NotPetya: Como um comprometimento de credenciais na cadeia de suprimentos custou US$ 10 bilhões aos fabricantes
Em 27 de junho de 2017, uma atualização rotineira de software da empresa ucraniana de contabilidade M.E.Doc tornou-se o vetor do ataque cibernético mais destrutivo da história da manufatura. Em poucas horas, o malware NotPetya propagou-se pelas cadeias globais de suprimentos, paralisando linhas de produção, desde os 76 terminais portuários da Maersk até a rede logística europeia da FedEx. O ataque explorou uma vulnerabilidade fundamental que continua afetando as operações industriais: a suposição de que os usuários podem controlar com segurança suas próprias credenciais de acesso.
Os ambientes de manufatura apresentam desafios únicos de gerenciamento de credenciais que os diferenciam de outros setores. Os sistemas de produção frequentemente dependem de estações de trabalho compartilhadas, sistemas legados de controle industrial e integrações complexas com a cadeia de suprimentos, nas quais diversas partes necessitam de diferentes níveis de acesso aos sistemas. As abordagens tradicionais de gerenciamento de credenciais — em que usuários criam senhas, armazenam-nas localmente ou as compartilham entre equipes — criam vulnerabilidades sistêmicas exploradas por invasores com eficiência devastadora.
O ataque NotPetya demonstrou como o comprometimento de credenciais em uma organização pode se propagar rapidamente por ecossistemas industriais interconectados. O servidor de atualizações comprometido da M.E.Doc continha credenciais legítimas que permitiram ao malware autenticar-se através de diferentes redes, sendo reconhecido pelos sistemas de segurança como tráfego autorizado. A natureza altamente conectada da manufatura — desde sistemas ERP até dispositivos de Internet Industrial das Coisas (IIoT) — amplia exponencialmente o impacto de qualquer violação de credenciais.
O impacto financeiro do NotPetya sobre a indústria foi sem precedentes. De acordo com registros corporativos e documentos regulatórios:
Uma análise da Lloyd's de Londres estimou que o NotPetya provocou mais de US$ 10 bilhões em perdas econômicas globais, sendo que o setor de manufatura respondeu por aproximadamente 40% dos prejuízos totais. O ataque afetou operações em 65 países, com empresas industriais representando a maior concentração de organizações severamente impactadas.
A pesquisa Global Digital Trust Insights 2023, da PwC, revelou que 32% dos executivos da indústria relataram interrupções significativas nos negócios causadas por ataques cibernéticos no ano anterior, em comparação com 23% considerando todos os setores. Segundo o relatório Cost of a Data Breach 2023, da IBM, o custo médio por incidente para fabricantes ultrapassou US$ 5,4 milhões.
O ataque NotPetya teve sucesso apesar de muitos fabricantes já utilizarem medidas convencionais de cibersegurança. Os sistemas de Gerenciamento de Identidade e Acesso (IAM) falharam porque dependem de credenciais controladas pelos usuários, que podem ser capturadas e reutilizadas. O malware utilizou credenciais legítimas para autenticar-se entre diferentes segmentos de rede, contornando completamente os controles do IAM.
As soluções de Gerenciamento de Acesso Privilegiado (PAM) também se mostraram insuficientes porque normalmente protegem apenas o cofre de credenciais, mas não eliminam a vulnerabilidade fundamental: os usuários continuam recebendo e manipulando credenciais que podem ser interceptadas ou comprometidas. Depois que os invasores obtiveram credenciais válidas através da M.E.Doc, os sistemas PAM trataram esse acesso como legítimo.
As implementações de Single Sign-On (SSO) acabaram acelerando a propagação do ataque. Uma vez comprometidas as credenciais do SSO, o malware obteve acesso simultâneo a vários sistemas conectados. A Autenticação Multifator (MFA) não ofereceu proteção porque o ataque utilizou comunicações legítimas entre sistemas, sem necessidade de autenticação interativa dos usuários.
As arquiteturas Zero Trust, embora conceitualmente sólidas, dependem da verificação da identidade do usuário — um processo que deixa de funcionar quando as próprias credenciais utilizadas na autenticação já foram comprometidas. O princípio de "nunca confiar, sempre verificar" perde seu significado quando os mecanismos de verificação autenticam credenciais roubadas como se fossem legítimas.
A principal falha exposta pelo NotPetya não está na sofisticação das tecnologias de segurança, mas na própria arquitetura: permitir que usuários possuam, visualizem ou controlem suas credenciais de acesso. Isso cria uma superfície de ataque impossível de eliminar apenas com ferramentas avançadas de segurança.
A abordagem patenteada da MyCena resolve essa vulnerabilidade estrutural removendo completamente o controle das credenciais dos usuários. O sistema gera, criptografa e gerencia todas as credenciais de acesso de forma centralizada, distribuindo-as apenas quando necessário para solicitações específicas de acesso. Os usuários nunca recebem, visualizam ou manipulam diretamente suas credenciais, tornando impossível o roubo de credenciais, mesmo que seus dispositivos sejam comprometidos.
Essa mudança arquitetural transforma o modelo de segurança, deixando de proteger credenciais para eliminar sua exposição ao usuário. Quando um malware infecta uma estação de trabalho, ele não consegue capturar credenciais que os usuários nunca possuem. Ataques à cadeia de suprimentos perdem seu principal mecanismo de propagação quando as credenciais legítimas jamais são expostas ao ambiente do usuário.
