A maior parte dos conselhos de prevenção de incidentes, incluindo o nosso próprio guia para prevenir violações de dados, foca-se em manter os atacantes fora da rede da sua empresa. A utilização de credenciais mais fortes, a resistência a phishing, sistemas atualizados e fornecedores avaliados são componentes fundamentais desta prática. São todas práticas essenciais, mas não podem ser as suas únicas táticas de proteção contra violações de dados: não lhe servirão de apoio se um atacante conseguir violar a sua rede.
Obter acesso e roubar dados são situações diferentes. Um atacante que comprometa uma caixa de entrada, um portátil ou uma ligação de fornecedor ainda não roubou nada. Conseguiu uma posição inicial, e o que acontece entre esse ponto de apoio e o momento em que os dados saem das instalações é uma fase que a maioria das orientações de segurança para PMEs ignora por completo, porque não se trata apenas de proteger a sua rede; trata-se também de detetar que os dados estão a ser transferidos para fora dela.
Esta fase chama-se exfiltração e dura normalmente dias ou pode até estender-se por meses sem ser detetada. Isto é possível devido a ferramentas e canais que parecem completamente normais para quem não esteja especificamente atento a eles. As notificações de incidentes chegam frequentemente tarde, não porque as organizações tenham sido descuidadas quanto ao comprometimento inicial, mas porque o atacante não foi detetado dentro da rede da empresa.
A fase de exfiltração: o que acontece entre o acesso e o roubo
Por que razão a exfiltração é difícil de detetar?
O que as empresas devem monitorizar
Como a deteção precoce pode mudar a sua posição jurídica
O que acontece aos dados exfiltrados da empresa?
Conter o que um atacante pode alcançar
A fase de exfiltração: o que acontece entre o acesso e o roubo
Assim que um atacante obtém acesso inicial, seja através de um e-mail de phishing, de uma credencial roubada ou de uma ligação de fornecedor comprometida, raramente passa logo para o roubo de dados. Agir imediatamente traz o risco de disparar um alerta antes de ter encontrado algo que valha a pena levar, por isso o padrão mais comum é a paciência.
O atacante dedica tempo a mapear o ambiente, incluindo:
- Onde os registos financeiros estão armazenados
- Avaliar quais as ferramentas SaaS que contêm dados de clientes
- Localizar contas com o acesso mais abrangente
- Detetar se existe alguma monitorização de atividade em vigor.
Esta fase de reconhecimento pode ser lenta. Alguns atacantes agem em poucas horas, especialmente em casos oportunistas de ransomware em que a rapidez é mais importante do que a discrição. Outros, especialmente em casos de roubo de dados a longo prazo ou espionagem, permanecem incorporados durante semanas ou meses, aprendendo os padrões normais de atividade suficientemente bem para se camuflarem neles.
De qualquer forma, quando o atacante começa a transferir dados para o exterior, geralmente já sabe com precisão o que quer e qual a conta ou o sistema que lhe permitirá obtê-los sem disparar nenhum alarme.
Como é a exfiltração de dados
A exfiltração maliciosa é difícil de detetar porque se assemelha a uma atividade quotidiana. Os administradores de TI não estão à procura de transferências de ficheiros ligeiramente maiores do que o habitual ou de pastas sincronizadas num local indevido.
Transferências de dados volumosas ou invulgares
Esta é a forma mais direta de exfiltração. Por exemplo, uma conta pode subitamente extrair gigabytes de um servidor de ficheiros ou de uma base de dados a que normalmente acede apenas ocasionalmente, ou exportar em massa a partir de uma plataforma de CRM ou RH.
Em ambientes com forte recurso a SaaS, a exfiltração ocorre frequentemente através das próprias funcionalidades de exportação da plataforma: transferências em massa de ficheiros CSV, exportações em PDF de registos de clientes ou uma sequência de capturas de ecrã de um painel de controlo que não dispõe de qualquer botão de exportação.
Um caso típico pode ser o seguinte: uma conta de RH comprometida é utilizada, ao longo de várias semanas, para realizar pequenas exportações faseadas de registos de colaboradores em vez de uma transferência em massa evidente. Cada exportação individual parece normal por si só, enquadrando-se perfeitamente no que uma plataforma de RH espera que alguém nesse cargo faça.
Apenas o padrão ao longo de semanas — a mesma conta a exportar dados semelhantes em intervalos invulgares — revelaria o que está a acontecer, e esse padrão só se torna visível para uma empresa que esteja atenta ao mesmo.
Comprometimento da caixa de entrada
Um atacante que comprometa uma caixa de correio de um e-mail profissional pode configurar uma regra que copia silenciosamente cada mensagem, ou cada mensagem correspondente a determinadas palavras-chave, para um endereço externo, obtendo um fluxo contínuo de correspondência confidencial muito tempo depois de o e-mail de phishing original ter sido esquecido.
