Agência de marketing e publicidade administra, ao mesmo tempo, contas de anúncio, páginas, perfis, sites e ferramentas de e-mail marketing de vários clientes. Para quem ataca, invadir a agência rende mais do que invadir cada cliente; para o cliente, a agência é um fornecedor com acesso direto à marca e aos dados.
Sendo exato sobre a LGPD: no guia da ANPD sobre agentes de tratamento, a agência de publicidade que trata dados para a campanha definida pela empresa é operadora, e a empresa é a controladora. Como operadora, a agência trata os dados segundo as instruções do cliente (art. 39), mantém registro das operações (art. 37), é obrigada a garantir a segurança da informação (arts. 46 e 47) e responde solidariamente pelos danos quando descumpre a lei ou as instruções (art. 42, § 1º, I). O guia diz ainda que o suboperador, contratado pelo operador, pode ser equiparado a ele, o que amplia a cadeia de responsabilidade: freelancer ou ferramenta contratados pela agência podem entrar nela. A comunicação de incidente à ANPD e aos titulares cabe ao controlador, em três dias úteis (Resolução CD/ANPD 15/2024), por isso convém que o contrato preveja aviso imediato da agência ao cliente. Do lado do ataque, a Meta relatou em 2023 que grupos que miram empresas costumam ir primeiro às contas pessoais de quem administra páginas e contas de anúncio, com malware que tenta contornar a autenticação de dois fatores. No e-mail, o Gmail, desde fevereiro de 2024, e o Outlook.com, desde maio de 2025, exigem SPF, DKIM e DMARC de quem manda mais de 5 mil mensagens por dia aos seus usuários, mas aceitam DMARC em p=none, que só monitora; no Sul, 86% das empresas não bloqueiam e-mail falsificado em nome do próprio domínio, segundo a LDL Labs. O teste olha a agência como fornecedora: contas, acessos, equipe, sites que ela mantém e domínios de envio.
O que você recebe
- Revisão dos acessos da agência às contas dos clientes: anúncios, páginas, perfis e gerenciadores de negócios
- Teste das contas da equipe: MFA, recuperação de conta, sessões abertas e dispositivos
- Pentest dos sites e lojas que a agência desenvolve ou mantém, inclusive painéis e plugins
- Verificação de SPF, DKIM e DMARC dos domínios de envio de cada cliente e das ferramentas de e-mail marketing
- Mapa de fornecedores e freelancers com acesso a dados de clientes, útil para o registro de operações da LGPD
- Relatório com plano de ação, reteste e certificado de pentest verificável para mostrar aos clientes
O que cobrimos
Contas de clientes
Gerenciadores de anúncios e de negócios, páginas, perfis e o nível de acesso de cada pessoa.
Equipe e dispositivos
Contas pessoais ligadas às contas de clientes, MFA, navegadores e extensões.
Sites e ferramentas
Sites, lojas, CMS, tags, CRM e plataformas de e-mail marketing.
Domínios de envio
SPF, DKIM, DMARC e quem pode mandar e-mail em nome de cada cliente.
Indicado para
- Agências de publicidade, performance e social media com várias contas de clientes
- Agências que desenvolvem e mantêm sites e lojas virtuais
- Agências que respondem a questionário de segurança ou cláusula de LGPD de cliente grande
- Agências que já tiveram conta de cliente invadida ou anúncio publicado sem autorização
Como conduzimos
Inventário de acessos
Levantamos quais contas de quais clientes cada pessoa e cada ferramenta acessa.
Contas e pessoas
Verificamos MFA, recuperação e sessões, e o que um invasor alcança a partir de uma conta pessoal.
Sites e plataformas
Pentest dos sites mantidos pela agência e das integrações com CRM e e-mail marketing.
Domínios de envio
SPF, DKIM e DMARC de cada domínio que a agência usa em nome dos clientes.
Relatório e reteste
Achados priorizados pelo número de clientes afetados e confirmação das correções.
Perguntas Frequentes
Agência de marketing é controladora ou operadora pela LGPD?
Depende do caso. No guia da ANPD sobre agentes de tratamento, a agência de publicidade que trata dados conforme a finalidade definida pela empresa é operadora, e a empresa é a controladora; quando a mesma agência atende várias empresas, continua operadora de cada uma. A agência passa a ser controladora quando decide, no próprio interesse, a finalidade e os elementos essenciais do tratamento.
A agência responde se o dado do cliente vazar por ela?
Pode responder. O operador responde solidariamente pelos danos quando descumpre a LGPD ou não segue as instruções lícitas do controlador (art. 42, § 1º, I), e qualquer pessoa que intervenha no tratamento é obrigada a garantir a segurança da informação (art. 47). O guia da ANPD diz ainda que o suboperador, contratado pelo operador, pode ser equiparado a ele, o que pode estender essa responsabilidade a freelancers e ferramentas contratados pela agência, conforme o caso.
Por que um atacante miraria a agência e não o cliente?
Porque uma conta da agência abre as contas de vários clientes. Em 2023, a Meta relatou que grupos que miram empresas costumam começar pelas contas pessoais de quem administra ou está ligado a páginas e contas de anúncio, com malware capaz de tentar contornar a autenticação de dois fatores e de procurar as contas de empresa ligadas à conta invadida, para veicular anúncios sem autorização. Ela também relatou criminosos usando contas invadidas para se adicionar como administradores de páginas.
Que configuração de e-mail a agência precisa conferir?
SPF, DKIM e DMARC de cada domínio que manda e-mail em nome de um cliente, inclusive o que sai pela ferramenta de e-mail marketing. Desde fevereiro de 2024, o Gmail exige os três de quem manda mais de 5 mil mensagens por dia para contas Gmail, e o Outlook.com passou a exigir o mesmo em maio de 2025. As duas regras aceitam DMARC em p=none, que só monitora e não bloqueia e-mail falsificado; no Sul, 86% das empresas estão sem esse bloqueio, segundo a LDL Labs. O passo a passo está no guia de SPF, DKIM e DMARC.
DMARC em rejeição resolve o risco do e-mail?
Resolve uma parte: impede que alguém use o domínio exato do cliente sem autorização. Não protege quando o atacante entra na conta da ferramenta de e-mail marketing ou na caixa de alguém da equipe, porque aí a mensagem sai autenticada, nem contra domínio parecido. Por isso o teste olha também o acesso a essas ferramentas: usuários individuais, MFA e quem pode disparar campanha.
Como dar acesso às contas dos clientes com menos risco?
Com os recursos de parceiro e de conta gerenciadora das próprias plataformas, e não com senha compartilhada. Em 2023, a Meta anunciou no gerenciador de negócios a opção de aceitar como administrador só quem usa e-mail de domínios confiáveis e passou a pedir autenticação extra ou aprovação para ações sensíveis, como trocar administrador. No Google Ads, a conta de administrador da agência pode exigir verificação em duas etapas de quem usa as contas que ela gerencia. Cada pessoa precisa de usuário próprio, só com o acesso necessário, removido quando ela sai ou o contrato acaba.