E-mail malicioso: como um vírus pode ficar adormecido na rede da empresa

Um e-mail malicioso aberto sem desconfiança pode ser o começo de um ataque que só aparece dias depois. É essa a principal suspeita da Autoridade Portuária de Santos (APS) sobre o ataque que derrubou os sistemas administrativos do Porto de Santos em 6 de novembro: segundo o diretor-presidente da APS, os técnicos acreditam que o vírus foi enviado por e-mail e ficou adormecido na rede até ser ativado por uma queda de energia.

Agora, a pergunta para a sua empresa: se um vírus estivesse escondido na sua rede hoje, esperando o momento certo, alguém perceberia?

O que se sabe sobre o caso

No dia 12 de novembro, o diretor-presidente da APS, Anderson Pomini, detalhou a hipótese da autoridade portuária, segundo reportagem do g1. “Nossos técnicos acham que o vírus é implementado pelos hackers através de um e-mail”, disse. Segundo ele, o programa malicioso só é acionado quando há uma queda de energia, e a APS associa a interrupção a um acidente de 29 de outubro, quando um guindaste atingiu cabos de transmissão da Usina Hidrelétrica de Itatinga. Até agora, isso é uma hipótese da APS, e não uma conclusão da investigação.

O que já foi informado pela APS: de acordo com a CNN Brasil, a energia voltou por volta das 22h de 6 de novembro, e o programa malicioso foi identificado às 3h do dia seguinte. As operações de navios, cargas e caminhões continuaram, e os sistemas administrativos vêm sendo recuperados com backups. Em entrevista à CNN Brasil, Pomini disse esperar a retomada dos sistemas até sexta-feira, 13 de novembro, depois de uma nova varredura na rede.

O que ainda não está confirmado: segundo o Metrópoles, um grupo de hackers reivindicou a autoria do ataque, mas a APS afirmou que a reivindicação não basta para comprovar nada. A Polícia Federal abriu inquérito e, em nota citada pelo Metrópoles, disse que só poderá apontar a causa das falhas depois das diligências e da análise técnica. Não há confirmação de vazamento de dados nem de pedido de resgate.

Por que um vírus pode ficar adormecido

Nem todo ataque começa no dia em que os sistemas caem. Muitos programas maliciosos entram pela caixa de entrada, se instalam em silêncio e esperam: um horário de pouca vigilância, uma reinicialização dos servidores ou um comando remoto do atacante. Enquanto isso, a rede parece normal.

É por isso que a pergunta “fomos atacados?” costuma ter uma resposta pior do que parece: o problema pode estar na rede há dias ou semanas. Quanto mais tempo a ameaça passa despercebida, maior o estrago quando ela é ativada.

Como reconhecer um e-mail malicioso antes do clique

A maior parte dos golpes por e-mail segue o mesmo roteiro: urgência, autoridade e um link ou anexo. Vale treinar a equipe para desconfiar de:

Pressa e ameaça: “pagamento em atraso”, “seu acesso será bloqueado hoje”, “confirme em até 1 hora”.
Remetente quase certo: nome conhecido, mas endereço com uma letra trocada ou domínio diferente do habitual.
Anexos inesperados: notas fiscais, boletos, currículos ou planilhas que ninguém pediu, principalmente compactados ou com macros.
Links que pedem senha: páginas de login “do Microsoft 365”, “do banco” ou “do RH” abertas a partir de um e-mail.
Pedidos fora do processo: troca de dados bancários de fornecedor ou pagamento urgente fora do fluxo de aprovação.

E o mais importante: criar um canal simples para reportar e-mails suspeitos. Quem reporta rápido, mesmo depois de clicar, dá à TI a chance de conter o problema antes que ele se espalhe.

Não dependa só do usuário: camadas de proteção

Treinamento reduz o risco, mas não zera. Em algum momento, alguém vai clicar. Por isso, a proteção precisa de camadas:

Filtro de e-mail e antivírus atualizados: bloqueiam boa parte das mensagens maliciosas antes de chegarem ao usuário.
Atualizações em dia: sistemas e programas com correções pendentes são a porta preferida de quem entra pelo e-mail.
Menor privilégio: usuários comuns sem permissão de administrador e controle de acessos privilegiados para quem administra servidores. Assim, um clique não vira acesso a toda a rede.
Autenticação em dois fatores: mesmo que uma senha seja roubada, o atacante não entra só com ela.
Backup isolado e testado: se o pior acontecer, é o que permite voltar a operar, como mostramos no artigo sobre plano de contingência.

