Microsoft 365 e Google Workspace são seguros? O que as empresas precisam entender

O que Microsoft 365 e Google Workspace oferecem em segurança

As duas plataformas têm recursos nativos de proteção. O Microsoft 365 inclui filtros de spam, detecção de malware, autenticação por SPF, DKIM e DMARC. Em planos mais avançados, o Microsoft Defender for Office 365 adiciona Safe Attachments e políticas contra phishing, spoofing e impersonação. O Google Workspace segue uma linha parecida, com controles de proteção configuráveis pelo Admin Console.

O problema não é a falta de recursos. É que os ataques modernos foram construídos para passar por eles. Não por falha das plataformas — mas porque esses ataques exploram comportamento humano, contas comprometidas e contexto, coisas que filtros técnicos não leem bem.

O que os relatórios da Microsoft e Google mostram

O Relatório de Defesa Digital da Microsoft de 2024 registrou mais de 600 milhões de ataques de identidade por dia, com predominância de ataques baseados em senha. A Microsoft bloqueou mais de 7.000 desses ataques por segundo ao longo do ano.

Mesmo assim, o próprio relatório aponta que criminosos passaram a usar técnicas que contornam até o MFA, como o Adversary-in-the-Middle, que intercepta sessões autenticadas em tempo real sem precisar roubar a senha.

O relatório ainda mostra que, segundo dados do Microsoft Entra, apenas 41% dos usuários corporativos tinham MFA ativado em 2024. Ou seja, a maioria das contas ainda depende apenas de senha.

Do lado do Google, o M-Trends 2024 da Mandiant mapeou os vetores de entrada mais comuns em incidentes investigados: exploits (38%), phishing (17%), comprometimento prévio (15%) e credenciais roubadas (10%). 

Proteção nativa ou não, os ataques que chegam ao destino continuam a explorar o comportamento humano e as credenciais como porta de entrada.

Esses não são dados de críticos externos. São os números que a Microsoft e o Google publicam nos seus próprios relatórios anuais. E eles deixam clara a preocupação que se deve ter com cibersegurança.

O risco das configurações padrão

Tem outro ponto que passa despercebido: boa parte dos recursos avançados dessas plataformas não está ativada por padrão. Eles existem, mas precisam ser adquiridos, conectados e/ou configurados.

No Microsoft 365, a política padrão de anti-phishing cobre spoofing e inteligência de caixa postal. Mas a proteção contra personificação e ajustes de sensibilidade para detecção de phishing precisam ser habilitados manualmente. 

Resultado: duas empresas no mesmo plano podem ter níveis de proteção completamente diferentes, dependendo do que foi configurado, revisado e das exceções que foram criadas ao longo do tempo.

No Google Workspace acontece o mesmo. Os controles avançados estão no Admin Console, mas precisam ser ativados. 

Uma empresa pode estar usando uma plataforma com recursos sólidos e, mesmo assim, estar exposta porque ninguém ativou o que estava disponível.

Sem revisão periódica das políticas e monitoramento contínuo, até os melhores recursos ficam subutilizados.

O que os filtros nativos não conseguem cobrir

Microsoft 365 e Google Workspace são plataformas de produtividade. A segurança é uma camada dentro delas, não o produto principal. Isso costuma criar lacunas reais.

Análise pós-entrega. Muitas proteções atuam no momento em que a mensagem chega. Recursos de remediação pós-entrega existem nos planos mais avançados, mas dependem de configuração específica e nem sempre estão ativos. Uma mensagem pode continuar acessível na caixa de entrada mesmo depois que novos sinais indicam risco.

Ameaças que vêm de dentro. Quando uma conta corporativa é comprometida e usada para atacar colegas, o e-mail sai de um domínio legítimo com autenticação válida. Os filtros de reputação não disparam porque a conta é real. Como abordado no post sobre phishing interno, esse é um dos ataques mais difíceis de detectar exatamente por isso.

QR Codes maliciosos. Filtros que analisam URLs textuais podem não identificar links embutidos dentro de imagens. O quishing cresceu porque essa lacuna permite que mensagens maliciosas cheguem à caixa de entrada sem acionar alertas nos filtros convencionais.

Comportamento anômalo de contas. Identificar que uma conta está sendo usada de forma estranha, como, por exemplo, padrões de envio fora do normal e regras suspeitas criadas na caixa de entrada, exige análise comportamental contínua que vai além do que os filtros de entrada oferecem.

Quais ataques exploram essas lacunas

O Business Email Compromise é um dos casos mais diretos. Esse tipo de ataque usa contas comprometidas ou domínios muito parecidos com os legítimos para solicitar transferências, alterar dados bancários de fornecedores e aprovar pagamentos fraudulentos. 

O próprio Relatório de Defesa Digital da Microsoft aponta a manipulação de regras de caixa de entrada como uma técnica frequente nesses ataques.

O Adversary-in-the-Middle vai além: intercepta sessões autenticadas em tempo real, contornando o MFA. A vítima faz o login normalmente. O atacante captura o token de sessão e assume o controle da conta.

O spoofing de domínio, a engenharia social direcionada e o thread hijacking, em que o criminoso responde dentro de conversas reais para parecer parte natural da troca, completam o cenário que as proteções nativas não cobrem de forma consistente.