Software de monitoramento de empregadores ("Bossware": Hubstaff, Teramind, ActivTrak) instalado em computador pessoal BYOD: detecção de keyloggers e captura de tela¶

Ser instruído por um empregador ou cliente a instalar um agente de produtividade ou segurança do funcionário em seu computador doméstico pessoal e privado (Bring Your Own Device / BYOD), ou descobrir que um cliente de monitoramento empresarial furtivo (Teramind, ActivTrak, Hubstaff, Time Doctor, Veriato / Sapience, InterGuard, Insightful / Workpuls ou Sneek) está sendo executado silenciosamente no fundo do seu PC pessoal com Windows ou MacBook, é uma emergência urgente de privacidade digital e segurança cibernética. Embora um empregador geralmente tenha ampla autoridade legal para monitorar a atividade em um laptop de propriedade da empresa que ele comprou e emitiu para você, a instalação de um agente de vigilância em nível de kernel ou de certificado raiz diretamente no sistema operacional bare-metal de seu computador doméstico pessoal concede aos administradores de TI do seu empregador acesso contínuo 24 horas por dia, 7 dias por semana à sua vida privada: capturar capturas de tela de seu banco on-line pessoal, registrar as teclas digitadas quando você digita seu portal médico pessoal ou senhas fiscais às 22h de um sábado, gravando áudio ambiente ou instantâneos periódicos da webcam de sua família e interceptação criptografada HTTPS / TLS tráfego da web por meio de uma autoridade de certificação raiz injetada (MITM Root CA). Se um agente de vigilância não autorizado estiver sendo usado para perseguição ilegal, chantagem ou coerção doméstica, desconecte o computador da Internet imediatamente e entre em contato com o representante local. números de emergência. Para emergências de trabalho remoto intimamente relacionadas, consulte nossos guias em segurança de trabalho remoto de emergência e privacidade de dados, bootloops corporativos de confiança zero Zscaler ou CrowdStrike Falcone Compartilhamento acidental de tela do Zoom e do Teams e vazamentos de microfone.

Você não precisa escolher entre perder seu emprego remoto e entregar ao seu empregador as chaves mestras de seus serviços bancários pessoais, saúde e privacidade familiar. Realizando uma auditoria forense de 10 minutos em sua máquina pessoal Windows ou macOS para detectar agentes furtivos ocultos (svchost serviços de mascaramento, macOS Screen & System Audio Recording permissões e certificados Root TLS injetados), alternando quaisquer senhas pessoais digitadas enquanto um keylogger ou proxy TLS estava ativo e movendo todos os softwares exigidos pelo empregador dentro de uma máquina virtual isolada por hardware (Hyper-V, VMware Workstation, Parallels, ou UTM) ou em um dedicado $250 laptop somente para trabalho, você pode satisfazer os requisitos de monitoramento de horas de trabalho do seu empregador, mantendo 100% de sua vida pessoal física e criptograficamente isolada.

