Quando a plataforma VSA da Kaseya foi comprometida em julho de 2021, o grupo de ransomware REvil não se limitou a invadir uma única empresa — eles criptografaram simultaneamente dados em 1.500 empresas subsequentes por meio de um único ataque à cadeia de suprimentos. O incidente expôs uma vulnerabilidade fundamental nas operações de provedores de serviços gerenciados (MSPs): a distribuição ampla e incontrolável de credenciais de clientes em sistemas automatizados que nunca foram projetados para lidar com informações confidenciais de forma segura.
Dois anos depois, o problema se intensificou. Os MSPs agora implementam agentes de suporte técnico com inteligência artificial e scripts de monitoramento e gerenciamento remoto (RMM) cada vez mais sofisticados, todos exigindo acesso privilegiado aos ambientes dos clientes. Esses sistemas armazenam milhares de credenciais pré-definidas, muitas vezes sem rotação por meses, sem nenhuma supervisão centralizada de quem — ou o quê — tem acesso a quais sistemas dos clientes.
Os MSPs operam com um modelo de segurança fundamentalmente diferente das empresas tradicionais. Enquanto uma única organização pode gerenciar credenciais para sua própria infraestrutura, os MSPs mantêm acesso privilegiado a centenas ou milhares de ambientes de clientes simultaneamente. Cada relacionamento com um cliente multiplica exponencialmente a superfície de ataque às credenciais.
Considere o fluxo de trabalho típico de um MSP: agentes RMM exigem direitos de administrador local em todos os endpoints dos clientes. Scripts do PowerShell incorporam credenciais de contas de serviço para automatizar o gerenciamento de patches. Sistemas de helpdesk com IA armazenam senhas de administradores de domínio para redefinir contas de usuário. Soluções de backup mantêm credenciais de banco de dados com acesso de leitura a conjuntos de dados completos dos clientes. Cada sistema se torna um ponto de entrada potencial para invasores que buscam transitar da infraestrutura do MSP para as redes dos clientes.
"O modelo MSP cria uma relação de confiança invertida", explica um sócio sênior de uma consultoria Big Four que pediu anonimato. "A segurança tradicional pressupõe que você está protegendo seus próprios ativos. Os MSPs precisam proteger os ativos de todos os outros, mantendo a eficiência operacional. A matemática da gestão de credenciais simplesmente não é escalável."
O desafio se intensifica com a integração da IA. Os agentes de suporte técnico modernos precisam de amplas permissões para resolver chamados automaticamente — redefinições de senha, desbloqueios de contas, instalações de software. Ao contrário dos técnicos humanos, que podem trocar suas credenciais trimestralmente, os sistemas de IA esperam acesso programático e persistente aos diretórios de clientes e interfaces administrativas.
Pesquisas recentes da Agência de Segurança Cibernética e de Infraestrutura (CISA) revelaram que 68% das violações bem-sucedidas em provedores de serviços gerenciados (MSPs) envolveram o comprometimento de credenciais armazenadas. As Diretrizes de Segurança para MSPs de 2023 da agência destacaram especificamente "segredos embutidos em scripts de automação" como um vetor de ataque primário.
Uma análise independente realizada pela empresa de inteligência de ameaças Recorded Future identificou mais de 12.000 credenciais RMM expostas em mercados da dark web durante 2023, representando um aumento de 340% em relação ao ano anterior. As credenciais forneciam acesso administrativo a ambientes de clientes em diversos setores, incluindo saúde, finanças e infraestrutura crítica.
Mais preocupante é a lacuna na rotação de credenciais. O Relatório de Segurança para MSPs de 2023 da ConnectWise constatou que 47% dos MSPs rotacionam as credenciais dos clientes menos de duas vezes por ano, com 23% admitindo ciclos de rotação superiores a 12 meses. Para sistemas com inteligência artificial, os números pioram: 71% dos agentes automatizados usam credenciais que nunca foram rotacionadas desde a implantação inicial.
A Agência da União Europeia para a Cibersegurança (ENISA) quantificou o impacto subsequente em seu relatório de 2023 sobre o Panorama das Ameaças à Cadeia de Suprimentos: a violação de segurança média de um MSP (provedor de serviços gerenciados) afeta agora 47 organizações clientes, com custos médios de recuperação de € 2,3 milhões por cliente afetado. O relatório identificou a gestão de credenciais como o maior fator de risco controlável.
As soluções tradicionais de gerenciamento de identidade e acesso (IAM) foram projetadas para casos de uso em organizações individuais. Elas pressupõem um diretório unificado, aplicação consistente de políticas e controle administrativo direto — pressupostos que não se aplicam a ambientes de provedores de serviços gerenciados (MSP), onde os técnicos precisam de acesso privilegiado em dezenas de domínios de clientes distintos.
As ferramentas de gerenciamento de acesso privilegiado (PAM) apresentam um desempenho ligeiramente melhor, mas enfrentam dificuldades com os requisitos de automação das operações modernas de MSPs. As soluções de PAM normalmente exigem processos de finalização de compra interativos e sessões com tempo limitado — incompatíveis com agentes de IA que precisam de acesso persistente e programático para resolver chamados em larga escala.
O login único (SSO) e a autenticação multifator (MFA) fornecem segurança de perímetro, mas não resolvem o problema fundamental: as credenciais ainda precisam existir em algum lugar, em formato de texto simples, para que os sistemas automatizados possam utilizá-las. Sejam armazenadas em arquivos de configuração, variáveis de ambiente ou cofres criptografados, as credenciais permanecem vulneráveis e podem ser extraídas por invasores que comprometam os sistemas subjacentes.
As arquiteturas de Confiança Zero prometem eliminar credenciais persistentes por meio de verificação contínua, mas a complexidade de implementação as torna impraticáveis para MSPs que gerenciam centenas de ambientes de clientes heterogêneos. A sobrecarga administrativa de manter políticas de Confiança Zero em vários domínios de clientes geralmente supera os benefícios de segurança.
O problema central permanece estrutural: todas as soluções existentes partem do pressuposto de que usuários e sistemas legítimos devem, em última instância, possuir credenciais para autenticação. Essa premissa cria uma superfície de ataque irredutível — as credenciais existem e, portanto, podem ser roubadas.