Comprometimento do armazenamento na nuvem
O armazenamento pessoal na nuvem é outro percurso comum. O portátil comprometido de um colaborador, ou uma conta comprometida com acesso a ficheiros da empresa, pode ser utilizado para copiar documentos para uma conta pessoal da Dropbox, Google Drive ou serviço semelhante, uma transferência que frequentemente se parece idêntica a uma cópia de segurança de ficheiros legítima, a menos que alguém verifique onde os dados foram parar.
Por que razão a exfiltração é difícil de detetar?
A verdade desconfortável sobre a exfiltração é que, normalmente, não requer qualquer malware(nova janela). Um atacante que utilize uma conta comprometida para exportar um relatório, encaminhar alguns e-mails ou carregar ficheiros para uma unidade na nuvem está a utilizar as mesmas ferramentas e permissões que um colaborador legítimo usa todos os dias.
Não existe nenhum ficheiro executável suspeito para o software antivírus sinalizar, nem quaisquer processos invulgares para a deteção de ponto final capturar, porque nada na atividade é tecnicamente anómalo. Só parece errado em contexto, e o contexto é exatamente o que a maioria das ferramentas de segurança para PMEs não foi concebida para avaliar.
É por isso que as defesas focadas no perímetro, por mais bem implementadas que estejam, não são suficientes por si só. Uma empresa pode fazer tudo certo no ponto de entrada — impor credenciais fortes, dar formação aos colaboradores contra phishing, atualizar todos os sistemas — e, mesmo assim, não ter forma de saber que uma conta comprometida está constantemente a transferir ficheiros para um destino externo, porque essa atividade nunca foi concebida para parecer suspeita à partida.
Os investigadores de segurança por vezes chamam a isto “viver da terra”: utilizar o software legítimo, as integrações na nuvem e as ferramentas administrativas do próprio alvo, em vez de recorrer a ferramentas que um produto antivírus reconheceria como ilegítimas.
Um cliente de sincronização de ficheiros, uma funcionalidade de exportação integrada ou uma regra padrão de e-mail não são ferramentas maliciosas em si mesmas. É por isso que um atacante que dependa delas pode operar durante tanto tempo sem acionar nada concebido para detetar malware.
O que as empresas devem monitorizar
Detetar a exfiltração precocemente resume-se a monitorizar um pequeno número de sinais específicos, em vez de realizar uma análise ampla à procura de atividade suspeita.
Tráfego e exportações
Volumes ou destinos invulgares de transferência de dados merecem a máxima atenção. A sua organização deve estar atenta a picos de tráfego de saída, a uma exportação em massa a partir de um sistema que normalmente não as efetua ou a qualquer transferência direcionada a um destino que não reconheça.
As orientações do NCSC sobre segurança de dados(nova janela) recomendam especificamente o registo do acesso a dados confidenciais e a monitorização de consultas invulgares ou tentativas de exportação em massa, precisamente porque esse padrão é um sinal de que algo ultrapassou o uso normal.
Regras de encaminhamento de e-mail
Vale a pena auditar diretamente as regras de encaminhamento de e-mail, especialmente para qualquer conta que tenha estado envolvida num incidente suspeito de phishing. Uma regra que encaminhe silenciosamente mensagens para um endereço desconhecido pode passar despercebida durante meses e é uma das coisas mais simples de verificar quando se sabe o que procurar.
Inícios de sessão invulgares
A atividade de início de sessão a partir de localizações ou horários inesperados é um sinal que deve ser levado a sério. Um início de sessão às 3h da manhã a partir de um país onde a empresa não tem presença não constitui prova de nada por si só, mas quando cruzado com uma transferência de dados por volta da mesma hora, é um detalhe que pode confirmar um incidente.
A atividade em contas de administrador fora do horário de expediente merece uma atenção particular, uma vez que as contas de administrador costumam ter o alcance mais alargado num sistema e são um alvo preferencial precisamente devido a esse alcance.
A atividade nestas contas a altas horas da noite, aos fins de semana ou durante um período em que se sabe que o administrador legítimo está ausente é um dos indicadores mais fiáveis de que uma conta, e não apenas um dispositivo, foi comprometida.
Como a deteção precoce pode mudar a sua posição jurídica
Tanto ao abrigo do GDPR da UE como do GDPR do Reino Unido, o Artigo 33.º(nova janela) concede às organizações 72 horas para notificar a autoridade de controlo competente assim que tenham conhecimento da ocorrência de um incidente que afete dados pessoais: o ICO no Reino Unido(nova janela) ou a autoridade nacional de proteção de dados em cada Estado-Membro da UE.
