Quando o maior risco à segurança de uma empresa não vem de hackers externos, mas de quem possui crachá, senha e confiança.
Nas madrugadas de 29 e 30 de junho de 2025, enquanto o sistema financeiro brasileiro dormia, um Desenvolvedor Back-End Jr. de uma prestadora de serviços de tecnologia da Grande SP realizava interações na rede que permitiram transferências em massa pelo Pix a partir dos próprios servidores da empresa onde trabalhava. Não houve invasão sofisticada, nenhum ataque de força-bruta vindo de fora. O acesso foi completamente legítimo — ele tinha as credenciais, conhecia os sistemas e sabia exatamente o que fazer, com as devidas orientações dos responsáveis pelo plano. A motivação: R$ 15 mil pagos por criminosos para que ele abrisse a porta.
Esse caso, classificado como o maior golpe cibernético da história do sistema financeiro brasileiro, não é uma exceção trágica. É apenas a face mais visível de um problema que cresce silenciosamente nos bastidores de empresas de todos os setores e tamanhos no Brasil: a ameaça do Insider.
Definição
Um Insider é qualquer pessoa que possui acesso físico ou lógico legítimo aos sistemas, dados ou instalações de uma organização — funcionários, prestadores de serviço, parceiros, ex-colaboradores — e que, intencional ou acidentalmente, utiliza esse acesso para causar dano, seja por motivação financeira, vingança, coerção ou simples negligência.
As diferentes faces do Insider
Nem todo Insider é um criminoso premeditado. A ameaça se manifesta em perfis distintos, cada um exigindo respostas diferentes:
- O Insider Malicioso: Age deliberadamente para roubar dados, sabotar sistemas ou repassar informações a terceiros. Motivado por ganho financeiro, vingança ou coerção. É o perfil mais mediatizado, mas não o mais comum.
- O Insider Negligente: Sem intenção de causar dano, comete erros que abrem portas, clica em phishing, armazena dados em serviços não autorizados, usa senhas fracas ou compartilha credenciais. Responsável pela maioria dos incidentes registrados.
- O Insider Privilegiado: Administradores de sistemas, executivos e terceiros com acesso amplo à infraestrutura. Representam o maior risco individual, não necessariamente por má intenção, mas pela extensão do dano possível caso algo dê errado.
O que motiva um Insider a agir?
Compreender as motivações é o primeiro passo para a prevenção. Pesquisas em comportamento organizacional e segurança apontam para um conjunto consistente de fatores de risco:
- Ganho financeiro e aliciamento externo: No caso citado anteriormente, segundo as investigações e reportagens que cobriram o caso, R$ 15 mil foram suficientes para que um profissional comprometesse o sistema financeiro de um país inteiro. Grupos criminosos, incluindo operadores de ransomware internacionais, têm sistematicamente recrutado insiders em empresas-alvo, oferecendo desde pequenas quantias até percentuais de resgates milionários. A dark web possui fóruns inteiros dedicados ao recrutamento de colaboradores corporativos.
- Vingança e ressentimento organizacional: Demissões percebidas como injustas, preterimento em promoções, conflitos com liderança ou sensação de exploração são gatilhos clássicos para comportamentos de retaliação. O insider motivado por vingança frequentemente age nos momentos de transição, como período de aviso prévio, desligamento iminente ou logo após a saída.
- Coerção e chantagem: Nem todo insider age por vontade própria. Funcionários podem ser coagidos por terceiros que ameaçam expor informações pessoais, comprometer familiares ou utilizar dívidas como instrumento de pressão. Esse perfil raramente busca ajuda espontaneamente, tornando a detecção especialmente difícil.
Atenção
O período de desligamento é o momento de maior risco em qualquer organização. Estudos mostram que a maior parte dos roubos de dados por insiders maliciosos ocorre nas semanas anteriores à saída — quando o funcionário já sabe que vai embora e sente que “não tem mais nada a perder”. Mas casos ligados a motivações de ganhos financeiros seguem crescendo, sendo cada vez mais divulgados em casos na mídia.
Por que o Brasil é terreno fértil?
O Brasil combina uma série de fatores que amplificam o risco de ameaças internas de forma peculiar. A alta rotatividade de pessoal em setores como tecnologia e serviços financeiros, aliada à cultura de terceirização ampla, cria um ecossistema em que o controle de acesso frequentemente não acompanha a velocidade das mudanças organizacionais.
Somam-se a isso desigualdades salariais acentuadas em cargos técnicos críticos. Um analista de banco de dados com acesso a registros de milhões de clientes pode receber salário incompatível com o nível de responsabilidade que detém (Quantos casos similares você não conhece?).
