Um funcionário vendeu acesso por R$ 15 mil e ajudou a desviar R$ 800 milhões. Veja como prevenir insider threats na sua empresa.

Em 2025, um funcionário da C&M Software vendeu suas credenciais de acesso por R$ 15 mil e ajudou a executar código malicioso contra sistemas de reservas bancárias. O resultado: mais de R$ 800 milhões desviados de pelo menos seis instituições financeiras. Nenhum firewall bloqueou esse ataque, porque o invasor já estava dentro — com login e senha válidos.

O Que É Insider Threat

Insider threat (ameaça interna) é o risco de segurança que vem de dentro da organização: funcionários, ex-funcionários, prestadores de serviço ou parceiros com acesso legítimo a sistemas e dados. Diferente de um ataque externo, o insider não precisa invadir nada — ele já tem a chave.

Isso muda completamente a lógica de defesa. Firewall, WAF e proteção de perímetro não detectam alguém usando credenciais próprias para copiar um banco de clientes ou vender acesso a um domínio corporativo.

Os Três Tipos de Ameaça Interna

Nem todo insider threat é malicioso. Vale separar em três categorias:

Negligente: o funcionário que salva uma planilha com dados sensíveis no Google Drive pessoal, usa senha fraca ou clica em phishing. Estudos apontam que entre 55% e 62% dos incidentes internos vêm daqui — não de má intenção, mas de falta de processo e treinamento.
Malicioso: o funcionário ou ex-funcionário que age de propósito — rouba dados antes de sair, sabota sistemas por vingança, ou vende acesso, como no caso da C&M Software.
Comprometido: a credencial é legítima, mas quem a está usando não é o dono. Um atacante externo obteve a senha via phishing ou malware e agora se move pela rede como se fosse um funcionário normal.

Por Que É Difícil de Detectar

Um ataque externo geralmente deixa rastros claros: tentativas de login fora do padrão, exploração de vulnerabilidade, tráfego anômalo de fora da rede. Um insider com credenciais válidas e acesso já aprovado se parece exatamente com o uso normal do sistema — até o momento em que os dados já saíram.

É o mesmo problema que aparece em testes de Pentest de Active Directory: um usuário comum, sem privilégios especiais, muitas vezes consegue escalar até virar administrador do domínio explorando configurações mal ajustadas — exatamente o caminho que um insider malicioso ou uma credencial comprometida percorreria.

Quanto Isso Custa

A maioria das organizações enfrenta pelo menos um incidente de insider threat por ano. O custo médio de remediação fica entre US$ 100 mil e US$ 499 mil por caso — e algumas empresas já ultrapassaram US$ 1 milhão em um único incidente. Instituições com processos de acesso mal segmentados relataram mais de seis incidentes internos no mesmo ano. O caso C&M Software mostra o outro extremo: uma única credencial vendida por R$ 15 mil abriu caminho para um desvio de R$ 800 milhões — uma desproporção que só é possível quando o acesso de um único ponto não tem nenhuma barreira depois dele.

Sinais de Alerta

Acesso a sistemas ou pastas fora do escopo da função, sem justificativa registrada
Download ou cópia de grandes volumes de dados fora do horário comercial
Uso de contas compartilhadas ou credenciais de terceiros
Funcionário em processo de desligamento com atividade incomum nos últimos dias de acesso
Tentativas de desativar logs, agentes de monitoramento ou auditoria

Como Reduzir o Risco

Princípio do menor privilégio: cada colaborador só deve ter acesso ao que precisa para o próprio trabalho — nada além disso. Revise permissões acumuladas ao longo do tempo, principalmente após mudanças de cargo.
Segregação de funções: nenhuma pessoa sozinha deveria conseguir aprovar e executar uma transação financeira, ou criar e aprovar seu próprio acesso a um sistema crítico.
Revisão periódica de acessos: contas de ex-funcionários e prestadores precisam ser desativadas no mesmo dia do desligamento — não na próxima auditoria trimestral.
Monitoramento comportamental: ferramentas de UEBA (User and Entity Behavior Analytics) detectam desvios do padrão normal de uso, como um analista financeiro acessando o banco de dados de RH às 2h da manhã.
Cultura de reporte sem punição: colaboradores que percebem algo estranho — um colega pedindo acesso que não deveria ter, por exemplo — precisam se sentir seguros para reportar.
Testes ofensivos com cenário de insider: simular um atacante que já está dentro da rede, com credenciais de um usuário comum, mostra exatamente até onde ele conseguiria chegar antes de ser detectado.

Insider Threat e Red Team

A forma mais realista de medir esse risco não é só revisar políticas de acesso — é testá-las como um atacante testaria. Em um exercício de Red Team, a LDL Security simula justamente esse cenário: um usuário interno com acesso básico tentando escalar privilégios, mover-se lateralmente pela rede e chegar a dados críticos sem disparar alarmes. É o mesmo caminho que um funcionário mal-intencionado, ou uma credencial comprometida, percorreria de verdade.

Combinado a uma boa gestão de identidade e acesso e a um plano de resposta a incidentes já testado, esse tipo de simulação reduz o tempo de detecção de meses para dias — a diferença entre um incidente contido e um desvio de R$ 800 milhões.

Fale com a LDL Security sobre Red Team →

Insider Threat: a Ameaça Que Já Está Dentro da Sua Empresa