Links públicos de arquivos: o vazamento silencioso da sua empresa

O compartilhamento que ninguém mais lembra que existe

Todo vazamento de dados corporativos tem uma imagem mental associada: hacker, ransomware, servidor invadido de madrugada. A realidade da maioria dos incidentes que atendemos é bem mais silenciosa. Alguém precisou enviar uma planilha rápido, clicou em "Compartilhar", escolheu a opção mais fácil — "Qualquer pessoa com o link" — e mandou por e-mail ou WhatsApp. O arquivo chegou, o problema foi resolvido, a tarefa saiu do radar. O link, não. Ele continua ativo. Hoje, amanhã, daqui a três anos, até alguém apagar o arquivo ou a empresa migrar de plataforma.

Um link público de arquivo é, na prática, uma credencial permanente disfarçada de conveniência. Ele não exige login, não valida quem está do outro lado, não distingue o destinatário original de quem recebeu o encaminhamento. Se o endereço foi copiado para um grupo de WhatsApp, colado num chamado de suporte de terceiros, indexado por um crawler ou simplesmente ficou no histórico de e-mail de um funcionário que saiu da empresa, o acesso permanece exatamente igual ao do primeiro dia. Não há revogação automática, não há expiração por padrão na maioria das configurações, e nada avisa o dono do arquivo de que ele continua exposto.

O ponto crítico é a assimetria de risco. Criar um link público leva dois cliques e nenhuma aprovação. Descobrir que ele existe, entender o que foi exposto e por quanto tempo exige auditoria ativa, logs preservados e alguém com competência para lê-los. É por isso que chamamos esse cenário de vazamento silencioso: o dano é contínuo e o sinal é nulo até que algo apareça onde não deveria.

Como o compartilhamento indevido acontece na prática

Na esmagadora maioria dos casos, não há má-fé. Há pressa, desconhecimento da diferença entre os tipos de link e uma interface que trata o compartilhamento aberto como a rota de menor atrito. No OneDrive e no SharePoint, por exemplo, o tipo de link padrão pode ser configurado no nível do tenant — e muitas empresas nunca revisaram esse padrão desde o dia da migração. Se o padrão é "Qualquer pessoa", cada usuário que clica em compartilhar sem prestar atenção está publicando o arquivo.

Os padrões de exposição que mais encontramos em auditorias seguem quase sempre o mesmo roteiro:

• Envio para terceiros: contador, advogado, fornecedor ou candidato recebe uma pasta compartilhada "só para esse projeto" e o acesso nunca é encerrado quando o projeto termina.
• Compartilhamento de pasta em vez de arquivo: o usuário precisa enviar um documento, mas compartilha a pasta inteira que o contém — junto com tudo que for colocado ali depois.
• Link colado em ferramentas de terceiros: sistemas de chamados, planilhas colaborativas, quadros de projeto e grupos de mensagens guardam o endereço muito além do prazo de uso.
• Ex-colaboradores: a conta é bloqueada no desligamento, mas os links que a pessoa criou continuam funcionando, porque a permissão está no arquivo e não na sessão de quem compartilhou.
• Herança de permissão quebrada: uma subpasta com permissão exclusiva sobrevive a toda a reorganização de acessos feita no nível superior.
• Sites e Teams órfãos: equipes criadas para um projeto encerrado permanecem com conteúdo e convidados externos ativos, sem dono responsável.

Some a isso a rotatividade natural das empresas. Em cinco anos, o conjunto de pessoas com acesso legítimo muda quase por completo, mas o conjunto de links criados só cresce. É um passivo cumulativo: cada mês sem auditoria adiciona compartilhamentos que ninguém está monitorando, e a probabilidade de que ao menos um deles aponte para dado sensível se aproxima de 100%.