A solução exige o abandono da premissa fundamental de que usuários e sistemas precisam de credenciais para comprovar sua identidade. Técnicas criptográficas avançadas permitem que as organizações mantenham controle total sobre a geração, distribuição e revogação de credenciais, ao mesmo tempo que proporcionam acesso contínuo a usuários e sistemas autorizados.
Nesse modelo, os MSPs geram credenciais exclusivas para cada ambiente do cliente, mas nunca as distribuem para técnicos ou sistemas automatizados. Em vez disso, as solicitações de acesso são validadas criptograficamente com base em políticas centralizadas, e as credenciais são transmitidas diretamente da infraestrutura segura do MSP para os sistemas do cliente, sem armazenamento intermediário ou exposição.
Quando um agente de suporte técnico com IA precisa redefinir a senha de um cliente, ele envia uma solicitação autenticada para a infraestrutura de credenciais do MSP. O sistema valida a solicitação de acordo com políticas predefinidas, gera os tokens de autenticação necessários e executa a redefinição de senha diretamente — sem que o agente de IA receba ou armazene as credenciais do cliente.
Essa abordagem elimina a superfície de ataque que possibilitou incidentes como o da Kaseya. Scripts RMM comprometidos não conseguem extrair credenciais embutidas no código, pois elas não existem. Bancos de dados de agentes de IA roubados não contêm material de autenticação reutilizável. As credenciais do cliente permanecem sob o controle direto do MSP, mesmo com o acesso ampliado para milhares de interações automatizadas.
Os MSPs não podem se dar ao luxo de tratar a segurança de credenciais como um mero detalhe técnico. A Diretiva NIS2 da UE, em vigor desde outubro de 2024, exige explicitamente "medidas técnicas e organizacionais adequadas" para a cibersegurança da cadeia de suprimentos, com multas que chegam a 2% do faturamento global. A diretiva menciona especificamente os provedores de serviços gerenciados como "entidades essenciais" sujeitas a rigorosos requisitos de segurança.
Nos Estados Unidos, as novas regras de divulgação de segurança cibernética da SEC exigem que empresas de capital aberto relatem incidentes relevantes em até quatro dias úteis. Violações de segurança de provedores de serviços gerenciados (MSPs) que afetam clientes de empresas de capital aberto agora acarretam obrigações de divulgação obrigatória, criando responsabilidade regulatória direta por falhas na gestão de credenciais.
Os MSPs com visão de futuro estão reconhecendo que o controle de credenciais representa tanto um requisito de conformidade quanto uma vantagem competitiva. À medida que as organizações clientes enfrentam crescente pressão regulatória, elas priorizam cada vez mais os parceiros MSP que podem demonstrar controles de segurança comprováveis sobre credenciais de acesso críticas.
Os números são claros: os MSPs que continuam a depender de modelos de credenciais distribuídas enfrentam uma superfície de ataque cada vez maior, obrigações regulatórias mais rigorosas e demandas crescentes dos clientes por garantia de segurança. A questão não é se devemos implementar o controle centralizado de credenciais, mas sim com que rapidez ele pode ser implementado antes do próximo incidente na cadeia de suprimentos.
O ciberataque de dezembro de 2023 à rede elétrica da Ucrânia demonstrou uma evolução alarmante na guerra contra infraestruturas. Os hackers não se limitaram a penetrar redes de TI — eles acessaram sistemas SCADA que controlam a distribuição física de energia, causando apagões rotativos em três regiões. O vetor de ataque? Credenciais comprometidas para plataformas de gerenciamento de rede com inteligência artificial que detinham acesso privilegiado à tecnologia operacional.
Este incidente marca um ponto de inflexão crítico, no qual os sistemas de inteligência artificial que gerenciam a infraestrutura de energia se tornaram essenciais e vulneráveis. À medida que as concessionárias de energia em todo o mundo implementam IA para balanceamento de carga, manutenção preditiva e otimização da rede em tempo real, esses sistemas acumulam vastos repositórios de credenciais — criando pontos de falha concentrados que se estendem diretamente à infraestrutura física.
As operações modernas das redes elétricas dependem de sistemas de IA que precisam se autenticar simultaneamente em dezenas de sistemas críticos. Uma plataforma típica de gerenciamento de rede com IA de uma concessionária de energia elétrica possui credenciais para: redes SCADA, sistemas de gerenciamento de recursos energéticos distribuídos, infraestrutura de medição avançada, estações de monitoramento meteorológico, plataformas de negociação de mercado e sistemas de relatórios regulatórios.
Essa concentração de credenciais atende a uma necessidade operacional. Os sistemas de IA em redes elétricas exigem acesso em tempo real a fontes de dados distintas para equilibrar oferta e demanda, integrar fontes renováveis e evitar falhas em cascata. No entanto, cada credencial armazenada representa um caminho potencial para que invasores migrem de sistemas digitais para o controle da infraestrutura física.
O risco aumenta ao considerarmos os requisitos de acesso privilegiado dos sistemas de IA. Ao contrário dos operadores humanos, que podem acessar subsistemas específicos, as plataformas de IA geralmente detêm credenciais administrativas em vários ambientes de tecnologia operacional para permitir a tomada de decisões autônomas e a resposta rápida a anomalias na rede elétrica.
Uma análise recente da North American Electric Reliability Corporation (NERC) revela a extensão da vulnerabilidade das credenciais em infraestruturas críticas de energia. A avaliação da NERC de 2024 constatou que 89% das empresas de serviços públicos armazenam credenciais operacionais de forma que possam ser comprometidas por meio de ataques direcionados a sistemas de gestão de IA.
A Equipe de Resposta a Emergências Cibernéticas de Sistemas de Controle Industrial registrou 367 incidentes envolvendo credenciais de tecnologia operacional comprometidas em 2023, representando um aumento de 156% em relação a 2021. Destes, 78% envolveram invasores que obtiveram acesso por meio de IA ou plataformas de gerenciamento automatizadas que detinham múltiplas credenciais de sistema.
Um estudo de 2024 do Instituto Ponemon sobre segurança de infraestrutura crítica revelou que, em média, os sistemas de IA de uma empresa de energia armazenam credenciais para 47 plataformas de tecnologia operacional diferentes. Quando comprometidos, os invasores conseguiram se movimentar lateralmente por uma média de 12 sistemas operacionais distintos antes de serem detectados.
