Conta pessoal invadida, WhatsApp clonado, golpe no Pix ou exposição de fotos?
Ransomware, servidor comprometido, fraude no e-mail corporativo, acesso indevido ou vazamento de dados exigem contenção rápida, mas não improvisada. Eu ajudo sua empresa a preservar evidências, entender o alcance real do ataque e recuperar o ambiente sem apagar o que explica como tudo aconteceu.
Memória, conexões abertas, processos e sessões ativas são evidências voláteis. Elas podem desaparecer quando um equipamento é desligado. Sempre que for possível e seguro, a prioridade é isolar o sistema da rede sem desligá-lo. Se não houver outra forma de interromper a propagação, o desligamento pode ser necessário e deve ser registrado.
$ ./incidente --conter --preservar
[1] registrar data, hora e sintomas observados
[2] isolar da rede sem improvisar a coleta
[3] usar canal externo ao ambiente comprometido
[4] preservar logs antes da rotação ou limpeza
[5] mapear sessões, tokens e acessos ativos
[6] validar o backup antes de restaurar
status: evidência primeiro, recuperação depoisSe o e-mail corporativo ou a colaboração interna estiverem comprometidos, discutir a resposta nesses mesmos canais pode avisar o atacante. Telefonia, mensageria externa previamente validada e uma sala de crise separada reduzem esse risco.
Anote quem identificou, horário, equipamento, mensagem exibida e o que mudou no ambiente.
Desconecte rede, VPN ou segmento afetado conforme o cenário, evitando ações aleatórias em massa.
Exporte ou aumente a retenção de registros de firewall, identidade, nuvem, e-mail, VPN e endpoints.
Evite que o ambiente comprometido continue alcançando cópias online, repositórios ou credenciais de backup.
Troca de senhas e revogação podem ser urgentes, mas devem preservar registros e identificar sessões persistentes.
Preserve a máquina afetada antes de formatar, reinstalar ou restaurar a cópia de segurança.
Selecione o cenário mais próximo do que sua empresa está enfrentando. O botão leva ao formulário com o tipo de incidente já preenchido.
Bilhete de resgate, extensões alteradas, servidores parados ou backup inacessível.
Fornecedor falso, domínio parecido, caixa postal invadida ou regra de encaminhamento escondida.
VPN ativa, conta compartilhada, acesso em nuvem ou download fora do padrão após desligamento.
Base publicada, amostra à venda, cliente alertando a empresa ou exportação não autorizada.
Redirecionamento, página de phishing, minerador, spam, usuário desconhecido ou alteração de arquivos.
Divergências recorrentes, extração de informação, alterações fora de padrão ou suspeita de conluio.
Descreva o que foi identificado e o que a equipe já fez. A triagem inicial serve para organizar o próximo passo sem receber credenciais ou arquivos suspeitos.
Pressão para voltar a operar costuma produzir decisões rápidas que dificultam a investigação e podem permitir a repetição do incidente.
Memória, processos e conexões podem desaparecer. Quando o desligamento for necessário para conter propagação, ele deve ser registrado como decisão de contenção.
Isso mistura recuperação com investigação, apaga a cena e pode reintroduzir uma persistência que já estava presente na cópia.
A urgência operacional é compreensível, mas sem preservar a origem do ataque a empresa pode reabrir exatamente a mesma porta.
Revogar acessos pode ser urgente. O erro é fazê-lo sem preservar logs, mapear sessões, tokens, regras de e-mail e contas privilegiadas.
Pagamento não garante recuperação, não impede vazamento e pode ocorrer mesmo quando existe alternativa técnica ou backup recuperável.
Uma mensagem incompleta ou incorreta pode ampliar o problema. A comunicação precisa partir de fatos confirmados, risco avaliado e plano de mitigação.
Uma coleta forense busca manter integridade, contexto e rastreabilidade. O objetivo é permitir que a análise seja repetida, explicada e tecnicamente defendida meses depois.
Memória, conexões, logs e marcas de tempo contam partes diferentes da história. A imagem forense captura o conteúdo do dispositivo de forma integral; o hash ajuda a demonstrar que o material analisado permanece idêntico ao material coletado.
A cadeia de custódia registra quem coletou, quando, de onde, como armazenou e quem teve acesso. Técnica sem documentação deixa uma lacuna. Documentação sem técnica também.
Sessões, chaves, processos ativos e conexões que podem desaparecer com o desligamento.
Autenticações, sessões persistentes, MFA, aplicativos conectados e regras de acesso.
