Os 7 riscos de cibersegurança mais comuns em PMEs e como reduzi-los sem gastar demais

PMEs não são invisíveis: são convenientes

Existe uma crença confortável em muitas empresas de médio porte: «não temos nada a ser roubado». A realidade é outra. A maioria dos ataques que atinge PMEs não é dirigida nem sofisticada; são campanhas automatizadas que varrem a internet em busca de uma porta aberta, uma senha reutilizada ou um e-mail que alguém abra sem pensar. Ninguém escolhe você: eles simplesmente encontram você.

A isso se soma um segundo motivo: sua empresa pode ser a porta de entrada para um cliente maior. Se você fatura para uma corporação, tem acesso ao portal de fornecedores dela ou troca arquivos com sua equipe, você faz parte da sua cadeia de suprimentos digital. Por isso, cada vez mais licitações e contratos incluem questionários de segurança.

A boa notícia é que 80% do risco real se concentra em um punhado de falhas repetidas, e quase todas se corrigem com disciplina e ferramentas que você já paga ou que são gratuitas. A seguir, as sete mais frequentes que encontramos ao auditar PMEs na região, e o que fazer com cada uma.

Riscos 1 a 3: o fator humano e as credenciais

Risco 1: phishing e fraude do CEO (BEC). O caso típico não envolve malware. Um e-mail que parece ser do diretor-geral pede à área de pagamentos uma transferência urgente para uma «nova conta do fornecedor». Ou um atacante que já leu meses de e-mails envia uma fatura legítima com o número da conta alterado. O dano é financeiro e direto.

Risco 2: senhas fracas, reutilizadas e sem segundo fator. Quando a base de dados de qualquer serviço vaza, os atacantes testam esses mesmos e-mails e senhas no Microsoft 365, Google Workspace, no banco e no ERP. Se o seu contador usa a mesma senha em todos os lugares, o incidente já está servido.

Risco 3: contas que nunca são encerradas e permissões excessivas. O vendedor que pediu demissão há oito meses continua entrando no CRM pelo celular. O estagiário tem permissões de administrador «porque era mais fácil». Cada conta a mais é uma porta que ninguém vigia.

• Ative o MFA em 100% das contas de e-mail, VPN, banco e administração. É gratuito no Microsoft 365 e no Google Workspace, e é o controle com a melhor relação custo-benefício.

• Implemente uma regra de dupla verificação para pagamentos: toda mudança de conta bancária de um fornecedor deve ser confirmada por telefone, em um número já cadastrado — nunca no que aparece no e-mail.

• Implante um gerenciador de senhas corporativo (entre 3 e 6 USD por usuário ao mês) e proíba o compartilhamento de senhas por WhatsApp ou em planilhas.

• Faça uma revisão trimestral de contas ativas e permissões. Um checklist de admissão e desligamento de pessoal, assinado por RH e TI, custa zero e evita metade do problema.

• Realize uma simulação interna de phishing duas vezes por ano. O importante não é punir quem cai, mas medir e treinar.

Riscos 4 e 5: software sem patches e backups que ninguém testou

Risco 4: sistemas desatualizados. Servidores com Windows fora de suporte, firewalls com firmware de três anos atrás, plugins de WordPress sem atualizar, desktops em que o usuário adia o reinício indefinidamente. O ransomware raramente usa uma vulnerabilidade nova; usa uma que foi publicada há meses e que ninguém corrigiu.

Risco 5: backups inexistentes, incompletos ou nunca restaurados. É o risco mais subestimado. Muitas empresas têm cópias, mas em um disco conectado ao mesmo servidor (e, portanto, criptografado junto com todo o resto), ou que cobrem apenas arquivos e não as bases de dados do ERP, ou que ninguém jamais verificou se podem ser restauradas.

Um exemplo real e recorrente: uma distribuidora sofre um ataque de criptografia na sexta à noite. Na segunda, descobre que o backup na nuvem falhava havia quatro meses porque a licença tinha expirado e o alerta chegava ao e-mail de um funcionário que já não trabalhava lá. Doze dias de operação manual.

• Defina uma janela mensal de atualizações e automatize os patches nos equipamentos dos usuários finais. Em ambientes pequenos, as ferramentas nativas do sistema operacional já bastam.

• Aplique a regra 3-2-1: três cópias, em dois meios diferentes, uma fora do site e desconectada ou imutável.

