Ex-funcionário com acesso: o vazamento silencioso

Pega o seu celular e responde rápido: quantas pessoas que não trabalham mais com você ainda conseguem entrar no Google Drive da empresa hoje? Se você travou por dois segundos, já sabe a resposta. Um ex-funcionário com acesso aos seus sistemas é o tipo de risco que não faz barulho, não gera alerta, não aparece em relatório. Ele só aparece no dia em que já é tarde.

Em agosto de 2026 a Apple foi ao tribunal dizer que mais ex-funcionários podem ter levado material confidencial para a OpenAI. A Apple. A empresa com um dos times de segurança mais paranoicos do planeta, crachá que bipa, prédio compartimentado, gente que não pode falar do próprio projeto com o colega da mesa ao lado. Se lá acontece, o seu escritório com dez pessoas e trinta contas de SaaS não está imune. Está só menos observado.

Não é sobre roubo, é sobre a porta que ficou aberta

Todo mundo imagina o vazamento como um filme: o cara copiando arquivo no pendrive às três da manhã. Na prática é bem mais chato que isso.

É o vendedor que exportou a lista de clientes pro Google Sheets pessoal dele em março, porque era mais rápido trabalhar assim. Saiu em julho. A planilha continua lá, na conta dele, com os seus 4 mil contatos e ticket médio de cada um.

É a designer freelancer que ainda é admin do Figma. É o estagiário que segue no grupo de WhatsApp do financeiro. É a conta de e-mail marketing que ninguém desativou porque ninguém lembra quem criou.

Nenhuma dessas pessoas é vilã. A maioria nem lembra que tem esse acesso. Mas o dado está fora do seu controle, e "fora do seu controle" é a definição literal de vazamento, com ou sem má intenção.

Dado que saiu não volta. Você não deleta o que já está na nuvem de outra pessoa.

O problema real: você não sabe quantas contas existem

Aqui está a parte incômoda. Antes de revogar acesso, você precisa saber onde tem acesso. E quase nenhuma empresa pequena sabe.

Faz um teste. Pega o extrato do cartão da empresa dos últimos 12 meses e marca toda cobrança em dólar de nome estranho. Notion, Slack, Canva, Trello, Figma, Mailchimp, Calendly, alguma ferramenta de IA, um encurtador de link, aquele app de assinatura de contrato. Eu já fiz isso com cliente que jurava ter "umas 6 ferramentas". Contamos 31.

Trinta e uma portas. Cada uma com sua própria lista de usuários, seu próprio painel de permissão, seu próprio botão de remover que fica em um lugar diferente. É por isso que o desligamento nunca é completo: ninguém tem a lista.

E tem o agravante moderno. Muita ferramenta hoje se conecta em outra via "Entrar com Google". Quando você desliga a conta Google da pessoa, algumas dessas conexões caem junto, outras não. As que usam senha própria continuam vivas, indiferentes ao fato de que a pessoa entregou o crachá.

O que fazer na sexta-feira que alguém sai

Não precisa de software caro nem de consultoria. Precisa de uma lista e de trinta minutos. Faz nesta ordem:

• Primeiro o e-mail. Suspende a conta do Google Workspace ou Microsoft 365 antes de qualquer coisa. É a chave mestra: quase todo "esqueci minha senha" das outras ferramentas passa por ali. Suspende, não deleta, você ainda vai querer os arquivos.
• Depois o que tem dinheiro dentro. Banco, gateway de pagamento, painel de anúncios, emissor de nota. Aqui o dano é imediato e mensurável.
• Depois o que tem cliente dentro. CRM, planilha comercial, ferramenta de e-mail, WhatsApp Business. Sua base de clientes vale mais do que você acha, e é o item mais fácil de levar embora.
• Depois o resto. Design, gestão de projeto, documentação, repositório de código.
• Por último, as senhas compartilhadas. Aquele login único do Canva que oito pessoas usam. Troca. Se a pessoa sabia a senha, ela continua sabendo.

