Minha empresa foi invadida: o que fazer nos primeiros minutos
Quando a invasão é descoberta, o instinto é desligar tudo, formatar máquinas e trocar senhas às pressas. Algumas ações são necessárias, mas a ordem errada pode apagar a evidência e aumentar o tempo de recuperação.
Uma invasão empresarial pode começar por e-mail, credencial vazada, servidor exposto, terceiro, aplicação web ou dispositivo comprometido. Nos primeiros minutos, você ainda não sabe o alcance real.
Por isso, eu separo a resposta em três objetivos: reduzir o dano, preservar a capacidade de investigar e manter a comunicação sob controle.
Este guia não substitui o plano de resposta da empresa, mas organiza as decisões que mais evitam prejuízo adicional.
O que fazer nos primeiros 30 minutos
Reúna TI, segurança, gestão, jurídico e comunicação conforme o porte e o impacto.
Anote quem percebeu, o primeiro sintoma e as ações realizadas.
Retire da rede o ativo claramente comprometido sem apagar seu conteúdo.
Revogue sessões suspeitas e priorize contas administrativas e de e-mail.
Logs, alertas, arquivos, memória e mensagens ajudam a reconstruir a invasão.
Pessoas, operação crítica, dados e propagação vêm antes da aparência do ambiente.
Confirme o incidente sem ampliar o dano
Valide o sintoma por fonte confiável: alerta de segurança, login suspeito, arquivo criptografado, conta usada indevidamente ou comportamento anormal. Evite acessar o sistema comprometido com credenciais administrativas adicionais.
Se o ativo estiver propagando dano, isole a rede de forma controlada. Isolar não significa formatar.
Monte uma linha do tempo desde o primeiro minuto
Registre horários, nomes, sistemas, alertas e cada decisão tomada. Use um documento controlado e indique o fuso. Essa linha do tempo será importante para investigação, comunicação e melhoria posterior.
Não dependa da memória das pessoas depois que a crise crescer.
O que observar
- Primeiro alerta ou relato
- Quem confirmou o incidente
- Ativos e contas envolvidos
- Ações de contenção aplicadas
Preserve evidências antes da limpeza
Logs de identidade, firewall, e-mail, endpoint, servidor e nuvem podem ter retenção curta. Priorize a cópia controlada. Em ativos críticos, a memória pode conter conexões e processos que desaparecem ao desligar.
A coleta técnica precisa respeitar autorização, privacidade e cadeia de custódia quando houver possibilidade de uso formal.
O que você apagar agora pode explicar como o atacante entrou.
Se a invasão já aconteceu, preserve antes de corrigir. O guia de Pós-invasão organiza o que guardar, o que evitar e como buscar ajuda sem aumentar o dano.
Contenha identidades e acessos
Revogue sessões, bloqueie conta claramente comprometida e proteja contas administrativas. Troque senhas a partir de dispositivo confiável e revise métodos de MFA e recuperação.
Não faça uma troca global sem planejamento se isso puder derrubar serviços essenciais ou apagar indicadores de uso indevido.
Controle a comunicação interna e externa
Defina um porta-voz e um canal oficial. Funcionários precisam saber o que fazer sem receber detalhes que facilitem vazamento ou boato.
Clientes, parceiros e autoridades devem ser comunicados com fatos confirmados, dentro das obrigações aplicáveis e com orientação jurídica.
Prepare recuperação e erradicação
Recuperar não é apenas ligar backup. É remover persistência, corrigir a porta de entrada, renovar segredos, validar integridade e monitorar o retorno.
A volta por etapas reduz a chance de recolocar o atacante dentro do ambiente restaurado.
Perguntas frequentes
Devo desligar a máquina invadida?
Depende do risco de propagação e do valor da memória. Muitas vezes é melhor isolar a rede e preservar o estado até orientação técnica.
Trocar todas as senhas imediatamente é sempre certo?
Identidades críticas devem ser protegidas, mas uma troca desordenada pode derrubar serviços e não remover sessões ou tokens já emitidos.
Quando comunicar clientes?
Quando houver fato e impacto confirmados, seguindo orientação jurídica e as obrigações aplicáveis ao caso.
Backup encerra o incidente?
Não. É preciso fechar a entrada, remover persistência e validar o ambiente restaurado.
O que você apagar agora pode explicar como o atacante entrou.
Se a invasão já aconteceu, preserve antes de corrigir. O guia de Pós-invasão organiza o que guardar, o que evitar e como buscar ajuda sem aumentar o dano.
Leandro Lucio
Especialista em Cyber Security e Digital Forensics, atua com gestão de vulnerabilidades, investigação digital, resposta a incidentes, pentest autorizado e proteção de ambientes online. Este conteúdo transforma segurança da informação em orientação prática para pessoas, famílias e negócios.