Terça-feira. Uma empresa de serviços contábeis em Porto Alegre. A assistente administrativa responsável pelo atendimento de clientes pediu demissão na segunda-feira. Na quinta, o acesso dela ao sistema ainda estava ativo. O WhatsApp Business da empresa estava vinculado ao número pessoal dela. Os contatos dos 43 clientes ativos estavam salvos na agenda do celular dela, não no sistema.

Quando o dono percebeu, três semanas depois, dois clientes tinham migrado para o escritório onde ela foi trabalhar.

Não houve invasão. Não houve hacker. A porta simplesmente ficou aberta.

O dado não pertence ao dispositivo

A maioria das empresas brasileiras chegou ao trabalho híbrido de uma forma parecida: aos poucos, sem planejar. O vendedor passou a responder clientes pelo WhatsApp pessoal. A equipe financeira começou a acessar planilhas pelo Google Drive da conta pessoal. O sistema de gestão passou a funcionar no celular de quem precisasse ver um número rápido.

Cada um desses hábitos tem uma lógica. O problema é que nenhum deles separa o que é da empresa do que é do funcionário. E quando essa linha não existe, quem vai embora leva o dado junto.

Não porque quis causar dano. Porque estava tudo misturado.

O que o acesso não controlado abre

O risco mais comum nas empresas não é o ataque externo sofisticado. É o acesso interno que não foi encerrado. Segundo dados do Verizon Data Breach Investigations Report de 2024, 68% das violações de dados envolvem fator humano. Na maioria dos casos de empresas menores, a brecha está em credenciais antigas, senhas compartilhadas e dados corporativos em contas pessoais.

A Lei Geral de Proteção de Dados (LGPD) não distingue porte de empresa. Dados de clientes expostos por descuido geram responsabilidade legal, com multas de até 2% do faturamento bruto pela Autoridade Nacional de Proteção de Dados (ANPD).

O prejuízo mais imediato, contudo, raramente aparece como multa. Aparece como cliente que migrou, proposta que a concorrência sabia exatamente como rebater e histórico de atendimento que ficou no celular de quem saiu.

O que auditar esta semana

Não é preciso montar uma área de TI para fazer isso. É preciso responder cada item abaixo com certeza. O que ficar sem resposta é onde a empresa está exposta agora.

  • Cada pessoa tem login próprio? Se existe uma senha única que todo mundo usa, não há controle de acesso. Há acesso sem controle.
  • Você consegue revogar o acesso de um funcionário em menos de dez minutos? Se a resposta depende de ligar para alguém ou lembrar onde está o painel, o intervalo de exposição já está acontecendo.
  • O WhatsApp Business está em número da empresa ou no pessoal de alguém? Número pessoal sai com o funcionário. O histórico de conversas com clientes vai junto.
  • Os contatos dos clientes estão no sistema ou na agenda do celular de quem faz o atendimento? Esse é o dado mais valioso que a empresa tem. Onde ele está guardado define quem é o dono.
  • Os sistemas críticos têm verificação em dois fatores ativada? E-mail corporativo, sistema de gestão, internet banking. Um passo a mais que torna a senha roubada inútil.
  • O que acontece com os acessos quando alguém pede demissão? Existe um processo definido para isso, ou depende de quem lembrar?
  • Documentos internos ficam só nos sistemas da empresa, ou também em contas pessoais de Google, Dropbox ou iCloud? O que está fora do controle da empresa, a empresa não recupera quando precisa.

O que fazer esta semana

Mapeie quem tem acesso ao quê. Abra cada sistema que a empresa usa e liste os logins ativos. Compare com quem ainda trabalha ali. O que não bater, desative hoje.

Transfira o WhatsApp Business para um número fixo da empresa. Se o atendimento acontece pelo número pessoal de algum funcionário, esse canal não pertence à empresa. Isso muda de uma semana para outra com a migração do número.

Crie um checklist de saída para demissões. Lista dos sistemas a revogar, grupos de WhatsApp para transferir a administração, senhas a trocar. Esse documento precisa existir antes de você precisar dele.

Se você olhou para os itens acima e não soube responder três ou mais, algum dado da sua empresa está fora do seu controle agora. Não quando alguém decidir causar um problema. Agora.