O que realmente está em risco

A resposta honesta é: o que você não sabe que compartilhou. E o inventário costuma assustar. Folhas de pagamento e planilhas de RH com CPF, endereço e salário. Contratos e propostas comerciais com precificação. Bases de clientes com dados pessoais completos. Documentos de identidade digitalizados. Planilhas de senhas — sim, ainda existem, e são o achado mais frequente em auditorias de compartilhamento. Backups de sistemas em formato exportado. Documentação de rede, diagramas e credenciais de infraestrutura.

O impacto vai muito além do constrangimento. Sob a LGPD, um link público que exponha dados pessoais configura incidente de segurança com dever de avaliação e, dependendo do risco aos titulares, comunicação à ANPD e aos afetados. Não é preciso que alguém tenha efetivamente baixado o arquivo: a ausência de controle de acesso já caracteriza falha na medida de segurança que a lei exige. E, sem log de acesso preservado, a empresa fica na pior posição possível — não consegue provar que ninguém acessou, e portanto precisa tratar como se todos tivessem acessado.

Um link ativo é uma decisão de segurança que continua valendo muito depois de quem a tomou ter esquecido dela — e muito depois de essa pessoa ainda trabalhar na empresa.

Há também o vetor de ataque direto. Endereços de compartilhamento público podem ser descobertos por indexação quando colados em páginas, fóruns ou repositórios de código. Atacantes fazem varredura ativa em busca desses padrões, e um documento com organograma, nomes de diretores e formato de e-mail corporativo é matéria-prima de qualidade para fraude do CEO e phishing direcionado. O vazamento raramente é o fim do incidente; costuma ser o insumo do próximo.

Auditoria: como descobrir o que já está exposto

O primeiro passo não é bloquear — é enxergar. Bloquear antes de mapear quebra processos legítimos e gera uma enxurrada de exceções aprovadas às pressas, que é exatamente como a bagunça começou. A sequência que recomendamos é olhar, classificar, corrigir e só então endurecer a política.

1. Levante o inventário de compartilhamentos. No Microsoft 365, o relatório de governança de acesso a dados e os relatórios de compartilhamento do SharePoint Admin Center listam links anônimos ativos por site. Para volume maior, o PnP PowerShell permite varrer todos os sites e exportar arquivo, tipo de link, criador e data.
2. Cruze com o log de auditoria unificado. Os eventos de criação de link anônimo, acesso por usuário não autenticado e adição de convidado externo mostram não só o que existe, mas o que está sendo efetivamente usado. Atenção ao período de retenção do log: em muitos planos, o histórico é curto e precisa ser estendido ou exportado antes de sumir.
3. Classifique por sensibilidade, não por volume. Dez mil links são inauditáveis manualmente; os quarenta que apontam para pastas de RH, financeiro e jurídico não são. Rótulos de confidencialidade e políticas de DLP ajudam a localizar CPF, dados bancários e cartões dentro do conteúdo compartilhado.
4. Priorize o que está aberto, é antigo e é sensível. Essa interseção é a lista de trabalho real. Link público, criado há mais de um ano, apontando para conteúdo sensível: revogar imediatamente e avaliar como incidente.
5. Revise convidados externos e sites órfãos. Todo site sem dono ativo, toda equipe de projeto encerrado e todo convidado sem acesso recente entram na fila de desativação.
6. Documente o achado. Registre o que foi encontrado, o que foi revogado e qual a exposição estimada. Sem esse registro, não há resposta a incidente possível nem prova de diligência.

Uma advertência importante: apagar o link não apaga a cópia. Se um arquivo esteve público por dois anos, é preciso presumir que ele pode ter sido baixado. Revogar o acesso interrompe a exposição futura, mas o tratamento correto inclui avaliar a necessidade de rotacionar credenciais que apareçam no conteúdo, notificar as áreas afetadas e, quando houver dado pessoal, acionar o processo de incidente previsto pela LGPD.

