Praetorian: Como Criamos uma Solução de Segurança para Chats Corporativos no Telegram e Max

As discussões de trabalho migraram há muito tempo dos e-mails e sistemas de gerenciamento de tarefas para os aplicativos de mensagens. Grupos e canais de projeto são formados, incidentes são coordenados, links para sistemas internos são compartilhados e pessoas são reunidas em um único chat em questão de minutos. Para nós, isso se traduz principalmente em grupos e canais corporativos no Telegram e Max. Embora convenientes, essas plataformas introduzem uma nova superfície de risco do ponto de vista da segurança. Assim que um grupo ou canal se torna parte de um processo de negócios, ele carrega consigo todos os riscos associados a esse processo: phishing, engenharia social, links maliciosos, roubo de contas, vazamentos de dados, chats abandonados, participantes que deveriam ter sido removidos há muito tempo e conversas que permanecem sem limpeza por anos.

Proibir completamente os aplicativos de mensagens é uma má ideia. Uma ferramenta tão conveniente continuará sendo utilizada, apenas migrando para a sombra: as pessoas criarão grupos informais, usarão mensagens diretas e começarão a compartilhar informações de trabalho por meio de canais menos controlados. Por isso, seguimos um caminho diferente: em vez de proibir as comunicações, buscamos tornar os riscos dentro delas gerenciáveis. Assim nasceu o Praetorian – uma solução de segurança interna para proteger grupos e canais corporativos no Telegram e Max. Não se trata de uma simples adaptação de um bot, mas sim de uma colaboração entre as equipes de Segurança da Informação (SI) e Tecnologia da Informação (TI). A SI analisou como os ataques poderiam ocorrer e como responder a eles, enquanto a TI concebeu a arquitetura, implementou a lógica do bot e preparou o terreno para futuras expansões. A seguir, detalharemos por que os chats de trabalho se tornaram um foco para a SI, quais cenários abordamos, como tudo funciona e por que, em produtos como este, a detecção é apenas metade do trabalho, sendo a outra metade focada em privacidade, papéis e confiança dos usuários.

Para muitas equipes, um grupo em um aplicativo de mensagens se tornou um espaço de trabalho completo. Discussões sobre tarefas operacionais, incidentes de TI e SI, questões de suporte, aprovações, comunicação com lojas, armazéns e fornecedores, compartilhamento de links para sistemas internos, documentos e anexos – tudo que exige uma reação imediata é tratado ali. Para um atacante, um grupo corporativo confiável é um ambiente tentador. Uma mensagem de um colega conhecido dentro de um chat de trabalho é recebida de forma diferente de um e-mail de um estranho. Se uma conta de funcionário é comprometida, o invasor se aproveita da confiança: ele pode enviar um link de phishing "do colega", solicitar que o usuário acesse um "recurso interno", apresentar um arquivo malicioso, pedir a confirmação de uma operação ou o envio de um código, coletar credenciais por meio de um formulário falso, ou até mesmo extrair informações sensíveis do histórico de conversas. O mais problemático é que as ferramentas de proteção tradicionais muitas vezes não detectam esses cenários. O e-mail está protegido, os endpoints estão sob controle, o tráfego web é filtrado, mas os grupos e canais corporativos operam em um contorno separado: rápido, conveniente e quase incontrolável. Ao analisarmos esses chats como parte da infraestrutura, identificamos significativamente mais riscos do que apenas "alguém enviou um link suspeito". Esses riscos podem ser categorizados em alguns cenários principais.

O mais direto é o roubo de conta. Uma conta de funcionário comprometida abre acesso tanto aos seus contatos quanto a todos os grupos de trabalho dos quais ele faz parte. A partir daí, seguem-se phishing, coleta de informações, engenharia social, links maliciosos, tudo sob o disfarce da confiança em um colega real. Próximo a isso, temos phishing e mensagens fraudulentas dentro de um grupo confiável. Um link em um chat corporativo é mais perigoso do que um e-mail de spam comum: o contexto é familiar, as pessoas são conhecidas, a cautela diminui. Mesmo um link claramente mal construído pode ser aceito mais facilmente quando "foi escrito por um colega". Isso também funciona com texto puro, sem links: pedir para fazer algo urgentemente, enviar dados, confirmar acesso, levar a pessoa para uma conversa privada ou outro canal. Mais sutil, mas não menos perigoso, é a acumulação de histórico de conversas. Discussões, arquivos, capturas de tela e detalhes internos de processos se acumulam em grupos de trabalho. Parte disso é relevante por uma semana, mas permanece por anos. Se um funcionário perde o acesso à sua conta, ou se há participantes extras no grupo, todo esse arquivo se torna um risco. Finalmente, temos grupos abandonados e participantes desnecessários. Chats são criados para um projeto, um incidente ou uma tarefa pontual, o projeto é concluído, mas o grupo continua existindo: com participantes, links e arquivos. Seis meses depois, já não é possível determinar quem é o proprietário ou quem monitora a lista de membros. Dentro desses grupos, podem permanecer funcionários que mudaram de função, fornecedores de projetos encerrados ou contas que estão inativas há muito tempo. Quanto maior o número deles, maior a chance de que alguém indesejado tenha acesso às discussões.

