Primeiros socorros diante de um incidente real
No segundo semestre de 2023, recebi uma chamada de uma empresa de Porto Alegre com um problema simples na superfície mas complexo na execução: o CFO recebeu um e-mail aparentemente legítimo do diretor financeiro solicitando alteração cadastral para repasse de um contrato de R$ 420 mil. O e-mail vinha de uma conta idêntica à do executivo, exceto por um detalhe que passou despercebido nos primeiros cinco minutos de atendimento. A conta era joao.silva.financeiro@gmail.com em vez do domínio corporativo. O cliente já tinha repassado o valor quando entrou em contato. A pergunta que todo mundo faz nesse momento é se dá para recuperar o dinheiro. A resposta honesta é não, pelo menos não com a velocidade que vocês esperam. O que dá para fazer é estruturar uma resposta técnica mínima enquanto a delegacia especializaçada entra no processo.
Crimes cibernéticos no brasil e a diferença entre o que aparece na mídia e o que acontece nos servidores
A maioria das pessoas confunde tipos de ataque e acaba reagindo da forma errada. Phishing, engenharia social, sequestro de dados e fraude eletrônica são coisas diferentes, mas todas cabem na mesma legislação principal. A Lei 12.737/2012, conhecida como Lei Carolina Dieckmann, trata de invasão de dispositivos eletrônicos. A Lei 14.155/2021 aumentou penas e criou tipificações específicas para fraude eletrônica. O Código Penal tradicional ainda aplica artigos sobre estelionato quando o dolo fraudulento está presente. Na prática forense, o mais importante não é decorar a lei, mas entender qual tipo de ataque gerou o incidente para direcionar a preservação de evidências. A falácia número um é acreditar que capturar o IP do atacante resolve o caso. Quase nunca resolve. O endereço que aparece nos logs geralmente pertence a um VPN comercial, um provedor de nuvem ou um roteador de residência invadida. No caso que citei no início, o endereço de origem estava em São Paulo, mas o e-mail Fraudulento havia sido disparado através de uma infraestrutura na Romênia usando um serviço de email marketing comprometido. Rastrear o IP direto leva a delegacia para um beco sem saída em média quarata dias de trabalho analítico.
O que fazer nos primeiros trinta minutos após a descoberta
Não reinicie servidores. Não apague logs. Não redefina senhas imediatamente. Eu sei que o instinto é limpar tudo e voltar ao normal, mas você está destruindo evidências no processo. O protocolo básico funciona assim: isola a rede comprometida, preserva estado vivo da memória se possível, e documenta tudo com timestamps em UTC. O primeiro passo prático é fazer uma cópia forense da memória RAM. Ferramentas como Magnet RAM Capture ou LiME permitem isso em questão de segundos. Uma imagem de memória contém processos rodando, conexões de rede ativas, chaves de criptografia em claro e artefatos que somem quando o sistema desliga. Sem isso, você perde indícios importantes sobre a cadeia de comando e controle.
O segundo passo é capturar os logs de DNS e proxy se a empresa tiver um filtro como pfSense, Squid ou Cloudflare Access. Esses registros mostram quais domínios maliciosos foram acessados, quando e por qual máquina. No caso do e-mail do CFO, os logs de DNS revelaram que o navegador tinha baixado um anexo de um domínio registrado há três dias com registrar privacy protection. Esse tipo de informação é inútil se você não preservar os logs com antecedência.
Análise de e-mails fraudulentos: o detalhe que salva o incidente
E-mails de phishing deixam rastros técnicos que a maioria dos analistas novatos ignora. O cabeçalho completo é a fonte primária de informação. Você precisa extrair os campos Received, X-Originating-IP e Message-ID. Cada servidor que o e-mail passou deixa um registro com data, hora e endereço IP de origem. É aí que você encontra a verdade sobre a rota real do message. Um truque que economiza horas de análise é usar o recurso de verificação de autenticidade de e-mail. Domínios brasileiros sérios implementam SPF, DKIM e DMARC. Se o e-mail fraudulento não passou na validação DMARC, você tem a confirmação técnica de que não veio do domínio legítimo. Na prática, configure um script Python simples que parseia o cabeçalho e verifica os registros DNS automaticamente. Leva cerca de quinze minutos para rodar e já filtra a maioria dos casos comuns.
Quando o ataque usa domínios visualmente similares, como banco-do-brasil.com.com no lugar do real, a análise visual falha. O correto é comparar o certificado SSL e o registrar do domínio. Ferramentas como whois e certificate.transparency logs mostram quando o domínio foi criado e quem é o registrante. No caso que menciono, o domínio fraudulento foi criado dois dias antes do ataque, registro sob nome de uma pessoa física na Turquia, hospedagem em provedor offshore. Isso já é suficiente para abrir uma representação na delegacia especializada.
Preservação de evidências e o caminho pela polícia especializada
O Brasil tem delegacias especializadas em crimes cibernéticos em todos os estados. São Paulo tem a 2ª DP Especializada em Crimes Cibernéticos, o Rio tem a DECRIM, e grandes capitais seguem o mesmo modelo. O problema é que muitos analistas vão até a delegacia com uma pasta cheia de prints e nenhuma cadeia de custódia formal. A prova documental cai no esquecimento. O formato correto é um relatório técnico com hash SHA-256 de cada arquivo coletado, log de coleta com data hora e responsável, e fotos do hardware original. Imagens de disco devem ser salvas em formato E01 ou RAW, nunca como foto de tela ou PDF. Hashes verificam integridade e permitem que a perícia criminal confirme que os arquivos não foram alterados desde a coleta.
