Quando os sistemas da Medibank foram violados em outubro de 2022, expondo as informações pessoais de saúde de 9,7 milhões de clientes, os investigadores rastrearam a origem do ataque até credenciais comprometidas. Apesar dos investimentos multimilionários em sistemas de gestão de identidade e acesso, ferramentas de gestão de acesso privilegiado e arquiteturas emergentes de confiança zero, a vulnerabilidade fundamental permaneceu inalterada: os usuários controlavam suas próprias credenciais, tornando-os inerentemente suscetíveis a ataques de engenharia social e phishing.
O problema persistente das credenciais nos serviços financeiros
As instituições financeiras enfrentam um paradoxo estrutural. Elas implementam estruturas de segurança sofisticadas — gestão de identidade e acesso (IAM) para autenticação de usuários, gestão de acesso privilegiado (PAM) para acesso a sistemas críticos e arquiteturas de confiança zero para segurança de rede —, mas o comprometimento de credenciais continua sendo o principal vetor de ataque. O Relatório de Investigações de Violação de Dados da Verizon de 2023 constatou que credenciais roubadas estiveram envolvidas em 49% das violações em todos os setores, aumentando para 55% especificamente nos serviços financeiros.
Essa vulnerabilidade decorre de uma falha fundamental de design: as organizações autenticam a identidade, mas delegam o controle das credenciais aos usuários. Seja para acessar sistemas bancários centrais, plataformas de subscrição de seguros ou bancos de dados de clientes, os funcionários criam, memorizam e gerenciam suas próprias senhas. Esse elemento humano introduz um risco sistêmico que nenhuma quantidade de segurança de perímetro consegue eliminar.
Os marcos regulatórios reconhecem essa realidade. Os requisitos de resiliência operacional da Autoridade de Conduta Financeira (Financial Conduct Authority) determinam que as empresas devem "identificar, monitorar e gerenciar" os riscos operacionais, incluindo explicitamente as ameaças cibernéticas. Da mesma forma, a Solvência II exige que as seguradoras mantenham um "sistema eficaz de governança" sobre os riscos operacionais, enquanto os padrões PCI DSS exigem "medidas fortes de controle de acesso" para ambientes de processamento de pagamentos.
A escala da vulnerabilidade das credenciais
Dados recentes ilustram a magnitude desse desafio. O Relatório de Custo de uma Violação de Dados 2023 da IBM constatou que credenciais comprometidas foram o vetor de ataque inicial mais comum, presentes em 16% de todas as violações e resultando em um custo médio de US$ 4,62 milhões por incidente. Especificamente para os serviços financeiros, esse valor sobe para US$ 5,90 milhões — o maior entre todos os setores.
A avaliação de risco de 2023 da Autoridade Bancária Europeia identificou o comprometimento de credenciais como um "risco de alta prioridade" para as instituições financeiras da União Europeia, observando um aumento de 78% nos ataques de phishing bem-sucedidos direcionados a credenciais bancárias entre 2022 e 2023. No setor de seguros, a Lloyd's of London informou que 68% das reivindicações de seguro cibernético em 2023 tiveram origem em credenciais de usuários comprometidas, representando £2,1 bilhões em pagamentos totais.
Talvez o mais preocupante seja a persistência dessa vulnerabilidade apesar dos investimentos em segurança. A Gartner estima que os gastos globais com soluções IAM atingiram US$ 16,9 bilhões em 2023, mas os ataques baseados em credenciais continuam aumentando. O Instituto Ponemon constatou que 65% das organizações sofreram incidentes de segurança relacionados a credenciais nos últimos 24 meses, apesar de implementarem autenticação multifator e sistemas de gestão de acesso privilegiado.
Por que as arquiteturas de segurança atuais falham
As ferramentas tradicionais de segurança tratam os sintomas, e não o problema estrutural subjacente. Os sistemas IAM são excelentes na verificação da identidade dos usuários quando as credenciais são fornecidas, mas não conseguem impedir o roubo dessas credenciais em primeiro lugar. As soluções PAM protegem contas privilegiadas por meio de monitoramento de sessões e controles de acesso, mas permanecem vulneráveis caso as credenciais subjacentes sejam comprometidas por phishing ou engenharia social.
As arquiteturas de confiança zero representam a abordagem mais sofisticada, verificando continuamente as solicitações de acesso e assumindo que não existe confiança implícita. No entanto, mesmo os modelos de confiança zero normalmente dependem de credenciais controladas pelo usuário para a autenticação inicial. Se os invasores obtiverem essas credenciais por meio de phishing — ataques cada vez mais sofisticados capazes de contornar a autenticação multifator —, eles poderão potencialmente satisfazer os requisitos de verificação da confiança zero.
As soluções de login único (SSO), embora melhorem a experiência do usuário, na verdade aumentam a concentração de risco. Uma única credencial comprometida pode fornecer acesso a vários sistemas, ampliando os danos potenciais. A autenticação multifator adiciona camadas de segurança, mas continua vulnerável a técnicas avançadas de phishing e ataques de troca de SIM (SIM swapping).
Uma abordagem estrutural para o controle de credenciais
A solução exige uma reestruturação fundamental da propriedade das credenciais. Em vez de os usuários criarem e controlarem suas próprias credenciais, as organizações devem gerar, distribuir e gerenciar diretamente todos os materiais de autenticação. Essa abordagem garante que os usuários nunca vejam, armazenem ou transmitam credenciais — eliminando o elemento humano que possibilita ataques de phishing e engenharia social.
Nesse modelo, as credenciais permanecem criptografadas dentro dos sistemas de controle organizacional e são liberadas apenas para eventos específicos de autenticação por meio de canais seguros. Os usuários se autenticam por métodos biométricos ou baseados em hardware, acionando a liberação automatizada das credenciais sem intervenção humana. Essa arquitetura torna as credenciais "impossíveis de serem vítimas de phishing" — os invasores não podem roubar aquilo que os usuários nunca possuem.
A implementação exige uma interrupção mínima nos sistemas existentes. Os investimentos atuais em IAM, PAM e confiança zero continuam valiosos, sendo aprimorados pela remoção do ponto de vulnerabilidade compartilhado entre eles. A autenticação passa a ser controlada pela organização, preservando as estruturas estabelecidas de gestão de acesso.
Implicações estratégicas
As instituições financeiras e seguradoras enfrentam uma escolha clara: continuar investindo em segurança de perímetro enquanto deixam a lacuna das credenciais exposta, ou enfrentar diretamente essa vulnerabilidade estrutural. Diante das pressões regulatórias, do aumento dos custos das violações e da crescente sofisticação dos ataques, as organizações que não controlarem suas credenciais enfrentarão riscos operacionais e reputacionais cada vez maiores.
A tecnologia existe para eliminar completamente as vulnerabilidades baseadas em credenciais. A questão é se os líderes dos serviços financeiros reconhecerão que a verificação de identidade e o controle de acesso, embora necessários, são insuficientes sem o controle organizacional das credenciais.