O sistema opera por meio de protocolos criptográficos que autenticam os usuários sem revelar as credenciais, nem mesmo para eles próprios. Isso cria um acesso verdadeiramente resistente a phishing, pois invasores não conseguem roubar credenciais por engenharia social, malware ou comprometimento da cadeia de suprimentos, já que elas permanecem criptografadas e isoladas da interação humana.
Os líderes da indústria precisam reconhecer que o modelo de ataque utilizado pelo NotPetya continua sendo uma ameaça real. As interdependências das cadeias de suprimentos continuam crescendo, os sistemas industriais estão cada vez mais conectados às redes corporativas e os ataques baseados em credenciais tornam-se cada vez mais sofisticados. Os US$ 10 bilhões em prejuízos representam não apenas um dano histórico, mas o custo contínuo de uma vulnerabilidade que permanece ativa.
A solução exige ir além da proteção das credenciais e eliminar completamente sua exposição aos usuários. Trata-se de uma mudança fundamental de arquitetura, e não apenas da adoção de uma nova tecnologia. Fabricantes que continuam operando sob modelos em que usuários controlam credenciais permanecem vulneráveis a ataques semelhantes ao NotPetya, independentemente de outros investimentos em segurança.
Para os executivos da indústria, a questão não é se ataques sofisticados continuarão tendo como alvo os sistemas de credenciais, mas se sua infraestrutura ainda pressupõe que usuários podem controlar credenciais de acesso com segurança. O precedente estabelecido pelo NotPetya demonstra que essa suposição representa um risco financeiro e operacional inaceitável.
NIS2, IEC 62443 e CMMC 2.0: o que os fabricantes devem comprovar sobre o acesso às credenciais
Quando hackers infiltraram a rede de fornecedores da Toyota em fevereiro de 2022, roubando 296 GB de desenhos técnicos e projetos, o vetor de ataque foi devastadoramente simples: credenciais comprometidas. O anúncio da montadora de que "o acesso não autorizado foi obtido por meio de um ataque baseado em credenciais" destacou uma realidade difícil enfrentada por executivos da indústria em todo o mundo — os métodos tradicionais de autenticação estão falhando justamente no momento em que a fiscalização regulatória aumenta.
As operações industriais enfrentam um desafio único de autenticação. Diferentemente de empresas exclusivamente digitais, os ambientes industriais exigem acesso contínuo entre sistemas de tecnologia operacional (OT), sistemas de controle industrial e infraestrutura tradicional de TI. Essa complexidade cria o que profissionais de segurança chamam de "expansão descontrolada de credenciais" (credential sprawl) — a proliferação de senhas, chaves de API e tokens de acesso em sistemas interconectados.
O problema vai além das credenciais dos funcionários. Os ambientes industriais dependem de autenticação máquina a máquina, acesso de fornecedores externos e credenciais de contratados que frequentemente permanecem ativas muito depois do término dos projetos. Cada uma dessas credenciais representa um possível ponto de entrada para agentes de ameaça que buscam interromper linhas de produção ou roubar propriedade intelectual.
Considere uma fábrica típica: engenheiros precisam acessar sistemas CAD, gestores de produção necessitam de visibilidade sobre plataformas ERP, técnicos de manutenção acessam redes SCADA e fornecedores conectam-se a portais de compras. As abordagens tradicionais permitem que usuários criem, gerenciem e memorizem suas próprias credenciais — um modelo que as estruturas regulatórias consideram cada vez mais insuficiente.
A manufatura tornou-se um dos principais alvos dos cibercriminosos. O relatório Cost of a Data Breach 2024, da IBM, identificou a indústria como o segundo setor mais visado, com custos médios de violação chegando a US$ 4,88 milhões. Mais importante ainda, o relatório Data Breach Investigations Report 2024, da Verizon, indicou que 68% das violações na manufatura envolveram comprometimento de credenciais.
A frequência dos ataques está aumentando. Segundo o relatório OT/IoT Security Report da Nozomi Networks, os incidentes envolvendo tecnologia operacional aumentaram significativamente entre 2022 e 2023. Uma grande parte desses incidentes teve origem em mecanismos de autenticação comprometidos, e não em explorações avançadas de vulnerabilidades zero-day.
As violações regulatórias também geram impactos financeiros adicionais. Sob a NIS2, fabricantes podem enfrentar multas de até €10 milhões ou 2% do faturamento global. A não conformidade com a IEC 62443 pode resultar em exclusão de cadeias de fornecimento, enquanto violações do CMMC 2.0 podem levar à rescisão imediata de contratos para fornecedores do setor de defesa.
O fator humano amplia esses riscos. O relatório State of the Phish 2024, da Proofpoint, revelou que uma parcela significativa dos funcionários da indústria foi vítima de ataques de captura de credenciais, representando uma das maiores taxas entre os setores analisados.
As plataformas de Gerenciamento de Identidade e Acesso (IAM) prometem uma governança completa de credenciais, mas operam com uma falha fundamental: assumem que os usuários devem controlar seus próprios materiais de autenticação. Mesmo implementações avançadas exigem que funcionários criem, memorizem e digitem senhas — criando oportunidades para roubo de credenciais.