Se a empresa deseja manter sigilo sobre o incidente antes de registrar Boletim de Ocorrência, existe uma via preliminar. A Polícia Federal opera canais de denúncia online pelo portal http://www.pf.gov.br onde é possível enviar informações técnicas sem abertura imediata de inquérito. O recomendado é enviar um resumo executivo com os hashes das evidências e a cronologia do ataque. A PF retorna em até trinta dias úteis informando se irá instaurar procedimento investigatório.
👉 Clique no botão abaixo para saber mais sobre o assunto!
Ferramentas gratuitas para iniciar uma investigação básica
Você não precisa de licença Carver ou Encase para fazer uma triagem inicial decente. Abaixo listo o que uso no dia a dia e o que funciona de fato. Autopsy (disponível em https://www.autopsy.com/download) é a base. Interface gráfica, open source, capaz de analisar imagens de disco E01 e RAW. Extrai arquivos, histórico de navegador, registros de executáveis e metadados. O tempo médio de análise de uma imagem de 250 GB gira em torno de quarenta minutos em hardware médio.
Volatility 3 (https://github.com/volatilityfoundation/volatility3) para análise de memória. Listar processos, conexões de rede, injeção de código e credenciais em cache. A curva de aprendizado é mais íngreme que Autopsy, mas compensa quando o atacante deixou rootkits no nível do kernel. Maltego CE (versão gratuita limitada) para visualização de ligações entre domínios, IPs, dominios e pessoas físicas. Útil para mapear infraestrutura de campanha de phishing. A versão community permite cem transformações gratuitas.
Para quem quer um pacote completo já configurado, recomendo o Dforensics (https://dforensics.com) que combina múltiplas ferramentas em uma única interface. Não é perfeito, mas acelera o setup inicial em duas horas ou mais comparado a instalar cada ferramenta separadamente.
Limitações que ninguém conta
Investigação de crimes cibernéticos no Brasil esbarra em três problemas estruturais que comprometem seriamente os resultados. O primeiro é a lentidão dos laudos periciais da polícia técnica. Em média, um laudo de informática forense leva entre quatro e oito meses para ser entregue. Durante esse período, provas podem ser perdidas, servidores descartados, e suspeitos continuam operando normalmente. O segundo problema é a falta de cooperação internacional. A maioria dos serviços de e-mail, hospedagem e criptomoeda estão em jurisdições fora do Brasil. Um pedido de diligência internacional leva de seis a doze meses, se for aprovado. Na prática, investigações contra infraestrutura estrangeira frequentemente morrem nessa etapa.
O terceiro ponto é mais técnico e menos óbvio. Muitos analistas tentam aplicar metodologia de investigação corporativa em ambiente judicial. O padrão esperado pela justiça brasileira exige cadeia de custódia rigorosa, testemunhas de coleta, e documentação que resista a contradita. Se você coletar uma evidência sem esse rigor, o advogado de defesa podeimpugnar tudo. Já vi casos inteiros caírem porque o analista simplesmente copiou arquivos do disco sem registrar hashes ou fazer imagem forense primeiro. A alternativa quando o orçamento é apertado é contratar um perito criminalista especializado que já tenha experiência em atuar no tribunal. O custo é maior, mas evita desperdiçar meses de trabalho técnico em provas que não valem nada juridicamente. Não adianta ter a análise mais sofisticada do mundo se ela não passa no crivo de um juiz.
Prevenção prática que realmente funciona
A regra número um é treinamento contínuo de conscientização, não palestras anuais de duas horas. Simulações de phishing mensais com feedback imediato reduzem a taxa de cliques em aproximadamente sessenta por cento em nove meses, segundo dados do SANS Institute. Nada substitui o músculo da desconfiança que se exercita repetidamente. Implementar autenticação multifator em todos os e-mails corporativos e sistemas críticos elimina a maior parte dos ataques de credential stuffing. O custo é baixo, a complexidade de deploy é mínima, e o ganho em segurança é desproporcional. Empresas que negligenciam MFA pagam o preço quando um colaborador repete a senha em múltiplos serviços e um deles é comprometido.
Filtros de e-mail com validação DMARC strict e sandboxing de anexos também fazem diferença concreta. Configurar uma política DMARC p=reject impede que e-mails forjados cheguem às caixas de entrada. Teste primeiro em modo quarantine por trinta dias para capturar falsos positivos antes de aplicar reject. Backups imutáveis com política 3-2-1 (três cópias, dois suportes diferentes, uma cópia offsite) são a última linha de defesa contra ransomware. Nenhuma ferramenta de prevenção substitui a capacidade de restaurar dados sem pagar resgate. Armazenamento em nuvem com versionamento e bloqueio de retenção (WORM) é o padrão recomendado atualmente.
Se quiser um checklist rápido de configuração inicial para pequenas empresas, posso indicar o material do NIST Cybersecurity Framework em versão traduzida. O documento oficial está em https://www.nist.gov/cyberframework e cobre exatamente o que precisa ser implementado nos primeiros noventa dias após a descoberta de um incidente. Não é perfeito, mas é o padrão que tribunais brasileiros costumam reconhecer como due diligence razoável.
