Sua conta de e-mail corporativa foi invadida? Aja agora, na ordem certa

Primeiros passos — o que fazer agora

1. 1

   Troque a senha de um dispositivo confiável

   Use um computador ou celular que você sabe que não está comprometido (sem malware ou infostealer) para criar uma senha nova, longa e exclusiva. Nunca reutilize a senha antiga nem variações dela. Se a mesma senha era usada em outros serviços, troque também nesses lugares.

2. 2

   Force MFA, de preferência FIDO2

   Ative autenticação multifator na conta e exija MFA resistente a phishing (chave de segurança FIDO2 ou passkey). Evite depender só de SMS, vulnerável a SIM swap. Em ambiente corporativo (Microsoft 365 / Google Workspace), force MFA por política para todos os usuários, não só para a conta atingida.

3. 3

   Encerre todas as sessões ativas

   Faça logout de todos os dispositivos e revogue tokens de sessão e cookies. No M365 use a opção de revogar sessões / reset de tokens de atualização; no Google Workspace use 'Encerrar sessões'. Isso derruba o invasor mesmo que ele já tenha a senha em mãos, forçando novo login com o MFA agora ativo.

4. 4

   Remova regras de encaminhamento e filtros maliciosos

   Esta é a tática clássica de BEC: o atacante cria um encaminhamento automático para um endereço externo e filtros que arquivam ou apagam mensagens (ex.: assuntos com 'fatura', 'pagamento', 'boleto'). Revise e apague qualquer regra que você não criou, inclusive filtros, regras de servidor e encaminhamento no nível do tenant.

5. 5

   Revogue apps OAuth e dispositivos conectados

   Verifique aplicativos de terceiros com acesso à conta (OAuth) e remova os que você não reconhece ou não usa mais — um app malicioso mantém acesso mesmo após a troca de senha. Confira também dispositivos vinculados e senhas de app antigas, revogando o que for suspeito.

6. 6

   Audite enviados, excluídos e a caixa de saída

   Procure e-mails que o invasor enviou em seu nome (cobranças falsas, troca de dados bancários, pedidos a fornecedores) e mensagens que ele apagou para esconder o rastro. Isso define o alcance do dano, quem precisa ser avisado com urgência e quais dados pessoais foram expostos.

7. 7

   Avise contatos, financeiro e fornecedores

   Comunique equipe, clientes e fornecedores por um canal alternativo (telefone, WhatsApp) que sua conta foi comprometida e que pedidos de pagamento ou troca de dados bancários enviados por e-mail devem ser desconsiderados e reconfirmados por voz com um número já conhecido. Em BEC, o prejuízo vem de quem confia no e-mail fraudulento.

8. 8

   Acione a Resposta a Incidentes e cheque vazamento

   Se há indício de fraude, transferências ou comprometimento de várias contas, acione a Resposta a Incidentes 24/7 da Decripte pelo /contato — SLA de contenção de 1h. Em paralelo, use o plano gratuito de Gestão de Ameaças em https://decripte.io/free para confirmar se sua credencial corporativa vazou e está à venda na dark web.

Por que trocar a senha não basta: a anatomia de um account takeover

A maioria das pessoas reage a uma invasão trocando a senha e parando por aí. O problema é que um atacante experiente já se preparou para sobreviver a esse gesto. Ao entrar na conta, ele estabelece persistência: cria regras de encaminhamento ocultas, gera senhas de aplicativo, autoriza um app OAuth malicioso ou simplesmente mantém uma sessão ativa com cookie válido. Qualquer um desses mecanismos continua funcionando depois que você muda a senha, porque eles não dependem mais dela.

É por isso que a ordem das ações importa. Trocar a senha de um dispositivo confiável, forçar MFA e — crucialmente — encerrar todas as sessões ativas derruba os acessos baseados em sessão. Remover regras de encaminhamento e filtros corta a exfiltração silenciosa. Revogar apps OAuth elimina o acesso delegado. Só quando todos esses caminhos estão fechados é que a conta volta de fato para as suas mãos. Pular um deles é deixar uma porta dos fundos aberta.

BEC: quando a conta invadida vira arma de fraude financeira

O Business Email Compromise (BEC) é o desfecho mais caro de um account takeover corporativo. Com acesso à sua caixa, o criminoso estuda o jeito que você escreve, com quem você fala e quais pagamentos estão em andamento. Então, no momento certo, ele envia uma mensagem perfeitamente plausível pedindo a um fornecedor, cliente ou ao seu próprio financeiro que altere os dados bancários de uma fatura ou antecipe um pagamento. Para esconder a manobra, ele usa filtros que apagam as respostas antes que você as veja.