Faça isso agora¶

1. PARE de fazer login em bancos pessoais, e-mails pessoais, gerenciadores de senhas, portais de saúde ou contas fiscais nesse computador até concluir a auditoria abaixo. Se uma versão furtiva de Teramind, Veriato, ou InterGuard (ou um certificado raiz MDM) é instalado diretamente no sistema operacional host, ele é executado como um SYSTEM ou root daemon 24 horas por dia, mesmo quando você fecha o Slack, desconecta a VPN corporativa ou sai do aplicativo de cronômetro visível para o fim de semana.
2. Cubra fisicamente a lente da sua webcam com um controle deslizante mecânico ou fita opaca e desconecte ou desative o microfone USB sempre que não estiver em uma chamada agendada. Várias ferramentas de presença remota em equipe (Sneek, Teramind Hidden Agent, Time Doctor, InterGuard) suporta captura periódica silenciosa de instantâneos de webcam (every 1 to 5 minutes) e microfone ao vivo ou streaming de tela sem iluminar um banner de notificação de software.
3. Verifique se está entrando no seu trabalho Microsoft 365 (Teams / Outlook) ou conta do Google Workspace inscreveu acidentalmente seu PC pessoal no gerenciamento corporativo de dispositivos móveis (Microsoft Intune). No Windows, abra Settings -> Accounts -> Access work or school. Se você vir a conta do seu empregador listada com "Conectada ao MDM da [Empresa]", clicar em "Permitir que minha organização gerencie meu dispositivo" durante uma entrada de rotina no Outlook deu ao administrador de TI do seu empregador permissão remota para enviar software silencioso em segundo plano, inspecionar aplicativos instalados e emitir uma limpeza remota de fábrica do seu PC pessoal.
4. No macOS, abra System Settings -> Privacy & Security -> Screen & System Audio Recording E Accessibility agora mesmo. De acordo com a Transparência, Consentimento e Controle obrigatórios da Apple (TCC), nenhum software de monitoramento de funcionários no macOS pode capturar sua tela ou registrar pressionamentos de teclas globais, a menos que seja explicitamente listado e ativado dentro desses dois painéis (ou enviado por meio de um MDM visível Device Management perfil).
5. Audite seu armazenamento de certificados raiz confiável do Windows e macOS (certmgr.msc / Keychain Access) para uma autoridade de certificação raiz corporativa não padrão (CA). Se o seu empregador instalou um certificado CA raiz personalizado junto com Zscaler, Teramind, Netskope, ou FortiClient, seu servidor pode descriptografar e ler a carga útil de texto simples de cada HTTPS site que você visita, incluindo seu banco pessoal e registros médicos.
6. Nunca instale software de monitoramento ou controle de tempo do empregador diretamente em seu sistema operacional host pessoal; instale-o dentro de uma máquina virtual isolada (Windows Hyper-V, VMware, VirtualBox, ou UTM / Parallels) ou em um dispositivo físico separado. Quando Hubstaff, Time Doctor, ou ActivTrak é executado dentro de uma janela de máquina virtual, ele só pode ver, capturar imagens e registrar o que acontece dentro da janela da área de trabalho virtual, enquanto os navegadores pessoais, arquivos e serviços bancários do seu computador host permanecem 100% invisíveis através dos limites do hipervisor.

Árvore de decisão: auditando um computador pessoal BYOD e isolando o software de monitoramento do empregador¶

Siga esta árvore de decisão para determinar qual nível de monitoramento está presente em sua máquina pessoal e como isolá-lo com segurança.

flowchart TD
    A["Monitoramento de empregador suspeito ou obrigatório ('Bossware') em computador pessoal BYOD"] --> B{"O software do empregador já foi instalado em sua máquina pessoal ou você está sendo solicitado a instalá-lo agora?"}
    B -->|"SENDO PEDIDO PARA INSTALAR AGORA (Defesa de Pré-Instalação)"| C{"Que tipo de software eles estão pedindo para você instalar?"}
    C -->|"Rastreador de tempo interativo (Hubstaff, Time Doctor, Toggl, Upwork Desktop App)"| D["NÃO instale em um sistema operacional host bare-metal -> Crie uma máquina virtual Windows Hyper-V / VMware / UTM gratuita (ou use um laptop de trabalho dedicado de $ 200) -> Instale o rastreador apenas dentro da VM"]
    C -->|"Vigilância furtiva / MDM / certificado raiz (Teramind, ActivTrak, Veriato, Intune MDM)"| E["NUNCA instale Stealth Agent ou MDM em um PC pessoal -> Solicite um login de laptop fornecido pela empresa ou Azure Virtual Desktop (AVD / Citrix) -> Se forçado, execute estritamente em um laptop físico separado somente para trabalho"]
    B -->|"JÁ INSTALADO NO PC PESSOAL (Auditoria Forense e Limpeza)"| F{"Qual sistema operacional seu computador pessoal está executando?"}
    F -->|"Janelas 11/10"| G["Execute a auditoria do Windows em 4 etapas: 1. Verifique 'Configurações -> Acessar trabalho ou escola' para MDM -> 2. Verifique Services.msc / Sysinternals Autoruns para agentes ocultos -> 3. Verifique certmgr.msc para CA raiz -> 4. Verifique conexões TCP de saída"]
    F -->|"macOS (Apple Silicon/Intel)"| H["Execute a auditoria do macOS em 4 etapas: 1. Verifique 'Configurações do sistema -> Geral -> Gerenciamento de dispositivos' (perfis) -> 2. Verifique 'Privacidade e segurança -> Gravação de tela e acessibilidade' -> 3. Verifique /Library/LaunchDaemons -> 4. Verifique os certificados de chaveiro"]
    G --> I{"Você encontrou um Agente de Monitoramento Stealth, Registro MDM ou Certificado Raiz Injetado?"}
    H --> I
    I -->|"SIM: Encontrado Stealth Agent / Root CA / Intune MDM no PC pessoal"| J["CONTENÇÃO: Mova o trabalho para VM ou segundo laptop -> Cancele a inscrição do MDM / Remova o agente e a CA raiz do PC pessoal (ou instale o sistema operacional de forma limpa) -> Gire todas as credenciais pessoais de banco, e-mail e gerenciador de senhas de um telefone limpo"]
    I -->|"NÃO: Apenas um rastreador interativo visível (por exemplo, Upwork/Hubstaff) está instalado"| K["Revogar suas permissões de gravação de tela/acessibilidade fora do horário de trabalho -> Sair do daemon em segundo plano no Gerenciador de tarefas/Monitor de atividades quando estiver fora do horário de trabalho -> Migrar para uma VM"]

