INSIDER THREATS
Ex-funcionário levou dados ou clientes: como investigar e provar
Ameaças internas deixam rastros em e-mails, nuvem e dispositivos. Veja os sinais, como preservar as provas, o que é permitido investigar e as medidas trabalhistas, cíveis e criminais possíveis.
EM 30 SEGUNDOS
- Não formate nem reaproveite o computador do ex-funcionário.
- Registros de e-mail, nuvem e dispositivos mostram o que saiu e quando.
- Contas pessoais só com consentimento ou ordem judicial.
- Um relatório técnico e jurídico sustenta justa causa, ações e denúncia.
Um gerente pede demissão e, semanas depois, aparece em um concorrente atendendo os seus melhores clientes. Ou uma planilha de preços circula fora da empresa. Ameaças internas (insider threats) estão entre os incidentes mais difíceis de lidar, porque envolvem alguém que tinha acesso legítimo. A boa notícia: esse acesso deixa registros. A diferença entre uma suspeita e um caso sólido está em como esses registros são preservados e analisados.
Sinais comuns
- Downloads fora do padrão
Grandes volumes de arquivos baixados ou sincronizados nas semanas antes da saída. - Encaminhamento para e-mail pessoal
Mensagens, contratos e listas de clientes enviados para contas particulares. - Pendrives e nuvens pessoais
Uso de dispositivos USB ou serviços de armazenamento que a empresa não usa. - Acessos em horários estranhos
Logins de madrugada, nos fins de semana ou depois do aviso prévio. - Clientes sendo abordados
Clientes relatam contato do ex-funcionário ou de uma empresa nova.
Antes de tudo: não formate o computador
O erro mais comum é entregar o notebook do ex-funcionário para outra pessoa ou reinstalar o sistema. Isso apaga as provas. Guarde o equipamento, preserve as contas e chame a investigação.
Como investigar e provar
- Preservação
Imagem forense dos dispositivos corporativos e coleta dos registros de e-mail, nuvem, VPN e sistemas, com hash e cadeia de custódia. - Linha do tempo
Cruzamos acessos, downloads, envios e conexões para mostrar o que saiu, quando e por qual caminho. - Contexto externo
Investigação em fontes abertas sobre a nova empresa, sócios, domínios e abordagens a clientes. - Relatório técnico e jurídico
Um documento que sustenta as medidas trabalhistas, cíveis e criminais.
Medidas possíveis
| Área | Medida |
|---|---|
| Trabalhista | Justa causa por violação de segredo da empresa ou concorrência (CLT, art. 482) |
| Cível | Pedido urgente para impedir o uso das informações e indenização pelos danos |
| Criminal | Crime de concorrência desleal pelo uso ou divulgação de informações confidenciais (Lei 9.279/96, art. 195) |
| Provedores | Pedido judicial de registros de acesso (Marco Civil da Internet, art. 22) |
| LGPD | Avaliar a comunicação à ANPD e aos titulares se houve dados pessoais de clientes |
O que é permitido investigar
A empresa pode analisar os equipamentos e as contas corporativas, de preferência com uma política de uso que deixe isso claro. Contas e aparelhos pessoais do funcionário só podem ser acessados com consentimento ou ordem judicial. Provas obtidas de forma irregular podem ser anuladas e ainda gerar responsabilidade para a empresa.
Prevenção
- Acessos revogados no mesmo dia do desligamento
- Termo de confidencialidade assinado e política de uso de equipamentos
- Acesso mínimo necessário a dados sensíveis
- Alertas para downloads em massa e envio a e-mails pessoais
- Plano de investigação interna definido com o jurídico
Artigo escrito com a colaboração de Sabrina Gomes, CLO do CiBER DETETiVE.
COMO O CiBER DETETiVE AJUDA
Auditoria, Compliance e Proteção de Dados
Investigação de insider threats com preservação forense, linha do tempo e parecer técnico e jurídico.
Conteúdo informativo. Não substitui a análise do caso concreto por um profissional. Referências legais citadas conforme as normas vigentes na data de publicação.