“O criminoso pula onde o muro está mais baixo.” A frase de Pablo Colombres, CEO da GIF International, ajuda a entender uma mudança importante no cenário dos crimes cibernéticos. À medida que empresas reforçam sistemas e controles de segurança, criminosos procuram outros caminhos para chegar a informações, sistemas e operações. Um deles passa justamente por quem já possui acesso legítimo.
Funcionários e terceiros podem ser abordados para fornecer credenciais, alterar informações ou facilitar fraudes. E o aliciamento ganhou novas formas, valores mais altos e uma escala que preocupa empresas de diferentes setores.
O tema esteve no centro do webinar “Ameaça Invisível – Aliciamento e Riscos Cibernéticos no Ambiente Corporativo”, promovido pelo Machado Meyer Advogados. O encontro reuniu Colombres e Juliana Abrusio, sócia da área de Direito Digital e Proteção de Dados do escritório, para discutir como o fator humano passou a ocupar uma posição estratégica nos ataques cibernéticos.
A questão ultrapassa a área de tecnologia. Segundo Abrusio, o envolvimento de insiders (colaboradores contratados diretamente ou terceirizados que estão dentro da operação) em fraudes e incidentes cibernéticos tornou-se uma das principais preocupações de executivos e conselhos.
“A questão tecnológica é um recorte limitado desse risco. Ele vai muito além, é um tema central de governança, de gestão de riscos e de compliance”, afirmou.
O caminhos dos ciberataques
Bancos, fintechs e instituições de pagamento estão entre os alvos mais evidentes do crime cibernético. No entanto, a exposição não termina no sistema financeiro.
Varejo, telecomunicações, turismo, e-commerce, marketplaces e empresas de delivery também fazem parte de ecossistemas nos quais circulam pagamentos, dados e credenciais. Por isso, podem funcionar como caminhos para alcançar recursos financeiros ou informações dos consumidores.
“Não importa quanta grana você tenha, seja um consumidor final ou seja uma pequena empresa, sempre pode acontecer”, disse Colombres.
O avanço dos controles em determinados segmentos também influencia o deslocamento das ameaças. É nesse contexto que surge a imagem do “muro mais baixo”: quando uma barreira se torna mais difícil de ultrapassar, criminosos procuram outra.
Por isso, a proteção do consumidor também entra nessa equação. Uma vulnerabilidade explorada dentro de uma empresa pode avançar pela cadeia e atingir contas, dados pessoais, meios de pagamento e serviços utilizados pelo cliente.
Quanto vale o acesso de um funcionário?
A transformação também aparece nos valores oferecidos para quem aceita colaborar com uma fraude.
Segundo Colombres, houve um período em que criminosos chegavam a “alugar” senhas por cerca de R$ 500 mensais. Agora, as ofertas podem alcançar cifras muito maiores. Nos ambientes criminosos monitorados por sua equipe, ele afirma ter observado propostas entre R$ 200 mil e R$ 500 mil.
O modelo também se sofisticou. Em algumas situações, o pagamento passa a depender do resultado da fraude: o funcionário recebe a promessa de uma participação no valor obtido pelo grupo criminoso.
“A maior que eu vi, que eu já peguei, foi de um milhão de pagamento para o insider”, relatou Colombres. Naquele caso, em seu parecer, os criminosos conseguiram obter R$ 100 milhões com a fraude.
Nem todo aliciamento, porém, ocorre da mesma maneira. O pagamento é apenas uma das possibilidades. Há casos de coerção e ameaça, inclusive contra familiares. Colombres destacou situações de chantagem, nas quais criminosos se aproximam de pessoas com acesso privilegiado, estabelecem relações de confiança ou intimidade e depois utilizam informações pessoais para pressioná-las.
A diferença é importante: de um lado está o funcionário que, conscientemente, aceita participar da fraude em troca de dinheiro. Do outro, o que age sob ameaça ou que sequer conhece a dimensão do crime que está ajudando a viabilizar.
