Phishing passou do filtro: sua empresa detectaria o ataque?

Toda equipe de TI conhece aquela sensação de conforto falso: o relatório do filtro de e-mail mostra que 98% das mensagens maliciosas foram bloqueadas, e isso parece suficiente. Mas os outros 2% não ficam parados esperando serem notados.

O filtro bloqueou 98% dos e-mails maliciosos. E os outros 2%?

Ferramentas de proteção de e-mail evoluíram muito. Bloqueiam domínios suspeitos, identificam anexos maliciosos, analisam padrões de remetente. O problema é que o phishing também evoluiu.

Uma mensagem moderna de phishing não parece spam. Ela imita o domínio do Microsoft 365, usa o nome real do gestor direto do colaborador e chega numa sexta-feira à tarde, quando o ritmo é alto e a atenção está baixa. O filtro pode não identificar porque, tecnicamente, a mensagem não carrega nenhum código malicioso. Apenas um link para uma página que parece completamente legítima.

O e-mail que foi bloqueado não é o problema. O problema é aquele que chegou, foi aberto e pareceu normal.

O que acontece nos dias seguintes ao clique

Imagine que um colaborador da área financeira recebe um e-mail pedindo que ele confirme seu acesso ao portal corporativo. A página que abre é idêntica à tela de login do Microsoft 365. Ele digita o usuário e a senha sem hesitar.

A partir desse momento, um atacante tem acesso àquela conta. E o que ele faz primeiro não é nada barulhento. Ele navega pelos e-mails, identifica com quem aquela pessoa se comunica, que tipo de arquivos ela acessa, quais outras contas ela pode alcançar. Esse reconhecimento silencioso pode durar dias ou semanas.

Em nenhum momento um alerta é disparado, porque nenhum sistema foi violado. O acesso aconteceu com credencial legítima, no horário comercial, de um endereço IP plausível.

Por que alertas tradicionais não detectam isso rápido o suficiente

A maioria das empresas de médio porte depende de ferramentas reativas: antivírus, logs de acesso que ninguém revisa diariamente, alertas configurados para eventos óbvios como instalação de software não autorizado.

Mas um login com credencial comprometida não é um evento óbvio. Para o sistema, aquilo é um acesso normal. A diferença entre um usuário legítimo e um invasor usando credenciais roubadas não está no login em si, está no comportamento depois do login.

Detectar isso exige trabalhar com análise de comportamento anômalo: login fora do horário habitual, acesso a pastas que aquele perfil nunca abriu, download em volume acima do padrão. Sem esse tipo de monitoramento, o atacante tem tempo livre.

A janela de exposição que ninguém mede

A janela de exposição é o período entre o momento em que uma credencial é comprometida e o momento em que alguém percebe que algo está errado. Em empresas sem monitoramento contínuo, esse intervalo costuma ser medido em semanas, não em horas.

Dados do mercado de cibersegurança indicam que o tempo médio de detecção em ambientes sem monitoramento ativo pode ultrapassar 200 dias em casos de comprometimento de identidade. Dentro dessa janela, um invasor pode exportar dados confidenciais, criar acessos alternativos para garantir persistência e comprometer outras credenciais do mesmo ambiente.

O dano não acontece no momento do clique. Ele se acumula enquanto ninguém está olhando.

O fator humano que ninguém treina direito

Treinamentos de conscientização são importantes, mas têm um limite claro. Colaboradores de compras, financeiro e RH abrem dezenas de links e documentos por dia. Em algum momento, no contexto certo, com um e-mail bem construído, qualquer pessoa pode ser enganada.

O erro não está na falta de conhecimento. Está no contexto e na pressão do momento. Ninguém clica em phishing pensando que está clicando em phishing.

Por isso, treinamento e camada técnica de detecção precisam coexistir. Conscientizar reduz a frequência de cliques. Monitorar reduz o impacto quando o clique inevitável acontece.

O que uma empresa de médio porte precisa ter para encurtar essa janela

A resposta prática envolve três camadas que precisam funcionar juntas:

• Proteção de identidade: autenticação multifator ativa, políticas de acesso condicional e revisão periódica de permissões no ambiente Microsoft 365.
• Monitoramento de comportamento: ferramentas como o Microsoft Defender e o Microsoft Sentinel conseguem cruzar sinais de comportamento e disparar alertas quando um padrão foge do normal, como um login às 2h da manhã com a credencial de um colaborador que nunca acessou o sistema fora do horário comercial.
• Resposta rápida: identificar o comportamento anômalo não resolve nada se não houver um processo claro de resposta. Quem recebe o alerta? O que faz nos próximos 30 minutos?

Para equipes de TI enxutas, operar esse ciclo internamente é inviável. A alternativa é o monitoramento gerenciado: terceirizar a observação contínua do ambiente para uma parceira que mantém analistas atentos, sem exigir que a empresa monte um SOC (Centro de Operações de Segurança) próprio. Soluções como as da Fortinet também oferecem capacidades relevantes de detecção e resposta que se integram bem a esse modelo.

Como saber se sua empresa detectaria um ataque que já entrou

Algumas perguntas simples ajudam a avaliar isso hoje, sem precisar de auditoria formal:

• Seu ambiente registra e alerta para logins fora do horário habitual?
• Existe algum aviso quando uma credencial acessa o sistema a partir de um dispositivo novo ou de uma localização incomum?
• Quem revisa os logs de acesso, e com qual frequência isso acontece de fato?
• Se uma conta for comprometida agora, em quanto tempo alguém perceberia?

Se as respostas forem vagas ou incertas, a janela de exposição da sua empresa está aberta. Não é uma crítica ao time de TI, é um diagnóstico de maturidade. Ambientes que cresceram rápido tendem a ter proteção de entrada razoável e monitoramento interno frágil. Esse é exatamente o intervalo que invasores exploram.

A Aviti trabalha com empresas de médio porte que precisam fechar essa lacuna sem aumentar o time interno. Se você quer entender como sua empresa está posicionada nesse ciclo e o que seria necessário para encurtar o tempo de detecção, converse com um especialista da Aviti.