Antes do Praetorian, já tínhamos um bot administrativo interno para gerenciar grupos e canais. Ao detalharmos tudo o que poderia dar errado em chats de trabalho, ficou claro que esse bot poderia ser expandido para se tornar uma camada de proteção completa. A SI definiu seus requisitos: visualizar conteúdo perigoso em chats, reduzir a ocorrência de phishing e mensagens fraudulentas, oferecer aos proprietários uma maneira rápida de reagir, limpar histórico de conversas desatualizado, destacar participantes desnecessários e manter tudo transparente, com papéis bem definidos. O nome Praetorian fala por si. Não é um "vigilante de conversas", mas sim um contorno de proteção em torno das comunicações corporativas. Ele auxilia proprietários de grupos, canais e administradores a reduzir riscos onde as discussões de trabalho se tornaram, de fato, parte da infraestrutura. As responsabilidades foram divididas de forma que o resultado fosse um produto colaborativo, e não apenas um "cliente e fornecedor". A SI descreveu os cenários de ataque e as regras de resposta: quando uma notificação é suficiente, quando é necessária uma verificação manual pelo proprietário, o que deve ser obrigatoriamente registrado no log, quais ações não podem ser automatizadas sem aprovação explícita do negócio. A TI assumiu a arquitetura, a lógica do bot, a integração com Telegram e Max, os cenários administrativos, as notificações, o registro em log e a preparação para o desenvolvimento futuro. E para delimitar o escopo: o Praetorian não opera com conversas privadas de funcionários nem "em todos os aplicativos de mensagens da empresa". Ele se limita a grupos e canais corporativos no Telegram e Max onde o bot foi adicionado oficialmente e recebeu as permissões necessárias. Não é uma ferramenta de controle oculto de pessoas, mas sim uma proteção para o espaço de trabalho: grupos de projeto, canais de notificação, chats de departamentos, grupos temporários para tarefas específicas, onde o proprietário decidiu ativamente conectar a proteção.

Desde o início, descartamos a ideia de um "bot que lê tudo e remove tudo o que é suspeito". Isso não é escalável, irrita as pessoas e prejudica a comunicação normal. Simplificando, a cadeia de processamento é a seguinte: grupo ou canal no Telegram/Max → Praetorian → análise interna → avaliação de risco → notificação ao proprietário → ação manual, se necessário → registro no log. O Praetorian busca em chats mensagens com sinais de risco: phishing, fraude, engenharia social, links maliciosos, domínios suspeitos, anexos inseguros, tentativas de direcionar um usuário para um canal externo. Em seguida, em vez de exclusão automática, ocorre uma notificação. Na maioria dos casos, é mais apropriado notificar primeiro o proprietário do grupo, o administrador ou a equipe responsável: onde algo suspeito foi encontrado, qual o risco, o que pode ser feito. O contexto em chats corporativos pode variar – a mesma mensagem pode ser normal para uma equipe técnica e suspeita para outro público, portanto, a decisão final cabe ao proprietário. Se os sinais de ameaça forem claros, a propagação precisa ser contida rapidamente. Atualmente, o Praetorian ajuda a encontrar e destacar tais mensagens para os responsáveis, e a exclusão é feita por um humano – um administrador ou proprietário. Paralelamente, o produto monitora o período de retenção. Parte da informação se torna obsoleta em poucos dias, mas continua armazenada e representa um risco. Onde isso foi acordado com o proprietário, o Praetorian ajuda a gerenciar o ciclo de vida das mensagens: menos lixo antigo, menos consequências caso alguém acesse o arquivo. E separadamente – os participantes. Contas abandonadas e irrelevantes em um grupo de trabalho aumentam o risco, especialmente se o grupo estiver relacionado a incidentes, lojas, tarefas de TI ou fornecedores. O Praetorian exibe esses participantes ao proprietário, que decide: manter, verificar, restringir ou remover. Tudo o que é significativo é registrado em log. Uma regra foi acionada, uma notificação foi enviada, um participante foi verificado, uma mensagem foi marcada – tudo isso é visível no log.

