E-mail corporativo: infraestrutura crítica que ninguém monitora

Rodando e-mail para mais de 1.400 empresas no Brasil, eu vi o mesmo padrão se repetir dezenas de vezes. A empresa descobre o problema depois. Depois que o contrato vazou. Depois que a senha bancária foi usada de outro país. Depois que um ex-colaborador apagou três anos de histórico de negociação e saiu pela porta. Em quase todos esses casos, os dados estavam no e-mail. E o e-mail não estava sendo monitorado.

Este artigo abre uma série que vou publicar aqui no blog sobre o tema. A tese é direta: o e-mail corporativo se tornou infraestrutura crítica, e a maioria das empresas ainda o trata como utilitário de comunicação. Essa diferença de percepção tem custo. Às vezes financeiro, às vezes jurídico, às vezes os dois.

O que me motivou a escrever isso agora é o que aprendi construindo o AHSU 360 (AntiHacking System UNODATA, plataforma de monitoramento e proteção de e-mail corporativo que desenvolvemos internamente) porque as soluções disponíveis no mercado simplesmente não entregavam o nível de visibilidade que nossos clientes precisavam. Chegou um ponto em que foi mais racional construir do que procurar.

O e-mail concentra o que a empresa tem de mais valioso

Pense no que transita por uma caixa corporativa num dia de trabalho normal. Contratos em fase de assinatura. Notas fiscais com dados de fornecedores. Credenciais enviadas por sistemas internos. Informações de clientes que, dependendo do setor, são protegidas pela LGPD. Conversas que documentam decisões comerciais e que podem se tornar prova em um litígio.

O e-mail não é só comunicação. É repositório, arquivo, trilha de auditoria informal e canal de transferência de dados. E é exatamente por isso que ele se tornou o vetor favorito de ataque e o ponto cego favorito do atacante interno.

Quando faço a seguinte pergunta para CEOs e diretores de TI, a resposta quase sempre é silêncio: quem acessou sua caixa corporativa nas últimas 24 horas, de qual país, de qual dispositivo e em qual horário? Ninguém sabe responder de imediato. E não é por falta de competência técnica. É porque a plataforma de e-mail nunca foi configurada para mostrar isso de forma acessível.

O e-mail virou infraestrutura crítica. E infraestrutura crítica você filma, audita e protege. Não deixa no escuro.

O que a plataforma entrega e o que ela esconde

A maioria das soluções de correio corporativo disponíveis no mercado faz duas coisas muito bem: envia e recebe. A entrega de mensagem é confiável, o uptime é alto, a interface é boa. O problema está no que acontece no meio.

O que fica opaco na maior parte das implementações:

• Quem se autenticou na caixa e de onde (país, IP, tipo de dispositivo)
• Quais mensagens foram apagadas permanentemente e por quem
• Se houve encaminhamento automático configurado para endereço externo
• Quais anexos saíram do domínio corporativo e para quais destinatários
• Se uma caixa foi acessada por uma sessão simultânea em outro país enquanto o titular estava logado no Brasil

Esse conjunto de eventos é exatamente o que caracteriza um incidente de segurança em e-mail, seja ele causado por ataque externo ou por ação interna. E essas informações simplesmente não aparecem em dashboards padrão. Ficam em logs técnicos que ninguém lê até que haja uma razão urgente para lê-los. Nesse momento, muitas vezes já é tarde.

O argumento que ouço com frequência é: “mas eu tenho antivírus e filtro de spam”. Antivírus e filtro de spam bloqueiam ameaças conhecidas que chegam de fora. Não monitoram comportamento interno. Não detectam o colaborador que está encaminhando a carteira de clientes para o e-mail pessoal às 23h de uma sexta-feira.

Por que isso é decisão de CEO, não só de TI

Quando um incidente de e-mail acontece, as consequências não ficam na camada técnica. Elas sobem direto para o nível executivo.

Do ponto de vista jurídico, a LGPD (Lei Geral de Proteção de Dados) exige que a empresa demonstre que adotou medidas técnicas e administrativas adequadas para proteger dados pessoais. Se um incidente envolver dados de clientes vazados via e-mail e a empresa não conseguir apresentar logs de acesso, trilha de auditoria ou evidência de monitoramento, a posição diante da ANPD (Autoridade Nacional de Proteção de Dados) fica muito frágil.

Do ponto de vista operacional, a falta de visibilidade significa que o tempo entre o incidente e a descoberta é longo. E em segurança, tempo é o fator mais crítico. Quanto mais cedo o acesso indevido é detectado, menor o dano. Quanto mais tarde, maior a superfície afetada.