Bloquear e expirar: a política que impede a reincidência

Limpeza sem mudança de configuração é trabalho perdido — em seis meses o problema volta ao mesmo tamanho. A correção estrutural está nos padrões do ambiente, e a boa notícia é que a maior parte dela é configuração, não investimento. Os controles que mais reduzem exposição, na ordem em que costumamos aplicá-los:

• Mudar o tipo de link padrão para "Pessoas específicas" ou "Pessoas na organização". Só isso elimina a maioria dos compartilhamentos abertos acidentais, porque o usuário passa a precisar escolher deliberadamente a opção aberta.
• Definir expiração obrigatória para links de acesso anônimo — 7, 15 ou 30 dias, conforme o uso real da empresa. Prazo curto força a renovação consciente e mata o passivo cumulativo na raiz.
• Restringir permissão de link anônimo a "somente visualização", impedindo edição por quem não se autenticou.
• Limitar quem pode criar link aberto, deixando o recurso disponível apenas para grupos que comprovadamente precisam dele.
• Aplicar expiração e revisão periódica de acesso de convidados externos, com desativação automática por inatividade.
• Bloquear compartilhamento externo em sites sensíveis — RH, financeiro, jurídico e diretoria — independentemente da política geral do tenant.
• Usar rótulos de confidencialidade e DLP para impedir que conteúdo classificado saia por link público, com bloqueio efetivo e não apenas aviso.
• Ativar alerta de criação de link anônimo para conteúdo sensível, transformando um evento invisível em notificação acionável.

Tecnologia sozinha não resolve o componente humano. Duas rotinas simples fazem diferença desproporcional: incluir "revogar compartilhamentos criados" no checklist de desligamento, ao lado de bloquear a conta e recolher o equipamento; e rodar uma revisão trimestral de acessos com os donos das áreas, que são as únicas pessoas capazes de dizer se aquele fornecedor ainda deveria enxergar aquela pasta. Cinco minutos de conversa com o gestor do financeiro esclarecem mais do que uma semana de análise de log pelo time técnico.

Vale também alinhar a expectativa interna. Endurecer a política vai gerar atrito nas primeiras semanas — pedidos de exceção, arquivos que "pararam de abrir", reclamação de parceiro externo. Esse atrito é o custo de ter transferido o risco de invisível para visível. Comunicar a mudança antes, explicar o motivo em linguagem simples e oferecer o caminho alternativo (link para pessoas específicas, com autenticação) reduz a resistência a quase zero.

Onde a Duk entra nessa conta

Auditar compartilhamento é um trabalho que quase nenhuma empresa consegue fazer sozinha, não por falta de capacidade, mas porque exige alguém de fora do fluxo diário para olhar o ambiente inteiro com método. Na Duk Informática & Cloud, esse é um dos itens fixos das nossas revisões de segurança em Microsoft 365: levantamento completo de links públicos ativos, cruzamento com log de auditoria, classificação por sensibilidade e um plano de remediação priorizado, com o que revogar hoje e o que ajustar na política para não voltar.

São mais de 18 anos de estrada e 550+ empresas atendidas, e a nossa condição de Microsoft Gold Partner significa acesso direto às ferramentas de governança do ecossistema e à documentação e ao suporte do fabricante quando o caso foge do trivial. Na prática, isso encurta o diagnóstico: já sabemos onde os links costumam se esconder, quais configurações de tenant deixam a porta aberta por padrão e como endurecer a política sem parar a operação de quem depende de compartilhar arquivo com cliente e fornecedor todos os dias.

Se a sua empresa nunca fez esse levantamento, a pergunta que vale a pena responder não é se existem links públicos esquecidos — existem, em praticamente todo ambiente com mais de dois anos de uso. A pergunta é o que eles expõem e há quanto tempo. Fale com a Duk para uma auditoria de compartilhamento do seu ambiente Microsoft 365: o diagnóstico é rápido, o resultado é uma lista objetiva de ações, e o custo de descobrir agora é sempre menor do que o de descobrir depois que o arquivo apareceu onde não devia.