O requisito é materialmente o mesmo para todas as jurisdições: a contagem do tempo começa para a sua organização no momento em que toma conhecimento, e não a partir do momento em que o incidente realmente ocorreu. É por isso que uma monitorização rigorosa da exfiltração é tão importante para a conformidade, e não apenas para a segurança.
Uma empresa que detete a exfiltração precocemente, através de auditorias a regras de encaminhamento, monitorização de transferências ou alertas de inícios de sessão invulgares, pode efetuar a notificação de forma proativa, segundo o seu próprio calendário, com uma perspetiva razoavelmente clara do que foi extraído.
Uma empresa que só descubra um incidente semanas ou meses mais tarde, muitas vezes devido à reclamação de um cliente ou ao aparecimento de dados roubados num fórum criminoso, notifica de forma reativa, sob pressão, frequentemente com uma visão incompleta da dimensão e com um regulador a questionar por que razão demorou tanto tempo a aperceber-se.
A diferença vai além do impacto na sua reputação. Molda a forma como todo o incidente é avaliado e a margem de tolerância que um regulador estará inclinado a conceder.
O que acontece aos dados exfiltrados da empresa?
O Data Breach Observatory da Proton acompanha o que surge na dark web após a ocorrência de um incidente, e esse padrão é uma verificação útil da realidade sobre o que a exfiltração realmente procura.
De acordo com a atualização de 2026 do Data Breach Observatory, nomes e endereços de e-mail surgem em quase nove em cada dez incidentes monitorizados, detalhes de contacto como números de telefone e endereços físicos aparecem em cerca de três quartos dos casos, e palavras-passe são expostas em quase metade.
Categorias mais confidenciais — documentos de identificação emitidos pelo governo, registos de saúde e outras informações de identificação pessoal — surgem em pouco mais de um terço dos incidentes, enquanto informações financeiras diretas aparecem numa quota menor, cerca de um em cada vinte.
As PMEs representam a maioria dos incidentes que o Observatório monitoriza e estão desproporcionalmente representadas entre os incidentes que envolvem as categorias de dados mais confidenciais.
Esta combinação — alvos frequentes e uma taxa elevada de exposição de dados confidenciais — é consistente com o tipo de exfiltração que este artigo descreve: ataques que ocorrem durante um longo período nos sistemas de uma organização mais pequena tendem a render mais dividendos, porque ninguém sabia que os dados estavam a ser alvo de fuga e os atacantes podiam levar tudo.
Conter o que um atacante pode alcançar
A monitorização da exfiltração deteta os dados na sua saída, mas a dimensão do problema é decidida mais cedo, por aquilo a que uma conta comprometida pode aceder em primeiro lugar. Um atacante que obtenha acesso a uma conta com permissões amplas e sem restrições pode extrair dados de muito mais sistemas do que aquele que compromete uma conta estritamente limitada ao que esse cargo específico necessita.
Credenciais exclusivas em cada conta, combinadas com o acesso limitado ao que um cargo genuinamente exige, reduzem diretamente a superfície de exfiltração. Se uma conta de marketing comprometida apenas conseguir aceder a sistemas de marketing, o pior cenário fica delimitado por conceção, em vez de depender da contenção do atacante ou de um sistema de monitorização que o detete a tempo.
Esta é a mesma lógica de contenção que limita o raio de impacto num incidente baseado em credenciais em geral: a conta comprometida só deve poder sofrer uma fuga daquilo a que tinha legitimamente autorização para aceder.
Um gestor de palavras-passe profissional como o Proton Pass for Business torna realista manter esta delimitação, já que remove a tentação de reutilizar um conjunto conveniente de credenciais alargadas em várias ferramentas apenas porque gerir credenciais exclusivas manualmente não é escalável.
Quando cada conta tem a sua própria credencial e o acesso é revisto em função do que um cargo realmente necessita, uma única conta comprometida deixa de ser um caminho para os dados de toda a organização e torna-se, na pior das hipóteses, um incidente contido.
O Proton Pass for Business pode apoiar a sua empresa com:
- Políticas de equipa personalizáveis que o ajudam a aplicar a sua política de palavras-passe com requisitos de palavras-passe, autenticação de dois fatores (2FA) obrigatória e regras de partilha de dados revogadas
- Registos de utilização que lhe permitem ver a atividade dentro da sua rede, com apoio adicional do nosso programa avançado de alta segurança Proton Sentinel
- Grupos organizados por cargo, projeto ou nível de acesso, simplificando a gestão de acessos e garantindo que cada membro da equipa apenas tem acesso ao que necessita.
Trave a exfiltração de dados baseada em credenciais com um gestor de palavras-passe profissional.