Parte 1: O que o “Bossware” realmente captura (e como os Agentes Stealth se escondem no seu sistema)¶

Para auditar seu computador pessoal de forma eficaz, você precisa conhecer as capacidades técnicas exatas e os nomes de processos disfarçados usados pelas sete plataformas de monitoramento de funcionários mais comuns.

+-------------------------------------------------------------------------+
|  THE 5 SURVEILLANCE LAYERS OF ENTERPRISE "BOSSWARE" ON A BYOD HOST OS   |
|                                                                         |
|  [Layer 1: Visual]    -> Continuous Screen Recording (MP4) or periodic  |
|                          JPEG screenshots + OCR text indexing of screen |
|  [Layer 2: Input]     -> Kernel/API Keylogger (captures every password, |
|                          iMessage, & private email) + Clipboard history |
|  [Layer 3: Network]   -> Injected Trusted Root CA Certificate decrypts  |
|                          all HTTPS traffic (banking, medical portals)   |
|  [Layer 4: Hardware]  -> Silent Webcam snapshots, Microphone room audio,|
|                          GPS/Wi-Fi BSSID geolocation, & USB file copies |
|  [Layer 5: Telemetry] -> "Idle Score" (mouse jiggle detection), active  |
|                          window titles, & "Job Search / Attrition" AI   |
+-------------------------------------------------------------------------+

Impressões técnicas dos 7 principais pacotes de monitoramento de funcionários¶

Mesmo quando implantado em "Modo Furtivo/Oculto" (onde o fornecedor oculta intencionalmente o aplicativo do menu Iniciar do Windows, da pasta de aplicativos do macOS e da bandeja do sistema), cada agente de monitoramento deve executar um serviço em segundo plano, carregar um driver e manter uma conexão de rede de saída criptografada com seu servidor de ingestão de nuvem:

Parte 2: Auditoria forense passo a passo para detectar Bossware oculto em um PC pessoal com Windows 11/10¶

Verificação 1: Janelas de auditoria "Access Work or School" para inscrição acidental no MDM corporativo¶

1. Abra janelas Settings (Win + I) -> Accounts -> Access work or school.
2. Clique em qualquer endereço de e-mail comercial listado. Se você vir um Info botão (não apenas Disconnect), seu computador pessoal está inscrito no Microsoft Intune/Gerenciamento de dispositivos móveis corporativos (MDM). Clique Info e role para baixo até Areas managed by [Company Name] e Synced Policies / Installed Apps para ver todas as políticas, certificados e instaladores MSI silenciosos que seu empregador enviou para sua máquina pessoal. Depois de migrar seu trabalho para uma máquina virtual na Parte 4, clique em Disconnect aqui para cancelar a inscrição do seu PC host pessoal.

Verificação 2: busca por serviços furtivos mascarados (scthost.exe, tsvchst.exe) Usando PowerShell e Sysinternals Autoruns¶

1. Abra PowerShell como administrador (Win + X -> Terminal (Admin)) e execute este comando para listar todos os serviços em segundo plano de terceiros em execução que não sejam assinados digitalmente pela Microsoft:

   Get-WmiObject Win32_Service | Where-Object { $_.State -eq 'Running' -and $_.PathName -notmatch 'C:\\Windows\\servicing|svchost\.exe' } | Select-Object Name, DisplayName, PathName | Format-Table -AutoSize
   

2. Observe atentamente qualquer serviço que esteja ficando sem C:\ProgramData\, C:\Windows\SysWOW64\scthost.exe (ActivTrak), tmagent ou tsvchst (Teramind), winikus (Veriato), ou wscservice (InterGuard).
3. Baixe gratuitamente o Sysinternals oficial da Microsoft Autoruns64.exe**, execute-o como Administrador, clique em Options -> Hide Microsoft Entries, e inspecione o Services e Drivers guias para qualquer keylogger furtivo ou driver de filtro de captura de tela (tmfilter.sys, vfilter.sys).