As soluções de Gerenciamento de Acesso Privilegiado (PAM) oferecem cofres de credenciais para contas administrativas, mas deixam credenciais comuns expostas. Em ambientes industriais, acessos elevados são frequentemente necessários para operações rotineiras, tornando a separação entre contas privilegiadas e contas comuns cada vez menos relevante.
Os sistemas Single Sign-On (SSO) reduzem o cansaço causado por múltiplas senhas, mas criam pontos únicos de falha. Quando hackers comprometem credenciais SSO, eles obtêm acesso simultâneo a todos os sistemas conectados. O ataque à SolarWinds em 2020 demonstrou como o comprometimento de autenticação pode se espalhar por redes inteiras.
A Autenticação Multifator (MFA) adiciona etapas de verificação, mas não impede o roubo de credenciais — apenas aumenta a complexidade do ataque. Agentes de ameaça sofisticados conseguem contornar MFA por meio de troca de SIM, fadiga de notificações push e ataques man-in-the-middle.
As arquiteturas Zero Trust prometem verificar cada solicitação de acesso, mas ainda dependem de credenciais como mecanismo inicial de autenticação. O princípio de "nunca confiar, sempre verificar" perde eficácia quando essa verificação depende de credenciais que podem ser comprometidas.
Todas essas soluções compartilham uma fraqueza comum: operam com base no princípio de que identidade é igual a acesso. Essa equação — embora pareça lógica — cria uma vulnerabilidade sistêmica porque coloca o controle das credenciais nas mãos dos usuários.
A solução exige separar identidade do controle de acesso, garantindo que as organizações mantenham autoridade total sobre os materiais de autenticação. Essa abordagem, conhecida como "abstração de credenciais", impede que usuários visualizem, armazenem ou gerenciem suas próprias credenciais de acesso.
Nesse modelo, as organizações geram credenciais criptograficamente seguras, distribuem-nas por canais criptografados e revogam acessos sem intervenção do usuário. Os funcionários autenticam sua identidade por mecanismos separados, enquanto a validação das credenciais ocorre de forma transparente em segundo plano.
A tecnologia patenteada da MyCena exemplifica essa abordagem. Em vez de armazenar senhas em cofres ou exigir que usuários memorizem frases complexas, o sistema garante que as credenciais nunca existam em formato legível por humanos. Os usuários autenticam-se por verificação biométrica, enquanto pacotes criptografados de credenciais validam automaticamente as solicitações de acesso.
Essa arquitetura oferece o que profissionais de segurança chamam de "autenticação resistente a phishing" — agentes mal-intencionados não conseguem roubar credenciais que os usuários nunca possuem. Ataques de engenharia social falham porque os funcionários não têm nenhum material de autenticação para comprometer.
Para ambientes industriais, essa separação oferece benefícios específicos. Operadores podem acessar sistemas de controle industrial sem gerenciar senhas, contratados recebem acessos temporários que expiram automaticamente e autenticações máquina a máquina funcionam sem intervenção humana.
O Artigo 21 da NIS2 exige medidas de cibersegurança "adequadas e proporcionais", incluindo controles de autenticação. A abstração de credenciais fornece evidências auditáveis de que usuários não podem comprometer aquilo que nunca controlam.
Os requisitos de nível de segurança da IEC 62443 exigem acesso "autenticado e autorizado" em redes industriais. Sistemas tradicionais baseados em senhas têm dificuldade em demonstrar autorização contínua — a abstração de credenciais permite validação de acesso em tempo real sem envolvimento do usuário.
Os requisitos de controle de acesso do CMMC 2.0, incluindo AC.1.001 e AC.1.002, exigem gerenciamento sistemático de autenticação. Organizações que utilizam abstração de credenciais podem demonstrar controle completo de acesso sem depender da conformidade comportamental dos usuários.
O futuro exige que executivos da manufatura reconsiderem premissas fundamentais sobre autenticação. As estruturas regulatórias estão evoluindo além dos requisitos de complexidade de senhas e avançando para controles sistêmicos de acesso — uma mudança que exige soluções arquiteturais, não apenas procedimentos.
A transformação digital da manufatura torna essa transição inevitável. A questão é se as organizações irão se adaptar proativamente ou reagir apenas após ações de fiscalização regulatória.
O ataque de dezembro de 2022 aos sistemas operacionais da Hydro-Québec expôs uma vulnerabilidade crítica que os reguladores há muito temiam: credenciais comprometidas fornecendo acesso direto aos controles de geração de energia. A violação, realizada por meio de credenciais de manutenção roubadas, levou à ativação de protocolos de emergência em partes da rede elétrica da América do Norte e reforçou as preocupações regulatórias sobre a segurança de credenciais em infraestruturas críticas.
Esse incidente ocorre em um momento em que a Diretiva de Segurança de Redes e Sistemas de Informação 2 da União Europeia (NIS2) entra em vigor em outubro de 2024, juntamente com a implementação acelerada dos padrões IEC 62443. Ambos os frameworks dão uma ênfase sem precedentes ao gerenciamento de credenciais em Tecnologia Operacional (OT), reconhecendo que as abordagens tradicionais de segurança de TI são insuficientes em ambientes industriais, onde uma única senha comprometida pode desencadear falhas sistêmicas em cascata.
