Quando um vazamento de dados acontece, o instinto imediato de qualquer equipe de TI é conter o dano: isolar o sistema, restaurar o ambiente, voltar a funcionar o mais rápido possível.
Esse instinto é compreensível. E em muitos casos é exatamente o que destrói qualquer possibilidade de responsabilização jurídica posterior.
A investigação de vazamento de dados segue uma lógica diferente da resposta a incidentes convencional. Ela exige que determinadas evidências sejam preservadas antes de qualquer intervenção técnica, e que essa preservação siga protocolos específicos para que o material coletado tenha valor em juízo.
Neste artigo você vai entender por que os primeiros movimentos depois de um incidente determinam o que será possível provar, quais erros comprometem a evidência de forma irreversível e o que precisa acontecer antes que o time técnico toque nos sistemas afetados. Boa leitura.
O problema começa antes da perícia
A maioria das empresas que sofre um vazamento de dados nunca pensou no que vai precisar provar depois.
Provar que houve acesso indevido. Provar quem foi o responsável. Provar que a empresa adotou as medidas de segurança exigidas pela LGPD antes do incidente. Provar que o dano foi causado por um terceiro e não por negligência interna.
Cada uma dessas provas depende de evidências digitais coletadas no momento certo, da forma certa. E a janela para fazer isso corretamente é pequena, às vezes de minutos.
O que é uma evidência digital e por que ela é frágil
Uma evidência digital é qualquer dado armazenado ou transmitido em formato eletrônico que possa ser usado para estabelecer fatos num processo judicial ou administrativo. Logs de acesso, registros de autenticação, metadados de arquivos, tráfego de rede capturado, histórico de comandos executados.
O problema é que esse tipo de material se altera ou desaparece com facilidade. Um sistema reiniciado sobrescreve logs de memória volátil que não existirão mais quando alguém decidir procurá-los. Um disco formatado para restaurar o ambiente elimina rastros que identificariam o vetor de entrada do incidente. Uma atualização de sistema aplicada às pressas pode modificar timestamps que eram a única forma de estabelecer a linha do tempo do ataque.
Nenhum desses movimentos foi feito com intenção de destruir provas. Foram feitos para resolver o problema. O resultado, do ponto de vista jurídico, é o mesmo.
Os erros mais comuns que invalidam a investigação
Há um padrão recorrente nos casos que chegam a uma investigação forense após um incidente de segurança: a evidência que resolveria o caso foi alterada ou destruída nas primeiras horas, por pessoas que estavam tentando ajudar.
Reiniciar ou desligar os sistemas afetados sem captura prévia
A memória RAM de um sistema em funcionamento contém informações que não existem em nenhum outro lugar: processos ativos no momento do incidente, conexões de rede estabelecidas, credenciais em uso, fragmentos de código malicioso que ainda não foram gravados em disco.
Quando o sistema é reiniciado ou desligado antes de uma captura forense, todo esse material desaparece de forma permanente. É um dos erros mais frequentes e um dos mais difíceis de contornar depois.
Acessar os sistemas com ferramentas do próprio ambiente
Quando alguém usa o sistema comprometido para investigar o que aconteceu, cada acesso modifica timestamps de arquivos, altera registros de uso e potencialmente sobrescreve espaço em disco onde havia dados relevantes.
A investigação forense exige ferramentas externas e processos de cópia que não alterem o original. Uma cópia forense feita com protocolo adequado gera um hash criptográfico que comprova que o material não foi modificado após a coleta. Sem esse processo, qualquer evidência apresentada pode ser contestada por qualquer parte interessada em questionar sua integridade, como estabelece a ISO/IEC 27037, norma internacional que padroniza a coleta e preservação de evidência digital.
Comunicar o incidente internamente antes de conter o vazamento
Quando a informação sobre um incidente circula internamente sem controle, há risco concreto de que pessoas envolvidas, direta ou indiretamente, tomem ações para cobrir rastros antes que a investigação comece. Isso não é necessariamente intencional, mas o efeito sobre as evidências é o mesmo.
O protocolo correto isola a informação sobre o incidente num círculo mínimo de pessoas até que a coleta forense inicial esteja concluída.
Restaurar o ambiente a partir de backup antes da perícia
A restauração de backup é a resposta natural para retomar as operações rapidamente. Do ponto de vista forense, é uma das piores decisões que podem ser tomadas antes da coleta de evidências.
O ambiente comprometido contém informações sobre como o incidente aconteceu que não estarão no backup. O vetor de entrada, os arquivos modificados, os acessos realizados depois da invasão: tudo isso existe no estado atual do sistema e deixará de existir assim que o backup substituir esse estado.
O que precisa acontecer nos primeiros minutos
A ordem das ações nos primeiros minutos de resposta a um incidente determina o que será possível investigar e provar depois. Há uma sequência que precisa ser respeitada antes de qualquer intervenção técnica no ambiente.
O primeiro passo é isolar os sistemas afetados da rede sem desligá-los. Isso impede que o incidente se propague e preserva o estado atual da memória para captura posterior.
O segundo é acionar uma equipe com capacidade forense antes de qualquer outro movimento técnico. Não a equipe de TI interna, que tem o incentivo natural de restaurar o ambiente o mais rápido possível, mas profissionais treinados para coletar evidências sem alterar o que precisará ser preservado.
O terceiro é documentar tudo o que foi observado antes de qualquer intervenção: qual sistema apresentou comportamento anômalo, quando foi identificado, quem identificou e quais ações foram tomadas até aquele momento.
Esse registro inicial é parte da cadeia de custódia que vai sustentar qualquer uso posterior das evidências num processo judicial ou administrativo.
O que a investigação precisa entregar
Uma investigação de vazamento de dados conduzida com protocolo forense adequado precisa ser capaz de responder a perguntas específicas com evidências rastreáveis.
Como o acesso não autorizado aconteceu: qual foi o vetor de entrada, se foi uma credencial comprometida, uma vulnerabilidade explorada ou um movimento interno. Quando aconteceu: a linha do tempo do incidente, desde o primeiro acesso até o momento em que foi identificado. O que foi acessado ou exfiltrado: quais dados foram tocados, copiados ou transmitidos para fora do ambiente. Quem estava envolvido: se há evidências que apontem para responsáveis internos ou externos.
Cada uma dessas respostas precisa estar lastreada em evidências coletadas com integridade verificável. Um laudo pericial que não consegue explicar como chegou às suas conclusões ou que apresenta material com a cadeia de custódia comprometida pode ser derrubado antes mesmo de ser analisado pelo mérito.
Por que isso importa além do processo judicial
A investigação forense de um vazamento de dados não serve apenas para processos judiciais. Ela serve para a notificação à ANPD, que exige uma descrição do incidente dentro de três dias úteis a partir da ciência do evento, conforme a Resolução CD/ANPD nº 15/2024.
Serve para demonstrar diligência técnica em processos administrativos, onde a diferença entre uma empresa que investigou adequadamente e uma que simplesmente restaurou o ambiente pode determinar a diferença entre uma advertência e uma multa com base no faturamento da empresa.
E serve para a empresa entender o que aconteceu de verdade, porque sem uma investigação forense adequada, a causa raiz do incidente raramente é identificada com precisão suficiente para garantir que não vai acontecer de novo.
A STWBrasil conduz investigações forenses em incidentes de segurança com protocolo de coleta rastreável, cadeia de custódia documentada e laudos estruturados para uso em processos judiciais, administrativos e notificações regulatórias. Se sua empresa passou por um incidente ou quer entender como preparar o ambiente para uma resposta adequada, converse com nossa equipe.
