AHSU 360: por que construímos um raio-x, não mais um dashboard

Em algum momento desta semana, alguém na sua empresa fez login no e-mail corporativo às três da manhã vindo de um endereço IP no exterior. Você sabe disso? Muito provavelmente não. E esse é exatamente o problema que me motivou a construir o AHSU 360, o AntiHacking System UNODATA, o produto de visibilidade de correio que lançamos como resposta a uma pergunta que nenhum fornecedor do mercado estava respondendo direito.

O e-mail é o sistema por onde tudo passa. Contrato assinado, senha de acesso, nota fiscal, conversa com cliente, dado pessoal sensível. É o canal mais crítico do ambiente corporativo e, paradoxalmente, é tratado como caixa preta na maioria das empresas que atendo. O gestor sabe que a mensagem chegou. Sabe que saiu. Não sabe quem logou, de onde, a que horas, nem o que foi acessado durante aquela sessão.

Quando meu time sentou para construir nosso produto de correio na UNODATA, a pergunta não foi como enviar melhor. Essa pergunta já estava respondida. A pergunta que ficou na lousa foi outra: por que o gestor só descobre que algo deu errado depois que o estrago já está feito? A resposta nos levou a um caminho diferente do que o mercado costuma trilhar.

O que diferencia visibilidade de envio e recebimento

A maioria das plataformas de e-mail faz duas coisas bem: envia e recebe. São otimizadas para entregabilidade, para capacidade de armazenamento, para interface do usuário final. O que elas não foram construídas para fazer, e que quase nenhuma oferece de forma nativa, é enxergar o que acontece dentro do ambiente após a autenticação.

Há uma distinção que precisa ficar clara. Um dashboard de e-mail mostra volume de mensagens, taxa de entrega, quota de caixa postal. É uma fotografia do tráfego. Um sistema de visibilidade em tempo real, como o que construímos, mostra o comportamento do acesso: de qual dispositivo veio, de qual país, em qual horário, se aquela conta tentou autenticar dez vezes em sequência antes de conseguir. São dados completamente diferentes servindo a decisões completamente diferentes.

Enviar e receber é o que todo mundo faz. Enxergar é o que quase ninguém oferece, porque mensageria nunca foi o core deles. É o nosso.

Essa distinção tem consequência direta para o risco. Uma conta comprometida que envia spam interno, exfiltra documentos ou acessa o e-mail do CEO durante um feriado não aparece num relatório de volume de tráfego. Aparece num sistema que monitora comportamento de acesso. A diferença entre descobrir o incidente em tempo real e descobrir duas semanas depois, quando o dano já se espalhou, está precisamente aí.

Por que o e-mail é a superfície de ataque mais subestimada

Em mais de uma década trabalhando com TI empresarial, observo um padrão consistente: as empresas investem em firewall, em antivírus, em VPN, mas deixam o e-mail corporativo operando sem camada de monitoramento comportamental. A lógica parece ser que e-mail é infraestrutura básica, coisa resolvida, commodity. Essa percepção é o vetor de entrada predileto de quem ataca.

O e-mail é alvo porque concentra credenciais de acesso a outros sistemas, histórico de negociação, dados de clientes e fornecedores, além de ser o canal pelo qual a maioria dos ataques de engenharia social começa. Phishing, business email compromise (comprometimento de e-mail corporativo, uma fraude onde o atacante se passa por executivo para autorizar transferências), sequestro de conta: todos passam pelo e-mail antes de chegar em qualquer outro sistema.

Os sinais de comprometimento que o AHSU 360 detecta em tempo real incluem:

• Login bem-sucedido vindo de país diferente do padrão histórico do usuário
• Múltiplas tentativas de autenticação falhas seguidas de acesso bem-sucedido
• Acesso em horário completamente fora do padrão do usuário
• Volume anormal de mensagens enviadas num curto intervalo de tempo
• Acesso simultâneo da mesma conta a partir de dois países diferentes
• Encaminhamento automático configurado para endereço externo desconhecido

Cada um desses sinais, isolado, pode ter explicação legítima. Um diretor financeiro viajando para o exterior loga de fora. Um colaborador em fuso diferente acessa de madrugada. O que o sistema faz é correlacionar esses eventos e apresentar o contexto para que o gestor de TI tome a decisão com informação suficiente, não com achismo.

Como a visibilidade 360 muda a tomada de decisão

Da descoberta reativa para a resposta ativa

O modelo tradicional de gestão de incidentes em e-mail é fundamentalmente reativo. O usuário percebe que algo está errado, abre chamado, o time de suporte investiga, encontra o log de acesso com dois dias de atraso, tenta reconstruir o que aconteceu. Em incidentes de segurança, cada hora de atraso amplia o raio de dano. Uma conta comprometida que fica ativa por 48 horas pode exfiltrar o equivalente a anos de correspondência comercial.

A visibilidade em tempo real inverte essa lógica. O evento aparece no momento em que ocorre. O gestor pode agir antes que o atacante conclua o que veio fazer. Isso não elimina o risco, porque nenhum sistema elimina risco. Mas comprime o tempo de exposição de dias para minutos, e essa compressão é o que determina se um incidente vira um problema contornável ou um dano irreversível.