Verificação 3: inspecionar o armazenamento de certificados raiz confiável do Windows (certmgr.msc) para descriptografia HTTPS¶

Para ver o que você digita dentro HTTPS sites (como seu banco pessoal, Gmail ou portal de saúde), pacotes de monitoramento e proxies web corporativos (Teramind, Zscaler, Netskope, Fortinet) instale um Man-in-the-Middle personalizado (MITM) Autoridade de certificação raiz em seu PC:

1. Pressione Win + R, digite certmgr.msc e pressione Enter.
2. Expandir Trusted Root Certification Authorities -> Certificates, classificar por Issued By e procure qualquer certificado com o nome do seu Empregador, Teramind, Zscaler Root CA, Veriato, Netskope, Fortinet, ou Securly.
3. Teste em seu navegador pessoal Chrome ou Edge: abra https://www.google.com ou no site do seu banco, clique no ícone Tune à esquerda da URL -> Connection is secure -> Certificate is valid. Se o certificado de google.com ou seu banco pessoal diz Issued By: [Your Employer Name] / Zscaler / Teramind Root CA, seu empregador está descriptografando e inspecionando seu tráfego HTTPS pessoal.

Parte 3: Auditoria Forense Passo a Passo para Detectar Bossware Oculto em um Mac Pessoal (macOS)¶

Verificação 1: inspecionar Screen & System Audio Recording e Accessibility Permissões¶

No macOS, mesmo um daemon de nível raiz não pode gravar silenciosamente sua tela ou registrar pressionamentos de teclas globais em outros aplicativos, a menos que tenha recebido permissão em dois painéis de privacidade:

1. Abrir System Settings -> Privacy & Security -> Screen & System Audio Recording. Se você ver scthost, Teramind, ActivTrak, Hubstaff, Time Doctor, sfproc, Veriato, ou um auxiliar não reconhecido ativado aqui, esse aplicativo tem permissão ativa para gravar a tela do seu Mac. Desligue OFF imediatamente e clique no botão - botão para removê-lo.
2. Abrir Accessibility e Input Monitoringdentro Privacy & Security. Qualquer aplicativo concedido Input Monitoring ou Accessibility permissão pode ler cada pressionamento de tecla digitado no sistema operacional. Desative e remova qualquer daemon ou rastreador de empregador não reconhecido de ambas as listas.

Verificação 2: verifique o macOS Device Management (MDM Profiles) e oculto LaunchDaemons¶

1. Abrir System Settings -> General -> Device Management (ou System Preferences -> Profiles em macOS mais antigos). Em um MacBook pessoal, o Device Management seção deve estar completamente vazia ou ausente. Se você vir um Perfil de gerenciamento instalado pelo seu empregador (Jamf, Kandji, Mosyle, Microsoft Intune, Rippling, Drata, Vanta), clique nele para inspecionar quais certificados raiz, desvios de privacidade TCC e agentes em segundo plano ele aplica em seu Mac pessoal.
2. Abra Terminal (Cmd + Space -> Terminal) e execute ls -la /Library/LaunchDaemons /Library/LaunchAgents para listar todos os daemons de fundo raiz de terceiros e agentes de inicialização de usuário instalados em seu Mac. Procure qualquer .plist arquivo contendo teramind, activtrak, scthost, veriato, hubstaff, timedoctor, workpuls, insightful, ou awarenesstech.
3. Abra também **Acesso às Chaves (Cmd + Space -> Keychain Access) -> System Roots e System chaveiros ** e inspecione o Certificates para qualquer CA raiz corporativa personalizada instalada para descriptografar seu tráfego HTTPS pessoal do Safari e do Chrome.

Parte 4: Isolando o software do empregador dentro de uma máquina virtual (VM) ou Hardware Dedicado¶

Se o seu trabalho remoto ou contrato freelance exigir que você execute Hubstaff, Time Doctor, Upwork Desktop App, ActivTrak, Teramind, ou uma VPN corporativa durante o horário de trabalho, nunca instale-a em seu sistema operacional host pessoal.

