Para gestores de RH e líderes de negócios, a mensagem é clara:
cibersegurança não é mais um problema exclusivo de TI;
é um desafio de gestão de pessoas, cultura e processos.
A transformação digital dissolveu o perímetro de segurança tradicional. Com o trabalho híbrido e a nuvem, a identidade do funcionário tornou-se o novo perímetro. Se um criminoso assume a identidade digital de um colaborador, ele se torna invisível para as defesas tradicionais.
Os relatórios mais recentes do setor desenham um cenário crítico:
Segundo o Verizon Data Breach Investigations Report 2024, 68% de todas as violações de dados analisadas envolveram um elemento humano não malicioso, como erros de configuração ou queda em golpes de engenharia social (phishing).
O relatório Cost of a Data Breach 2024 da IBM revela que violações causadas por insiders maliciosos são as mais custosas, atingindo uma média de USD 4,99 milhões (aprox. R$ 25 milhões). Além disso, são as que demoram mais tempo para serem contidas, pois o atacante conhece os sistemas.
A Deloitte (2025) reportou um aumento de 14% nos incidentes de perda de dados, indicando que funcionários estão retirando informações da empresa em taxas alarmantes.
A EY alerta que 53% das ameaças internas estão ligadas à rotatividade de funcionários e à falta de entendimento das políticas, destacando o momento da demissão como uma janela crítica de vulnerabilidade.
Para o RH, é vital entender que "ameaça interna" não é apenas o espião corporativo de filmes. Classificamos em três perfis:
É o funcionário que, na pressa, clica em um link falso, anota a senha no post-it ou envia uma planilha de clientes para o e-mail pessoal para "trabalhar de casa". Ele não quer o mal da empresa, mas causa prejuízo massivo.
Teve suas credenciais roubadas. Para o sistema, o acesso parece legítimo, mas quem opera o mouse é um hacker.
Motivado por vingança, ganho financeiro ou cooptação por criminosos.
O caso da C&M Software é o exemplo definitivo de como a falha humana supera qualquer firewall. Em julho de 2025, um funcionário de TI, foi preso acusado de facilitar um desvio estimado em mais de R$500 milhões de instituições financeiras.
O funcionário não usou softwares complexos de invasão. Ele foi cooptado (engenharia social) em um bar e vendeu suas credenciais de acesso.
Ele possuía privilégios excessivos ("superusuário") que permitiram criar contas falsas e autorizar transações sem supervisão.
Um funcionário insatisfeito ou endividado, com acesso irrestrito, é uma bomba-relógio. Monitorar sinais comportamentais é tão importante quanto monitorar a rede.
Como mitigar esses riscos? A resposta é o modelo Zero Trust (Confiança Zero). Esqueça os termos técnicos; pense em um Hotel de Luxo Moderno.
No modelo antigo ("Castelo e Fosso"), uma vez que você passava pela portaria, tinha acesso a tudo. No modelo Zero Trust (Hotel):
Você mostra o RG na recepção (Login).
Você recebe um cartão-chave. Esse cartão só abre o seu quarto e o andar do seu quarto no elevador. Ele não abre a suíte presidencial, não abre a cozinha e não abre o quarto ao lado.
Se você tentar entrar na academia sem pagar, a porta não abre. Se você tentar entrar na sala de máquinas, a segurança é alertada. Não importa que você já é um hóspede; seu acesso é verificado a cada nova porta.
Traduzindo para a empresa: O estagiário de marketing não precisa acessar a folha de pagamento. O gerente de vendas não precisa acessar o código-fonte do software.
Cada funcionário deve ter apenas o acesso estritamente necessário para sua função, e apenas pelo tempo que precisar. Isso limita o "raio de explosão": se a senha do estagiário for roubada, o hacker só acessa arquivos de marketing, não o financeiro.
A tecnologia (TI) fornece as ferramentas, mas o RH gere o comportamento e o ciclo de vida do acesso.
🔎 Background Check: Para cargos críticos (como financeiro ou admin de TI), a verificação de antecedentes deve ser rigorosa (criminal e financeira), dado o risco de aliciamento por crime organizado.
⚠️ Sinais de Risco: O RH deve ter um canal seguro com a Segurança da Informação. Funcionários que subitamente demonstram sinais de riqueza incompatível, dívidas graves, ou descontentamento extremo após uma promoção negada, tornam-se riscos elevados de se tornarem insiders maliciosos.
🏖️ Férias Compulsórias: Uma prática antiga de governança bancária que detecta fraudes. Muitos desvios (como o da C&M) exigem manutenção diária pelo fraudador. Quando ele sai de férias e perde o acesso, a fraude aparece.
✂️ Corte Imediato: O acesso deve ser revogado no exato momento da notificação da demissão. Estudos mostram que ex-funcionários com acesso residual são uma das maiores causas de vazamentos.
☑️ Bloquear e-mail e login de rede.
☑️ Revogar acessos a sistemas SaaS (Salesforce, Google Drive, etc.).
☑️ Recolher crachás e dispositivos.
☑️ Alterar senhas de contas compartilhadas que o funcionário conhecia.
A legislação brasileira apoia a empresa que protege seus dados.
Tribunais Regionais do Trabalho (TRTs) têm mantido demissões por justa causa (Art. 482 da CLT) para funcionários que enviam dados de clientes para e-mails pessoais ou acessam dados sigilosos sem necessidade (o famoso "xeretar").
A empresa tem o direito e o dever de monitorar o uso de suas ferramentas corporativas (e-mail, computadores) para garantir a segurança, desde que haja política clara e ciência do colaborador.
O "inimigo" muitas vezes não usa capuz; ele usa crachá. Para proteger a organização em 2025, a colaboração entre RH, Jurídico e TI é inegociável.
Revise "quem tem acesso a quê". Remova acessos de quem mudou de área ou saiu da empresa.
Troque vídeos chatos por simulações de phishing. O erro humano cai quando a conscientização sobe.
Se alguém pedir acesso "total" para facilitar o trabalho, negue. A conveniência é inimiga da segurança.
Deixe claro que violações de segurança (mesmo "pequenas", como compartilhar senhas) têm implicações disciplinares graves.
Fontes: Verizon DBIR 2024, IBM Cost of a Data Breach 2024, Deloitte Cyber Threat Trends 2025, PwC Global Digital Trust Insights 2024, EY Human Risk Survey 2024, Agência Brasil (Caso C&M/Pix), Jurisprudência TRT/SP.
Google Docs
Cadastre-se para receber o digest semanal da minutonews
Mantenha-se à frente das ameaças digitais com inteligência estratégica semanal. Tenha acesso exclusivo a uma coleção abrangente de relatórios semanais de cibersegurança que mapeiam o cenário de ameaças no Brasil, América Latina e cenário global. Cada edição oferece relatos cronológicos detalhados, identificados por códigos de versão e datas precisas, construídos a partir de mais de 90 fontes de pesquisa especializadas e confiáveis. O que você receberá: 📊 Análises aprofundadas de incidentes e vu
minutonews © 2025 por Julio Signorini está licenciado sob CC BY-NC-SA 4.0
Historicamente, a segurança da informação focava em construir muros altos contra hackers externos. Hoje, os dados mostram uma realidade inquietante: as chaves do castelo já estão do lado de dentro. Este relatório consolida inteligência de mercado de 2024-2025 das "Big 4" (Deloitte, PwC, EY, KPMG), IBM e Verizon para demonstrar que o "Insider Threat" (ameaça interna) — seja por malícia ou acidente — é o maior vetor de risco financeiro e reputacional atual.