Roubo de dados e perda de dados
Perda de dados é qualquer exposição não autorizada de dados, intencional ou não. Um funcionário que envia por engano uma planilha ao destinatário errado causa perda de dados.
O roubo de dados é sempre deliberado. A pessoa remove conscientemente dados que não deveria retirar, com a intenção de usá-los fora do interesse da organização.
A diferença está na intenção, e isso importa para prevenção, investigação e resposta. A perda acidental é tratada com treinamento, controles de fluxo de trabalho e DLP que captura erros. O roubo exige controles que considerem a evasão: quem rouba oculta as ações, usa canais autorizados para se misturar e apaga os rastros.
O que normalmente é roubado
A propriedade intelectual costuma ser levada por funcionários que saem para a concorrência. Dados de clientes são usados em fraudes, inteligência competitiva ou vendidos a terceiros. Credenciais permitem acesso adicional ou são vendidas em mercados criminosos.
| Categoria | O que inclui |
|---|---|
| Propriedade intelectual | Código-fonte, projetos de engenharia, pesquisas, fórmulas, planos de produtos |
| Dados de clientes | Listas de contatos, dados de contas, históricos de compras |
| Dados financeiros | Modelos de preços, termos de contratos, demonstrações financeiras, informações de fusões e aquisições |
| Credenciais | Senhas, chaves de API e certificados |
| Informações estratégicas | Planos de negócios, estratégias de marketing, posições de negociação, documentos regulatórios |
Quem rouba dados
Os dados são roubados por diferentes tipos de ameaças internas e por atacantes externos:
- Funcionários que saem: uma categoria significativa. Quem aceitou uma proposta de concorrente ou foi avisado de demissão pode copiar dados nas semanas antes de sair.
- Pessoas internas insatisfeitas: funcionários movidos por ressentimento, sensação de injustiça ou divergência ideológica, que podem roubar dados para prejudicar ou expor a organização.
- Pessoas internas motivadas por dinheiro: quem rouba dados para vendê-los, cometer fraudes ou beneficiar um negócio paralelo.
- Contas comprometidas: atacantes externos que obtêm credenciais legítimas e agem como um funcionário. A intenção é externa, mas o acesso e a atividade são internos.
- Malware: trojans infostealer e APTs que automatizam a coleta e a extração de dados.
Métodos comuns
O roubo de dados usa os mesmos canais do trabalho legítimo, o que dificulta distingui-lo sem inspeção de conteúdo. A coluna da direita mostra qual parte do DLP de endpoint observa cada canal.
| Canal | Como os dados saem | Onde a Anexet monitora |
|---|---|---|
| Contas pessoais de nuvem | Envio para Google Drive, Dropbox ou OneDrive pessoais a partir de um computador de trabalho | Controle de envio para armazenamento em nuvem |
| E-mail pessoal | Envio de arquivos para um endereço pessoal para acesso posterior | Interceptação de e-mail |
| Mídias removíveis | Cópia para pendrives, discos externos ou mídias ópticas | Controle de dispositivos com cópias sombra |
| Aplicativos de mensagem | Envio de arquivos por WhatsApp, Telegram, Signal ou plataformas de colaboração | Monitoramento de mensageiros e chats de equipe |
| Impressão | Impressão de documentos sensíveis para levá-los em papel | Monitoramento de impressão |
| Preparação de dados | Reunião de arquivos em um único arquivo compactado antes da transferência, para reduzir ações visíveis | Pontuação de risco comportamental |
| Fotografia de tela | Foto da tela com celular, contornando totalmente os canais digitais | Indiretamente, por sinais de comportamento |
Por que o roubo de dados é difícil de detectar
O principal desafio é que cada ação é legítima isoladamente. Um funcionário que envia um arquivo para a nuvem, escreve um e-mail ou copia para um USB está fazendo o que funcionários fazem normalmente. O roubo só aparece em padrões: o que é movido (conteúdo sensível), quando (perto da saída), quanto (acima da linha de base habitual) e para onde (contas pessoais, destinos externos).
