Contas de ex-funcionários ainda ativas estão mantendo portas abertas dentro das empresas
Entenda como acessos esquecidos após desligamentos e mudanças de função podem permitir invasões, vazamentos e alterações não autorizadas.
Quando um profissional deixa a empresa, diversas providências administrativas são realizadas. Porém, nem sempre os acessos digitais recebem a mesma atenção.
A conta de e-mail pode ser bloqueada, enquanto o usuário continua ativo na VPN, no armazenamento em nuvem, no sistema financeiro, nas redes sociais ou em uma plataforma de anúncios.
Também existem senhas compartilhadas, sessões abertas, chaves de integração e dispositivos que permanecem autorizados mesmo depois do encerramento do vínculo.
Esses acessos esquecidos podem ser utilizados pela própria pessoa, por alguém que obtenha suas credenciais ou por criminosos que encontrem contas antigas sem monitoramento.
Neste artigo, você vai entender:
- ✓Por que contas antigas continuam funcionando
- ✓Quais acessos costumam ser esquecidos
- ✓Como desligamentos e mudanças de função criam riscos
- ✓O que deve ser revogado no último dia de trabalho
- ✓Como integrar os processos de pessoas e tecnologia
Os riscos escondidos depois de um desligamento
Conta de e-mail ativa
A conta pode permitir acesso a mensagens, arquivos, contatos, redefinições de senha e informações internas.
Sessões que continuam abertas
Mesmo depois da troca de senha, celulares e navegadores podem manter sessões autenticadas.
Acesso remoto esquecido
Credenciais de VPN, área de trabalho remota e ferramentas de suporte podem continuar funcionando.
Aplicativos fora do controle central
Plataformas contratadas diretamente pelos setores podem não aparecer na lista oficial da tecnologia.
Senhas compartilhadas
A mesma credencial pode continuar conhecida por pessoas que já deixaram a organização.
Arquivos pessoais com dados corporativos
Documentos podem permanecer sincronizados em celulares, computadores e contas particulares.
Chaves e integrações ativas
Tokens, chaves de API e conexões automáticas podem continuar autorizando operações.
Acesso a redes sociais
Perfis institucionais podem permanecer conectados em dispositivos pessoais ou contas externas.
Mudança de função sem revisão
Um colaborador transferido pode acumular permissões antigas que já não são necessárias.
Falta de responsável
Pessoas e tecnologia podem acreditar que a outra área realizou a remoção dos acessos.
Equipamentos não devolvidos
Notebooks, celulares, cartões e outros dispositivos podem continuar armazenando informações.
Ausência de registros
A empresa pode não conseguir descobrir se a conta antiga foi utilizada depois do desligamento.
Desligar uma pessoa do quadro da empresa não desliga automaticamente todas as suas identidades digitais.
Como criar um desligamento digital seguro
O encerramento dos acessos precisa fazer parte do processo oficial de desligamento e também das mudanças de função.
A remoção deve acontecer de forma coordenada, no momento correto e com uma confirmação final de que nenhuma porta digital permaneceu aberta.
Criar uma lista completa de acessos
Registre sistemas, e-mails, nuvens, VPNs, redes sociais, plataformas financeiras, dispositivos e integrações.
Integrar pessoas e tecnologia
A área responsável pelo desligamento deve comunicar a equipe técnica com antecedência e por um canal definido.
Determinar o horário do bloqueio
Estabeleça quando os acessos serão desativados conforme o tipo de desligamento e o risco envolvido.
Desativar contas individuais
Bloqueie o usuário em todos os sistemas e evite apenas trocar sua senha.
Encerrar sessões ativas
Revogue conexões existentes em navegadores, celulares, aplicativos e serviços de nuvem.
Cancelar acessos remotos
Remova VPNs, certificados, ferramentas de suporte e autorizações de dispositivos.
Trocar credenciais compartilhadas
Altere senhas, códigos e chaves que também eram conhecidos pelo profissional desligado.
Transferir arquivos e responsabilidades
Defina quem ficará responsável por documentos, e-mails, projetos, contas e processos em andamento.
Recolher equipamentos
Receba notebooks, celulares, cartões, chaves físicas e outros recursos entregues pela empresa.
Revogar integrações
Cancele tokens, chaves de API, aplicações autorizadas e conexões automáticas criadas pelo usuário.
Guardar evidências do processo
Registre quem realizou cada bloqueio, quando ocorreu e quais itens foram verificados.