Ainda temos a normalização de práticas inseguras como o compartilhamento de senhas e a ausência de autenticação multifator em ambientes corporativos.
Casos recentes no Brasil
- Delivery de segredos: Mas nem sempre o Insider precisa fazer uso de suas credenciais de acesso aos sistemas para expor informações confidenciais da organização. Um exemplo recente que ainda está se desenrolando como caso de polícia, é a briga de uma grande empresa brasileira de delivery que acusa o seu mais novo concorrente de espionagem corporativa, que teria ocorrido por meio de abordagens de funcionários e ex-funcionários pelo LinkedIn e Whatsapp para participarem de reuniões e entrevistas remuneradas, com o objetivo de coletar informações estratégicas. A empresa estrangeira nega e afirma que se trata apenas de uma pesquisa de mercado. O caso segue na justiça.
-
Operação Medici Umbra IV: Dados bancários vendidos na dark web: Um funcionário de 31 anos de uma empresa de TI que prestava serviços para diversas instituições financeiras extraía dados sigilosos de clientes usando seu acesso profissional legítimo e os repassava a uma organização criminosa estruturada, com liderança em Barueri/SP. Os dados eram revendidos na dark web e usados em fraudes contra médicos e outros alvos no Rio Grande do Sul. A investigação, conduzida pela Polícia Civil do RS em ação conjunta com outros estados, durou múltiplas fases e culminou em quatro prisões.
-
Gerente de banco e profissionais de TI inserem scripts para fraudes de R$ 40 milhões: Uma investigação da Delegacia de Repressão a Fraudes do Rio de Janeiro revelou a colaboração de um gerente, um funcionário de TI e terceirizados do Banco do Brasil no Mato Grosso. O grupo inseria scripts maliciosos nos sistemas internos para permitir acesso remoto, alterar dados biométricos de clientes e realizar transações fraudulentas em nome deles. O caso foi identificado pela própria auditoria interna do banco, que comunicou as autoridades. O episódio evidencia que o risco não vem apenas de funcionários de baixo nível — mas de pessoas com posições de confiança e acesso amplo.
Em todos os casos brasileiros documentados, nenhum ataque exigiu invasão técnica sofisticada. O vetor de entrada foi sempre o acesso legítimo, o “elo fraco” estava dentro da organização
Sete sinais que as empresas ignoram
Em retrospecto, quase todo incidente grave com Insider revela uma série de sinais que foram ignorados, mal interpretados ou simplesmente não monitorados. Entre os indicadores comportamentais mais frequentes:
1. Acessos em horários atípicos: logins em madrugadas ou fins de semana sem justificativa operacional;
2. Volume anômalo de downloads: cópia em massa de arquivos, especialmente próximo a pedidos de demissão ou comunicados de reestruturação;
3. Uso de dispositivos de armazenamento removível: pendrives conectados em sistemas sensíveis;
4. Upload para serviços de nuvem pessoal: arquivos corporativos enviados a contas Google Drive, Dropbox ou e-mail particular;
5. Tentativas de escalar privilégios: solicitações de acesso a sistemas além do escopo da função;
6. Mudança brusca de comportamento: funcionário engajado que se torna isolado, ressentido ou evasivo;
7. Desativação de logs: ou tentativas de burlar mecanismos de monitoramento;
O futuro da ameaça interna no Brasil
À medida que a Inteligência Artificial é integrada ao ambiente corporativo, a superfície de ataque para Insiders se expande de forma exponencial. Um funcionário mal-intencionado que antes precisaria exportar dados manualmente agora pode simplesmente manipular um agente de IA para fazer o trabalho.
O crescimento do trabalho remoto e híbrido, consolidado no Brasil pós-pandemia, também complexifica o monitoramento: é mais difícil detectar comportamento suspeito quando não há presença física, quando as linhas entre dispositivo pessoal e profissional se confundem e quando o contexto social que antes alertaria colegas para mudanças de comportamento deixa de existir.
O Brasil tem, neste momento, a oportunidade e a necessidade de amadurecer sua cultura de segurança corporativa antes que os próximos casos façam o que o caso C&M fez em 2025: expor, de forma brutal e pública, o quanto as organizações brasileiras ainda subestimam o risco que dorme na mesa ao lado.
A ameaça interna não é um problema de tecnologia. É um problema de pessoas, processos e cultura, que tecnologia pode ajudar a monitorar e mitigar, mas jamais resolver sozinha. Organizações que tratam segurança apenas como questão de TI continuarão vulneráveis ao risco mais antigo e mais humano da história corporativa: a traição.
