Tempo de leitura: 11 min · Atualizado em 03/09/2026
Se um funcionário clicou em um link falso e digitou a senha do e-mail principal da empresa, o primeiro passo não é jurídico, é técnico: descobrir o que o golpista fez dentro da caixa antes de trocar qualquer senha. Redefinir o acesso sem investigar pode apagar rastros importantes e deixar o invasor ainda ativo em outro ponto, como uma regra de encaminhamento automático.
Esse cenário é diferente de uma rede social invadida por força bruta ou de uma conta sequestrada por um ex-sócio. Aqui, quem abriu a porta foi um clique em um link de phishing — um e-mail ou site que imitava algo confiável e capturou a senha do funcionário. A conta não foi “quebrada” tecnicamente: ela foi entregue. Isso muda a prioridade prática. Antes de pensar em recuperar acesso pela via judicial, a empresa precisa conter o estrago enquanto ainda tem alguma visibilidade sobre o que aconteceu dentro da caixa comprometida.
Por que o phishing exige uma resposta diferente de uma invasão comum
Quando um perfil de rede social é invadido, o problema costuma se resumir a recuperar o acesso e provar a titularidade perante a plataforma. Já no e-mail corporativo comprometido por phishing, o risco vai além de “quem está logado agora”. O invasor pode ter lido meses de conversas, baixado anexos com dados de clientes e propostas comerciais, e configurado regras invisíveis para continuar monitorando a caixa mesmo depois que a senha for trocada. Por isso a sequência aqui é diferente: primeiro contenção e investigação, depois recuperação de acesso, e só depois, se necessário, a discussão jurídica.
Antes de trocar a senha: o que checar dentro da caixa de entrada
Se a empresa ainda tem acesso ao e-mail (o golpista capturou a senha mas não necessariamente trocou tudo), vale registrar evidências antes de qualquer alteração. Um print da lista de dispositivos conectados, do histórico de login recente e das regras de encaminhamento configuradas pode ser decisivo depois, tanto para entender a extensão do vazamento quanto para eventual notificação a terceiros afetados. Só depois desse retrato inicial faz sentido partir para a redefinição de senha e o encerramento de sessões ativas em todos os dispositivos.
Se a conta já foi completamente tomada — senha e e-mail de recuperação trocados pelo golpista — o caminho muda: é preciso acionar o suporte do provedor (Google Workspace, Microsoft 365 ou a hospedagem do domínio) o quanto antes, com prova de titularidade do domínio. Quanto mais rápido esse contato acontece, maiores as chances de reverter a troca sem precisar de uma ordem judicial. Quando a negociação direta com a plataforma não avança, o caso pode escalar para o mesmo tipo de discussão sobre reaver judicialmente uma conta que teve e-mail e senha de recuperação trocados por um invasor.
Regras de encaminhamento automático: a armadilha mais comum
Um dos truques mais usados nesse golpe é configurar, discretamente, uma regra que copia ou encaminha certas mensagens para um endereço externo — muitas vezes com filtros para pegar apenas e-mails com palavras como “boleto”, “pagamento” ou “transferência”. Essa regra costuma sobreviver à troca de senha, porque não depende de a sessão continuar ativa: ela já está salva na configuração da conta. Por isso, mesmo depois de recuperar o controle, a empresa precisa revisar manualmente todas as regras de encaminhamento, filtros e delegações de acesso configuradas na caixa, sem presumir que trocar a senha resolveu tudo.
O mesmo vale para aplicativos de terceiros conectados ao e-mail (ferramentas de automação, plugins de CRM, integrações de marketing). Qualquer permissão concedida por engano no período comprometido deve ser revogada, porque ela pode continuar dando acesso de leitura à caixa mesmo sem a senha original.
Avisar clientes e fornecedores: por que isso não é opcional
Se o e-mail principal foi comprometido, existe a possibilidade real de que o golpista tenha lido conversas com clientes e fornecedores — e o passo clássico seguinte é se passar pela empresa para pedir um pagamento em conta diferente da combinada. Por isso, avisar rapidamente quem está em negociação ativa, mesmo antes de ter certeza sobre a extensão do vazamento, protege tanto os terceiros quanto a reputação da empresa. Um aviso simples, por outro canal (telefone, WhatsApp verificado), de que houve tentativa de fraude e que qualquer mudança de dados bancários deve ser confirmada por telefone, reduz bastante o risco de alguém cair no golpe em nome da empresa.
Esse cuidado se conecta a um problema recorrente em fraudes digitais: quando um canal da empresa é usado por golpistas contra clientes, a forma como a empresa reage — rápido, transparente, documentando cada aviso — costuma pesar bastante em qualquer discussão futura sobre quem responde pelo prejuízo. Há um paralelo direto com o que acontece quando um aplicativo de mensagens da empresa é clonado e usado para induzir clientes a fazer um Pix para os golpistas: a velocidade do aviso interfere diretamente na extensão do dano.
Seu caso envolve uma situação semelhante?
Cada caso possui particularidades e deve ser analisado individualmente. Para informações sobre análise jurídica do seu caso, entre em contato com o escritório.
O risco do golpe do boleto ou da fatura trocada
Um dos desdobramentos mais caros do phishing em e-mail corporativo é o golpe do boleto: o invasor identifica uma cobrança pendente e envia, do próprio e-mail comprometido (ou de um endereço muito parecido), uma versão falsa do boleto ou da fatura, com dados bancários diferentes. Como a mensagem parte de um canal aparentemente legítimo, a vítima paga sem desconfiar. Se isso já aconteceu, o ideal é levantar rapidamente quais cobranças estavam em aberto durante o período de exposição e verificar, uma a uma, se o destinatário recebeu alguma comunicação estranha.