Aliciamento migra para as redes
A maneira de encontrar potenciais insiders também mudou. Segundo Colombres, no passado, o aliciamento dependia mais frequentemente de aproximações presenciais. Um encontro perto da empresa, uma conversa informal ou uma relação pessoal criavam oportunidades para obter informações e, eventualmente, credenciais. Agora, a digitalização reduziu essa barreira.
“Hoje vemos aliciadores indo no LinkedIn, achando o perfil da pessoa e oferecendo diretamente a compensação em dinheiro”, afirmou.
LinkedIn, Telegram, Discord e WhatsApp estão entre os ambientes mencionados pelos especialistas. A abordagem virtual permite que criminosos procurem um número muito maior de pessoas e preservem maior grau de anonimato. Se uma tentativa fracassar, outras podem ser feitas.
Esse processo cria um desafio adicional para as empresas. A tentativa de aliciamento pode acontecer fora de qualquer ambiente corporativo e sem que a organização saiba que seu funcionário recebeu uma proposta.
Por isso, Colombres defende que as empresas falem abertamente sobre o problema e estabeleçam caminhos para que colaboradores comuniquem essas abordagens. Sem orientação, um funcionário que recusou uma proposta pode preferir ficar em silêncio por receio de se tornar suspeito.
Funcionários que já chegam aliciados
Há ainda uma caso mais difícil de detectar: o recrutamento pode acontecer antes da contratação. Nesse cenário, a pessoa ingressa na organização, passa pelos processos internos, conhece os sistemas e recebe acessos legítimos. Ela já chega vinculada ao grupo que pretende executar a fraude sem que ninguém perceba.
Nesse cenário, o risco muda de natureza. A organização não enfrenta necessariamente alguém tentando quebrar suas barreiras externas e pode acabar entregando credenciais e permissões a uma pessoa que entrou formalmente pela porta da frente.
Abrusio relacionou esse cenário ao conceito de Know Your Employee (KYE), ou “conheça seu funcionário”. Uma discussão que amplia o olhar sobre os processos de contratação. Ou seja, além de avaliar competência técnica e adequação ao cargo, empresas passam a observar os riscos associados às posições que terão acesso a informações e sistemas sensíveis.
Isso não significa, porém, presumir que funcionários sejam potenciais criminosos. O desafio está justamente em construir controles capazes de reduzir oportunidades de fraude sem transformar relações de trabalho em relações permanentes de desconfiança.
E esse equilíbrio se torna ainda mais delicado quando uma credencial legítima efetivamente cai nas mãos de criminosos. Nesse ponto, identificar onde termina uma falha de segurança e onde começa a participação de um insider pode ser decisivo para a empresa (e para os consumidores que estão na outra ponta da operação).
Quando o acesso legítimo vira ataque
Uma das dificuldades para identificar a participação de um insider está justamente no acesso utilizado. Em vez de romper uma barreira tecnológica, o criminoso pode operar com uma credencial válida, pertencente a alguém autorizado a entrar naquele ambiente.
A combinação se torna ainda mais perigosa quando envolve falhas em outros pontos da estrutura. Exemplo disso é a associação entre credenciais legítimas, vulnerabilidades em APIs e engenharia social, cenário capaz de ampliar significativamente o impacto de uma fraude.
Além disso, o acesso pode vir de fora da própria organização atacada. Fornecedores e terceiros conectados aos sistemas corporativos também fazem parte da cadeia de risco. Por isso, proteger apenas o perímetro da empresa deixou de ser suficiente.
Juliana Abrusio chamou atenção para essa questão ao falar sobre operadores e fornecedores conectados por APIs. “Um incidente em uma empresa aparentemente distante da operação principal pode ganhar outra dimensão quando existe uma conexão direta entre os ambientes”, disse.
A lógica ajuda a explicar por que a gestão de riscos cibernéticos precisa acompanhar toda a cadeia. Uma credencial comprometida em um terceiro pode abrir um caminho até sistemas, informações e serviços de outra organização.
