Visão 360 do e-mail corporativo: você não defende o que não vê

Pergunto isso para gestores de TI toda semana: quem acessou a caixa de e-mail da sua diretoria financeira nas últimas 24 horas, de onde, a que horas? A resposta que recebo, na esmagadora maioria das vezes, é silêncio. Não é má vontade. É que a plataforma simplesmente não mostra isso com clareza.

O e-mail corporativo é o sistema que concentra contratos assinados, boletos aprovados, notas fiscais, senhas de sistemas, dados pessoais de clientes e comunicações com advogados. É também um dos principais vetores de fraude corporativa no Brasil. E, ao mesmo tempo, é o sistema menos observado da infraestrutura da empresa.

Na UNODATA, levamos anos construindo uma plataforma de mensageria corporativa, o AHSU 360 (AntiHacking System UNODATA), justamente porque chegamos à conclusão de que o mercado resolve bem duas coisas: enviar e receber. O que ninguém resolve com seriedade é o que acontece dentro do ambiente depois que o e-mail chegou ou foi enviado. Esse vazio é onde mora o risco real.

Minha aposta, e vou defendê-la aqui com dados e com experiência de campo: segurança de e-mail começa na observabilidade, não no bloqueio. Você não defende o que não consegue ver.

O que o gestor não sabe sobre o próprio ambiente

Microsoft 365 e Google Workspace são produtos excelentes para produtividade. Entrego esse ponto sem hesitar. O problema não está no que eles fazem. Está no que eles não mostram de forma acessível para o gestor operacional do dia a dia.

Faço um exercício simples quando começo uma conversa com um potencial cliente. Peço que ele abra o painel administrativo da plataforma de e-mail e responda quatro perguntas:

1. Quais contas corporativas tiveram login bem-sucedido hoje, a que horas e de qual endereço IP?
2. Houve alguma tentativa de login malsucedida nas últimas 12 horas? Em qual conta e quantas vezes?
3. Algum acesso veio de um país diferente do padrão da empresa?
4. Houve acesso simultâneo à mesma conta a partir de dois locais geograficamente distantes?

Na maioria dos casos, o gestor consegue chegar a alguma dessas respostas depois de navegar por vários menus, exportar logs e cruzar arquivos. O processo leva de 20 minutos a algumas horas. Em alguns casos, a resposta honesta é que os logs de acesso nem são retidos por padrão na configuração que o cliente tem contratado.

Isso não é problema de competência do gestor. É problema de design. As plataformas foram construídas para entregar e-mail, não para dar visibilidade operacional em tempo real sobre o comportamento de acesso às contas.

Account takeover: o invasor que não faz barulho

O ataque mais perigoso no ambiente de e-mail corporativo hoje não é o malware que detona tudo e aparece no noticiário. É o account takeover, que vou abreviar como ATO. A tradução direta seria “sequestro de conta”, mas o termo em inglês já está consagrado na área de segurança.

O ATO funciona assim: uma credencial corporativa vaza, seja por phishing, seja por reuso de senha em algum serviço comprometido, seja por compra em fórum da dark web. O atacante usa essa credencial para logar na conta de e-mail corporativa. Sem invasão ruidosa, sem exploração de vulnerabilidade técnica, sem alarme. Ele simplesmente entra com login e senha válidos.

Você não defende o que não consegue ver. E no ATO, o invasor está logado, silencioso, estudando a rotina da sua empresa por dias antes de agir.

O que acontece depois é paciente e metódico. O atacante fica logado por dias, às vezes semanas. Ele lê o histórico de e-mails para entender quem são os fornecedores, como funcionam os processos de aprovação de pagamento, quem assina o quê. Quando ele tem o mapa completo, age: muda um dado bancário num e-mail encaminhado, intercepta uma negociação, cria uma regra de redirecionamento para que cópias de e-mails críticos cheguem à caixa dele sem que o usuário legítimo perceba.

O prejuízo médio de um caso de BEC (Business Email Compromise), que é a fraude financeira que costuma seguir o ATO, está na casa de dezenas ou centenas de milhares de reais por ocorrência. No Brasil, os casos aumentaram significativamente nos últimos dois anos, acompanhando a digitalização dos processos financeiros.

O que detém o ATO antes que o dano aconteça não é o filtro de spam. É a capacidade de perceber que aquela conta foi acessada às 3h17 da manhã a partir de um IP na Ucrânia, sendo que o usuário é um gerente financeiro que trabalha em São Paulo em horário comercial.

Geolocalização e horário como camada de defesa real

O padrão de acesso de uma empresa é uma assinatura. Cada organização tem um comportamento típico: os horários em que os colaboradores logam, as cidades de onde acessam, os dispositivos que usam. Esse padrão é estável o suficiente para que qualquer desvio significativo seja um sinal de alerta.

Dois princípios físicos tornam a geolocalização especialmente poderosa como camada de defesa:

• Acesso simultâneo de locais impossíveis: se uma conta mostra login em São Paulo às 9h03 e login em Moscou às 9h11, isso é fisicamente impossível para um ser humano. É um indicador quase certo de comprometimento.
• Acesso fora do padrão geográfico conhecido: uma empresa que nunca teve acesso de fora do Brasil, que de repente mostra login de um país sem relação com sua operação, merece investigação imediata, não uma notificação no relatório do mês seguinte.