A detecção, portanto, exige quatro tipos de sinal, e a análise de comportamento de usuários e entidades (UEBA) reúne os comportamentais:
- Inspeção de conteúdo: o que está sendo movido.
- Linha de base comportamental: se a atividade é incomum para este usuário.
- Contexto: se o usuário está saindo, sob investigação ou acessando dados incomuns.
- Monitoramento de canais: se o destino é pessoal ou externo.
Como isso aparece na Anexet
Copiar e colar dentro de uma mesma estação de trabalho move dados sem nenhuma transferência de arquivos, por isso precisa de registro próprio. A Anexet acompanha isso com o monitoramento da área de transferência: cada cópia é vinculada à origem e cada colagem ao destino.
Quanto custa o roubo de dados
O impacto do roubo de dados vai além dos próprios dados e geralmente aparece em várias formas ao mesmo tempo:
- Prejuízo competitivo: propriedade intelectual ou planos estratégicos roubados beneficiam diretamente os concorrentes.
- Prejuízo para clientes: dados de clientes roubados permitem fraudes, roubo de identidade e violações de privacidade.
- Sanções regulatórias: dados regulados geram obrigações de notificação e possíveis multas (LGPD, HIPAA, CCPA).
- Dano reputacional: a divulgação pública corrói a confiança de clientes e parceiros.
- Custos jurídicos: investigação, litígios e possível processo criminal.
Por onde começar
Comece pelos dados cujo vazamento causaria mais dano e depois pelos canais que eles realmente usam. Políticas escritas para todos os arquivos de uma vez acabam bloqueando o trabalho e são desligadas.
A prevenção é um conjunto de controles, não uma única transferência bloqueada. O guia prevenção contra roubo de dados apresenta o conjunto completo.
Leitura adicional: Os 5 principais tipos de dados que os concorrentes tentam roubar; Como um oficial de segurança identifica um insider usando o sistema DLP?.
Um vazamento raramente parece um ataque. Parece um dia de trabalho comum, uma transferência de cada vez.
Anexet TeamComo a Anexet resolve isto
A Anexet trata o roubo de dados pela combinação dos seus módulos de DLP e de controle de dispositivos:
A arquitetura on-premise garante que os dados de monitoramento, as pontuações de risco e o material dos casos permaneçam na infraestrutura da organização, relevante porque os dados de uma investigação de roubo são, eles próprios, sensíveis.
Detecção baseada em conteúdo
impressões digitais de documentos protegidos, bancos de hashes para arquivos específicos, tesauros de segurança para termos ligados à propriedade intelectual e integração com rótulos de sensibilidade, de modo que o roubo de dados de alto valor seja detectado pelo que está se movendo, e não apenas por haver movimento.
Controle de dispositivos
o módulo de controle de dispositivos monitora e pode bloquear mídias removíveis (USB, discos externos, mídias ópticas, dispositivos móveis usados como armazenamento) por tipo de dispositivo, número de série ou identificador de hardware. Políticas de gravação com cópia sombra retêm uma cópia de cada arquivo gravado em mídia externa, criando uma trilha de auditoria mesmo quando a gravação é permitida.
Cobertura completa de canais
os agentes de endpoint monitoram e-mail, tráfego web, aplicações de armazenamento em nuvem, mensageria, impressão, área de transferência e captura de tela, os canais pelos quais o roubo ocorre.
Aplicação de bloqueios
as políticas podem bloquear transferências que correspondam a conteúdo sensível, colocá-las em quarentena para revisão ou gerar alertas.
Pontuação de risco comportamental
o mecanismo de análise de risco sinaliza usuários cujo comportamento sugere preparação ou acúmulo de dados para roubo, inclusive em torno de eventos de desligamento.
Investigações e material comprobatório
o módulo de investigações monta casos estruturados a partir dos eventos detectados, com exportação de material para uso jurídico ou disciplinar.
Funcionalidade de Controle de Dispositivos
Saiba mais