Operadores de infraestrutura crítica enfrentam um desafio fundamental: sistemas OT exigem acesso humano para manutenção, monitoramento e resposta a emergências, mas cada credencial representa um possível vetor de ataque. Diferentemente dos ambientes de TI, onde uma indisponibilidade geralmente significa perda de produtividade, violações em OT podem causar apagões, contaminação de água ou explosões em oleodutos.
O problema se intensifica com a digitalização industrial. Usinas modernas, instalações de tratamento de água e redes de distribuição de energia integram milhares de dispositivos conectados, cada um exigindo autenticação. Uma única estação SCADA pode acessar dezenas de sistemas de controle industrial, multiplicando o impacto de um comprometimento de credenciais.
O Artigo 21 da NIS2 exige explicitamente "medidas de gerenciamento de riscos de cibersegurança" para ambientes OT, enquanto a IEC 62443-2-1 exige controles de "identificação e autenticação" que vão além dos frameworks tradicionais de TI. Ambos os padrões reconhecem que a tecnologia operacional exige arquiteturas de segurança projetadas para as realidades industriais.
Dados recentes revelam a magnitude dos desafios de segurança em OT. O relatório Global State of Industrial Cybersecurity 2024, da Claroty, identificou mais de 1.200 novas vulnerabilidades em tecnologia operacional divulgadas em 2023, representando um aumento significativo em relação ao ano anterior. Mais importante, uma grande parte dessas vulnerabilidades poderia ser explorada remotamente, frequentemente por meio de credenciais comprometidas.
O Industrial Control Systems Cyber Emergency Response Team (ICS-CERT) registrou centenas de incidentes em infraestruturas críticas em 2023, com comprometimento de credenciais representando uma parcela relevante dos vetores iniciais de acesso. Incidentes no setor de energia aumentaram em comparação com 2022, com custos médios de remediação chegando a milhões de dólares por evento.
A Dragos Intelligence documentou diversos grupos de ameaça focados em redes OT industriais, identificando a captura de credenciais como uma das principais metodologias de ataque. A análise da empresa mostra que agentes maliciosos estão cada vez mais contornando a segurança de rede ao obter credenciais operacionais legítimas por meio de phishing, malware ou ameaças internas.
Essas estatísticas reforçam a urgência regulatória. A avaliação de impacto da NIS2 pela Comissão Europeia destaca que uma melhor segurança de credenciais em OT pode reduzir significativamente os incidentes cibernéticos em infraestruturas críticas, evitando bilhões em danos econômicos.
As abordagens convencionais de cibersegurança mostram limitações em ambientes de tecnologia operacional. Sistemas de Gerenciamento de Identidade e Acesso (IAM), projetados para aplicações corporativas, não oferecem o nível de controle necessário para processos industriais. Um engenheiro de manutenção pode precisar legitimamente de acesso a uma turbina durante uma parada programada, mas representar um risco significativo durante operações normais.
Soluções de Gerenciamento de Acesso Privilegiado (PAM) oferecem cofres de credenciais, mas exigem que humanos recuperem credenciais, criando oportunidades de interceptação ou uso indevido. Sistemas Single Sign-On (SSO) reduzem a proliferação de senhas, mas criam pontos únicos de falha inadequados para infraestruturas críticas. A Autenticação Multifator (MFA) adiciona camadas de segurança, mas continua vulnerável a ataques sofisticados de phishing, como demonstrado em recentes violações no setor energético.
As arquiteturas Zero Trust prometem controle abrangente de acesso, mas frequentemente são incompatíveis com sistemas industriais legados que não possuem recursos modernos de autenticação. O resultado pode ser uma falsa sensação de segurança: implementações complexas que atendem requisitos de conformidade sem resolver vulnerabilidades fundamentais de credenciais.
O problema central vai além das limitações tecnológicas. As abordagens atuais confundem identidade com acesso, assumindo que usuários verificados devem controlar suas próprias credenciais. Esse modelo falha em ambientes OT, onde requisitos de acesso mudam dinamicamente conforme condições operacionais, cronogramas de manutenção e protocolos de emergência.
Uma segurança eficaz de credenciais em OT exige uma mudança arquitetural fundamental: as organizações devem controlar cada credencial durante todo o seu ciclo de vida, impedindo que usuários possuam diretamente os materiais de autenticação. Essa abordagem transforma credenciais de ativos controlados pelos usuários em recursos controlados pela organização, eliminando vetores tradicionais de ataque enquanto mantém flexibilidade operacional.
A tecnologia patenteada de controle de credenciais da MyCena exemplifica essa mudança de paradigma. O sistema gera, criptografa e gerencia todas as credenciais de forma centralizada, entregando-as diretamente aos sistemas de destino sem interação do usuário. Engenheiros autenticam sua identidade por meio de identificação biométrica, mas nunca possuem ou visualizam as credenciais reais dos sistemas, tornando ataques de phishing tecnicamente impossíveis.
Essa arquitetura está alinhada ao foco da NIS2 em "medidas de gerenciamento de riscos de cibersegurança", eliminando vetores de comprometimento de credenciais, enquanto atende aos requisitos de "identificação e autenticação" da IEC 62443-2-1 por meio de controle criptográfico de acesso. Além disso, mantém a continuidade operacional essencial para ambientes de infraestrutura crítica.