Qualquer ferramenta que opere com mensagens em grupos, mais cedo ou mais tarde, levanta a questão: "Este sistema está monitorando os funcionários?". Para nós, o Praetorian é uma proteção para as comunicações, não uma vigilância sobre as pessoas, e a partir disso derivam um conjunto de regras rígidas. O produto opera apenas em grupos e canais corporativos onde o bot foi adicionado oficialmente; a correspondência pessoal não está sob controle; a análise foca em sinais de ameaça, não no comportamento dos funcionários; os direitos são limitados às permissões concedidas. Ações automáticas não são ativadas sem aprovação, tudo o que é significativo é registrado em log, e os proprietários dos grupos recebem notificações e participam ativamente do gerenciamento de riscos. Os prazos de retenção e o processamento de dados são mantidos dentro das políticas internas e da lei, e comunicamos às pessoas uma coisa simples: um chat corporativo é um espaço de trabalho, e protegê-lo pode ser feito da mesma forma que o e-mail ou qualquer outro sistema. Não se trata apenas de clareza jurídica, mas de confiança. Se uma ferramenta é percebida como controle opaco, as pessoas começam a contorná-la. Se o objetivo e os limites são claros, ela se torna uma parte normal do processo de trabalho.

Para a SI, os chats de trabalho deixaram de ser uma zona cega: agora é possível detectar phishing, mensagens fraudulentas, links maliciosos e roubo de contas, e a reação deixou de ser uma busca manual em grupos para se tornar um processo claro – detectaram, notificaram, verificaram, registraram. Além disso, há a prevenção: grupos obsoletos, participantes desnecessários, histórico de conversas excessivo. A TI obteve não apenas uma "adaptação de bot", mas um produto funcional com benefícios claros: um único local para gerenciar todos os grupos e canais, menos trabalho manual, notificações e logs unificados, e a capacidade de desenvolver tudo iterativamente. Para o proprietário do grupo, que geralmente não é um profissional de segurança, o produto aliviou uma dor de cabeça. Ele recebe notificações sobre atividades suspeitas, reage mais rapidamente ao phishing, visualiza participantes inativos, gerencia prazos de retenção onde apropriado e não precisa analisar manualmente cada incidente. As tarefas de SI não são transferidas para ele, mas sim fornecidas uma ferramenta e um processo de ação claro. Se decisões de trabalho, links, arquivos e coordenação passam por um chat, ele já é parte da superfície de risco e deve ser tratado como tal. A proibição total de uma ferramenta conveniente geralmente a empurra para a sombra, portanto, é mais sensato incorporar a segurança ao processo, em vez de combatê-la. O proprietário do grupo deve ser envolvido nesse processo: a SI não pode verificar manualmente todos os chats, mas pode fornecer às pessoas uma ferramenta, regras e um processo claro. A automação deve ser implementada com cautela, separando detecção e ação. Privacidade e transparência devem ser consideradas desde o primeiro dia, e não adicionadas posteriormente. E faz sentido que SI e TI desenvolvam esses produtos juntas: um lado conhece os riscos, o outro conhece a arquitetura e a operação, e separadamente o resultado é apenas uma adaptação pontual ou um produto que fica na prateleira. Grupos e canais corporativos no Telegram e Max há muito se tornaram uma parte normal do trabalho. Quanto mais importante o canal, maiores as exigências de segurança. O Praetorian, para nós, é uma forma de resolver isso de forma produtiva: não proibir aplicativos de mensagens nem construir controle total, mas sim criar um contorno gerenciável em torno das comunicações de trabalho. Se as comunicações se tornaram parte do negócio, sua segurança também deve se tornar parte do processo de negócios – com ferramentas claras, papéis e regras transparentes, em vez de proibições. Agradecemos à equipe de TI do Praetorian pela arquitetura, desenvolvimento e evolução do produto, e aos colegas da SI pelos cenários de risco, requisitos e modelo de resposta.