• Agende um teste de restauração trimestral. Restaure um arquivo, uma caixa de e-mail e uma base de dados completa. Documente quanto tempo levou: esse número é o seu RTO real, não o que está no papel.

• Substitua equipamentos de rede e servidores fora de suporte. Um firewall que não recebe mais atualizações é um ativo de risco, não uma economia.

Riscos 6 e 7: terceiros e tecnologia fora de controle

Risco 6: fornecedores e acessos de terceiros. O fornecedor de suporte do ponto de venda tem acesso remoto permanente com uma senha compartilhada. A agência de marketing é administradora do seu site. O contador externo recebe a folha de pagamento completa em um Excel por e-mail. Cada terceiro amplia sua superfície de ataque sem que você perceba.

Risco 7: shadow IT e dispositivos pessoais. Equipes que salvam arquivos em contas pessoais do Drive, grupos de WhatsApp com informações de clientes, um aplicativo contratado por uma área sem avisar a TI, notebooks sem criptografia de disco esquecidos em um táxi. Não é má-fé: são pessoas resolvendo com o que têm à mão porque a ferramenta oficial é lenta ou não existe.

• Conceda acessos a terceiros com contas nominais, temporárias e com MFA. Nada de usuários genéricos compartilhados.

• Inclua uma cláusula mínima de segurança e notificação de incidentes nos contratos com fornecedores que lidem com seus dados.

• Habilite a criptografia de disco (BitLocker ou FileVault) e o bloqueio de tela em todos os notebooks. É gratuito e já vem no sistema.

• Ofereça uma alternativa oficial e fácil antes de proibir. Se a equipe precisa compartilhar arquivos grandes, dê a ferramenta; caso contrário, ela usará a sua.

Um plano de 90 dias com orçamento enxuto

Não tente resolver tudo de uma vez. Esta ordem prioriza impacto sobre esforço e funciona bem em empresas de 20 a 250 pessoas.

Dias 1 a 30: inventário de contas, dispositivos e serviços em nuvem; ativação de MFA no e-mail e nos acessos remotos; verificação de que os backups existem e de onde estão. Custo: principalmente horas de trabalho.

Dias 31 a 60: gerenciador de senhas, exclusão de contas inativas, revisão de permissões de administrador, primeiro teste de restauração documentado e procedimento de dupla verificação de pagamentos. Custo: licenças por usuário, baixo.

Dias 61 a 90: janela formal de atualizações, EDR nos endpoints (entre 4 e 10 USD por equipamento ao mês), simulação de phishing, revisão de acessos de terceiros e um plano de resposta a incidentes de uma página: para quem ligar, em que ordem, com quais telefones e fora de qual sistema. Esse documento também precisa existir impresso.

Onde vale a pena investir e onde não

Um erro comum é comprar uma ferramenta cara antes de ter o básico. Um SIEM sem ninguém para revisá-lo gera alertas que ninguém lê. Um seguro cibernético sem controles mínimos pode terminar em uma indenização negada por descumprimento de condições. E uma certificação buscada apenas pelo selo, sem mudanças operacionais por trás, é despesa.

O investimento que realmente dá retorno em uma PME costuma ser este: MFA (gratuito), backups testados, EDR gerenciado, gestão de atualizações, treinamentos curtos e recorrentes para a equipe e um responsável claro, mesmo que em tempo parcial ou terceirizado. Uma empresa de 60 pessoas pode cobrir um nível razoável com um gasto anual equivalente ao custo de dois salários mensais, e essa ordem de grandeza é muito inferior à de um incidente com duas semanas de operação parada.

Meça com indicadores simples e revisáveis em uma reunião mensal: percentual de contas com MFA, percentual de equipamentos atualizados nos últimos 30 dias, data da última restauração bem-sucedida, número de contas ativas sem dono e tempo de resposta a um alerta. Se esses cinco números melhorarem trimestre a trimestre, você está no caminho certo.

Se você quiser um segundo olhar

Cada empresa tem sua própria combinação de dívida técnica, fornecedores e práticas herdadas. Por isso, um diagnóstico curto, de uma ou duas semanas, costuma valer mais do que um catálogo de produtos: ele mostra quais três coisas resolver primeiro e quais podem esperar.

Na Da2 Group, acompanhamos PMEs e empresas de médio porte nesse processo, do inventário inicial à operação contínua dos controles. Se quiser revisar sua situação atual ou validar o plano que já está em andamento, fale com a gente e conversamos sem compromisso.