Segurança para ONGs e Terceiro Setor: proteja doações, beneficiários e a confiança da sua causa

Por que ONGs e o terceiro setor viraram alvo preferencial

Há uma percepção equivocada de que ONGs são alvos pouco interessantes para o cibercrime — afinal, não têm o caixa de um banco nem a margem de uma fintech. A realidade operacional é o oposto. Uma organização do terceiro setor combina, num mesmo ambiente, três coisas que o crime adora: um fluxo constante de dinheiro entrando por canais digitais (doações via Pix, cartão, boleto e plataformas de financiamento coletivo), uma base de dados pessoais de altíssima sensibilidade (beneficiários em situação de vulnerabilidade, muitas vezes crianças, idosos, pacientes ou pessoas em risco social) e uma maturidade de segurança historicamente baixa por restrição de orçamento e de equipe técnica.

O resultado é assimétrico. A ONG opera com uma ou duas pessoas cuidando de tudo que é tecnologia, enquanto do outro lado há quadrilhas profissionais que sabem que a marca de uma causa querida gera doação por impulso e baixa desconfiança. Quando um golpista clona a campanha de uma instituição respeitada, ele não precisa convencer ninguém: a vítima já confia na marca. O ataque explora reputação alheia, não vulnerabilidade técnica do doador.

Some-se a isso uma agravante regulatória: a maioria das ONGs lida com dados pessoais sensíveis na acepção do art. 5º, II da Lei Geral de Proteção de Dados (LGPD) — dados sobre saúde, vida sexual, origem racial, convicção religiosa, filiação a organização, além de dados de crianças e adolescentes, que recebem proteção específica no art. 14. Um vazamento aqui não é só dano reputacional: é incidente comunicável à Autoridade Nacional de Proteção de Dados (ANPD) e aos titulares, com exposição de pessoas que já estão em condição frágil.

Fraude e desvio de doações: o golpe que rouba a sua reputação

O ataque mais característico contra ONGs não invade a sua infraestrutura — ele copia a sua identidade. O golpista baixa o logotipo do site oficial, reaproveita as fotos e os textos da campanha real, registra um domínio parecido (por exemplo, trocando .org.br por .org, acrescentando um hífen ou hospedando em um serviço gratuito como netlify.app, vercel.app ou pages.dev) e publica uma página de doação visualmente idêntica. A única diferença material é o destino do dinheiro: uma chave Pix, uma conta ou um link de pagamento controlados pela quadrilha.

A distribuição é feita por anúncios pagos em redes sociais, perfis falsos que imitam o da instituição, grupos de WhatsApp e até comentários em publicações legítimas. Em campanhas de emergência — enchentes, incêndios, crises humanitárias — o senso de urgência derruba a checagem do doador, e o golpe escala em horas. Quando a ONG descobre, já perdeu doações e, pior, começa a receber reclamações de pessoas que doaram de boa-fé e foram lesadas em nome dela.

A defesa não é um firewall — é vigilância de marca. A Decripte opera detecção de impersonação de marca que vai além do typosquatting de domínio: monitora registros de certificados (Certificate Transparency) por palavra-chave da causa, varre serviços de hospedagem compartilhada onde golpistas publicam clones, e valida cada candidato com checagem HTTP real para separar ameaça de falso positivo. Quando uma clonagem é confirmada, entra o fluxo de takedown — acionamento de registrador, provedor de hospedagem, plataforma de anúncios e redes sociais — para derrubar a página fraudulenta o mais rápido possível e cortar o desvio na fonte.

Dados de beneficiários: o ativo sensível que a LGPD obriga a proteger

Toda ONG que cadastra quem atende está, do ponto de vista jurídico, tratando dados pessoais — e quase sempre dados pessoais sensíveis. Um programa de assistência registra condições de saúde; um abrigo registra situação social e familiar; um projeto com crianças e adolescentes registra dados de menores, com proteção reforçada no art. 14 da LGPD, que exige o melhor interesse da criança e, em regra, consentimento de pelo menos um dos pais ou responsável. Tratar esses dados sem base legal adequada, sem minimização e sem segurança proporcional ao risco é descumprir a lei e, sobretudo, expor pessoas frágeis.