As implicações financeiras são igualmente alarmantes. O relatório Lloyd's de Londres de 2024 sobre riscos cibernéticos na infraestrutura de energia estima que um ataque bem-sucedido baseado em credenciais contra os principais sistemas de IA das redes elétricas poderia causar perdas econômicas superiores a US$ 71 bilhões em mercados de energia interconectados.
As soluções tradicionais de gerenciamento de identidade e acesso foram projetadas para usuários humanos que acessam aplicativos específicos. Elas têm dificuldades com sistemas de IA que exigem acesso simultâneo e contínuo em diversos ambientes de tecnologia operacional.
As ferramentas de gerenciamento de acesso privilegiado normalmente armazenam credenciais de alto valor em cofres centralizados, criando exatamente os alvos concentrados que os invasores buscam. Mesmo com criptografia, esses cofres se tornam pontos únicos de falha. Uma vez violados, os invasores obtêm acesso a repositórios inteiros de credenciais.
As soluções de autenticação única (SSO) reduzem a proliferação de credenciais, mas aumentam o raio de impacto. Um token SSO comprometido pode fornecer acesso a todos os sistemas conectados. Em ambientes de tecnologia operacional, isso significa que uma única violação pode se propagar por vários componentes da infraestrutura física.
A autenticação multifator adiciona camadas de segurança, mas não protege contra ataques em que as próprias credenciais são roubadas. Se os invasores comprometerem o repositório de credenciais, os fatores de autenticação adicionais tornam-se irrelevantes.
As arquiteturas de Confiança Zero aprimoram os protocolos de verificação, mas ainda dependem de credenciais armazenadas para autenticação do sistema. A vulnerabilidade fundamental — credenciais que podem ser roubadas e reutilizadas — permanece intacta.
A principal vulnerabilidade reside não na verificação de acesso, mas na própria arquitetura de credenciais. As abordagens tradicionais partem do pressuposto de que os usuários — humanos ou artificiais — devem possuir suas próprias credenciais. Isso cria uma brecha de segurança inerente: qualquer coisa que os usuários possuam pode ser potencialmente roubada.
A abordagem da MyCena inverte essa premissa. Em vez de armazenar credenciais que os sistemas de IA possam acessar, a plataforma gera credenciais criptografadas exclusivas para cada solicitação de acesso. Essas credenciais existem apenas durante as sessões ativas e são criptograficamente destruídas ao término.
Para sistemas de IA em redes elétricas, isso significa que o acesso à tecnologia operacional ocorre sem o armazenamento persistente de credenciais. Quando a plataforma de IA precisa acessar sistemas SCADA, plataformas de mercado ou redes de sensores, o MyCena gera credenciais específicas para cada sessão, que não podem ser reutilizadas ou roubadas para movimentação lateral.
O sistema mantém a continuidade operacional — as plataformas de IA retêm o acesso necessário para o gerenciamento da rede em tempo real — ao mesmo tempo que elimina os repositórios de credenciais que criam riscos sistêmicos. O acesso torna-se matematicamente inviolável, pois não há credenciais persistentes que possam ser roubadas.
As empresas de energia enfrentam uma escolha fundamental: continuar expandindo as capacidades de IA, aceitando os riscos concentrados em credenciais, ou reestruturar a arquitetura de acesso para eliminar completamente as credenciais persistentes.
O ambiente regulatório está se voltando para a proteção obrigatória de credenciais. Os padrões CIP-013-2 propostos pela NERC exigirão que as concessionárias demonstrem que as credenciais de tecnologia operacional não podem ser comprometidas por meio de pontos únicos de falha. A diretiva NIS2 da União Europeia também exige uma arquitetura de credenciais que impeça a movimentação lateral entre sistemas críticos.
Para executivos do setor de serviços públicos, isso representa tanto um risco imediato quanto uma oportunidade estratégica. Empresas que eliminam vulnerabilidades de credenciais em sistemas de IA obtêm vantagens competitivas em conformidade regulatória, precificação de seguros cibernéticos e resiliência operacional.
A implementação técnica requer coordenação entre as equipes de TI e de tecnologia operacional, mas não interrompe as plataformas de IA existentes nem as operações da rede. A transição pode ocorrer de forma gradual, começando pelos sistemas de IA mais privilegiados e expandindo-se para os ambientes operacionais.
À medida que os sistemas de IA se tornam mais centrais para a infraestrutura de energia, os riscos de segurança que eles criam só tendem a aumentar. A questão é se as empresas de serviços públicos irão abordar essas vulnerabilidades de forma proativa ou se esperarão pela próxima grande violação de segurança para forçar uma mudança arquitetônica.
Em setembro de 2024, o centro médico da Universidade da Califórnia, em São Francisco, descobriu que seu sistema de diagnóstico por imagem, baseado em inteligência artificial, vinha acessando prontuários de pacientes por meio de credenciais administrativas codificadas no código, durante dezoito meses. A violação expôs 65.000 arquivos de pacientes a análises não autorizadas por algoritmos de aprendizado de máquina que operavam além dos protocolos de supervisão clínica.
Este incidente revela uma lacuna de governança que se expande rapidamente nos sistemas de saúde em todo o mundo. À medida que os hospitais integram ferramentas de diagnóstico por IA, plataformas de radiologia e sistemas automatizados de apoio à decisão clínica, essas tecnologias exigem acesso privilegiado a vastos bancos de dados de pacientes. No entanto, as organizações de saúde carecem de estruturas para controlar como os sistemas de IA se autenticam, quais credenciais possuem e quando o acesso deve ser revogado.
Os sistemas de IA para a área da saúde operam de forma diferente dos softwares médicos tradicionais. Enquanto os registros eletrônicos de saúde geralmente atendem a funções de usuário predefinidas — médicos, enfermeiros, administradores —, as ferramentas de diagnóstico por IA exigem padrões de acesso dinâmicos. Um sistema de IA para radiologia, por exemplo, pode precisar acessar arquivos de imagens, bancos de dados de patologia, resultados de testes genéticos e históricos de tratamentos para gerar diagnósticos precisos.