Uma coisa que quase ninguém faz e que muda o jogo: antes de suspender, transfere a propriedade dos arquivos do Drive para outra pessoa. Se você só suspende, os documentos ficam num limbo e recuperar depois dá um trabalho absurdo. Cinco minutos ali economizam uma tarde inteira.

"Mas eu confio na minha equipe"

Ótimo, continue confiando. O checklist não é sobre desconfiança, é sobre o que acontece quando a memória falha.

Pensa assim: você confia no seu contador, e ainda assim guarda os comprovantes. Você confia na sua equipe, e ainda assim tem contrato assinado. Revogar acesso é da mesma família. É higiene, não acusação.

E tem o lado que protege a própria pessoa. Se um dado da sua empresa vaza e o ex-funcionário ainda tinha login ativo, ele vira suspeito automático, mesmo sem ter feito nada. Fechar a porta na saída protege os dois lados.

Um detalhe prático: coloca a revogação de acessos como item do processo de saída, junto com a devolução do notebook. Ninguém devolve notebook "quando lembrar". Devolve no dia. Acesso deveria funcionar igual.

Onde a automação entra sem virar projeto de seis meses

Você não precisa de uma plataforma de governança de identidade. Precisa de duas coisas simples.

A primeira é um inventário vivo. Uma planilha basta, sério. Colunas: ferramenta, para que serve, quem paga, quem é admin, quem tem acesso. Atualiza quando contrata alguém e quando alguém sai. Já vi essa planilha economizar R$ 1.400 por mês de assinatura de ferramenta que ninguém usava mais, o que quase sempre paga o esforço de montar ela.

A segunda é fazer o computador lembrar por você. Um formulário de desligamento que dispara a checklist automática, marca as tarefas, notifica quem precisa executar e cobra até estar tudo fechado. Isso é uma automação de meia dúzia de passos, não um sistema. Roda em ferramenta que você provavelmente já paga.

O ganho não é técnico, é humano. Desligamento costuma ser um dia carregado, às vezes tenso, e é exatamente aí que a atenção some. Processo automatizado não fica com pena de ninguém e não esquece o Figma.

O custo de não fazer nada

Vale colocar número nisso, porque risco abstrato ninguém prioriza.

Se a sua base de clientes vaza para um concorrente, quanto vale? Se um contrato com cláusula de confidencialidade é quebrado por um acesso que você deixou aberto, quem responde? A LGPD não pergunta se foi por descuido. Ela pergunta se você tinha controle sobre quem acessava dado pessoal. "A gente esqueceu de tirar o acesso dele" não é uma defesa boa.

A Apple tem um time inteiro e mesmo assim está discutindo isso na justiça. Você não vai ter time inteiro. Vai ter uma planilha e um checklist, e sinceramente, na sua escala, isso resolve 90% do problema.

Se quiser mapear as ferramentas da sua empresa e montar esse processo de saída de forma que ele rode sozinho, me chama pra conversar. Costuma ser mais rápido do que você imagina, e dorme melhor depois.

Quantas pessoas que não trabalham mais com você ainda conseguem entrar no Drive da empresa hoje?

Se você travou por dois segundos, já sabe a resposta.

Em agosto de 2026 a Apple foi ao tribunal dizer que mais ex-funcionários podem ter levado material confidencial. A Apple. Crachá que bipa, prédio compartimentado, time de segurança paranoico.

Seu escritório com dez pessoas e trinta assinaturas de SaaS não está imune. Está só menos observado.

E quase nunca é filme de espionagem. É a planilha de clientes que o vendedor exportou pro Gmail pessoal em março e saiu em julho. É a freela que segue admin do Figma. É o login compartilhado do Canva que oito pessoas sabem de cor.

Ninguém é vilão. Mas dado fora do seu controle é vazamento, com ou sem má intenção.

Não precisa de software caro. Precisa de uma lista das ferramentas e de trinta minutos na sexta que alguém sai.

Quer que eu te ajude a montar esse checklist antes de precisar dele? Me chama.

#SegurançaDaInformação #LGPD #GestãoDeEmpresas #Automação #PequenasEmpresas