Na prática, o erro mais comum não é um ataque sofisticado — é uma planilha de beneficiários num drive compartilhado com link público, um formulário de cadastro sem HTTPS, ou um voluntário com acesso total à base inteira quando precisaria ver apenas o próprio projeto. A Decripte trata isso com arquitetura de dados segregada por papel, cifragem e revisão de quem tem acesso a quê, reduzindo a superfície de exposição sem exigir que a ONG monte um time de segurança.

Ransomware e indisponibilidade: quando a operação para

Ransomware não escolhe vítima pela margem de lucro — escolhe pela facilidade. Uma ONG com estações desatualizadas, sem segmentação de rede, com backup que ninguém testou e acesso remoto exposto é alvo fácil. Quando a cifragem acontece, paralisa o que mantém a organização viva: cadastros de beneficiários, prestações de contas a financiadores e órgãos públicos, contratos de projetos, folha e a própria capacidade de operar campanhas. Diferente de uma empresa, a ONG raramente tem caixa para pagar resgate ou para reconstruir do zero — a indisponibilidade pode significar projetos interrompidos e atendimentos suspensos.

A resposta da Decripte a ransomware no terceiro setor combina prevenção e prontidão. Na prevenção: hardening de estações e servidores, segmentação para impedir que a infecção se espalhe lateralmente, MFA no acesso remoto e e-mail, e validação de que existe backup imutável e testado para restauração. Na prontidão: o SOC 24x7 detecta comportamento de cifragem e exfiltração em tempo real, e o time de Resposta a Incidentes isola os ativos comprometidos com SLA de contenção de até 1 hora, evitando que um endpoint infectado vire um desastre organizacional.

O gateway de doação: PCI-DSS, tokenização e pentest

Toda página que aceita doação por cartão entra, em algum grau, no escopo do PCI-DSS — o padrão de segurança da indústria de cartões. A boa notícia para o terceiro setor é que a forma mais barata e mais segura de captar é também a que mais reduz o escopo: integrar com um provedor de pagamento que tokeniza o cartão, de modo que o dado sensível nunca toca o servidor da ONG. Quando a página apenas redireciona ou usa um campo hospedado pelo provedor (iframe/elements), a organização sai da parte mais pesada das obrigações de PCI e elimina o risco de guardar número de cartão.

Mas reduzir o escopo de PCI não elimina o risco da própria aplicação. A página de doação pode ter falhas clássicas do OWASP — injeção, controle de acesso quebrado, configuração insegura, dependências vulneráveis — que permitem ao atacante manipular valores, capturar dados de doadores ou injetar um skimmer que rouba cartão direto no navegador da vítima (ataque de e-skimming/Magecart). É por isso que a Decripte submete a plataforma de doação a pentest: testa a aplicação como um atacante real, encontra a falha antes do golpista e entrega o caminho de correção priorizado por risco.

Como a Decripte estrutura a segurança de quem tem orçamento enxuto

O maior medo de uma ONG ao falar de cibersegurança é o custo. Por isso a Decripte trabalha com conversão self-service e começa pelo que dá retorno imediato sem exigir contrato: um diagnóstico gratuito de Gestão de Ameaças, em decripte.io/free, que mostra a exposição real da organização — domínios parecidos, possíveis clones de campanha, dados expostos — em minutos. Esse diagnóstico costuma encontrar uma página clonada ou um ativo exposto que a própria ONG desconhecia, transformando uma preocupação abstrata em uma prioridade concreta.

A partir daí, a estruturação é incremental e proporcional ao risco. Não se trata de impor um arsenal corporativo a uma organização de cinco pessoas, mas de proteger primeiro os dois ativos críticos — doação e dados de beneficiários — e crescer dali. Quando a ONG quer avançar, os planos pagos em /planos cobrem desde monitoramento contínuo até resposta a incidentes, e a contratação é direta, sem intermediários.

Threat intelligence aplicada à causa, não só à infraestrutura

O diferencial de proteger uma ONG é que a inteligência de ameaças precisa olhar para a marca e para a causa, não apenas para servidores. A Decripte monitora a superfície externa da organização — menções, registros de certificado por palavra-chave da campanha, domínios recém-criados, perfis sociais e vazamentos em fóruns — e correlaciona esses sinais. Um domínio novo registrado com o nome da campanha, combinado com um certificado emitido na mesma janela e uma página de doação no ar, é a assinatura clássica de um golpe em preparação. Detectar isso antes do anúncio ir ao ar é a diferença entre prevenir e remediar.