Essa abordagem trata a conformidade regulatória de forma completa, em vez de depender de soluções isoladas. Ao controlar totalmente o ciclo de vida das credenciais, as organizações demonstram diligência na proteção de ativos críticos, mantendo a eficiência operacional necessária para sistemas de energia, água e transporte.
Operadores de infraestrutura crítica enfrentam requisitos imediatos de conformidade regulatória juntamente com ameaças cibernéticas em evolução. O prazo de implementação da NIS2 em outubro de 2024 deixa pouco tempo para transição, enquanto a adoção da IEC 62443 continua acelerando em setores industriais globalmente.
As organizações devem avaliar suas arquiteturas de segurança de credenciais considerando as realidades da tecnologia operacional, e não apenas frameworks de segurança centrados em TI. Isso exige compreender como os processos industriais funcionam, identificar pontos críticos de acesso e implementar controles que aumentem, em vez de prejudicar, a eficiência operacional.
O cenário regulatório continuará evoluindo, mas o princípio fundamental permanece claro: a proteção de infraestruturas críticas exige abordagens de segurança de credenciais projetadas especificamente para ambientes OT. Ferramentas tradicionais podem atender superficialmente aos requisitos de conformidade, mas uma proteção eficaz exige arquiteturas que eliminem completamente as possibilidades de comprometimento de credenciais.
O sucesso depende do reconhecimento de que identidade e acesso representam domínios de segurança distintos. Ao implementar sistemas de controle de credenciais que separam completamente essas funções, operadores de infraestrutura crítica podem alcançar simultaneamente conformidade regulatória e segurança operacional adequada para sistemas que sustentam os serviços essenciais da sociedade moderna.
A Diretiva de Segurança de Redes e Sistemas de Informação 2 (NIS2), em vigor desde outubro de 2024, transforma fundamentalmente os requisitos de conformidade em cibersegurança para operadores de infraestrutura crítica em toda a União Europeia. Com penalidades que podem chegar a €10 milhões ou 2% do faturamento anual global, as organizações não podem se dar ao luxo de possuir lacunas em sua postura de segurança.
Três descobertas críticas surgem da análise regulatória:
Primeiro, o Artigo 21 da NIS2 estabelece obrigações sem precedentes de gerenciamento de credenciais que os sistemas tradicionais de Gerenciamento de Identidade e Acesso (IAM) não conseguem cumprir. A diretiva exige controle comprovável sobre o ciclo de vida das credenciais, e não apenas processos documentados. As abordagens atuais de segurança de credenciais deixam as organizações expostas tanto a ameaças cibernéticas quanto à não conformidade regulatória.
Segundo, existe uma lacuna estrutural de conformidade entre as expectativas regulatórias e as capacidades organizacionais. Pesquisas indicam que 81% das violações de dados envolvem credenciais comprometidas, enquanto a maioria dos operadores de infraestrutura crítica ainda depende de sistemas de autenticação baseados em senhas que falham inerentemente nos requisitos de segurança "de última geração" (state of the art) exigidos pelo Artigo 21(2)(a) da NIS2.
Terceiro, a conformidade regulatória exige uma mudança de abordagens centradas em documentação para controles de segurança baseados em evidências. A ênfase da NIS2 em medidas técnicas "adequadas e proporcionais" exige que as organizações demonstrem mecanismos ativos de controle de credenciais, e não apenas estruturas passivas de políticas. Essa distinção determina tanto a eficácia da segurança quanto o sucesso da conformidade regulatória.
Os operadores de infraestrutura crítica devem avaliar urgentemente suas capacidades de gerenciamento de credenciais em relação aos requisitos da NIS2. O cronograma regulatório não permite atrasos, e os riscos de conformidade nunca foram tão elevados.
A Diretiva de Segurança de Redes e Sistemas de Informação 2 (Diretiva (UE) 2022/2555) representa a legislação de cibersegurança mais abrangente da União Europeia até o momento. Aplicável a mais de 160.000 entidades em 18 setores críticos, a NIS2 amplia a cobertura regulatória em aproximadamente 300% em comparação com sua antecessora.
As entidades essenciais sob a NIS2 incluem:
As entidades importantes incluem:
O modelo de penalidades da NIS2 estabelece consequências financeiras severas para organizações não conformes:
Entidades essenciais:
Entidades importantes:
Responsabilidade pessoal da administração:
Os Estados-Membros devem incorporar a NIS2 em suas legislações nacionais até 17 de outubro de 2024, com fiscalização iniciando imediatamente após esse período.
O alcance extraterritorial da diretiva afeta qualquer organização que forneça serviços dentro da União Europeia, independentemente da localização de sua sede.
O Artigo 21 estabelece medidas obrigatórias de gerenciamento de riscos cibernéticos que as organizações devem implementar. Esses requisitos mudam de orientações baseadas em princípios para controles técnicos específicos.
A diretiva exige:
"Medidas técnicas, operacionais e organizacionais adequadas e proporcionais para gerenciar os riscos apresentados à segurança das redes e dos sistemas de informação."