Por isso, durante a contenção, a auditoria dos e-mails enviados e excluídos é tão importante quanto a redefinição de senha. Você precisa saber exatamente o que foi enviado em seu nome e avisar os destinatários por um canal fora do e-mail. A regra de ouro para a sua organização passa a ser: nenhuma troca de dados bancários ou pagamento atípico solicitado por e-mail é executado sem confirmação por voz com um número já conhecido. Essa única política barra a esmagadora maioria dos golpes de BEC. Se um pagamento via Pix já foi feito por engano, o pagador deve contatar o banco imediatamente para acionar o MED.

Contenção, erradicação e recuperação na prática

A resposta a um account takeover segue a lógica do NIST. A detecção e análise é entender como o invasor entrou (credencial vazada, phishing, infostealer) e até onde foi. A contenção é o bloco de ações imediatas: senha nova, MFA forçado, sessões encerradas, encaminhamentos e OAuth removidos. A erradicação remove a persistência que sobrou — senhas de app, regras de servidor, dispositivos vinculados — e fecha o vetor de entrada original, por exemplo trocando credenciais reaproveitadas em outros sistemas.

A recuperação devolve a operação ao normal com monitoramento reforçado: você observa novos logins, valida que nenhuma regra reaparece e confirma que os contatos foram avisados. As lições aprendidas viram política — MFA FIDO2 obrigatório, bloqueio de encaminhamento automático externo no tenant, alertas de regra de caixa e revisão periódica de apps OAuth. Quando o incidente envolve fraude, múltiplas contas ou risco de movimentação financeira, a Resposta a Incidentes 24/7 da Decripte assume essa cadeia inteira com SLA de contenção de até uma hora, preservando evidências e coordenando a comunicação com banco, ANPD e titulares.

Como sua credencial chegou ao atacante — e como descobrir antes

Boa parte dos account takeovers não começa com um hacker 'invadindo' nada: começa com uma senha que já estava à venda. Infostealers em máquinas infectadas e vazamentos de outros serviços despejam enormes volumes de pares de e-mail e senha em fóruns e na dark web. Se a sua senha corporativa apareceu em um desses dumps — ou se você a reutilizava em outro site que vazou — o criminoso só precisou testá-la. Por isso, depois de conter o incidente, é essencial saber se a credencial circula publicamente.

O plano gratuito de Gestão de Ameaças da Decripte, o Decripte Intelligence Center (DIC), monitora exatamente isso: vazamento de credenciais, exposição na dark web e reputação do seu domínio — sem cartão de crédito e sem precisar de equipe técnica. Você cadastra seu domínio em https://decripte.io/free e descobre quais e-mails da sua empresa já apareceram em vazamentos, transformando a resposta a este incidente em prevenção contínua dos próximos. É a forma mais barata de fechar a torneira que alimenta os ataques de takeover.

Termos importantes

Account Takeover (ATO)

Tomada de controle de uma conta legítima por um terceiro não autorizado, geralmente usando credenciais válidas obtidas em vazamentos, phishing ou malware. No contexto corporativo, costuma ser o primeiro passo para fraude por e-mail.

BEC (Business Email Compromise)

Golpe em que o criminoso, com acesso ou imitando uma conta corporativa, induz funcionários, clientes ou fornecedores a fazer pagamentos ou alterar dados bancários. Geralmente usa regras de encaminhamento e filtros para esconder a fraude.

MFA / FIDO2

Autenticação multifator exige um segundo fator além da senha. FIDO2 é o padrão de chaves de segurança e passkeys resistentes a phishing, que não podem ser interceptadas como um código por SMS, sendo a forma mais segura de proteger a conta.

OAuth

Protocolo que permite a apps de terceiros acessar sua conta sem ver sua senha, por meio de um token. Um app OAuth malicioso autorizado pelo invasor mantém acesso à conta mesmo depois que a senha é trocada, por isso precisa ser revogado.

Regra de encaminhamento maliciosa

Configuração criada pelo atacante para reencaminhar automaticamente cópias dos seus e-mails a um endereço externo, ou filtros que apagam mensagens. É a tática clássica de persistência e exfiltração silenciosa em ataques de BEC.

MED (Mecanismo Especial de Devolução)

Procedimento do Pix que permite ao banco bloquear e tentar devolver valores em casos de fraude ou falha operacional, mediante contato rápido da vítima. A janela de acionamento é curta, por isso o contato com o banco deve ser imediato.

Perguntas frequentes