O Microsoft 365 não vem seguro de fábrica: as configurações que quase ninguém ativa

A migração correu bem. Os e-mails passaram para a nuvem, todo mundo ganhou Office atualizado, os arquivos saíram do servidor velho e foram para o OneDrive. No fim do projeto, a sensação é boa e vem sempre acompanhada da mesma frase: "agora estamos na Microsoft, então estamos seguros".

Essa frase esconde um mal-entendido que custa caro.

A Microsoft entrega uma plataforma que pode ser extremamente segura. O que ela não faz é entregar essa segurança ligada. O padrão de fábrica do Microsoft 365 é calibrado para uma coisa acima de todas as outras: funcionar para o maior número possível de empresas, sem quebrar nada e sem atrapalhar ninguém no primeiro dia. Segurança que atrapalha um pouquinho fica desligada, esperando alguém decidir ligar.

O problema é que, terminada a migração, quase nunca existe esse alguém.

Este artigo lista as configurações que mais deixamos de encontrar ativadas quando assumimos um ambiente Microsoft 365, agrupadas por assunto, com o que cada uma evita na prática.

Por que o padrão não é o seguro

Vale entender a lógica antes da lista, porque ela explica todo o resto.

Imagine o tamanho do problema da Microsoft. O mesmo produto atende desde o escritório de duas pessoas até a multinacional com cem mil funcionários, em todos os países, com todo tipo de sistema antigo ainda pendurado. Se o padrão de fábrica fosse o mais rígido possível, uma parte enorme desses clientes teria coisas parando no dia da migração.

Então a Microsoft faz o que qualquer fabricante nessa posição faria: entrega funcionando, oferece as travas, e deixa a decisão de apertar com quem administra o ambiente.

A boa notícia é que boa parte do que realmente importa não custa licença nova. É configuração, não compra.

Identidade: onde os ataques realmente começam

A maioria dos incidentes que atendemos não começa com alguém invadindo um servidor. Começa com alguém entrando com usuário e senha legítimos, obtidos em um golpe de e-mail. Sobre como esse golpe chega, escrevemos em phishing: como golpes por e-mail enganam até a equipe mais atenta.

1. Segundo fator para todo mundo, inclusive a diretoria

É a configuração mais importante da lista, e a que mais encontra resistência.

O padrão típico que achamos é o segundo fator ativado para parte da equipe, com exceções para as pessoas que reclamaram. Normalmente são exatamente as pessoas com mais acesso: sócios, diretoria, financeiro.

Do ponto de vista de quem ataca, uma exceção não é uma exceção. É o caminho. Não adianta proteger dezoito contas e deixar duas abertas, porque o criminoso vai usar as duas.

A Microsoft oferece um caminho gratuito para isso, chamado Padrões de Segurança, incluído na licença básica de identidade. Ele exige o segundo fator e bloqueia protocolos antigos, sem custo adicional. Tenants criados a partir do fim de 2019 já nascem com ele ligado, mas ambientes mais antigos, ou que foram migrados de outras formas, muitas vezes estão sem.

2. Bloquear a autenticação legada

Esse é o item mais técnico da lista e vale a explicação, porque ele é traiçoeiro.

Existem formas antigas de um programa se conectar ao e-mail, criadas em uma época anterior ao segundo fator. Elas continuam funcionando por compatibilidade, e o detalhe cruel é que não sabem pedir o segundo fator. Ou seja: você ativa a verificação em duas etapas, dorme tranquilo, e o atacante entra por uma porta que simplesmente não pergunta o código.

É como instalar uma fechadura eletrônica na porta da frente e deixar a porta dos fundos com a tranca de 1990.

Bloquear esses protocolos antigos é o complemento obrigatório do item anterior. Sem isso, o segundo fator protege menos do que você imagina.

3. Conta de administrador separada da conta do dia a dia

Muito comum: o sócio ou o técnico usa a mesma conta para ler e-mail, navegar, receber anexo de cliente e também para administrar todo o ambiente.

Se essa conta cair, o invasor não ganha uma caixa de e-mail. Ganha o painel inteiro, com poder de criar contas, mudar permissões e apagar registros.

A prática correta é separar: uma conta comum para o trabalho, uma conta administrativa usada só quando precisa administrar, e uma conta de emergência guardada em local seguro para o caso de perder o acesso.

Empresas com licença Microsoft mais completa conseguem ir além disso, com regras que avaliam contexto a cada acesso, como localização e dispositivo. Esse recurso, o Acesso Condicional, exige licenciamento superior, e por isso costuma fazer mais sentido a partir de um certo porte. Vale saber que existe, mas os três itens acima resolvem a maior parte do risco sem essa despesa.