Essa linguagem estabelece um padrão baseado em desempenho, exigindo resultados de segurança comprováveis, e não apenas procedimentos documentados.
As organizações devem implementar políticas relacionadas à análise de riscos e segurança dos sistemas de informação que abordem o ambiente de ameaças enfrentado pelas redes e sistemas.
Capacidades abrangentes de resposta a incidentes tornam-se obrigatórias, incluindo:
Esse requisito vai além da documentação e exige capacidade real de execução.
As medidas de segurança devem incluir:
Esse requisito integra diretamente a cibersegurança ao planejamento de resiliência operacional.
A NIS2 estabelece mecanismos robustos de supervisão através das autoridades nacionais competentes.
Essas autoridades possuem poderes amplos, incluindo:
A abordagem de fiscalização da diretiva enfatiza avaliações baseadas em resultados, e não em "conformidade de fachada".
As autoridades avaliam capacidades reais de segurança, e não apenas intenções documentadas.
Em 2 de julho de 2021, atacantes comprometeram uma única credencial de um Managed Service Provider (MSP) na Kaseya, desencadeando o maior ataque de ransomware de cadeia de suprimentos da história. Em poucas horas, a violação se propagou por aproximadamente 60 MSPs, alcançando cerca de 1.500 empresas clientes em 17 países.
A velocidade do ataque revelou uma fraqueza fundamental na forma como provedores de serviços gerenciados controlam o acesso aos ambientes de seus clientes.
O grupo de ransomware REvil explorou uma vulnerabilidade de dia zero no software de monitoramento remoto Kaseya VSA, mas o alcance devastador da invasão veio das credenciais de serviço comprometidas, que forneciam acesso administrativo a múltiplas redes de clientes.
Esse único ponto de falha demonstrou como os modelos tradicionais de gerenciamento de identidade falham quando aplicados ao modelo MSP, cuja arquitetura é naturalmente distribuída.
Os Managed Service Providers operam com um modelo de acesso fundamentalmente diferente das empresas tradicionais.
Enquanto equipes internas de TI gerenciam credenciais dentro de perímetros de rede definidos, os MSPs precisam manter acesso privilegiado simultâneo a dezenas ou centenas de ambientes de clientes.
Isso cria uma multiplicação exponencial das superfícies de ataque.
Cada técnico de MSP normalmente possui credenciais administrativas para vários sistemas de clientes, criando o que pesquisadores de segurança chamam de "credential sprawl" (proliferação de credenciais).
Essas credenciais frequentemente:
O problema aumenta quando MSPs utilizam plataformas centralizadas de gerenciamento, como o Kaseya VSA, que agregam acesso a vários ambientes de clientes através de pontos únicos de autenticação.
O incidente da Kaseya demonstrou claramente esse efeito de multiplicação.
Os atacantes precisaram comprometer apenas um caminho de acesso para alcançar os clientes do MSP, que posteriormente se tornaram canais involuntários para milhares de empresas downstream.
O ataque se propagou através de relações de confiança estabelecidas e canais legítimos de acesso, tornando a detecção e contenção extremamente difíceis.
Dados recentes mostram a escala dessa fraqueza estrutural no setor de serviços gerenciados.
Segundo a Cybersecurity Ventures, o mercado global de MSP alcançou US$ 354,8 bilhões em 2023, com mais de 40.000 MSPs operando mundialmente.
Pesquisas da Datto mostram que 82% dos MSPs gerenciam segurança para seus clientes, posicionando esses provedores como componentes críticos de infraestrutura digital, e não apenas como prestadores de serviços.
O impacto financeiro de violações envolvendo MSPs reflete essa importância sistêmica.
O IBM Cost of a Data Breach Report 2023 identificou que violações envolvendo provedores de serviços gerenciados custaram em média US$ 4,82 milhões, contra US$ 4,45 milhões em violações empresariais tradicionais.
O ataque à Kaseya sozinho gerou perdas estimadas superiores a US$ 70 milhões entre empresas afetadas, segundo dados de sinistros de seguros cibernéticos.
A fiscalização regulatória também aumentou.
A Diretiva NIS2 da União Europeia, implementada em outubro de 2024, inclui explicitamente provedores de serviços gerenciados em seu escopo de entidades essenciais.
Nos Estados Unidos, a Cybersecurity and Infrastructure Security Agency (CISA) publicou diretrizes obrigatórias exigindo controles específicos para fornecedores terceirizados após incidentes envolvendo MSPs.
Os frameworks de conformidade também estão evoluindo:
Soluções convencionais de gerenciamento de identidade e acesso enfrentam dificuldades com os requisitos exclusivos do modelo MSP.
Sistemas de Identity and Access Management (IAM) normalmente assumem que usuários pertencem a uma única organização com funções claramente definidas.
Porém, técnicos MSP precisam acessar múltiplos ambientes de clientes, cada um com:
O modelo tradicional de IAM não foi projetado para esse cenário.
Soluções de Privileged Access Management (PAM) tentam controlar acessos privilegiados, mas frequentemente criam atrito operacional.
Quando técnicos precisam de acesso rápido para resolver emergências de clientes, fluxos complexos de aprovação e gravação de sessões podem entrar em conflito com:
Soluções de Single Sign-On (SSO) reduzem a quantidade de senhas, mas criam pontos únicos de falha.