Monitorar tentativas posteriores
Acompanhe acessos recusados e comportamentos incomuns após o desligamento.
Revisar mudanças de função
Remova permissões antigas quando uma pessoa muda de setor, cargo ou responsabilidade.
Compare a lista de pessoas desligadas ou transferidas nos últimos meses com os usuários ativos nos principais sistemas. Investigue todas as contas que não possuem uma necessidade atual confirmada.
O que muda quando o desligamento digital é controlado
Antes
- ✓Apenas o e-mail principal é bloqueado
- ✓Sessões continuam abertas em dispositivos
- ✓Aplicativos menores são esquecidos
- ✓Senhas compartilhadas permanecem iguais
- ✓Mudanças de função acumulam permissões
- ✓Ninguém confirma o encerramento completo
Depois
- ✓Todos os acessos são registrados
- ✓Contas e sessões são encerradas
- ✓Credenciais compartilhadas são alteradas
- ✓Arquivos têm um novo responsável
- ✓Permissões antigas são removidas
- ✓Cada etapa possui confirmação e registro
Um desligamento só termina quando pessoas, dispositivos, contas, sessões e integrações deixam de possuir acesso.
Perguntas frequentes
O e-mail deve ser excluído imediatamente?
Nem sempre. A conta pode ser bloqueada e seu conteúdo preservado ou transferido conforme as regras e necessidades da empresa.
Trocar a senha encerra todas as sessões?
Não necessariamente. Muitos serviços exigem a revogação específica das sessões, dispositivos e tokens ativos.
Quando os acessos devem ser bloqueados?
O horário deve ser definido previamente conforme o tipo de desligamento, evitando tanto bloqueios antecipados quanto acessos após o encerramento.
Quem deve solicitar a remoção?
A empresa precisa definir formalmente qual área inicia o processo e quem confirma a execução técnica.
Contas compartilhadas precisam ter a senha alterada?
Sim, quando a pessoa desligada conhecia a credencial. O ideal é substituir contas compartilhadas por acessos individuais.
O que fazer com os arquivos do ex-funcionário?
Eles devem ser preservados e transferidos para um responsável autorizado, respeitando as regras internas e legais aplicáveis.
É necessário bloquear o acesso às redes sociais?
Sim. Remova o usuário, encerre sessões em dispositivos pessoais e revise e-mails e telefones utilizados para recuperação.
Mudanças de cargo também exigem revisão?
Sim. A pessoa deve perder os acessos da função anterior e receber somente as permissões necessárias para a nova atividade.
Como encontrar aplicativos que a tecnologia desconhece?
Converse com cada setor, analise cobranças, extensões, integrações e ferramentas utilizadas diretamente pelas equipes.
O equipamento devolvido pode ser entregue imediatamente a outra pessoa?
O dispositivo deve passar por verificação, preservação dos dados necessários e preparação segura antes de ser reutilizado.
É preciso monitorar a conta depois do bloqueio?
Sim. Tentativas posteriores de acesso podem indicar credenciais salvas, erros no processo ou atividade suspeita.
O processo vale para fornecedores e temporários?
Sim. Qualquer pessoa externa com acesso deve possuir data de expiração e procedimento de encerramento.
Conclusão
Contas antigas não desaparecem sozinhas. Elas permanecem nos sistemas até que alguém identifique, bloqueie e confirme a remoção.
O risco não envolve apenas ações intencionais de ex-funcionários. Credenciais abandonadas também podem ser encontradas e utilizadas por criminosos sem despertar atenção imediata.
Um processo seguro conecta pessoas, tecnologia, gestores e responsáveis pelos sistemas em uma única lista de verificação.
O último dia de trabalho também precisa ser o último dia de acesso.
Quando cada conta, sessão, dispositivo e integração possui um encerramento confirmado, a empresa reduz portas esquecidas e mantém o controle sobre suas informações.
Descubra quais ex-funcionários ainda possuem acesso
Revise contas antigas, encerre sessões esquecidas e implemente um processo seguro para desligamentos e mudanças de função.
Referências técnicas
- Threat Actor Leverages Compromised Account of Former Employee — CISA
- Weak Security Controls and Practices Routinely Exploited — CISA
- Identity and Access Management — NIST
- Identity and Access Management Practice Guide — NIST
- Incident Response Recommendations and Considerations — NIST
- NIST Cybersecurity Framework 2.0 — NIST
