É muito comum, especialmente entre funcionários insatisfeitos com seus superiores, criar um e-mail "anônimo" gratuito e enviar uma mensagem para todos os funcionários da empresa difamando o chefe. Há casos em que um determinado diretor ou chefe recebe um e-mail sendo ameaçado até de morte ou seqüestro.
 
O que acontece na prática?
O funcionário é mal tratado pelo seu superior na frente dos colegas de trabalho. Insatisfeito com a situação, ele começa reclamar de seu chefe para outros colegas de trabalho. As pessoas que recebem esta informação começam a ficar atentas e logo é criado um relatório entre os funcionários sobre todos os defeitos deste chefe “maldoso”.
 
A segunda fase entra em ação rapidamente: é criado um e-mail gratuito para disseminar as informações negativas sobre o chefe para todos os funcionários, investidores e clientes da empresa.
 
O funcionário insatisfeito solicita a ajuda de algum amigo ou parente que está em algum local distante da empresa para disseminar as informações. A pessoa “recrutada” prontamente utiliza o computador de uma lan house para acessar o e-mail gratuito que será utilizado para enviar as informações.
 
O conteúdo do e-mail já está pronto e os destinatários já estão relacionados em algum tipo de documento. O “recruta” ou cúmplice simplesmente copia as informações para o webmail gratuito e envia a mensagem para diversos destinos chaves, tais como: investidores, clientes e todos os funcionários da empresa.
 
Como encontrar as evidências?
É possível identificar o autor de qualquer mensagem transmitida através da internet.

O presidente da empresa autoriza o rastreamento do autor da mensagem. A equipe de segurança da informação identifica que o e-mail foi enviado através de um e-mail gratuito. É necessário identificar o “proprietário” ou usuário desta conta de e-mail.

O departamento jurídico é acionado para conseguir as informações necessárias através de ordem judicial. Isso ocorre porque o provedor do e-mail gratuito garante a confidencialidade de seus usuários.
 
Seguindo os procedimentos de investigação o tempo de resposta pode variar de dois dias até algumas semanas. As evidências podem estar espalhadas em diversos computadores. Relatórios gerados dos sistemas de segurança da empresa podem ajudar a identificar as pessoas envolvidas na fase de organização das informações. Porém, as evidências que estão no provedor do e-mail gratuito e no computador utilizado para acessar e enviar a mensagem são mais difíceis de serem organizadas.
 
A montagem deste quebra-cabeça é feita com a colaboração do departamento jurídico, de provedores e/ou empresas, policia e técnicos especializados em forense computacional.

Como evitar este problema?
Todos os e-mails destinados a "listas de distribuição" devem possuir restrições para que apenas mensagens originadas da própria empresa possam enviar e-mails. Qualquer mensagem externa, ou seja, tendo como origem a internet deve ser bloqueada.

Programas que realizam filtros de conteúdo nos e-mails devem ser considerados. Dessa forma, a empresa pode filtrar o conteúdo que é permitido ou não na empresa.

Treinamentos de conscientização sobre o uso do e-mail devem ser constantes. As empresas devem focar nos assuntos que tratam a propriedade intelectual e nas leis que tratam de crimes realizados através de um computador. O efeito moral é muito mais forte que qualquer tecnologia de segurança.

Denny Roger é consultor independente, membro Comitê Brasileiro sobre as normas de gestão de segurança da informação (série 27000), especialista em análise de risco, projetos de redes seguras e perícia forense. E-mail: denny@dennyroger.com.br.