Empresas pequenas e médias são atacadas justamente porque acreditam que não serão. Ataques automatizados não escolhem o alvo pelo faturamento, escolhem pela facilidade: credencial vazada, sistema sem atualização, usuário com permissão de administrador. O tamanho não protege; a verificação protege.
Essa é a frase que eu mais ouço em reunião com dono de empresa. Quase sempre dita com um sorriso, como quem explica o óbvio: “Dorian, a gente é pequeno. Quem vai querer atacar a gente?”
A resposta honesta é: ninguém quer. E é exatamente por isso que acontece.
Ataque não escolhe, varre
A imagem que o gestor tem na cabeça é de um criminoso sentado, escolhendo vítimas numa lista. Esse criminoso existe, mas ele ataca banco, governo e multinacional. O que chega na PME é outra coisa: software rodando sozinho, dia e noite, testando milhões de endereços na internet atrás de qualquer porta aberta. Credencial vazada, servidor sem atualização, acesso remoto sem segundo fator.
Quando ele encontra, entra. Só depois alguém olha quem é a empresa e quanto pode pagar.
Ou seja: o tamanho não aparece na equação em nenhum momento. O que aparece é a facilidade.
Por que a certeza se sustenta
Porque nunca aconteceu. E “nunca aconteceu” parece uma evidência forte, mas é a mais fraca que existe. O prédio onde você trabalha nunca pegou fogo, e mesmo assim tem extintor, brigada e teste de alarme. Ninguém diz “somos pequenos demais para incêndio”.
A diferença é que incêndio tem lei, bombeiro e vistoria. Ataque cibernético, na PME, tem só a sensação de que não vai acontecer.
O que essa certeza custa
Ela é a certeza zero da série por um motivo: é a que permite as outras existirem. Quem acredita que não é alvo não testa o backup, porque não vai precisar. Não ativa o DR, porque não vai cair. Não cobra evidência do monitoramento, porque está tudo bem.
Quando a crença de base cai, todas as outras passam a ser perguntas razoáveis.
O que fazer na segunda-feira
Não é contratar um pacote de segurança. É fazer três perguntas, para dentro ou para o fornecedor:
- O que da minha empresa está exposto à internet hoje, e quem revisou isso por último?
- Quem trabalha como administrador no próprio computador, e por quê?
- Quando foi a última vez que alguém simulou um ataque de phishing com a equipe?
Se as três respostas vierem com data e nome, você não é pequeno demais. Você é verificado. Se vierem com “acho que”, você acabou de descobrir qual é o seu tamanho real.
Se um ransomware entrasse hoje, quanto você pagaria para ter a empresa de volta amanhã?
Faça essa pergunta na próxima reunião. A resposta vem com data e número, ou vem com adjetivo.
O que pedir na próxima reunião
Quatro evidências. Não é desconfiança: é o mesmo critério que você já aplica ao gerador de energia.
- Inventário do que está exposto à internet (e-mail, VPN, acesso remoto, site) com a data da última revisão
- Resultado de uma varredura externa recente, com o que foi encontrado e o que foi corrigido
- Lista de quem tem permissão de administrador e por quê
- Simulação de phishing feita com a equipe nos últimos seis meses, com a taxa de cliques
“Ninguém é pequeno demais para ser atacado. Só pequeno demais para ter verificado.”
Perguntas frequentes
Empresa pequena realmente é alvo de ataque cibernético?
Sim, e com frequência maior do que as grandes, proporcionalmente. A maior parte dos ataques é automatizada e varre a internet procurando qualquer porta aberta, sem olhar o CNPJ. A PME entra na lista porque tem menos controle, não porque alguém a escolheu.
O que torna uma empresa pequena um alvo fácil?
Credenciais reutilizadas ou vazadas, sistemas sem atualização, usuários trabalhando como administrador, ausência de autenticação em dois fatores e nenhum teste periódico. Nenhum desses itens tem a ver com tamanho; todos têm a ver com verificação.
Por que essa é a 'certeza zero' da série?
Porque é a crença que permite as outras sobreviverem. Quem acha que não é alvo não testa o backup, não ativa o DR, não cobra evidência do monitoramento. Derrubar essa primeira abre espaço para verificar todas as demais.
Para ir mais fundo
Quer essa conversa na sua empresa ou no seu evento?
As sete falsas certezas viram uma palestra de 20 minutos para diretoria, associação ou evento de tecnologia.
Ver temas de palestra →