SIM Swap coloca consumidor no alvo
O consumidor pode aparecer na outra ponta dessa cadeia sem perceber o que aconteceu dentro da empresa. Um dos exemplos discutidos no webinar foi o SIM Swap, fraude na qual criminosos assumem o controle da linha telefônica da vítima. Segundo Abrusio, o esquema pode envolver o aliciamento de um funcionário de uma operadora de telecomunicações.
Nesse caso, o consumidor perde a conexão do próprio aparelho e segue sem saber o que aconteceu. “Ele acha que teve uma pane no parelho, que está sem conexão, que aconteceu alguma coisa”, disse Abrusio.
Enquanto isso, a troca pode ter ocorrido dentro da operadora. Com o controle da linha, criminosos podem avançar sobre informações e mecanismos de autenticação associados ao número do consumidor.
O exemplo mostra como uma ameaça interna pode ultrapassar os limites da organização. A empresa enfrenta o incidente, mas seus efeitos podem chegar diretamente aos clientes.
Também ajuda a explicar por que autenticação e controle de acesso precisam considerar a possibilidade de uma credencial legítima ser utilizada de maneira indevida. Colombres ressalta que grandes incidentes nem sempre dependem de ataques tecnologicamente sofisticados. Muitas vezes, a exploração do fator humano e de acessos válidos é suficiente para abrir o caminho.
E se a fraude ainda não aconteceu?
A complexidade aumenta quando a empresa descobre uma tentativa de aliciamento antes que o ataque seja executado.
Imagine que um criminoso encontre um funcionário em uma rede social e ofereça dinheiro para que ele forneça uma credencial. O empregado recusa a proposta e comunica a empresa. A organização consegue preservar mensagens e até identificar quem realizou a abordagem.
Mas, o que pode ser feito criminalmente? Abrusio explicou que a resposta exige observar uma regra fundamental do Direito Penal: uma pessoa não pode ser responsabilizada por uma conduta que a legislação não definiu como crime.
Para explicar a questão, ela recorre ao iter criminis, expressão utilizada para descrever o caminho percorrido até a prática de um crime. Antes da execução, existem etapas de preparação. “Se o Código Penal ou uma legislação específica não traz exatamente aquela conduta, você não pode fazer uma analogia”, explicou.
Por isso, a simples abordagem de um funcionário para recrutá-lo pode permanecer, dependendo das circunstâncias concretas, no campo dos atos preparatórios de uma fraude futura. A situação muda à medida que outras condutas são praticadas e crimes previstos na legislação passam a se configurar.
Abrusio faz uma distinção importante. O crime patrimonial que aparece no final da cadeia pode ser responsabilizado tanto quando consumado quanto, preenchidos os requisitos legais, na forma tentada. Entretanto, isso não significa que todo ato anterior destinado a preparar a fraude constitua automaticamente um crime autônomo.
Essa diferença cria um desafio para organizações que conseguem detectar o problema cedo. Justamente quando a fraude ainda pode ser evitada.
Prevenir não significa ficar parado
A ausência de um enquadramento penal automático para uma abordagem preparatória não significa que a empresa deva ignorar o episódio.
Abrusio defendeu que as organizações procurem as autoridades e construam uma estratégia adequada de investigação. Dependendo do caso, pode ser necessário recorrer a medidas judiciais para obter informações que a empresa não controla diretamente.
Isso ocorre porque parte do aliciamento migrou para ambientes externos. LinkedIn, WhatsApp e outras plataformas pessoais não estão sob monitoramento corporativo, e a organização não pode simplesmente acessar comunicações privadas de seus funcionários.
Além disso, uma investigação precisa preservar evidências. Nesse ínterim, logs, registros de acesso e outras informações podem ser decisivos para reconstruir o caminho percorrido durante um incidente e estabelecer responsabilidades. O cuidado vale também para evitar o movimento contrário: partir da existência de uma fraude e concluir que necessariamente houve participação de alguém de dentro.