Origem, destino, volume, horários, túneis e movimentação entre segmentos.
Auditoria, encaminhamento, consentimentos, exportações e alterações administrativas.
Arquivos atuais, apagados, áreas não alocadas e artefatos do sistema.
O que a equipe viu, decidiu e executou desde o primeiro alerta.
Dispositivo, conta, sistema, origem e responsável.
Método, data, horário, ferramenta e operador.
Hash, lacre lógico e validação do material.
Armazenamento, acesso e movimentação documentados.
A comunicação é exigida quando a ocorrência estiver confirmada, envolver dados pessoais sujeitos à LGPD e puder causar risco ou dano relevante aos titulares. A análise depende do tipo de dado, quantidade de pessoas, contexto, proteção existente e impactos possíveis.
Prazo geral para o controlador comunicar à ANPD e aos titulares quando o incidente puder causar risco ou dano relevante.
Prazo para complementar, de forma fundamentada, informações que não estavam disponíveis na comunicação inicial.
Prazo mínimo de guarda do registro do incidente, inclusive quando ele não tiver sido comunicado.
É um prazo para preservar, confirmar os fatos mínimos, avaliar risco, registrar decisões e preparar uma comunicação preliminar quando ela for necessária.
O enquadramento como agente de tratamento de pequeno porte e as condições regulatórias precisam ser verificados no caso concreto. A classificação não deve ser presumida apenas pelo tamanho da empresa.
O peticionamento deve ser realizado pelo encarregado ou por representante legalmente constituído do controlador, com documentação de representação.
Esta página apresenta orientação técnica geral e não substitui análise jurídica, regulatória ou contratual específica. A decisão de comunicar deve ser tomada pelo controlador com apoio das áreas responsáveis.
O trabalho segue uma sequência que separa contenção, investigação e recuperação, reduzindo decisões baseadas em suposição.
Entendimento inicial, priorização dos ativos, decisões de isolamento e preservação do que pode desaparecer primeiro.
Logs, artefatos, imagens forenses, registros de identidade e abertura formal da cadeia de custódia.
Credencial, phishing, serviço exposto, vulnerabilidade, terceiro, configuração, abuso interno ou combinação de fatores.
Quando começou, quanto tempo permaneceu, quais ações foram executadas e como o acesso evoluiu.
Sistemas, contas, dados, titulares, operações e terceiros potencialmente afetados.
Fechamento do vetor, verificação de persistência, recomendações e documento técnico para decisões internas, seguradora, assessoria jurídica ou autoridade.
Nem sempre. A primeira opção costuma ser isolar da rede preservando o equipamento ligado, porque memória e sessões podem ser importantes. Se não houver outra forma de interromper a propagação ou proteger sistemas críticos, o desligamento pode ser necessário. Registre a decisão e o horário.
Primeiro preserve o sistema afetado e valide o backup. Restaurar por cima da máquina comprometida pode apagar evidências e reintroduzir uma persistência que já existia na cópia.
Não. Revogar acessos e trocar credenciais pode ser urgente. O problema é fazer isso sem coordenação, sem preservar logs e sem mapear sessões, tokens, regras de encaminhamento e contas privilegiadas.
Não. A obrigação depende de ocorrência confirmada, envolvimento de dados pessoais sujeitos à LGPD e possibilidade de risco ou dano relevante aos titulares. O controlador precisa avaliar e registrar essa decisão.
Não. O formulário é apenas para contexto inicial. Arquivos, credenciais, dumps, imagens de disco e evidências devem ser transferidos por canal seguro definido depois da triagem.
Não existe garantia responsável sem conhecer o cenário. A possibilidade depende da variante, integridade do backup, extensão do comprometimento e evidências ainda disponíveis.
Quanto mais claro o contexto, mais rápido é possível identificar o que precisa ser preservado e qual deve ser o próximo passo. Não envie senhas, códigos, chaves, arquivos suspeitos ou dados pessoais de terceiros.
Descreva o que foi identificado e quando o primeiro sinal apareceu.
Informe o que já foi feito pela equipe interna, fornecedor ou hospedagem.
Indique o possível impacto em dados pessoais, operação, clientes ou pagamentos.
A transferência de evidências só deve ocorrer depois da definição de um canal seguro e de um procedimento de custódia.
Campos marcados com * são necessários para organizar o retorno.
As informações foram enviadas. Mantenha os sistemas preservados e evite novas alterações até receber orientação.