E-mail: onde o dinheiro vaza

Se identidade é onde o ataque começa, o e-mail é onde ele vira prejuízo financeiro.

4. Encaminhamento automático para fora da empresa

Esta merece atenção especial, porque a resposta depende da idade do seu ambiente.

Ambientes criados a partir de 2021 já vêm com o encaminhamento automático externo desabilitado. Ambientes mais antigos, não necessariamente. E existe uma configuração intermediária, chamada automática, cujo comportamento varia conforme o histórico da organização, a ponto de a própria Microsoft recomendar que você defina explicitamente ligado ou desligado em vez de deixar no automático.

Traduzindo para o que importa: se a sua empresa migrou para o Microsoft 365 há alguns anos, existe uma chance real de que qualquer usuário consiga configurar o encaminhamento de tudo que recebe para um endereço externo, sem que ninguém fique sabendo.

5. Alerta quando alguém cria uma regra de caixa de entrada

Essa é a configuração que mais gente desconhece, e é a que pega o golpe mais caro.

Depois que um criminoso entra em uma caixa de e-mail, ele raramente sai mandando mensagem. O movimento clássico é discreto: ele cria uma regra automática na caixa da vítima. A regra pode encaminhar para fora tudo que contenha certas palavras, geralmente relacionadas a fatura, pagamento, banco e contrato. Pode também mover essas mensagens para uma pasta que ninguém abre, ou apagá-las depois de copiar.

Aí ele espera. Acompanha uma negociação real, aprende o jeito que as pessoas escrevem, e no dia do pagamento entra na conversa com dados bancários trocados.

A dificuldade de perceber isso não é técnica, é estatística: criar regra de caixa de entrada é uma coisa absolutamente normal, que usuários legítimos fazem toda semana. Por isso a defesa não é proibir, é ser avisado. O ambiente pode gerar alerta quando uma regra nova de encaminhamento aparece, e esse alerta precisa chegar em alguém que olhe.

Visibilidade: saber o que está acontecendo

6. Registro de atividades ligado e alguém acompanhando

Sem registro de acesso e de atividade, um incidente vira adivinhação. Você descobre que houve um problema e não consegue dizer quando começou, quais contas foram afetadas nem o que saiu.

A Microsoft oferece também uma pontuação de segurança do ambiente, que compara a sua configuração com as boas práticas e sugere melhorias em ordem de impacto. É uma ferramenta gratuita, dentro do próprio painel, e uma boa forma de sair do achismo. A pergunta que vale fazer ao seu fornecedor é simples: qual é a nossa pontuação hoje, e o que está no topo da lista de recomendações?

Ciclo de vida: o que acontece quando alguém sai

7. Processo de desligamento

O momento de maior exposição de qualquer empresa é o desligamento feito no improviso.

Conta que continua ativa por meses, acesso a arquivos que ninguém revogou, e-mail que continua recebendo mensagem de cliente, celular pessoal ainda conectado à caixa corporativa. Isso não é falha de tecnologia, é falta de processo, e é uma das primeiras coisas que documentamos quando assumimos um ambiente.

Por que quase ninguém ativa isso

Vale dizer com clareza, porque não é preguiça nem incompetência.

O que acontece é que o projeto de migração tem começo, meio e fim, e a segurança do ambiente não. Quando a migração termina, o fornecedor entrega, todo mundo comemora, e a partir daí ninguém é dono da configuração. As travas que não foram ligadas no dia um continuam desligadas para sempre, porque não existe rotina de revisão.

É a mesma diferença que já tratamos em MSP, suporte avulso ou técnico de confiança: projeto tem entrega, ambiente tem manutenção. Segurança de nuvem é ambiente, não projeto.

E vale lembrar de um item que não está nesta lista porque merece artigo próprio: o Microsoft 365 não faz backup dos seus dados no sentido que a maioria das pessoas imagina. Explicamos isso em detalhe em a Microsoft não faz backup dos seus dados.

O que fazer com isso hoje

Não precisa de projeto grande para começar. Pegue esta lista e faça sete perguntas ao seu fornecedor de TI, ou a quem administra o ambiente:

Existe segundo fator para todos, sem exceção? A autenticação legada está bloqueada? As contas de administrador são separadas das contas comuns? O encaminhamento externo está explicitamente desligado? Existe alerta para regras novas de caixa de entrada? Qual é a nossa pontuação de segurança hoje? Existe processo escrito para desligamento?

Se as respostas vierem hesitantes, você não tem um problema de tecnologia. Tem um ambiente sem dono.

Estar na Microsoft é um bom começo. Não é a conclusão.