+----------------------------------------------------------------------+
|  HOW VIRTUAL MACHINE (VM) ISOLATION CONTAINERS EMPLOYER BOSSWARE     |
|                                                                      |
|  +----------------------------------------------------------------+  |
|  | YOUR PERSONAL HOST COMPUTER (Windows 11 or macOS)              |  |
|  | * Personal Chrome (Banking, Medical, Personal Email, Taxes)    |  |
|  | * Personal Files, Photos, 1Password Vault, & Webcam            |  |
|  |   [ 100% INVISIBLE TO EMPLOYER ACROSS HYPERVISOR BOUNDARY ]    |  |
|  |   +--------------------------------------------------------+   |  |
|  |   | ISOLATED WORK VIRTUAL MACHINE (Hyper-V / UTM / VMware) |   |  |
|  |   | * Employer Bossware (Hubstaff / Teramind / ActivTrak)  |   |  |
|  |   | * Corporate VPN + Work Browser + Slack + VS Code       |   |  |
|  |   | * Bossware Can ONLY Screenshot & Log Inside This VM    |   |  |
|  |   +--------------------------------------------------------+   |  |
|  +----------------------------------------------------------------+  |
+----------------------------------------------------------------------+

Opção 1: a máquina virtual isolada gratuita (Hyper-V / VMware Workstation / UTM)¶

Ao criar uma máquina virtual convidada em seu computador e instalar todo o software do empregador estritamente dentro da VM:

• Isolamento de captura de tela: Quando Hubstaff ou Teramind faz uma captura de tela dentro da VM, ela captura apenas o adaptador de vídeo virtual da VM, enquanto sua conta bancária pessoal ou segundo monitor no sistema operacional host permanece 100% invisível através dos limites do hipervisor.
• Keylogger e isolamento da área de transferência: Desative Área de transferência compartilhada (Bidirectional Clipboard: Off) e Pastas compartilhadas nas configurações da VM, para que as teclas digitadas no navegador pessoal do sistema operacional host nunca entrem no buffer de teclado USB virtual da VM.
• Isolamento de certificado de rede e HTTPS: Qualquer VPN corporativa (Zscaler, Cisco AnyConnect) ou o certificado raiz MITM instalado dentro da VM afeta apenas o tráfego de rede dentro da VM, deixando intacta a conexão residencial direta com a Internet do seu computador host.
• Desligamento imediato às 17h: Ao terminar o trabalho às 17h, clique em Shut Down na máquina virtual para que o serviço em segundo plano do empregador deixe de existir na RAM até você inicializar a VM amanhã de manhã.

Opção 2: O Dedicado $200 to $300 Laptop de trabalho recondicionado + switch KVM de hardware¶

Se um agente corporativo verificar CPUID ou cadeias de caracteres do BIOS (VMware, VirtualBox, Hyper-V) e bloqueia máquinas virtuais, compre um Lenovo ThinkPad T14 ou Dell Latitude reformado e limpo ($180 to $250) dedicado 100% ao trabalho, conecte ambos os computadores aos monitores de mesa e ao teclado usando um $35 Switch KVM de hardware HDMI ou DisplayPort e conecte o laptop de trabalho à Rede Wi-Fi de convidado isolada do seu roteador doméstico para que ele não possa verificar seus dispositivos LAN domésticos pessoais.

Números de emergência regionais e protocolos de agências (leis de vigilância e escuta telefônica BYOD)¶

Implantar secretamente keyloggers, captura de webcam ou vigilância fora de serviço 24 horas por dia, 7 dias por semana, em propriedade privada de um funcionário (BYOD) computador sem divulgação explícita viola escuta telefônica, proteção de dados e estatutos trabalhistas em diversas jurisdições:

