Como uma senha da sua empresa vaza sem você saber

A maioria dos vazamentos de senha não começa com um “hacker gênio” invadindo o seu servidor. Começa com um clique comum: um funcionário baixa um instalador pirata, abre um anexo de “currículo”, ou instala uma extensão de navegador que parecia inofensiva. A partir daí, a credencial da sua empresa entra numa esteira industrial — e, semanas depois, pode estar à venda por menos do que custa um café.

Entender esse caminho é o que permite cortá-lo antes do golpe. Vamos percorrê-lo.

1. A infecção: o ladrão silencioso

O protagonista quase sempre é um infostealer (ou stealer) — um tipo de malware barato, vendido como serviço no submundo, cujo único trabalho é roubar e ir embora. Ele não trava a máquina nem pede resgate; ao contrário, quer passar despercebido.

Em segundos, o stealer varre o computador e copia:

• senhas salvas no navegador (Chrome, Edge, Firefox) — inclusive as do e-mail corporativo, do painel de RH, do banco e do provedor de nuvem;
• cookies de sessão — que permitem entrar numa conta sem precisar da senha nem do segundo fator, porque a sessão já está autenticada;
• tokens, carteiras, arquivos de configuração e, às vezes, uma captura de tela.

Tudo isso é empacotado num arquivo — o chamado stealer log — e enviado para quem controla o malware. A máquina segue funcionando normalmente. O dono não percebe nada.

2. O empacotamento: o seu login virou uma linha num arquivo

Aqui está a parte que quase ninguém enxerga. Aquele log não fica guardado sozinho: ele é agregado com milhares de outros e organizado em bases pesquisáveis. Cada linha tem um formato simples e cruel:

https://portal.suaempresa.com.br:usuario@suaempresa.com.br:SenhaForte123

Repare que uma senha forte não protege nada aqui. Ela não foi quebrada — foi copiada já digitada. O comprimento e a complexidade da senha são irrelevantes quando ela sai pela porta da frente, do navegador de um funcionário infectado.

É por isso que “trocamos a senha a cada 90 dias” resolve pouco: se a máquina continua infectada, a senha nova vaza no próximo log.

3. A distribuição: de graça, por assinatura e sob encomenda

O stealer log raramente fica parado. Ele circula por três caminhos que se sobrepõem:

• Canais de Telegram e fóruns, onde amostras são publicadas de graça para atrair compradores — muitas vezes já filtráveis por domínio (@suaempresa.com.br);
• mercados de credenciais por assinatura, em que um comprador paga um valor mensal e baixa logs frescos todo dia;
• venda sob encomenda, quando alguém procura especificamente acessos de um setor (saúde, bancos, varejo) ou de uma empresa-alvo.

Do ponto de vista do atacante, é um mercado eficiente. Do seu ponto de vista, é uma janela — o intervalo entre o log aparecer e alguém usá-lo. Essa janela é onde a defesa acontece.

4. O uso: onde vira prejuízo

De posse da credencial (ou do cookie de sessão), o atacante testa o acesso. Se der certo, os desdobramentos típicos são:

• invasão de e-mail corporativo e a partir dele fraude de boleto/pagamento (o clássico “golpe do fornecedor”);
• acesso a painéis internos — RH, CRM, portal do beneficiário, ambiente de nuvem;
• movimento lateral: usar um acesso pequeno para chegar a um sistema grande;
• revenda do acesso “validado”, que vale mais do que a linha crua de log.

Quando o incidente aparece no jornal, o vazamento em si já tinha acontecido semanas antes. O que faltou foi enxergá-lo a tempo.

5. Onde dá para cortar o caminho

A boa notícia: a esteira tem vários pontos de interrupção. Em ordem de impacto:

1. Monitorar os seus domínios em stealer logs e vazamentos. Se a credencial usuario@suaempresa.com.br aparecer num log hoje, você quer saber hoje — não quando o acesso for usado. Esse é o coração de um serviço de proteção digital: vigiar o submundo pela sua marca e pelos seus domínios continuamente.
2. Forçar a redefinição da senha e invalidar as sessões. Trocar a senha sem derrubar os cookies de sessão deixa a porta destrancada. As duas coisas juntas fecham a janela.
3. Exigir segundo fator (MFA) resistente a phishing onde der. Ele não impede o roubo do cookie, mas eleva o custo de reuso da senha crua.
4. Achar o shadow IT. Boa parte das credenciais vazadas é de sistemas que a TI nem sabia que o time usava. Não dá para proteger o que você não sabe que existe.
5. Tratar a máquina infectada. Se o stealer continua rodando, cada senha nova vaza de novo. O reset de credencial precisa vir junto da limpeza do endpoint.

O ponto que fica

Um vazamento de senha corporativa quase nunca é um evento único e barulhento. É um processo silencioso: infecção → empacotamento → distribuição → uso. A senha forte protege contra adivinhação, não contra cópia — e é a cópia que domina o mundo real.

A defesa que funciona não é “senha mais complexa”. É encurtar a janela: descobrir a credencial exposta cedo, no submundo, e agir antes que ela vire acesso. É exatamente esse o trabalho da Lelantus — vigiar senha vazada, exposição e abuso de marca numa história só, em português, com resposta.

Quer ver se alguma credencial da sua empresa já está circulando? Fale com a gente — a busca começa em horas.