Essa inteligência alimenta o SOC, que decide o que é ruído e o que é ameaça real, e dispara a resposta. Para a ONG, o efeito é ter uma equipe de segurança vigiando a reputação da causa 24 horas por dia, sem precisar contratar e manter esse time internamente — o que seria inviável para o orçamento do setor.

Cenário ilustrativo: a campanha de doação clonada de uma ONG humanitária

Como a Decripte responde a um incidente no terceiro setor

Quando uma ONG é atingida — campanha clonada, vazamento de beneficiários ou ransomware — a Decripte aciona um fluxo de resposta a incidentes com SLA de contenção de até 1 hora, pensado para um setor que não pode parar de operar.

1. Detecção e triagem: o SOC 24x7 confirma o incidente, classifica a severidade (fraude de doação, vazamento de dados sensíveis, ransomware ou impersonação) e identifica os ativos afetados.
2. Contenção imediata: isolamento dos sistemas comprometidos e, em casos de clonagem, acionamento de registrador, hospedagem, redes sociais e plataformas de anúncio para derrubar a página fraudulenta — tudo dentro do SLA de até 1 hora.
3. Erradicação: remoção do acesso do atacante, mapeamento completo da infraestrutura do golpista (domínios, chaves Pix, contas) e eliminação de persistência, com registro de indicadores para barrar reincidência.
4. Recuperação: restauração a partir de backup íntegro e testado, reativação da página oficial protegida por WAF/DDoS e retorno seguro da operação e da captação.
5. Conformidade e comunicação: avaliação do dever de notificar a ANPD e os titulares quando há dados sensíveis envolvidos, com apoio na elaboração da comunicação dentro dos requisitos da LGPD.
6. Comunicação com doadores: orientação para um alerta oficial transparente que reconquista a confiança e neutraliza a credibilidade do golpe.
7. Pós-incidente: relatório executivo com causa-raiz, indicadores e plano de correção priorizado por risco, traduzido tanto para a diretoria quanto para a equipe técnica.
8. Monitoramento contínuo: a marca, o gateway e os endpoints entram sob vigilância permanente do SOC para detectar a próxima tentativa antes que ela cause dano.

Como a Decripte estrutura a segurança de uma ONG

Estruturar segurança no terceiro setor é proteger primeiro o que sustenta a causa — doação e beneficiários — de forma proporcional ao orçamento, crescendo de forma incremental a partir de um diagnóstico gratuito.

Planos recomendados para ONGs e Terceiro Setor

Perguntas frequentes

Termos do setor

Impersonação de marca

Uso não autorizado da identidade de uma organização — logo, nome, domínio parecido, perfis falsos — para enganar pessoas. No terceiro setor, materializa-se em campanhas de doação clonadas que desviam recursos em nome da causa.

Dados pessoais sensíveis (LGPD)

Categoria especial da LGPD (art. 5º, II) que inclui dados sobre saúde, vida sexual, origem racial, convicção religiosa e filiação, entre outros. Exigem proteção reforçada; dados de crianças e adolescentes têm regras próprias no art. 14.

PCI-DSS

Padrão de segurança da indústria de cartões de pagamento. Aplica-se a quem processa cartão, mas seu escopo é drasticamente reduzido quando um provedor tokeniza o dado, evitando que o número do cartão toque o servidor da organização.

Tokenização

Técnica em que o dado sensível do cartão é substituído por um identificador sem valor (token), processado pelo provedor de pagamento. O servidor da ONG nunca armazena o cartão real, reduzindo risco e escopo de PCI-DSS.

E-skimming (Magecart)

Ataque em que um script malicioso é injetado na página de checkout para capturar os dados do cartão diretamente no navegador da vítima, sem comprometer o servidor. Mitigado por monitoramento de integridade de scripts e políticas de segurança de conteúdo.

Certificate Transparency

Registro público de certificados TLS emitidos. Monitorá-lo por palavra-chave da causa permite detectar precocemente domínios fraudulentos criados para clonar campanhas de doação, antes mesmo de a página falsa ir ao ar.