As 5 brechas mais comuns em empresas que "não são alvo de ninguém"

“A gente é pequeno demais para alguém querer atacar.”

Eu ouço essa frase com frequência, e a lógica por trás dela faz sentido — se você imagina alguém escolhendo empresas uma a uma. O problema é que raramente é assim que funciona.

A maior parte dos ataques que atingem empresas pequenas e médias não é dirigida a ninguém em particular. São varreduras automatizadas procurando uma condição específica — uma senha que apareceu num vazamento antigo, um sistema desatualizado exposto na internet, um domínio sem proteção de e-mail. Quem tem a condição, entra na lista. O tamanho da empresa não é critério porque ninguém está olhando.

Estas são as cinco condições que eu mais encontro.

1. E-mail principal sem verificação em duas etapas

O e-mail não é apenas mais um sistema. Ele é a chave de recuperação de todos os outros: quem controla a caixa de entrada consegue redefinir a senha de praticamente qualquer serviço que a empresa usa.

Somando isso ao hábito comum de reaproveitar senha entre serviços, uma credencial vazada num site qualquer anos atrás pode abrir o e-mail corporativo hoje.

Ativar a verificação em duas etapas nas contas de e-mail é a medida isolada de maior efeito que existe, e leva alguns minutos por pessoa.

2. Sistema desatualizado exposto na internet

Qualquer coisa acessível de fora — o site, o painel administrativo, o servidor de arquivos, aquele sistema antigo que só o financeiro usa — precisa estar atualizado.

Falhas conhecidas viram alvo de varredura automatizada em pouco tempo depois de divulgadas. O sistema que “está funcionando bem e ninguém mexe há três anos” costuma ser o mais exposto justamente porque ninguém mexe.

3. Acesso administrativo distribuído sem necessidade

Perfil de administrador concedido por conveniência, para evitar pedir permissão toda vez. É prático e transforma qualquer conta comprometida em um problema completo em vez de um problema limitado.

Vale revisar quantas pessoas têm perfil administrativo hoje. O número costuma ser maior do que a resposta de improviso.

4. Backup que ninguém testou

Quase toda empresa tem backup. Poucas já tentaram restaurar.

São coisas diferentes, e a diferença aparece no pior momento possível: backup que roda há dois anos mas nunca foi restaurado é uma hipótese, não uma garantia. Já vi cópia rodando corretamente sobre uma pasta que tinha mudado de lugar meses antes.

Some-se a isso o backup que fica permanentemente conectado ao mesmo ambiente do sistema principal — que é exatamente o cenário em que um ransomware criptografa os dois de uma vez.

Teste uma restauração completa. Uma vez por semestre já muda o cenário.

5. Domínio sem proteção contra falsificação de e-mail

Este é o menos conhecido da lista e o que mais gera prejuízo direto em empresa média.

Sem os registros de autenticação de e-mail configurados no domínio (SPF, DKIM e DMARC), é possível enviar mensagens que aparentam vir do endereço da sua empresa. É o mecanismo por trás da fraude do boleto alterado e do pedido de transferência urgente que parece vir da diretoria.

A configuração é feita uma vez, no domínio, e não depende de comprar nada. É uma das poucas medidas desta lista que protege inclusive quem está fora da sua empresa — seus clientes e fornecedores.

Por onde começar

Se for para fazer só duas coisas neste mês: verificação em duas etapas no e-mail e um teste real de restauração de backup. Juntas, elas cobrem os dois cenários mais comuns e mais caros.

O restante da lista é trabalho de algumas horas, distribuído em algumas semanas. Nenhum item exige investimento relevante — o que eles exigem é alguém com a tarefa no calendário.

Considerações finais

Segurança em empresa pequena raramente falha por falta de ferramenta sofisticada. Falha pelo básico não feito, porque o básico não tem urgência até o dia em que tem.

Você não precisa ser alvo. Basta ter a condição que a varredura procura.