• União Europeia e Reino Unido (EU/UK GDPR, ECHR Article 8, & UK ICO Employment Practices Code): Disque 112 (UE) ou 999 (Reino Unido) para emergências físicas. De acordo com os artigos 5, 6 e 35 do GDPR e a orientação do UK Information Commissioner's Office (ICO) (Monitoring Workers Guidance, 2023), o monitoramento secreto de trabalhadores quase nunca é legalmente justificável, e keylogging contínuo, captura de webcam ou monitoramento fora do horário comercial do dispositivo BYOD pessoal de um trabalhador dentro de sua casa particular falha no GDPR Proporcionalidade e Minimização de Dados testes. Os trabalhadores podem registrar uma reclamação regulatória junto ao UK ICO (ico.org.uk) ou sua Autoridade Nacional de Proteção de Dados da UE (CNIL, BfDI, AEPD, DPC).
• Estados Unidos (ECPA, CFAA, e leis de notificação de monitoramento de funcionários estaduais): Ligue para 911 para emergências físicas. A Lei de Privacidade das Comunicações Eletrônicas (ECPA) e Lei de Fraude e Abuso de Computadores (CFAA) regem a interceptação não autorizada, e o Conselho Nacional de Relações Trabalhistas (NLRB O Memorando 23-02) proíbe a vigilância eletrônica que esfria atividades concertadas protegidas. Nova York (NY Civil Rights Law § 52-c), Connecticut (Conn. Gen. Stat. § 31-48d), Delaware (19 Del. C. § 705) e Califórnia (CCPA / CPRA) exigem estritamente que os empregadores forneçam aviso prévio por escrito antes de iniciar o monitoramento eletrônico.
• Canadá, Austrália e Nova Zelândia: Regido pela Lei de Trabalho para Trabalhadores de Ontário (que exige uma Política de Monitoramento Eletrônico por escrito para empregadores com mais de 25 funcionários), Quebec Law 25, e Nova Gales do Sul Workplace Surveillance Act 2005 (exige aviso prévio por escrito de 14 dias). Veja números de emergência para todas as regiões.

Perguntas frequentes¶

Meu empregador pode ver o que eu faço no meu computador pessoal ou telefone só porque ele está conectado ao meu Wi-Fi doméstico, enquanto meu laptop de trabalho também está no mesmo Wi-Fi doméstico?¶

Não, desde que o software de monitoramento e a VPN do seu empregador sejam instalados apenas no laptop de trabalho fornecido pela empresa e não no seu computador pessoal ou telefone. Um laptop corporativo conectado ao Wi-Fi de sua casa usa um túnel VPN criptografado de volta ao escritório da empresa e não pode descriptografar ou ver a navegação na web, serviços bancários ou aplicativos HTTPS em execução em seu laptop pessoal separado ou iPhone no mesmo roteador Wi-Fi doméstico (embora para melhor higiene da rede, conecte seu laptop de trabalho à rede Wi-Fi de convidado do roteador doméstico).

O login no Slack, Gmail ou Microsoft Teams da minha empresa dentro de uma guia do navegador da web permite que meu empregador veja minhas outras guias do navegador ou faça capturas de tela da minha área de trabalho?¶

Não. Como os navegadores modernos impõem um Sandbox de mesma origem estrito, uma página da Web aberta em uma guia do navegador (como `app.slack.com` ou `outlook.office.com`) é proibido pelo mecanismo do navegador de ler URLs, cookies ou pixels de tela de outras guias do navegador ou da área de trabalho, a menos que você faça login no próprio navegador Chrome com um perfil de trabalho gerenciado e clique em "Ativar sincronização" (que permite que o administrador do Google Workspace do seu empregador envie extensões do Chrome para esse perfil do navegador). Sempre abra aplicativos da web de trabalho em um perfil de navegador separado e não sincronizado, sem extensões corporativas.

O Hubstaff, o Time Doctor ou o ActivTrak podem detectar se estou usando um "Mouse Jiggler" mecânico ou USB?¶

Sim, as versões modernas do ActivTrak, Teramind, Time Doctor e Hubstaff usam heurísticas de entrada de aprendizado de máquina treinadas para sinalizar movimentos mecânicos e de mouse USB. As suítes modernas analisam a entropia das trajetórias do mouse (sinalização de oscilações repetitivas de 1 pixel, loops circulares de velocidade constante ou períodos de 45 minutos de movimento contínuo do mouse acompanhados de zero cliques do mouse, zero alterações de foco da janela e zero entrada de teclado) e enviam um alerta automatizado de suspeita de Jiggler de mouse para o painel do seu gerente.