Vale reforçar com a equipe financeira — e com clientes recorrentes — que nenhuma alteração de dados bancários deve ser aceita só porque veio por e-mail, ainda que pareça vir do endereço certo. Confirmação por telefone, com um número já conhecido, é a barreira mais simples contra esse tipo de fraude.
Quando considerar a via judicial
Nem toda situação de phishing em e-mail corporativo termina em processo. Na maioria dos casos, o problema se resolve com a ação rápida junto ao provedor de e-mail, a revisão técnica da conta e a comunicação com terceiros afetados. A via judicial entra em cena principalmente quando o provedor não devolve o controle da conta em tempo hábil, quando há prejuízo financeiro concreto decorrente do golpe, ou quando é preciso formalizar o que aconteceu — por exemplo, para negociar com um cliente que caiu em um boleto falso originado da própria conta da empresa.
Nesses casos, reunir desde o início os registros técnicos (logs de acesso, histórico de regras de encaminhamento, e-mails de phishing recebidos, comunicados enviados a clientes) facilita muito a atuação de um advogado depois, porque boa parte dessas evidências desaparece com o tempo. Empresas que já passaram por incidentes maiores de segurança, como um sequestro de dados por ransomware, costumam aprender da forma mais cara que as primeiras horas depois de um ataque digital definem boa parte da responsabilidade que a empresa pode ter, ou não, mais adiante.
Cuidados que evitam a repetição do problema
Depois de conter o incidente, vale revisar pontos estruturais: ativar autenticação em duas etapas nas contas corporativas relevantes, reduzir o número de pessoas com acesso administrativo ao domínio principal e documentar, por escrito, quem é o responsável técnico e o responsável jurídico caso um incidente semelhante aconteça de novo. Quando o e-mail comprometido também é login de recuperação de outras contas da empresa — algo comum e arriscado — o mesmo cuidado de mapear tudo o que depende dele se aplica ao que já se discute em casos de um sócio que muda sozinho as senhas de e-mails e redes sociais da empresa.
Se, durante a investigação, ficar claro que dados pessoais de clientes ou funcionários estavam entre as informações acessadas pelo invasor, a empresa também precisa avaliar o dever de comunicar os titulares afetados — dúvida recorrente em casos de vazamento de dados pessoais por falha de segurança da própria empresa.
Perguntas frequentes
Só troquei a senha, isso já resolve o problema?
Não necessariamente. Trocar a senha impede novos logins com a credencial capturada, mas não remove regras de encaminhamento, filtros ou permissões de aplicativos de terceiros configurados enquanto o invasor tinha acesso. É preciso revisar manualmente essas configurações antes de considerar o incidente encerrado.
Como sei se o invasor configurou uma regra de encaminhamento escondida?
A maioria dos provedores de e-mail corporativo permite consultar, no painel administrativo, todas as regras de encaminhamento e filtros ativos em uma conta. Vale revisar item por item, procurando regras que a equipe não reconhece, especialmente as que filtram por palavras como pagamento ou boleto.
Preciso avisar todos os clientes, mesmo sem certeza de que os dados deles foram vistos?
Para quem está em negociação ativa ou tem cobrança pendente, sim: o custo de um aviso preventivo é muito menor do que o de um cliente cair em um boleto falso por falta de informação. Para a base mais ampla, a avaliação pode ser mais criteriosa, focando em quem trocou e-mails sensíveis durante o período de exposição.
O provedor de e-mail (Google, Microsoft) pode ser responsabilizado pelo golpe?
Depende muito das circunstâncias. Como o comprometimento aqui teve origem em phishing — ou seja, a senha foi entregue voluntariamente pelo funcionário enganado — a responsabilidade do provedor tende a ser mais discutível do que em casos de falha técnica da própria plataforma. Isso não afasta, porém, o dever do provedor de agir rapidamente para devolver o controle da conta quando acionado.
Vale a pena registrar boletim de ocorrência?
Sim, principalmente se houve prejuízo financeiro ou se algum cliente foi vítima do golpe do boleto originado na conta comprometida. O registro formal ajuda a documentar a cronologia do incidente e pode ser útil tanto para negociações com clientes lesados quanto para eventual disputa com o provedor de e-mail.
Quanto tempo depois do phishing ainda dá para agir?
Quanto antes, melhor, porque logs de acesso e histórico de sessões costumam ter prazo de retenção limitado nos provedores. Mas mesmo depois de dias ou semanas, ainda vale revisar as configurações da conta, avisar clientes que possam ter sido alvo de fraude e formalizar o ocorrido, caso surjam prejuízos identificados posteriormente.
Fontes e referências gerais: boas práticas de resposta a incidentes de segurança da informação e orientações de provedores de e-mail corporativo (Google Workspace e Microsoft 365) sobre revisão de regras de encaminhamento e recuperação de contas comprometidas.
Artigos relacionados
- Perdi acesso à minha conta de jogos com itens comprados: a empresa é obrigada a restituir?
- Perdi o acesso à conta depois de cair num golpe de “verificação” da própria rede social: a plataforma pode ser responsabilizada?
- Facebook da empresa foi invadido e trocaram o e-mail e a senha de recuperação: como reaver a conta pela via judicial?
- O provedor de nuvem excluiu a conta empresarial da minha empresa por suposta violação dos termos de uso, sem me dar chance de me defender: cabe reparação por essa exclusão sumária?
Veja também nosso conteúdo completo sobre direito digital.
Seu caso envolve uma situação semelhante?
Cada caso possui particularidades e deve ser analisado individualmente. Para informações sobre análise jurídica do seu caso, entre em contato com o escritório.