Do ponto de vista estratégico, e esse é o ângulo que mais me preocupa como CEO, o e-mail guarda o histórico de negociação com clientes, parceiros e fornecedores. Perder esse histórico por uma exclusão maliciosa ou por um ataque que ainda não foi detectado é perder memória institucional. Algumas empresas nunca recuperam.

O que muda quando você trata e-mail como infraestrutura crítica

Infraestrutura crítica tem características definidas: é monitorada em tempo real, gera alertas quando algo sai do padrão, mantém logs auditáveis e passa por revisão periódica. Servidores de produção, bancos de dados e sistemas financeiros recebem esse tratamento na maioria das empresas de TI. O e-mail quase nunca recebe.

Quando você aplica essa lógica ao e-mail, três mudanças concretas acontecem:

1. Detecção antecipada. Acesso de um IP em país diferente do padrão do usuário gera alerta imediato, não relatório mensal.
2. Rastreabilidade. Qualquer evento relevante, exclusão de mensagem, encaminhamento externo, acesso fora do horário padrão, fica registrado com timestamp e pode ser auditado.
3. Resposta mais rápida. Com visibilidade em tempo real, o time de segurança consegue agir durante o incidente, não depois que ele já causou dano.

Foi essa lógica que orientou o desenvolvimento do AHSU 360 na UNODATA. Não começamos querendo criar um produto. Começamos porque clientes chegavam com problemas que as ferramentas disponíveis não conseguiam resolver, e a solução era sempre construir visibilidade onde não existia nenhuma.

O que fazer antes do próximo incidente

Não estou propondo aqui um projeto de segurança de seis meses. Estou propondo uma mudança de percepção que pode gerar ação imediata.

A primeira pergunta que qualquer gestor deveria conseguir responder hoje é: eu consigo saber, agora, quem está logado nas caixas corporativas da minha empresa e de onde? Se a resposta for não, esse é o ponto de partida.

A segunda pergunta é sobre retenção: meus logs de e-mail estão sendo armazenados por quanto tempo e em formato auditável? Em caso de incidente, você precisa de no mínimo 90 dias de histórico para construir uma linha do tempo útil. Muitas empresas não têm nem isso.

A terceira pergunta é sobre encaminhamento externo: existe alguma política que bloqueie ou alerte quando um colaborador configura encaminhamento automático para um endereço fora do domínio corporativo? Esse é um dos vetores mais simples e mais utilizados de exfiltração de dados. E é trivial de detectar quando há monitoramento.

Essas três perguntas não exigem projeto. Exigem decisão.

Nas próximas semanas, vou continuar explorando esse tema aqui no blog: os vetores de ataque mais comuns em e-mail corporativo, como estruturar uma política de acesso que seja operacional e não só documental, e o que aprendemos rodando isso em escala para mais de 1.400 empresas. O e-mail é o cofre que ninguém filma. Já passou da hora de instalar as câmeras.

Sua empresa sabe o que aconteceu no e-mail corporativo ontem à noite?

Perguntas frequentes

O que é o AHSU 360 da UNODATA?

AHSU 360 é o AntiHacking System UNODATA, uma plataforma de monitoramento e proteção desenvolvida internamente para e-mail corporativo. Ela oferece visibilidade em tempo real de acessos, alertas de comportamento anômalo, rastreamento de exfiltração de dados e logs auditáveis para conformidade com a LGPD.

Por que o e-mail corporativo é considerado infraestrutura crítica?

O e-mail concentra contratos, dados financeiros, informações de clientes e histórico de decisões de negócio. Qualquer acesso indevido, exclusão maliciosa ou encaminhamento não autorizado pode gerar dano financeiro, jurídico e operacional irreversível. Infraestrutura crítica, por definição, é aquela cuja falha causa impacto severo para a operação, e o e-mail se enquadra nesse critério.

Quais são os principais riscos de não monitorar o e-mail corporativo?

Os riscos mais frequentes que identifico na prática são: exfiltração de dados por colaboradores (encaminhamento para e-mail pessoal), acesso indevido por credencial comprometida sem detecção, exclusão maliciosa de histórico de negociações, e exposição a penalidades da LGPD por incapacidade de demonstrar medidas de proteção adequadas em caso de vazamento.

Quanto tempo de log de e-mail uma empresa precisa manter?

O mínimo recomendado para que os logs sejam úteis em uma investigação de incidente é 90 dias. Para conformidade com a LGPD e para responder a processos judiciais, o ideal é manter entre 12 e 24 meses, dependendo do setor e do volume de dados pessoais tratados pela empresa.