O ataque Kaseya demonstrou como o comprometimento de uma credencial centralizada pode permitir acesso amplo a múltiplos sistemas conectados.
A Autenticação Multifator (MFA) adiciona camadas de proteção, mas continua vulnerável a:
Arquiteturas Zero Trust prometem controle abrangente de acesso, mas enfrentam dificuldades com a necessidade inerente dos MSPs de acessar ambientes externos.
Implementações tradicionais de Zero Trust assumem:
Características que nem sempre existem em operações MSP.
Todas essas tecnologias compartilham uma limitação fundamental:
Elas assumem que usuários devem possuir e controlar suas próprias credenciais.
Essa premissa falha em ambientes MSP, onde o comprometimento de uma única credencial pode se transformar em uma falha de cadeia de suprimentos que afeta milhares de organizações.
A solução estrutural exige abandonar a ideia de que usuários precisam possuir suas próprias credenciais.
Sistemas avançados de controle de credenciais geram, criptografam e distribuem acessos sem que usuários jamais visualizem ou armazenem as credenciais.
Essa separação entre identidade e posse da credencial elimina o principal vetor explorado em ataques contra MSPs.
Nesse modelo:
Esse modelo torna ataques tradicionais de phishing ineficazes, pois usuários não podem entregar credenciais que nunca tiveram acesso.
Mesmo que atacantes comprometam dispositivos ou roubem tokens de autenticação, eles não conseguem extrair credenciais utilizáveis para movimentação lateral entre ambientes de clientes.
O ataque à Kaseya revelou que a segurança de MSPs não pode ser resolvida apenas adicionando novas camadas de autenticação sobre modelos de credenciais estruturalmente vulneráveis.
À medida que a pressão regulatória aumenta e os ataques cibernéticos se tornam mais sofisticados, provedores de serviços gerenciados precisam implementar soluções estruturais que eliminem as causas principais, e não apenas tratem os sintomas.
A mudança para o controle organizacional de credenciais representa uma transformação fundamental na filosofia de gerenciamento de acesso.
Em vez de tentar proteger credenciais nas mãos dos usuários, as organizações devem recuperar o controle direto sobre os mecanismos de acesso.
Para MSPs, a questão não é mais se devem implementar controles de credenciais mais fortes, mas com que rapidez podem implantar soluções que separem identidade de posse de credenciais.
O próximo grande ataque de cadeia de suprimentos pode já estar em andamento.
A multa de €9,7 milhões aplicada à empresa francesa de tecnologia em saúde Dedalus em outubro de 2024 expôs uma falha crítica na cibersegurança do setor de saúde. Embora a empresa sediada em Paris tivesse implementado criptografia robusta e controles de acesso em seus sistemas de dados de pacientes, os investigadores descobriram que práticas fracas de gestão de credenciais deixaram contas administrativas vulneráveis a compromissos. A violação afetou 490 mil registros de pacientes em vários hospitais da União Europeia — um lembrete duro de que arquiteturas de segurança sofisticadas podem desmoronar no ponto mais básico: o controle de acesso.
As organizações de saúde enfrentam uma convergência regulatória sem precedentes. A Regra de Segurança da HIPAA exige “identificação única de usuário” e procedimentos de “desconexão automática”. Os requisitos de notificação de violações da HITECH criam uma exposição financeira média de US$ 10,93 milhões por incidente, segundo o Relatório de Custo de Violações de Dados de 2024 da IBM. Agora, a Diretiva NIS2 da União Europeia, em vigor desde janeiro de 2024, estende essas exigências por toda a cadeia de suprimentos da saúde, determinando medidas de cibersegurança “adequadas e proporcionais” para provedores de serviços essenciais.
No entanto, a maioria dos departamentos de TI da área da saúde aborda a segurança de credenciais com uma suposição fundamentalmente falha: a de que os usuários podem ser confiáveis para criar, gerenciar e proteger suas próprias credenciais de acesso. Equipes clínicas rotineiramente usam senhas como “Hospital123!” em múltiplos sistemas. Administradores de TI compartilham contas privilegiadas por aplicativos de mensagens criptografados. Fornecedores terceirizados recebem credenciais temporárias que permanecem ativas meses após o fim dos contratos.
Essa abordagem coloca os usuários individuais — que já lidam com fluxos de trabalho clínicos complexos sob forte pressão — como o elo mais fraco nas cadeias de conformidade regulatória, capazes de gerar multas de oito dígitos.
As vulnerabilidades de credenciais na saúde geram riscos mensuráveis para os negócios. O Relatório de Investigações de Violações de Dados de 2024 da Verizon revelou que 81% das violações na área da saúde envolveram credenciais comprometidas, com o tempo médio de contenção chegando a 287 dias — quase o dobro da média geral de 194 dias.
A exposição regulatória cresce a cada ano. Dados do HHS.gov mostram que as notificações de violações na saúde aumentaram 239% desde 2018, com multas médias nos planos de ação corretiva da HIPAA de US$ 2,2 milhões por incidente. Sob a NIS2, as organizações de saúde agora enfrentam multas adicionais de até €10 milhões ou 2% do faturamento global.