Esses sistemas autenticam-se usando contas de serviço, chaves de API e credenciais incorporadas que os departamentos de TI da área da saúde geralmente não conseguem rastrear ou controlar. Quando os pesquisadores atualizam modelos de aprendizado de máquina, integram novos conjuntos de dados ou modificam parâmetros algorítmicos, as credenciais de acesso subjacentes frequentemente permanecem inalteradas. As organizações de saúde perdem a visibilidade de quais sistemas de IA detêm qual nível de acesso aos dados dos pacientes.
A complexidade regulatória agrava esse desafio. As ferramentas de IA para a área da saúde devem estar em conformidade com as normas de privacidade da HIPAA, as regulamentações da FDA para dispositivos médicos e as leis de proteção ao paciente específicas de cada estado. No entanto, as estruturas de conformidade atuais pressupõem que os usuários tomem decisões de acesso de forma deliberada, e não que sistemas algorítmicos processem milhares de registros de pacientes de forma autônoma.
A adoção da IA na área da saúde acelerou drasticamente. De acordo com a pesquisa de saúde digital de 2024 da Associação Médica Americana (AMA), 73% das organizações de saúde já utilizam ferramentas de diagnóstico por IA, em comparação com 31% em 2021. Os departamentos de radiologia lideram a adoção, com 89%, seguidos por patologia, com 67%, e cardiologia, com 54%.
Cada implementação de IA normalmente requer vários conjuntos de credenciais. Uma pesquisa do estudo de cibersegurança em saúde de 2024 do Instituto Ponemon constatou que os sistemas de IA na área da saúde têm, em média, 12,3 credenciais de acesso privilegiado por implementação. Grandes sistemas hospitalares que operam múltiplas plataformas de IA gerenciam, em média, 847 credenciais relacionadas à IA em suas redes.
As implicações financeiras são significativas. As violações de dados na área da saúde custaram, em média, US$ 10,93 milhões por incidente em 2024, de acordo com o relatório "Cost of a Data Breach" da IBM — o valor mais alto entre todos os setores pelo décimo quarto ano consecutivo. As violações envolvendo sistemas de IA custaram 23% a mais do que as exposições de dados tradicionais, com uma média de US$ 13,46 milhões por incidente.
A fiscalização regulatória está se intensificando. O Departamento de Saúde e Serviços Humanos aplicou multas no valor de US$ 301,2 milhões por descumprimento da HIPAA em 2024, sendo que 34% das violações estavam relacionadas a controles de acesso inadequados em sistemas automatizados que processam dados de pacientes.
As organizações de saúde geralmente implementam sistemas de gerenciamento de identidade e acesso (IAM), gerenciamento de acesso privilegiado (PAM) e autenticação multifator (MFA) projetados para usuários humanos. Essas ferramentas pressupõem sessões de login interativas, atualizações regulares de senha e decisões de acesso deliberadas.
Os sistemas de diagnóstico por IA operam continuamente, processando dados de pacientes por meio de fluxos de trabalho automatizados que podem durar horas ou dias. Os sistemas tradicionais de IAM (Gestão de Identidades e Acessos) não conseguem gerenciar efetivamente essas sessões persistentes e não interativas. Quando a IA de radiologia analisa milhares de imagens médicas durante a noite, as políticas padrão de tempo limite de sessão tornam-se irrelevantes.
As ferramentas de gerenciamento de acesso privilegiado enfrentam limitações semelhantes. As soluções PAM são excelentes no gerenciamento de credenciais de administrador para servidores e bancos de dados, mas têm dificuldades com padrões de autenticação baseados em API, comuns em IA na área da saúde. As plataformas de aprendizado de máquina autenticam por meio de interfaces programáticas usando tokens, certificados e credenciais de contas de serviço que os sistemas PAM geralmente não conseguem detectar ou controlar.
As arquiteturas de Zero Trust prometem controles de acesso do tipo "nunca confie, sempre verifique", mas os sistemas de IA na área da saúde exigem padrões de verificação diferentes. Um sistema de IA para diagnóstico pode precisar legitimamente de acesso a registros de pacientes em diversos departamentos, períodos e tipos de dados para funcionar de forma eficaz. As implementações tradicionais de Zero Trust não conseguem distinguir facilmente entre padrões legítimos de análise de IA e acessos não autorizados aos dados.
A questão fundamental é que as organizações de saúde permitem que os sistemas de IA — assim como os usuários humanos — possuam e apresentem suas próprias credenciais de acesso. Uma vez que uma plataforma de IA detém senhas de banco de dados, chaves de API ou certificados de autenticação, a organização de saúde perde o controle sobre como essas credenciais são utilizadas.
A abordagem da MyCena inverte esse modelo. Em vez de permitir que os sistemas de IA armazenem credenciais, a organização mantém o controle total sobre a autenticação. Cada vez que uma ferramenta de diagnóstico por IA precisa acessar dados do paciente, ela solicita permissão à autoridade central de credenciais. A organização valida a solicitação, concede acesso temporário e mantém uma supervisão contínua dos padrões de autenticação da IA.
Este modelo significa que os sistemas de IA nunca possuem credenciais persistentes que possam ser comprometidas, usadas indevidamente ou ignoradas durante auditorias de segurança. Os departamentos de TI da área da saúde obtêm visibilidade em tempo real de quais ferramentas de IA acessam quais dados do paciente, quando o acesso ocorre e se os padrões de uso estão alinhados com os protocolos clínicos.
Essa abordagem atende aos requisitos regulatórios ao criar trilhas de auditoria para cada evento de autenticação de IA. Quando os órgãos reguladores investigam o acesso a dados de pacientes, as organizações de saúde podem demonstrar controle granular sobre as permissões do sistema de IA, em vez de depender de atribuições de credenciais estáticas.
Os executivos da área da saúde devem avaliar imediatamente a governança de credenciais de IA. Mapeie todas as ferramentas de diagnóstico por IA, sistemas clínicos automatizados e plataformas de aprendizado de máquina que acessam dados de pacientes. Documente quais credenciais esses sistemas possuem e quem controla as permissões de acesso.
Estabeleça políticas para autenticação de sistemas de IA que estejam alinhadas com as estruturas de governança clínica. As ferramentas de IA não devem ter acesso permanente aos dados dos pacientes, assim como funcionários clínicos temporários não devem receber permissões irrestritas em bancos de dados.