Colombres alertou que, depois de um ataque, comportamentos cotidianos podem começar a parecer suspeitos. Uma viagem, uma ausência ou uma coincidência de horários podem alimentar hipóteses sem que existam provas de envolvimento.
“Temos que separar fatos de hipóteses”, afirmou. A distinção protege a própria investigação. Encontrar quem participou de uma fraude é importante, mas determinar quem não participou também é. Ou seja, uma suspeita sem fundamento pode atingir a carreira de um funcionário inocente. Por outro lado, ignorar indícios concretos pode deixar aberta uma vulnerabilidade capaz de produzir novos incidentes.
É justamente nesse ponto que a cibersegurança encontra outro limite: como investigar e monitorar riscos internos sem transformar todos os funcionários em suspeitos?
Até onde a empresa pode monitorar?
Identificar riscos internos não autoriza uma empresa a investigar funcionários sem limites. Juliana Abrusio lembrou que o monitoramento de ambientes corporativos encontra respaldo na jurisprudência, mas exige transparência e respeito às garantias dos trabalhadores.
Isso significa que a organização precisa definir previamente o que pode monitorar, estabelecer políticas claras e avaliar juridicamente cada medida. Comunicações privadas e dados pessoais não se tornam automaticamente acessíveis porque existe uma suspeita de fraude.
“Você pode e deve monitorar os ambientes corporativos dos empregados, desde que haja transparência em relação a isso”, afirmou Abrusio.
O cuidado evita que a própria empresa, ao tentar responder a um incidente, ultrapasse limites relacionados à privacidade e à proteção de dados.
Pessoas, processos e tecnologia
Para reduzir a exposição ao aliciamento, os especialistas defendem uma estratégia que combine pessoas, processos e tecnologia. Isso inclui revisar acessos periodicamente, reforçar mecanismos de autenticação, preservar logs, monitorar ameaças, controlar acessos privilegiados e avaliar riscos associados a fornecedores e terceiros.
Entretanto, tecnologia não resolve o problema sozinha.
Abrusio destacou especialmente os processos. Uma empresa pode contratar ferramentas avançadas e investir na preparação das equipes, mas precisa definir como esses recursos funcionarão juntos quando um incidente ocorrer.
“Você pode contratar as melhores tecnologias, investir em pessoas, mas, se não há um processo, o processo é um amálgama. Ele que vai fazer tudo isso ser efetivo e acontecer”, explicou.
A preparação também passa por simulações de incidentes e planos de resposta. Quem precisa ser acionado? Quais áreas devem participar? Como preservar evidências? Como manter a operação? E como comunicar o problema?
Responder a essas perguntas somente depois de um ataque aumenta o risco justamente no momento em que a empresa precisa agir rapidamente.
Segurança depende de confiança
A prevenção começa antes do incidente. Colombres defendeu que empresas expliquem aos funcionários que tentativas de aliciamento podem acontecer e criem canais seguros para relatá-las. O objetivo é evitar que um colaborador abordado por criminosos permaneça em silêncio por medo de despertar suspeitas.
Nesse cenário, cultura de segurança deixa de significar apenas ensinar alguém a não clicar em um link. Também envolve preparar pessoas para reconhecer abordagens criminosas, comunicar situações incomuns e compreender a responsabilidade associada aos acessos que possuem.
Não existe, porém, uma solução capaz de eliminar completamente o risco. Por isso, a resposta passa por reduzir oportunidades, limitar acessos, fortalecer processos e preparar a organização para reagir quando os controles falharem.
A mudança também amplia o significado da cibersegurança. Quando criminosos exploram uma credencial legítima, o incidente pode começar dentro da empresa, atravessar fornecedores e sistemas conectados e terminar na conta, nos dados ou no celular de um consumidor.
Proteger a organização, portanto, já não significa apenas impedir que alguém ultrapasse o muro. Significa também saber quem tem as chaves, o que pode fazer com elas e como agir quando alguém tenta comprá-las.