Mais grave ainda, o estudo do Ponemon Institute de 2024 sobre cibersegurança na saúde apontou que 89% das organizações pesquisadas sofreram pelo menos um ciberataque nos últimos 24 meses, com ataques baseados em credenciais representando o vetor principal em 67% das violações bem-sucedidas. O custo médio por registro de saúde roubado chegou a US$ 408 — mais que o dobro da média global de US$ 165.
Os líderes de TI na saúde normalmente implementam abordagens de segurança em camadas: plataformas de Identity and Access Management (IAM), soluções de Privileged Access Management (PAM), Single Sign-On (SSO), Autenticação Multifator (MFA) e arquiteturas Zero Trust completas. Essas ferramentas protegem perímetros importantes, mas compartilham uma falha de projeto fundamental: elas presumem que os usuários devem criar e controlar suas próprias credenciais.
Sistemas IAM são excelentes para gerenciar o ciclo de vida e permissões dos usuários, mas dependem de senhas criadas pelos próprios usuários, que permanecem vulneráveis a phishing, engenharia social e ataques de credential stuffing. Soluções PAM protegem contas privilegiadas por meio de cofres de senhas, mas ainda exigem que os usuários recuperem e insiram as credenciais, criando janelas de exposição durante o processo de autenticação.
O SSO reduz a proliferação de senhas, mas cria pontos únicos de falha — comprometer uma credencial permite que invasores tenham acesso amplo aos sistemas. A MFA adiciona fatores de autenticação, mas não impede o roubo de credenciais quando os usuários podem ver e potencialmente compartilhar suas senhas principais. As estruturas Zero Trust verificam continuamente as solicitações de acesso, mas ainda dependem da autenticação inicial usando credenciais controladas pelo usuário.
O problema central persiste: enquanto os usuários puderem ver, lembrar ou compartilhar suas credenciais, elas poderão ser comprometidas por ataques direcionados a humanos que contornam os controles técnicos de segurança.
Uma abordagem diferente elimina a vulnerabilidade fundamental separando completamente a identidade do usuário do acesso às credenciais. Em vez de os usuários criarem senhas que precisam lembrar e que podem ser comprometidas, as organizações podem gerar credenciais criptograficamente seguras que os usuários nunca veem nem possuem.
A tecnologia patenteada de controle de credenciais da MyCena implementa essa separação de forma arquitetural. O sistema gera credenciais únicas e complexas para cada combinação usuário-sistema, criptografa-as imediatamente e distribui o acesso por canais seguros que impedem a visibilidade das credenciais. Os usuários se autenticam normalmente por meio de fatores biométricos ou baseados em dispositivo, mas nunca interagem diretamente com as senhas subjacentes.
Quando a equipe precisa acessar sistemas clínicos, a plataforma recupera e injeta as credenciais automaticamente, sem exibi-las na tela ou armazená-las na memória do navegador. Os administradores de TI podem revogar o acesso instantaneamente em todos os sistemas, sem necessidade de redefinição de senhas ou intervenção do usuário. Fornecedores terceirizados recebem acesso com tempo limitado que expira automaticamente, sem deixar credenciais residuais nos sistemas da organização.
Essa abordagem torna ataques de phishing tecnicamente impossíveis — os usuários não conseguem compartilhar credenciais que nunca viram. A engenharia social falha porque os funcionários não podem revelar senhas que não conhecem. Credential stuffing torna-se irrelevante quando cada ponto de acesso usa credenciais únicas geradas por máquina que mudam regularmente sem envolvimento do usuário.
Os líderes da saúde devem avaliar suas estratégias atuais de credenciais com base em requisitos regulatórios específicos, e não em claims de marketing de fornecedores de segurança. O padrão de “mínimo necessário” da HIPAA, os limiares de notificação de violações da HITECH e as medidas de segurança proporcionais da NIS2 apontam para a mesma conclusão: as organizações devem controlar as credenciais com o mesmo rigor com que controlam os dados dos pacientes.
O caminho de implementação exige três decisões estratégicas. Primeiro, auditar a exposição atual de credenciais em sistemas clínicos, plataformas administrativas e integrações com terceiros. Segundo, estabelecer políticas de geração e distribuição de credenciais que removam a visibilidade do usuário do processo de autenticação. Terceiro, integrar o gerenciamento automatizado de credenciais à infraestrutura existente de IAM e segurança, mantendo a continuidade operacional enquanto elimina as vulnerabilidades humanas.
O cenário regulatório continuará se expandindo. Organizações de saúde que eliminarem a visibilidade de credenciais hoje terão conformidade facilitada amanhã. Aquelas que continuarem dependendo de senhas gerenciadas por usuários enfrentarão riscos crescentes à medida que os reguladores exigirem controles de acesso mais rigorosos em ecossistemas de saúde digital cada vez mais complexos.
A solução técnica existe. A exigência regulatória é clara. O caso de negócio está quantificado. A única pergunta que resta é o cronograma de implementação.
This website uses cookies so that we can provide you with the best user experience possible. Cookie information is stored in your browser and performs functions such as recognising you when you return to our website and helping our team to understand which sections of the website you find most interesting and useful.
Strictly Necessary Cookie should be enabled at all times so that we can save your preferences for cookie settings.
This website uses Google Analytics to collect anonymous information such as the number of visitors to the site, and the most popular pages.
Keeping this cookie enabled helps us to improve our website.