Monitoramento 24×7: como encontrar o que está adormecido

Um vírus adormecido quase sempre deixa rastros: uma conexão estranha para fora da rede, um processo novo em um servidor, um acesso fora de hora. Sozinhos, esses sinais passam despercebidos. Com monitoramento contínuo, viram alerta.

Um SOC (Security Operations Center) acompanha logs, acessos e comportamentos da rede 24 horas por dia, investiga o que foge do padrão e confirma quando o ambiente está limpo. Explicamos como funciona no artigo SOC e monitoramento 24×7. Já o NOC (Network Operations Center) acompanha energia, links e servidores, e trata quedas e reinicializações inesperadas como possíveis incidentes, exatamente o tipo de evento que, no caso noticiado, teria acionado o vírus.

E-mail malicioso: o que fazer se alguém clicou

Se um colaborador abriu um e-mail malicioso, cada minuto conta. Um roteiro simples ajuda a agir sem pânico:

Avise a TI na hora: sem medo de punição. Esconder o clique é o que transforma um susto em incidente.
Isole o equipamento: desconecte da rede (cabo e Wi-Fi), mas não desligue, para preservar evidências.
Troque as senhas: principalmente se foram digitadas em alguma página aberta pelo e-mail.
Verifique o restante da rede: procure o mesmo e-mail em outras caixas e sinais da ameaça em outros equipamentos.
Avalie a LGPD: se houver dados pessoais envolvidos e risco relevante aos titulares, a Resolução CD/ANPD nº 15/2024 prevê comunicação à ANPD e aos titulares em até três dias úteis.

Para a etapa de recuperação, veja também o nosso guia de plano de recuperação de desastres.

Como a Netsun Tech ajuda

A Netsun Tech atua desde 1997 com conectividade e tecnologia para empresas. Com o SOC, monitoramos eventos de segurança 24 horas por dia para encontrar ameaças escondidas antes que elas causem estrago. Com o NOC e o monitoramento remoto dos equipamentos, acompanhamos energia, links, servidores e atualizações. Com o controle de acessos privilegiados, limitamos o alcance de uma credencial roubada. E com o service desk e as soluções de backup e recuperação, sua equipe tem a quem recorrer na hora do clique errado e a sua empresa volta a operar mais rápido.

Não espere o vírus acordar para descobrir que ele estava lá. Fale com um especialista da Netsun Tech pelo WhatsApp e peça uma avaliação da segurança da sua empresa.

FAQ

O que é um e-mail malicioso?

É uma mensagem criada para enganar quem a recebe, com links para páginas falsas ou anexos que instalam programas maliciosos. Muitas vezes imita fornecedores, bancos, órgãos públicos ou colegas de trabalho.

O que é um vírus adormecido?

É um programa malicioso que se instala na rede e espera um gatilho para agir, como uma data, uma reinicialização dos sistemas ou um comando do atacante. Até lá, a rede parece funcionar normalmente.

Como saber se a minha rede tem uma ameaça escondida?

Com monitoramento contínuo de logs, acessos e conexões. Um SOC procura comportamentos fora do padrão, como conexões estranhas para fora da rede, processos novos em servidores ou acessos em horários incomuns.

Treinar os funcionários é suficiente?

Não. O treinamento reduz muito o risco, mas precisa vir junto com filtro de e-mail, atualizações, controle de acessos, backup e monitoramento. A ideia é que um único clique não comprometa a empresa inteira.

O que fazer se um funcionário clicou em um link suspeito?

Avisar a TI imediatamente, desconectar o equipamento da rede sem desligá-lo, trocar as senhas usadas e verificar se outros equipamentos foram afetados. Se houver dados pessoais envolvidos, avaliar a comunicação à ANPD.