Invista em soluções de controle de acesso específicas para IA. As ferramentas tradicionais de segurança de TI para o setor de saúde não conseguem governar adequadamente os padrões de credenciais exigidos pelos sistemas de IA. O investimento em uma infraestrutura de governança apropriada se mostrará menos custoso do que penalidades regulatórias ou a remediação de violações de segurança.
A integração da IA na prestação de cuidados de saúde é inevitável. Garantir a governança adequada das credenciais da IA, não.
No mês passado, uma grande agência de cobrança de dívidas que atende clientes da lista Fortune 500 descobriu que seus agentes virtuais com inteligência artificial haviam sido comprometidos por meio de roubo de credenciais. A violação expôs os acordos de pagamento de mais de 180.000 consumidores em doze carteiras de clientes. Embora o sistema de IA tenha funcionado perfeitamente, os hackers simplesmente obtiveram as credenciais de login dos operadores humanos por meio de phishing para acessar os bancos de dados dos clientes. A empresa de cobrança agora enfrenta o escrutínio regulatório do CFPB (Escritório de Proteção Financeira do Consumidor) e a possível rescisão de contrato com três de seus principais clientes.
Este incidente ilustra uma vulnerabilidade crítica na terceirização de processos de negócios: quando agentes de IA exigem credenciais controladas por humanos para acessar sistemas de clientes, o provedor de serviços gerenciados assume responsabilidade ilimitada por falhas de segurança de credenciais.
Em serviços gerenciados, a eficiência operacional exige que a equipe possa acessar rapidamente múltiplos ambientes de clientes. Os agentes de cobrança transitam entre sistemas de CRM, processadores de pagamento, bancos de dados regulatórios e plataformas específicas de cada cliente. Muitas empresas de BPO implantaram agentes de IA para automatizar tarefas rotineiras — cálculos de planos de pagamento, verificações de conformidade e comunicação com o cliente —, mas esses sistemas exigem o mesmo nível de acesso privilegiado que os operadores humanos.
A abordagem convencional envolve a emissão de credenciais individuais para os funcionários, que então autenticam os agentes de IA para executar tarefas automatizadas. Isso cria uma cadeia de custódia de credenciais que começa com os funcionários humanos e se estende aos sistemas de inteligência artificial. Quando as credenciais são obtidas por phishing, roubadas ou usadas indevidamente, o agente de IA se torna um vetor de amplificação da violação.
Para os provedores de BPO, isso representa uma equação de risco assimétrica. Eles não controlam nem o processo de criação de credenciais nem os sistemas dos clientes que estão sendo acessados, mas arcam com a responsabilidade contratual total por falhas de segurança. Os contratos com os clientes normalmente incluem cláusulas de indenização abrangentes que cobrem violações de dados, infrações regulatórias e comprometimento de sistemas originados no ambiente do provedor de serviços gerenciados.
Dados recentes da Identity Defined Security Alliance revelam que 84% das organizações sofreram violações de identidade em 2023, sendo o roubo de credenciais o vetor de ataque inicial em 61% dos incidentes. Para operações de BPO (Business Process Outsourcing), a exposição é particularmente grave.
De acordo com o Relatório de Investigações de Violações de Dados de 2024 da Verizon, os provedores de serviços gerenciados sofreram um aumento de 47% em ataques baseados em credenciais em comparação com o ano anterior. O setor de BPO de serviços financeiros — incluindo cobrança de dívidas, processamento de empréstimos e atendimento ao cliente — registrou as maiores taxas de incidentes, com 73% das violações originadas de credenciais de funcionários comprometidas.
O relatório "Custo de uma Violação de Dados 2024" do Instituto Ponemon constatou que os incidentes de roubo de credenciais em ambientes de serviços gerenciados custam, em média, US$ 4,8 milhões por violação, 23% a mais do que a média global. Esse valor adicional reflete a natureza complexa e multicliente das operações de BPO, onde uma única violação de credenciais pode se propagar por diversos ambientes de clientes.
Os dados sobre fiscalização regulatória agravam a preocupação. O Departamento de Proteção Financeira do Consumidor (CFPB, na sigla em inglês) emitiu 34 ordens de consentimento contra operações de cobrança de dívidas em 2023, com falhas na segurança de credenciais citadas em 68% dos casos. As ações de fiscalização da Seção 5 da Comissão Federal de Comércio (FTC, na sigla em inglês) contra provedores de terceirização de processos de negócios (BPO, na sigla em inglês) aumentaram 31% em relação ao ano anterior, visando principalmente controles de acesso inadequados.
Os sistemas de Gestão de Identidade e Acesso (IAM) fornecem autenticação e autorização, mas não podem impedir que os usuários compartilhem, anotem ou divulguem inadvertidamente suas credenciais. Mesmo as plataformas de IAM mais sofisticadas dependem da manutenção da segurança das credenciais por parte dos usuários — uma dependência que cria vulnerabilidade sistêmica.
As soluções de Gerenciamento de Acesso Privilegiado (PAM) são excelentes para proteger contas administrativas, mas normalmente isentam usuários operacionais, como agentes de cobrança, representantes de atendimento ao cliente e processadores de dados. Os sistemas PAM também exigem que os usuários se autentiquem inicialmente com credenciais pessoais antes de acessar recursos privilegiados, perpetuando essa vulnerabilidade fundamental.
O Single Sign-On (SSO) reduz a proliferação de credenciais, mas concentra o risco nas credenciais mestras. Quando as credenciais do SSO são comprometidas — como ocorreu nos incidentes da Okta em 2022 e 2023 — os invasores obtêm acesso a todos os sistemas conectados simultaneamente.
A autenticação multifator (MFA) oferece camadas adicionais de segurança, mas permanece vulnerável a ataques sofisticados de phishing, troca de SIM e engenharia social. A invasão sistemática de sistemas protegidos por MFA pelo grupo Lapsus$ demonstrou essas limitações em diversos alvos de alto perfil.
As arquiteturas de Confiança Zero aprimoram a segurança da rede e a verificação de acesso, mas dependem fundamentalmente da autenticação inicial de credenciais. A Confiança Zero pressupõe que a apresentação de credenciais equivale à verificação de identidade — uma premissa que deixa de existir quando as credenciais são roubadas ou compartilhadas.