Se eu usar um PC pessoal com Windows com duas contas de usuário (um login "Trabalho" do Windows e um login "Pessoal" do Windows), isso impede que o Bossware instalado no login Work espione meu login pessoal?¶

Não, contas de usuário separadas do Windows ou macOS no mesmo sistema operacional não isolam agentes de monitoramento no nível do sistema (`Teramind`, `ActivTrak`, `Veriato`, `InterGuard`, `CrowdStrike`, `Intune MDM`). Como esses agentes são instalados como `NT AUTHORITY\SYSTEM` serviços, drivers de filtro de kernel ou `/Library/LaunchDaemons` com certificados raiz confiáveis para toda a máquina, eles são executados em todo o sistema operacional, independentemente de qual conta de usuário local está conectado. Somente uma máquina virtual (`Hyper-V / VMware / UTM`), uma unidade criptografada separada de inicialização dupla ou um laptop físico separado fornece isolamento verdadeiro.

O software de monitoramento de empregadores pode ver os sites que visito no "modo de navegação anônima" do Chrome ou na "navegação privada" do Safari?¶

Sim, 100 por cento. O modo de navegação anônima do Chrome e a navegação privada do Safari evitam apenas que o navegador salve histórico e cookies em seu disco rígido local depois que você fecha a janela; eles não fazem nada para ocultar sua tela, suas teclas digitadas, suas pesquisas de DNS ou seu tráfego HTTPS de um agente de monitoramento de funcionários (`Teramind`, `ActivTrak`, `InterGuard`, `Veriato`) ou uma CA raiz corporativa em execução no mesmo sistema operacional.

Meu empregador me pediu para instalar o aplicativo Microsoft Authenticator ou Okta Verify 2FA em meu iPhone pessoal ou telefone Android. Esse aplicativo pode espionar minhas fotos pessoais, textos ou navegação na web?¶

Não. Um aplicativo gerador de código de autenticação multifator (MFA) autônomo (**Microsoft Authenticator**, **Okta Verify**, **Duo Mobile**, **Google Authenticator**) instalado na Apple App Store ou Google Play Store é executado dentro de uma sandbox restrita de aplicativos móveis e não tem acesso às suas mensagens de texto pessoais, fotos, histórico de navegação ou outros aplicativos. Evite apenas instalar um gerenciamento completo de dispositivos móveis (`MDM`) Perfil de registro de dispositivo em um telefone pessoal se ele solicitar gerenciamento de dispositivo raiz e permissões de certificado.

Guias relacionados¶

• Segurança de trabalho remoto de emergência e privacidade de dados
• Falha no kill switch da VPN ou quarentena corporativa de bootloop Zscaler / CrowdStrike Falcon de confiança zero
• Compartilhamento acidental de tela de folha de salário confidencial, gerenciador de senhas ou lista de demissões no Zoom ou Teams
• Nômade digital ou funcionário remoto trabalhando em país não autorizado: sinalização de IP e bloqueio de controle de exportação
• Espaço de coworking, hotel ou aeroporto USB juice-jacking, navegação no ombro e defesa DMA de inicialização a frio

Fontes e orientações oficiais¶

• Escritório do Comissário de Informação do Reino Unido (ICO): Práticas de emprego e proteção de dados: Orientação para monitoramento de trabalhadores (2023) (Restrições estritas ao monitoramento secreto, captura contínua de teclas/webcam e requisitos de proporcionalidade em dispositivos BYOD em residências particulares sob o GDPR do Reino Unido).
• Conselho Europeu para a Proteção de Dados (EDPB) / Grupo de Trabalho do Artigo 29: Parecer 2/2017 sobre Processamento de Dados no Trabalho (WP 249) (Proibição explícita contra rastreamento desproporcional de funcionários e separação obrigatória de espaços privados BYOD sob o GDPR da UE).
• Consumer Financial Protection Bureau (CFPB) e National Labor Relations Board (NLRB): CFPB Circular 2024-06 (Dossiers de antecedentes e pontuações algorítmicas para trabalhadores) e Memorando do Conselho Geral do NLRB GC 23-02 (Gestão Eletrônica e Vigilância Algorítmica).
• Electronic Frontier Foundation (EFF): Por dentro da Bossware: análise técnica de software de monitoramento de funcionários, keyloggers e interceptação de certificado raiz TLS.
• NIST (Instituto Nacional de Padrões e Tecnologia): NIST SP 800-114 Rev. 1 (Guia do usuário para teletrabalho e segurança BYOD para trazer seu próprio dispositivo) e *NIST SP 800-46 Rev.