, ou um programa que começou a correr com privilégios totais sem razão de negócio.
Saída de dados
Cópia para pen USB, envio para um serviço de armazenamento externo, volume invulgar de exportação. E, sobretudo, a tentativa repetida depois do bloqueio: quem insiste na mesma regra está a dizer alguma coisa.
Regra escrita antes, evidência depois
Olhar para isto exige cuidado em dois sentidos. O primeiro é o próprio RGPD: medir o comportamento das pessoas no posto de trabalho é tratamento de dados pessoais. A regra tem de estar escrita, ter finalidade clara e ser comunicada à equipa antes de ser ativada.
O segundo é o critério. Uma pontuação de risco que ninguém consegue explicar não serve para a conversa com os recursos humanos nem para um processo. Cada ponto tem de remeter para a regra e para a ocorrência que o geraram.
Algumas práticas reduzem a exposição antes de qualquer ferramenta:
- privilégio mínimo a sério, revisto quando a pessoa muda de funções;
- janela de operação definida por grupo, com exceções aprovadas e registadas;
- lista fechada do que pode ser instalado nas máquinas que tocam sistemas críticos;
- um canal para o trabalhador comunicar a abordagem sem receio de ser tratado como suspeito.
Se o pior acontecer, o tempo joga contra. Os ataques ficam semanas dentro da rede antes de serem detetados, e a evidência do posto de trabalho tem de durar o suficiente para cobrir essa permanência. As ferramentas de acesso remoto merecem atenção à parte: a ferramenta de suporte também é uma porta.
Como o Trauma Zer0 trata o assunto
O Tz0 Security aplica a política no próprio posto de trabalho, com ou sem ligação ao servidor no momento da tentativa. Define o que pode correr, o que pode ser instalado e o que pode sair da máquina, por grupo, por setor ou por equipamento. Uma pen fora da lista não é montada, e a tentativa fica registada com equipamento, utilizador e hora.
O controlo de horário define a janela em que cada grupo pode operar e regista o que foi tentado fora dela. A leitura de privilégios mostra quem trabalha como administrador local e que programa corre com privilégios totais. A leitura de alterações separa, do ruído do próprio Windows, as mudanças reais de software e hardware.
A análise de comportamento atribui uma pontuação de risco por pessoa, recalculada todas as noites, e cada ponto explica-se pela regra e pela ocorrência que o gerou. A ferramenta não julga intenções: aponta o desvio para que alguém da empresa o avalie, dentro da regra que a empresa definiu.
Cada tentativa dá origem a um evento com carimbo temporal, máquina e utilizador, e o ciclo completo corre dentro da rede do cliente: a evidência fica no servidor da empresa. Quando é preciso apurar a fundo, o Tz0 Forensics trata da recolha e da preservação.
O acesso legítimo também precisa de regra
O aliciamento não depende de uma falha técnica. Depende de uma pessoa, de uma credencial válida e de um posto de trabalho onde ninguém olha para o que mudou.
A empresa não controla quem aborda os seus trabalhadores à saída de um bar. Controla o que a máquina permite, o que regista e durante quanto tempo a evidência fica guardada.
Se a sua política de segurança ainda trata todo o acesso autenticado como acesso de confiança, vale a pena ver o que o parque mostra hoje. Peça uma avaliação do Trauma Zer0 e aplique a regra no ambiente real.