O MyCena resolve essa fragilidade fundamental eliminando completamente o controle do usuário sobre as credenciais. Em vez de esperar que os usuários criem e protejam suas próprias credenciais de acesso, o MyCena gera todas as credenciais centralmente, as distribui de forma criptografada e mantém o controle exclusivo de revogação.
Nesse modelo, os agentes de cobrança nunca veem nem manipulam as credenciais de login dos usuários. O sistema insere automaticamente credenciais criptografadas nos fluxos de autenticação, tornando os ataques de phishing tecnicamente impossíveis. Os usuários não podem compartilhar o que não possuem, não podem perder o que nunca tiveram e não podem ser enganados para revelar o que permanece invisível para eles.
Para operações de BPO, isso representa uma mudança fundamental: da gestão do comportamento das credenciais para o controle da arquitetura de credenciais. Os agentes de IA podem ser provisionados com credenciais criptografadas que se renovam automaticamente e não exigem intervenção ou supervisão humana. Quando ocorre rotatividade de pessoal — um desafio constante nas operações de cobrança e atendimento ao cliente — a revogação de credenciais torna-se instantânea e completa.
Essa abordagem transforma a equação de responsabilidade para provedores de serviços gerenciados. Em vez de depender do treinamento de conscientização de segurança dos funcionários e da conformidade comportamental, as empresas de BPO podem demonstrar controles técnicos que tornam o roubo de credenciais impossível desde a concepção. Isso fornece evidências concretas de medidas de segurança razoáveis para auditorias de clientes, exames regulatórios e avaliações de seguros cibernéticos.
A integração de agentes de IA em operações de serviços gerenciados exige uma evolução correspondente na arquitetura de segurança de credenciais. As abordagens tradicionais que delegam o controle de credenciais a usuários individuais criam uma exposição ilimitada à responsabilidade para os provedores de BPO.
As organizações devem avaliar se seus investimentos atuais em segurança visam à custódia de credenciais ou apenas ao seu uso. Essa distinção determina se os agentes de IA representam eficiência operacional ou vetores de risco amplificados.
Para executivos de BPO, a questão não é se ataques baseados em credenciais atingirão suas operações, mas sim se sua arquitetura de credenciais conseguirá resistir a tentativas sistemáticas de comprometimento. A resposta a essa pergunta determina, cada vez mais, a retenção de clientes, a conformidade regulatória e a viabilidade operacional
Quando a Professional Finance Company, empresa de faturamento médico com sede na Flórida, sofreu um ataque de ransomware em fevereiro de 2023, a violação expôs informações de saúde protegidas de mais de 1,9 milhão de pacientes em diversos provedores de serviços de saúde. O incidente evidenciou uma vulnerabilidade crítica no extenso ecossistema digital da área da saúde: parceiros terceirizados de faturamento geralmente detêm credenciais administrativas de acesso aos sistemas dos pacientes, criando responsabilidades de conformidade que as organizações de saúde têm dificuldade em monitorar ou controlar.
As organizações de saúde operam em redes complexas de empresas de faturamento, processadoras de seguros, fornecedores farmacêuticos e fornecedores de tecnologia. Cada parceiro requer diferentes níveis de acesso ao sistema para executar os serviços contratados. As empresas de faturamento médico precisam de acesso aos registros dos pacientes e aos sistemas financeiros. As administradoras de benefícios farmacêuticos exigem integração com bancos de dados de prescrições. Os fornecedores de registros eletrônicos de saúde mantêm privilégios administrativos em todos os sistemas clínicos.
A questão fundamental reside na forma como esses privilégios de acesso são gerenciados. A maioria das organizações de saúde emite credenciais diretamente para funcionários parceiros, que então criam, armazenam e gerenciam senhas de acordo com seus próprios protocolos de segurança. Esse gerenciamento distribuído de credenciais cria pontos cegos no controle de acesso e potenciais violações dos requisitos de salvaguardas administrativas da HIPAA, que exigem que as entidades cobertas implementem procedimentos para conceder acesso a informações eletrônicas de saúde protegidas.
De acordo com a Norma de Segurança da HIPAA, as organizações de saúde permanecem responsáveis por violações envolvendo seus dados, mesmo quando o incidente ocorre em um parceiro comercial. A regulamentação exige que as entidades cobertas garantam que os parceiros comerciais implementem medidas de segurança adequadas, mas o compartilhamento tradicional de credenciais torna essa supervisão praticamente impossível.
Segundo o relatório sobre o panorama de ameaças à segurança na cadeia de suprimentos da área da saúde, os incidentes de segurança na cadeia de suprimentos do setor aumentaram 42% entre 2022 e 2023. O banco de dados de violações de dados do Departamento de Saúde e Serviços Humanos dos EUA mostra que incidentes envolvendo terceiros representaram 64% das principais violações de dados na área da saúde em 2023, afetando mais de 75 milhões de registros de pacientes.
Uma pesquisa realizada pela Healthcare Information and Management Systems Society constatou que, em média, uma organização de saúde concede acesso ao sistema a 47 fornecedores externos. Grandes sistemas hospitalares trabalham com mais de 200 fornecedores de tecnologia terceirizados. Cada relacionamento com um fornecedor normalmente envolve múltiplas contas de usuário em diferentes sistemas, criando milhares de pontos de contato de credenciais que exigem gerenciamento contínuo.
As implicações financeiras são substanciais. O custo médio de uma violação de dados na área da saúde atingiu US$ 10,93 milhões em 2023, de acordo com o relatório "Cost of a Data Breach" da IBM. Quando terceiros estão envolvidos, os custos de resolução aumentam em média US$ 370.000 devido à complexidade da resposta a incidentes em várias organizações.
A fiscalização regulatória está se intensificando. O Escritório de Direitos Civis aplicou multas no valor de US$ 42,4 milhões por violações da HIPAA em 2023, sendo que controles de acesso inadequados foram citados como fator contribuinte em 73% dos casos envolvendo parceiros comerciais.
