Informática Forense · Empresas

Como pode uma empresa mandar investigar sessões ou tokens roubados no caso de um ataque à nuvem?

Nicht jeder unbefugte Cloudzugriff benötigt eine erneute Passwortanmeldung oder einen sichtbaren MFA-Fehler.

Pedido de informação sem compromisso

Por que razão esta questão é importante para uma empresa

Após um ciberataque, as decisões de natureza técnica, económica, em matéria de proteção de dados e regulamentar podem depender da mesma questão de facto. Por isso, uma reconstrução fiável deve distinguir claramente entre atividade comprovada, possibilidade técnica e mera suposição.

Abordagem técnica de investigação

Wir untersuchen Session-, Token-, Geräte-, App- und Sign-in-Kontext sowie Folgeaktionen und Sicherheitsänderungen.

Onde se situa o limite da afirmação

Aus fehlender erneuter MFA-Abfrage darf nicht automatisch auf einen bestimmten Token-Diebstahlmechanismus geschlossen werden.

Porquê o LanCologne?

Após um ciberataque, uma empresa precisa, em primeiro lugar, de segurança e de capacidade operacional. No entanto, para as decisões posteriores, não basta saber apenas que ‚ocorreu um ataque‘. A direção, os responsáveis pela proteção de dados, os consultores jurídicos, as seguradoras e, se for o caso, as autoridades necessitam de respostas fiáveis a questões factuais concretas.

Por isso, o modelo LanCologne distingue entre descoberta, primeiro acesso, comprometimento, persistência, movimento lateral, acesso a dados, possível exfiltração e ato concreto de danos. Estas fases podem estar muito distantes entre si no tempo e não devem ser equiparadas umas às outras.

Sempre que possível, as conclusões fundamentais são correlacionadas a partir de várias fontes de dados independentes. Os dados relativos a endpoints, redes, identidades, nuvem e sistemas têm, cada um, os seus próprios limites de validade. Para nós, um alarme automatizado ou um relatório do produto não constitui, por si só, a fonte de prova, mas sim um ponto de partida para a verificação dos dados primários subjacentes.

As hipóteses contrárias também fazem parte da investigação. Um início de sessão invulgar pode, por exemplo, ser explicado por ações administrativas legítimas, infraestrutura de VPN, serviços automatizados ou dados de acesso comprometidos. Só a correlação de outros indícios permite uma classificação fiável.

Caso faltem dados essenciais, essa lacuna não é preenchida com suposições. Especialmente no caso de incidentes cibernéticos, a afirmação ‚não é possível determinar com certeza com base nos dados recebidos‘ tem mais valor técnico do que um histórico de ataque aparentemente inequívoco, mas que não pode ser comprovado de forma reproduzível.

A nossa forma de trabalhar

A resposta a incidentes e a análise forense têm objetivos diferentes, mas complementares

A contenção de um ataque em curso visa, em primeiro lugar, proteger a empresa. A reconstrução forense esclarece, posteriormente ou em paralelo, o que realmente aconteceu. Por isso, as medidas de segurança necessárias não são negligenciadas apenas para preservar um estado ideal das provas; as alterações inevitáveis são documentadas na medida do possível.

Por que razão se recorre ao LanCologne após um ciberataque?

A LanCologne não orienta a investigação com base num cenário de ataque hipotético. O que é determinante são as conclusões técnicas que os dados primários obtidos efetivamente revelam. Os resultados incriminatórios, exculpatórios e em aberto são documentados de forma compreensível, para que a direção e os consultores jurídicos possam tomar decisões com base em factos verificáveis.

O artigo 32.º do RGPD obriga os responsáveis pelo tratamento e os subcontratantes a assegurar um nível de proteção adequado ao risco. Entre outros aspetos, são mencionados a confidencialidade, a integridade, a disponibilidade e a resiliência, bem como a capacidade de restabelecer atempadamente a disponibilidade e o acesso após um incidente técnico ou físico.

Caso se tenha verificado uma violação da proteção de dados pessoais no âmbito de um incidente cibernético, o artigo 33.º do RGPD pode ser aplicável. Nos termos desse artigo, uma violação sujeita a notificação deve, em princípio, ser comunicada sem demora e, na medida do possível, no prazo de 72 horas após ter sido detectada, à autoridade de controlo competente, desde que não se preveja que implique um risco para os direitos e liberdades das pessoas singulares. O artigo 33.º, n.º 5, exige ainda a documentação da violação, das suas consequências e das medidas corretivas adotadas. Caso se preveja um risco elevado, o artigo 34.º do RGPD pode, adicionalmente, exigir a notificação das pessoas em causa. A verificação da existência destes requisitos constitui uma avaliação do ponto de vista da proteção de dados; a informática forense fornece, para o efeito, os factos técnicos.

Desde 6 de dezembro de 2025 que a Lei do BSI, na sua versão revista, se aplica a determinadas empresas privadas, com vista à implementação dos requisitos da NIS-2. A determinação de se uma empresa é considerada uma entidade particularmente importante ou importante deve ser avaliada concretamente com base na versão atual da Lei do BSI (BSIG), nos setores, nos tipos de entidades e nos critérios de dimensão. Para as entidades abrangidas, a Lei BSI prevê, entre outras coisas, obrigações em matéria de gestão de riscos de cibersegurança e de incidentes de segurança; o artigo 38.º da Lei BSI atribui às administrações das entidades particularmente importantes e importantes a obrigação de implementar e supervisionar as medidas de gestão de riscos.

As obrigações legais de comunicação e documentação podem ser urgentes. No entanto, a LanCologne não toma nenhuma decisão jurídica definitiva sobre obrigações de comunicação, responsabilidade ou responsabilização. Fornecemos a base factual tecnicamente compreensível, com base na qual a administração, os responsáveis pela proteção de dados e os consultores jurídicos podem tomar as suas decisões.

Perguntas frequentes

🔗 Temas relacionados