O problema é que essa análise, para ser útil, precisa acontecer em tempo real. Um relatório semanal ou mensal não serve para conter um ATO em curso. Quando o gestor abre o PDF, a fraude pode ter sido consumada há dias.

Além de geolocalização e horário, uma visão 360 real precisa cruzar pelo menos quatro dimensões na mesma tela e ao mesmo tempo:

1. Eventos de login: bem-sucedidos, malsucedidos, com qual conta, a que horas.
2. Geolocalização do acesso: país, região, IP de origem, reputação do IP.
3. Status de conta comprometida: cruzamento com bases de credenciais vazadas conhecidas.
4. Eventos de servidor: comportamentos anômalos na camada de infraestrutura do serviço de e-mail.

Se qualquer uma dessas dimensões está faltando, ou se elas existem mas em painéis separados que exigem navegação manual para cruzar, a visão não é 360. É cosmética.

A diferença entre dashboard cosmético e observabilidade de verdade

Existe uma tendência no mercado de TI de chamar qualquer painel com gráficos coloridos de “dashboard de segurança”. Já vi muita coisa nomeada assim que, na prática, mostra métricas de volume de e-mails entregues e uma barra de spam bloqueado. Não desonra o produto, porque para o que foi projetado, entrega. Mas não é segurança operacional.

Observabilidade real no contexto de e-mail corporativo tem características específicas que definem se serve ou não serve para responder a um incidente:

• Tempo real, não batch: os dados precisam estar disponíveis no momento em que o evento acontece, não após um ciclo de processamento de horas ou dias.
• Correlação automática: o sistema precisa cruzar as dimensões e gerar alertas, não exigir que o gestor faça a análise manual.
• Retenção de log acessível: os históricos precisam estar disponíveis para consulta retroativa rápida, no painel, sem exportação para planilha.
• Alerta acionável: quando um padrão suspeito é detectado, o sistema precisa apontar o que fazer, não apenas registrar o evento.

Na UNODATA, construímos o AHSU 360 com essa premissa. Mensageria corporativa é infraestrutura crítica. Infraestrutura crítica precisa de observabilidade de infraestrutura crítica. Não de um painel adicional colado por cima de uma plataforma que não foi desenhada para isso.

O ponto que mais ouço de clientes quando começam a usar uma visão real é uma variação da mesma frase: “Agora eu consigo responder perguntas que eu nem sabia que precisava fazer.”

Isso é o que boa observabilidade faz. Ela expande a capacidade do gestor de formular as perguntas certas, não apenas de responder as óbvias.

Fechando: visibilidade é decisão estratégica

Deixar o e-mail corporativo no piloto automático de uma plataforma de produtividade e achar que está coberto é um risco que cresce a cada ano. Não porque as plataformas pioraram, mas porque os atacantes ficaram melhores. O ATO é silencioso exatamente porque explora o ponto cego que todas as empresas compartilham: a presunção de que credencial válida equivale a acesso legítimo.

A decisão de ter visibilidade real sobre o ambiente de e-mail não é técnica. É estratégica. É o CEO e o CISO concordando que não dá para gerir o que não se vê, e que o risco de um incidente de BEC numa empresa de médio porte pode ser mais devastador do que qualquer outra crise operacional do ano.

Se o seu ambiente de e-mail hoje não consegue responder as quatro perguntas que listei acima em menos de dois minutos, vale a conversa.

Perguntas frequentes

O que é account takeover (ATO) em e-mail corporativo?

Account takeover é quando um atacante acessa uma conta de e-mail corporativa usando credenciais legítimas vazadas, sem precisar explorar nenhuma vulnerabilidade técnica. O acesso parece normal para a plataforma porque o login e a senha estão corretos. O invasor age silenciosamente, estudando a rotina da empresa por dias, antes de executar fraudes financeiras ou exfiltrar informações.

Por que geolocalização de login ajuda a detectar invasões de e-mail?

O padrão geográfico de acesso de uma empresa é estável e previsível. Acesso simultâneo de dois países distintos é fisicamente impossível para um usuário legítimo, então esse sinal aponta comprometimento com alta confiança. Acesso de países fora do histórico da empresa também é um indicador forte que, em tempo real, permite bloquear a sessão antes que o dano aconteça.

Microsoft 365 e Google Workspace não oferecem segurança de e-mail suficiente?

Oferecem boas camadas de segurança para entrega e filtragem de conteúdo. O que falta, na configuração padrão acessível ao gestor operacional, é observabilidade em tempo real cruzando login, geolocalização, status de credencial comprometida e eventos de servidor numa mesma tela. Esse cruzamento em tempo real é o que permite detectar e responder a um ATO em curso, não em relatório retroativo.

O que é uma visão 360 real no contexto de e-mail corporativo?

É a capacidade de ver, numa única interface e em tempo real, pelo menos quatro dimensões: eventos de login com horário e conta, geolocalização e reputação do IP de acesso, correlação com bases de credenciais vazadas e eventos anômalos no servidor de e-mail. Se qualquer uma dessas dimensões exige navegação separada ou exportação manual de logs, a visão não é 360, é parcial.