As organizações de saúde geralmente implementam sistemas de gerenciamento de identidade e acesso (IAM), plataformas de gerenciamento de acesso privilegiado (PAM), soluções de autenticação única (SSO) e autenticação multifator (MFA) para proteger o acesso de parceiros. Essas ferramentas abordam a autenticação e a autorização, mas não resolvem o problema fundamental do controle de credenciais.
Os sistemas de gerenciamento de identidade e acesso são excelentes no provisionamento e desprovisionamento de contas de usuário, mas dependem dos usuários para criar e gerenciar suas próprias senhas. Quando um funcionário de uma empresa de faturamento deixa a organização, o provedor de serviços de saúde pode revogar o acesso ao sistema, mas não pode garantir que as credenciais armazenadas não sejam retidas ou utilizadas indevidamente.
As plataformas de gerenciamento de acesso privilegiado oferecem monitoramento de sessão e armazenamento seguro de senhas para administradores internos, mas apresentam dificuldades com os padrões de acesso de parceiros externos. Empresas de faturamento e outros fornecedores exigem acesso persistente em vários sistemas por longos períodos, o que torna os controles baseados em sessão impraticáveis.
As soluções de autenticação única (SSO) reduzem a proliferação de senhas, mas concentram o risco nos protocolos de federação e na vulnerabilidade do provedor de identidade. A autenticação multifator (MFA) adiciona camadas de segurança, mas não impede o roubo de credenciais por meio de sofisticadas campanhas de phishing direcionadas a funcionários de empresas parceiras.
As arquiteturas de confiança zero tentam solucionar essas limitações por meio de verificação contínua e modelos de acesso com privilégios mínimos. No entanto, elas ainda dependem de estruturas de credenciais tradicionais, nas quais os usuários possuem fatores de autenticação que podem ser comprometidos ou usados indevidamente.
A solução exige repensar a relação entre identidade e controle de acesso. Em vez de permitir que organizações parceiras criem e gerenciem credenciais para acesso a sistemas de saúde, a organização de saúde pode manter o controle total sobre todos os fatores de autenticação, ao mesmo tempo que possibilita acesso contínuo para usuários autorizados.
Essa abordagem envolve a organização de saúde gerando e distribuindo credenciais criptografadas para funcionários parceiros, sem que esses usuários jamais vejam ou armazenem as informações de autenticação reais. Quando um funcionário da empresa de faturamento precisa acessar os sistemas dos pacientes, seu software local se comunica com o sistema de controle de credenciais da organização de saúde para obter tokens de acesso temporários.
A plataforma patenteada de controle de credenciais da MyCena implementa esse modelo separando a identidade do usuário das credenciais de acesso. As organizações de saúde geram todas as senhas e fatores de autenticação, criptografam-nos com chaves que nunca saem do seu controle e distribuem pacotes criptografados aos funcionários parceiros. Os usuários podem acessar os sistemas necessários sem possuir credenciais que possam ser obtidas por meio de phishing, roubadas ou retidas após o término do vínculo empregatício.
Essa arquitetura torna o acesso inviolável, pois os usuários nunca visualizam as credenciais que os invasores poderiam roubar por meio de engenharia social ou sites maliciosos. Ela também proporciona às organizações de saúde total visibilidade e controle sobre o acesso de parceiros, atendendo aos requisitos de conformidade com a HIPAA para a supervisão de parceiros comerciais.
As organizações de saúde devem reconhecer que as abordagens tradicionais para a gestão de acesso de parceiros criam responsabilidades inerentes em relação à HIPAA. A emissão de credenciais diretamente para parceiros comerciais remove o controle organizacional sobre um componente crítico de segurança e torna a prevenção de violações dependente das práticas de segurança de terceiros.
O ambiente regulatório exige uma abordagem mais proativa. Os líderes da área da saúde devem avaliar seus atuais contratos com parceiros comerciais para identificar lacunas no controle de credenciais e verificar se as salvaguardas técnicas existentes oferecem supervisão adequada do acesso dos parceiros.
Implementar um sistema de gerenciamento de credenciais controlado pela organização representa tanto uma melhoria na segurança quanto um investimento em conformidade. Ao manter o controle sobre todas as credenciais de acesso e, ao mesmo tempo, habilitar as funcionalidades necessárias para parceiros de negócios, as organizações de saúde podem reduzir o risco de violações de dados e demonstrar maior adesão aos requisitos de salvaguardas administrativas da HIPAA.
O custo da prevenção continua sendo substancialmente menor do que o custo da resposta a violações de segurança, especialmente quando os relacionamentos com terceiros complicam o gerenciamento de incidentes e as obrigações de relatórios regulatórios.
Quando a Teleperformance divulgou, em março de 2023, que agentes fraudulentos haviam obtido acesso não autorizado a dados de clientes em vários programas de clientes, o incidente expôs uma vulnerabilidade que muitos executivos de Business Process Outsourcing (BPO) preferem não discutir: seus próprios funcionários explorando sistematicamente falhas de credenciais para cometer fraudes.
O incidente, que afetou operações em vários países e comprometeu informações confidenciais de clientes, incluindo dados financeiros, não foi resultado de hackers externos ou ataques cibernéticos sofisticados. Em vez disso, agentes legítimos com acesso autorizado aos sistemas usaram suas próprias credenciais para acessar dados além do escopo permitido e posteriormente monetizaram essas informações por meio de esquemas de roubo de identidade e fraude financeira.
As organizações de Business Process Outsourcing enfrentam um paradoxo de segurança único. Elas precisam conceder acesso a milhares de agentes remotos aos sistemas mais sensíveis de seus clientes — aplicações bancárias, registros de saúde, processos de seguros e plataformas de atendimento ao cliente — mantendo praticamente tolerância zero para vazamentos de dados.
No entanto, as práticas de gerenciamento de credenciais do setor continuam baseadas em sistemas de senha de nível consumidor, que presumem que os usuários agirão de forma responsável com seus privilégios de acesso.
Essa suposição se torna extremamente perigosa em operações de BPO. Diferentemente de ambientes corporativos tradicionais, onde funcionários geralmente possuem relações de longo prazo com seus empregadores, centros de BPO apresentam taxas anuais de rotatividade superiores a 50%.
Os agentes frequentemente trabalham em vários programas diferentes, acumulando acesso a diversos sistemas de clientes. Quando esses agentes controlam suas próprias credenciais — criando senhas, gerenciando fatores de autenticação e mantendo informações de acesso — a organização perde efetivamente o controle sobre seu perímetro de segurança mais crítico.
