A conta de email da empresa foi comprometida. O que fazer nas primeiras horas.

Se está a ler isto porque desconfia que alguma coisa se passa com o email da sua empresa, comece por aqui: não apague nada e não reinstale nada. É o erro mais caro das primeiras horas, porque destrói exatamente aquilo de que vai precisar para perceber o que aconteceu, e para provar o que aconteceu, se for preciso.

O resto deste artigo está dividido em duas partes. A primeira é para quem tem um problema agora. A segunda, para quem quer evitá-lo.

Sinais de que uma conta foi comprometida

Raramente é óbvio. Quem entra numa caixa de correio alheia tem todo o interesse em não dar nas vistas, o valor está precisamente em ficar lá dentro a observar. Os sinais habituais são estes:

Regras de correio que ninguém criou

Mensagens de determinados remetentes a serem movidas automaticamente para uma pasta que ninguém abre, ou reencaminhadas para fora. É quase sempre a primeira coisa que fazem.

Respostas a mensagens que nunca enviou

Alguém agradece-lhe uma coisa que não escreveu, ou responde a um pedido que desconhece.

Um fornecedor a dizer que não recebeu o pagamento

E, quando se vai ver, o pagamento foi feito, para um IBAN que chegou por email e não era o dele.

Acessos de sítios estranhos

Sessões iniciadas a horas impossíveis ou de países onde não tem ninguém.

Mensagens enviadas que desapareceram

Se a pasta de enviados tem falhas, é porque alguém andou a limpar atrás de si.

Se já aconteceu: as primeiras horas

Preserve

Não apague mensagens, não limpe pastas, não formate o computador, não desligue o servidor à bruta. Tudo isso destrói vestígios. Se puder, isole o equipamento da rede em vez de o desligar.

Corte o acesso

Mude a palavra-passe da conta afetada e (isto é o que muita gente esquece) termine as sessões abertas. Mudar a palavra-passe não expulsa quem já lá está dentro; só impede novas entradas.

Procure as regras

Verifique regras de reencaminhamento e de movimentação de mensagens, na conta afetada e nas outras. É por aí que a coisa continua depois de julgar que já resolveu.

Ative a autenticação em dois passos

Em todas as contas, não só na que foi comprometida.

Avise as pessoas certas

Se houve fatura com IBAN alterado, telefone ao fornecedor, não responda por email, porque pode estar a responder a quem provocou o problema. E avise o banco imediatamente: em transferências recentes há por vezes hipótese de travar.

Perceba o que foi visto

Uma caixa de correio de uma empresa tem quase sempre dados pessoais de clientes, trabalhadores ou fornecedores. Isso tem consequências legais, e prazos.

Os prazos que ninguém antecipa

É a parte que apanha as empresas desprevenidas, já cansadas de resolver o problema técnico.

Se houve dados pessoais envolvidos, existe uma notificação a fazer à autoridade de proteção de dados em setenta e duas horas a contar do momento em que se teve conhecimento. Setenta e duas horas passam depressa quando se está a tentar repor o serviço.

Se a sua empresa estiver abrangida pelo novo regime jurídico da cibersegurança, há ainda um alerta a dar mais cedo, e um relatório a seguir. Nem todas as empresas estão abrangidas, mas o universo alargou-se muito, e há quem esteja sem saber.

E se houve crime (e numa fraude com transferência bancária houve) há queixa a apresentar. Guardar as provas nas primeiras horas é o que torna essa queixa útil.

Antes: o que evita a maior parte disto

A boa notícia é que a lista é curta e nenhuma destas medidas é cara.

Autenticação em dois passos, em todas as contas

Se só fizer uma coisa, faça esta. Custa pouco. É a medida com melhor relação entre custo e proteção que existe, e trava a esmagadora maioria das tentativas, porque a palavra-passe deixa de ser suficiente.

Configurar o domínio corretamente

Há uma configuração no domínio de email que impede que qualquer pessoa envie mensagens que parecem vir da sua empresa. Muitas empresas portuguesas têm isto por fazer ou mal feito, e é uma das causas mais frequentes de fraude com fornecedores. Verifica-se em minutos.

Uma regra interna sobre alterações de IBAN

Nenhuma alteração de dados bancários de um fornecedor é aceite por email. Ponto final. Confirma-se por telefone, para um número que já se tinha antes: nunca para o número que vem na mensagem.

Cópias de segurança do correio

Ao contrário do que muita gente julga, o correio eliminado numa organização do Microsoft 365 tem prazo para desaparecer. Se alguém apagou mensagens para esconder o rasto, esse prazo passa a ser o seu problema.

Falar com a equipa

A maior parte dos incidentes começa com alguém enganado num dia mau, e só depois se torna um problema de tecnologia. Meia hora de conversa com exemplos reais vale mais do que um manual que ninguém lê.

Onde entramos

Fazemos as duas coisas. Antes, com a primeira reunião, que não tem custo: olhamos para as contas, para a configuração do domínio, para as cópias de segurança, e dizemos-lhe o que está bem e o que não está, sem vender o que não precisa.

E depois, se já aconteceu: ajudamos a conter, a preservar as provas, a repor o controlo das contas, a cumprir as comunicações dentro do prazo e a fechar a porta por onde entraram. Não é preciso ter contrato connosco para nos ligar num momento destes.

Para quem prefere isto tratado todo o ano, faz parte das avenças de assistência, com tempo de resposta comprometido.

Este artigo descreve procedimentos gerais. Cada incidente tem circunstâncias próprias, e as obrigações de comunicação dependem do tipo de dados e do enquadramento da empresa, é isso que confirmamos consigo.