Perder o domínio da empresa: o risco que ninguém olha

Imagine acordar numa terça e o site da sua empresa não abrir. O e-mail também não. Você entra no painel do registrador e a senha não funciona. Alguém ligou no suporte, disse que era você, e o atendente acreditou. Perder o domínio da empresa desse jeito não é filme, é uma história que apareceu no Hacker News recentemente: um usuário contou que a Namecheap transferiu o controle da conta dele para um terceiro que nem verificação completa passou.

O detalhe cruel é esse. Não teve invasão. Não teve senha vazada. Não teve malware. Teve um ser humano do outro lado do chat clicando em "aprovar".

O que aconteceu, em português claro

A pessoa tinha uma conta antiga em um registrador de domínios. Um terceiro entrou em contato com o suporte alegando ser o dono. Apresentou informações parciais. O suporte pediu documentos, recebeu algo que parecia razoável, e liberou o acesso.

Do outro lado, o dono real ficou sem nada. Domínio, DNS, e-mails apontando pro domínio, tudo. E aí começou a parte pior: provar que você é você para uma empresa que já decidiu que outra pessoa é você.

Autenticação de dois fatores não salva nesse cenário. Senha forte não salva. Gerenciador de senhas não salva. Porque o ataque não passou pela porta da frente. Passou pelo balcão de atendimento.

Sua segurança digital é tão forte quanto o atendente mais cansado do suporte do seu fornecedor.

Por que isso é problema de dono de negócio, não de TI

Porque o domínio não é um detalhe técnico. É o endereço da sua empresa.

Pensa no que está pendurado nele:

• O site, óbvio.
• Os e-mails corporativos (contato@, financeiro@, você@).
• A recuperação de senha de praticamente todo SaaS que você usa. Banco, CRM, sistema de nota fiscal, Google Workspace, Meta Business.

Esse último item é o que mata. Quem controla o seu e-mail controla o "esqueci minha senha" de tudo. Perder o domínio não é perder um site. É perder a chave mestra.

Já vi empresa com faturamento bom descobrir que o domínio estava registrado no CPF de um estagiário que saiu em 2019. E o e-mail de contato do domínio era o Hotmail pessoal dele. Ninguém dormiu bem naquela semana.

Você não controla o suporte deles, mas controla três coisas

Não dá para auditar o treinamento do suporte de cada fornecedor. Então o jogo muda: em vez de tentar impedir a falha, você reduz o estrago quando ela acontece.

1. Separe o e-mail de recuperação do domínio.

Se o e-mail cadastrado no registrador é você@suaempresa.com.br, e a empresa perde o domínio, você perde o e-mail que usaria pra recuperar o domínio. É um nó cego. O e-mail de contato do registrador tem que estar em outro provedor, com outro domínio. Um Gmail dedicado, usado só pra isso, resolve.

2. Trave o domínio.

Todo registrador sério oferece "registrar lock" ou trava de transferência. Alguns oferecem trava de 60 dias após mudanças. Ativa. É um clique e bloqueia a saída automática do domínio pra outro registrador.

3. Guarde a prova de que o domínio é seu.

Fatura de compra original, e-mail de confirmação de registro, comprovante de pagamento, CNPJ no cadastro. Um PDF numa pasta. Se o dia ruim chegar, você não vai estar procurando isso às três da manhã.

O teste dos dez minutos que quase ninguém faz

Senta com um café e responde por escrito:

• Onde está registrado o domínio da sua empresa? Qual empresa, qual login.
• Quem tem acesso a esse painel hoje? Nome e nome, não "o pessoal de TI".
• O e-mail cadastrado lá ainda existe e alguém lê?
• Se essa pessoa sumisse amanhã, você conseguiria entrar?
• Quem paga a renovação? Cartão de quem? Esse cartão ainda é válido?

Se você travou em duas dessas, achou um problema real. E é um problema barato de resolver hoje e caríssimo de resolver depois.

A última pergunta é uma armadilha simpática. Já vi domínio expirar porque o cartão do sócio que saiu foi cancelado e o e-mail de aviso ia pra uma caixa que ninguém abria. O ataque nem precisou existir. A empresa fez sozinha.

"Mas isso é raro, não vou perder tempo com isso"

É raro mesmo. Aí é que está a pegadinha.

Coisas raras com impacto altíssimo são exatamente as que ninguém prepara, porque a probabilidade parece justificar a preguiça. Só que o custo não é proporcional. Perder um dia de site é chato. Perder o domínio por três semanas enquanto você briga com um suporte em outro fuso horário é perder faturamento, perder cliente e explicar pra todo mundo que "não, a gente não fechou".

E tem o efeito colateral que ninguém conta: durante esses dias, quem está com o seu domínio pode mandar e-mail como você. Pros seus clientes. Pedindo pagamento em outra conta.

Não estou dizendo pra viver com medo. Estou dizendo que meia hora de organização compra um seguro que você provavelmente nunca vai usar. É como backup. Chato até o dia em que é a melhor decisão da sua vida.

O padrão maior: quem é o dono das suas contas?

Domínio é o caso mais dramático, mas o mesmo raciocínio vale pro resto do seu SaaS.

Faz uma lista das contas que, se sumissem, parariam a operação. Normalmente são umas seis a dez: registrador de domínio, provedor de e-mail, hospedagem, gateway de pagamento, CRM, ferramenta de disparo, gerenciador de anúncios, sistema fiscal.

Pra cada uma, três colunas: quem é o titular, qual é o e-mail de acesso, e quem consegue recuperar se o titular sumir. Uma planilha simples. Leva uma tarde.

O que você vai encontrar é previsível e sempre incomoda: metade das contas está no nome de alguém que não decide mais nada na empresa, e três delas usam o mesmo e-mail pessoal de 2017. Essa planilha, sozinha, já vale mais do que muita consultoria de segurança.

Depois disso vem a parte boa. Contas críticas com titularidade no CNPJ. E-mails de acesso em endereços da empresa, com um endereço externo de emergência. Acesso por perfil, não por "senha compartilhada no WhatsApp do time". Nada disso é caro. É só chato o suficiente pra nunca virar prioridade.

Se você leu até aqui e ficou com aquele desconforto de "acho que a gente está exposto", provavelmente está. É o tipo de coisa que eu gosto de resolver com o cliente antes de mexer em qualquer linha de código, porque não adianta ter um site bonito rodando em cima de uma fundação que qualquer atendente distraído pode derrubar.

Quer uma segunda opinião sobre como suas contas críticas estão organizadas? Me chama pra conversar.

Perdi a conta de quantas empresas descobriram que o domínio estava no CPF de um estagiário que saiu em 2019.

Teve um caso no Hacker News: cara perdeu o domínio porque alguém ligou no suporte do registrador, disse que era ele, e o atendente aprovou. Sem invasão. Sem senha vazada.

2FA não salva nesse cenário. Porque o ataque não passou pela porta da frente, passou pelo balcão de atendimento.

E domínio não é detalhe técnico. É a chave mestra: quem controla seu e-mail controla o "esqueci minha senha" de banco, CRM, Google Workspace, tudo.

Teste de 10 minutos: você sabe onde o domínio está registrado, quem tem acesso ao painel hoje e de quem é o cartão que paga a renovação? Se travou em duas dessas, achou um problema real.

Barato de resolver hoje. Caríssimo depois.

Se bateu aquele desconforto de "acho que a gente está exposto", me chama. É o tipo de conversa que eu prefiro ter antes do incidente.

#SegurançaDigital #GestãoDeTI #PequenasEmpresas #Tecnologia #ContinuidadeDeNegócios