O problema vai além de indivíduos mal-intencionados. Redes organizadas de fraude recrutam ativamente agentes de BPO, oferecendo pagamentos significativos por credenciais ou acesso a sistemas.
Em mercados onde os salários médios de agentes variam entre US$ 3.000 e US$ 8.000 por ano, fraudadores conseguem oferecer incentivos atraentes para compartilhamento ou abuso de credenciais.
Dados do setor revelam a magnitude das ameaças internas nas operações de BPO.
Segundo o Verizon Data Breach Investigations Report 2024, agentes internos foram responsáveis por 20% de todas as violações de dados nos setores de serviços empresariais, com motivação financeira presente em 83% desses incidentes.
O Association of Certified Fraud Examiners (ACFE) Report to the Nations 2024 descobriu que organizações com operações terceirizadas significativas sofreram perdas médias de US$ 200.000 por incidente de fraude, contra US$ 120.000 em empresas com operações predominantemente internas.
O relatório atribuiu essa diferença à menor supervisão e ao menor controle sobre o gerenciamento de credenciais em ambientes terceirizados.
Especificamente em operações BPO, a pesquisa Ernst & Young Global Fraud Survey 2024 identificou o abuso de credenciais como o principal vetor de fraude interna, afetando 67% das organizações pesquisadas no setor de serviços empresariais.
A pesquisa destacou que métodos tradicionais de detecção normalmente identificam essas violações 14 meses após o comprometimento inicial, quando agentes fraudulentos já extraíram grandes volumes de dados de clientes.
Clientes do setor financeiro enfrentam riscos especialmente elevados. A Federal Trade Commission registrou um aumento de 70% nos casos de roubo de identidade relacionados a violações de dados em serviços de atendimento ao cliente entre 2022 e 2024, com padrões de investigação indicando participação significativa de operações BPO em atividades de extração de dados.
A maioria das organizações BPO implementa arquiteturas sofisticadas de segurança:
Porém, essas soluções assumem fundamentalmente que os usuários que possuem credenciais utilizarão seus acessos de forma legítima.
A MFA demonstra essa fragilidade.
Quando agentes controlam tanto a criação de senhas quanto os fatores de autenticação — normalmente seus próprios dispositivos móveis pessoais — a MFA não oferece proteção contra uso intencional e fraudulento das credenciais.
Agentes mal-intencionados simplesmente utilizam suas credenciais legítimas e seus dispositivos pessoais para acessar sistemas fora do escopo autorizado.
Soluções de Privileged Access Management apresentam limitações semelhantes.
Elas são eficientes no controle de acessos administrativos, mas enfrentam dificuldades para monitorar milhares de interações simultâneas de agentes.
Quando um agente acessa legitimamente registros de clientes como parte de suas funções, ferramentas PAM não conseguem diferenciar entre:
Arquiteturas Zero Trust, apesar de seus mecanismos avançados de validação, geralmente verificam identidade em vez de controlar diretamente o acesso.
Depois que o agente se autentica — utilizando credenciais que ele próprio controla — o sistema permite suas ações dentro dos limites autorizados.
Essas tecnologias compartilham uma vulnerabilidade comum:
Elas autenticam a identidade, mas não impedem que usuários autenticados abusem de seus próprios acessos legítimos.
O caso Teleperformance e incidentes semelhantes destacam um princípio fundamental:
As organizações não conseguem controlar acessos que não possuem.
Quando funcionários criam, administram e mantêm suas próprias credenciais, o perímetro de segurança da organização passa a depender das práticas pessoais, segurança individual e decisões éticas de cada usuário.
Sistemas avançados de controle de credenciais invertem completamente esse modelo.
Em vez de usuários criarem senhas e gerenciarem fatores de autenticação, a organização:
Os agentes nunca visualizam suas senhas nem possuem tokens de autenticação.
O acesso passa a ser um serviço fornecido pela organização, e não um privilégio controlado individualmente.
Nesse modelo, a autenticação ocorre por meio da injeção criptografada de credenciais diretamente dos servidores organizacionais.
Os agentes:
A organização mantém controle criptográfico sobre cada evento de autenticação.
Esse modelo transforma phishing em uma atividade inútil: credenciais roubadas existem apenas como dados criptografados sem utilidade para atacantes.
Da mesma forma, fraudes internas tornam-se significativamente mais difíceis quando agentes não conseguem manipular diretamente seus mecanismos de autenticação.
O modelo de controle de credenciais exige mudanças fundamentais nas arquiteturas de segurança de BPO, mas o caminho de implementação é claro.
As organizações precisam migrar de:
Verificação de identidade → Controle real de acesso
As credenciais devem ser tratadas como ativos organizacionais, e não como conveniências dos usuários.
Essa transição torna-se ainda mais urgente à medida que os frameworks regulatórios evoluem.
A proposta de AI Liability Directive da União Europeia provavelmente aumentará a responsabilidade dos BPOs por violações de dados de clientes, enquanto os requisitos atualizados do PCI DSS já exigem controles aprimorados de autenticação em ambientes de processamento de pagamentos.
Executivos de BPO devem avaliar suas práticas atuais de gerenciamento de credenciais com uma pergunta simples:
Se um agente tentasse usar seu acesso para cometer fraude, a organização conseguiria detectar e impedir essa atividade em tempo real?
Se a resposta depender apenas do monitoramento do comportamento do usuário, em vez do controle direto dos mecanismos de acesso, a organização provavelmente continua vulnerável ao próximo incidente semelhante ao da Teleperformance.
O problema das credenciais no setor pode ser resolvido, mas somente quando as organizações reconhecerem que a verificação de identidade não pode substituir o controle de acesso.
This website uses cookies so that we can provide you with the best user experience possible. Cookie information is stored in your browser and performs functions such as recognising you when you return to our website and helping our team to understand which sections of the website you find most interesting and useful.
Strictly Necessary Cookie should be enabled at all times so that we can save your preferences for cookie settings.
This website uses Google Analytics to collect anonymous information such as the number of visitors to the site, and the most popular pages.
Keeping this cookie enabled helps us to improve our website.