Conformidade com a LGPD e rastreabilidade de acesso

Há uma dimensão regulatória que raramente aparece nas conversas sobre e-mail corporativo. A LGPD (Lei Geral de Proteção de Dados) exige que as empresas sejam capazes de demonstrar controle sobre os dados pessoais que processam. O e-mail corporativo processa dados pessoais o tempo inteiro: nome de cliente, CPF em nota fiscal, endereço em contrato, dado de saúde em comunicação com plano médico.

Sem rastreabilidade de acesso, a empresa não consegue responder a uma pergunta básica que a ANPD (Autoridade Nacional de Proteção de Dados) pode fazer numa investigação: quem acessou esse dado, quando, de onde? Com o AHSU 360, essa resposta existe e é auditável. Não como relatório reconstituído depois do fato, mas como registro contínuo e verificável.

O custo real de não enxergar

Na UNODATA, quando conversamos com potenciais clientes sobre esse produto, frequentemente ouço a objeção de que o e-mail já funciona e não precisa de camada adicional. Entendo a lógica superficial do argumento. O problema é que ela confunde ausência de alarme com ausência de problema.

Um ambiente de e-mail sem visibilidade de acesso não é um ambiente seguro. É um ambiente onde os problemas ainda não foram descobertos. A diferença é brutal quando o incidente aparece, e em algum momento ele aparece.

O custo de um incidente de comprometimento de e-mail corporativo num escritório de médio porte, considerando investigação forense, notificação de clientes afetados, eventual multa regulatória e dano reputacional, supera em muito o custo de qualquer solução de monitoramento disponível no mercado. Essa conta não é difícil de fazer. O que é difícil é fazer essa conta antes do incidente, quando tudo parece estar bem.

O que construímos e o que ainda estamos construindo

O AHSU 360 como produto nasceu da insatisfação com o que existia no mercado para empresas de médio porte. As soluções enterprise de monitoramento de e-mail existem, são caras, têm curva de implementação longa e foram desenhadas para ambientes com equipes de segurança dedicadas. A empresa de 50 a 500 colaboradores não tem esse perfil, mas tem o mesmo risco.

Nossa aposta foi construir visibilidade de nível enterprise com operação acessível para times de TI menores ou para empresas que terceirizam a gestão de TI. Uma tela unificada que mostra login, geolocalização do acesso, eventos de servidor e alertas de comportamento anômalo sem exigir que o gestor seja especialista em segurança para interpretar o que vê.

O que ainda estamos construindo é a capacidade de correlação automática entre eventos. O sistema hoje alerta. A próxima versão vai sugerir ação com base no padrão histórico do ambiente específico de cada cliente. Não é IA por moda. É porque a correlação manual entre dezenas de eventos simultâneos é trabalho que nenhum time pequeno consegue fazer com consistência.

Segurança de verdade não começa no produto mais caro. Começa na capacidade de enxergar o que está acontecendo no seu ambiente antes que alguém te conte o que deu errado.

Se você gerencia TI de uma empresa onde o e-mail carrega contratos, dados de clientes e comunicação financeira, a pergunta que fica é simples: você saberia, agora, se alguém está dentro de uma conta do seu ambiente que não deveria estar?

Perguntas frequentes

O que é o AHSU 360 da UNODATA?

O AHSU 360 (AntiHacking System UNODATA) é um sistema de monitoramento e visibilidade de correio corporativo em tempo real. Ele registra e apresenta numa tela unificada os eventos de login, geolocalização dos acessos, tentativas de autenticação, anomalias de comportamento e eventos de servidor, permitindo que o gestor de TI identifique contas comprometidas ou acessos suspeitos no momento em que ocorrem, não depois.

Qual a diferença entre um dashboard de e-mail comum e o AHSU 360?

Um dashboard de e-mail tradicional mostra volume de mensagens, taxa de entrega e quota de armazenamento. São métricas de operação. O AHSU 360 monitora comportamento de acesso: de onde o usuário logou, em qual horário, com qual dispositivo, e se esse padrão é consistente com o histórico da conta. São dados de segurança que um dashboard operacional simplesmente não coleta.

O monitoramento de e-mail tem relação com conformidade com a LGPD?

Tem relação direta. A LGPD exige que as empresas demonstrem controle sobre os dados pessoais que processam, e o e-mail corporativo processa dados pessoais com frequência. Ter rastreabilidade de quem acessou qual conta, quando e de onde é um requisito de auditoria. Sem monitoramento de acesso, a empresa não consegue responder a essa pergunta de forma verificável em caso de investigação pela ANPD.

Para qual perfil de empresa o AHSU 360 foi desenhado?

O produto foi desenhado para empresas de médio porte, tipicamente entre 50 e 500 colaboradores, que usam e-mail corporativo para comunicação crítica de negócio (contratos, dados financeiros, relacionamento com clientes) mas não têm equipe de segurança dedicada. A operação foi pensada para times de TI menores ou para empresas que gerenciam TI de forma terceirizada, sem exigir expertise avançada em segurança para interpretar os alertas.