Por que treinamento e política nunca vão impedir o compartilhamento de credenciais pelos agentes

Quando a HCL Technologies divulgou, em outubro de 2023, que um acesso não autorizado havia comprometido dados de clientes em múltiplas contas de serviço, a violação evidenciou uma vulnerabilidade persistente que programas de treinamento e documentos de política não conseguem resolver: a arquitetura fundamental de como as credenciais funcionam na terceirização de processos de negócios.

O incidente, que afetou uma das maiores empresas de serviços de TI da Índia, exemplificou um padrão observado repetidamente no setor de BPO e serviços gerenciados. Apesar de programas abrangentes de conscientização em segurança e políticas de acesso rigorosas, o problema subjacente persiste porque as organizações continuam operando com uma premissa falha: a de que os usuários podem ser confiados para criar, gerenciar e proteger suas próprias credenciais.

A epidemia de compartilhamento de credenciais em serviços gerenciados

Em ambientes de BPO e serviços gerenciados, o compartilhamento de credenciais funciona como uma prática padrão não oficial. Os agentes de service desk compartilham rotineiramente dados de login para agilizar o suporte ao cliente. As equipes de operações distribuem senhas administrativas por meio de plataformas de mensagens para manter a continuidade do serviço durante as trocas de turno. Os gerentes de projeto disseminam credenciais de acesso a sistemas para funcionários temporários a fim de cumprir prazos dos clientes.

Esse comportamento persiste não apesar do treinamento em segurança, mas sim por causa das exigências operacionais dos serviços gerenciados, que criam pressões irresistíveis para contornar o gerenciamento individual de credenciais. Quando um sistema crítico para o cliente exige atenção imediata às 3 da manhã e o administrador designado não está disponível, as equipes de prestação de serviço compartilham credenciais para manter os SLAs contratuais.

A prática se institucionaliza por necessidade prática. As equipes desenvolvem protocolos informais de distribuição de credenciais que operam paralelamente às políticas de segurança oficiais, criando sistemas paralelos (shadow) de gerenciamento de acesso que permanecem invisíveis a auditorias de segurança e revisões de conformidade.

A escala do comprometimento de credenciais

Dados recentes ilustram a magnitude desse desafio. O Relatório de Investigações de Violação de Dados de 2023 da Verizon constatou que credenciais roubadas estiveram envolvidas em 49% de todos os incidentes de segurança, com o setor de serviços profissionais apresentando violações relacionadas a credenciais a taxas 23% superiores à média intersetorial.

O Relatório de Custo de uma Violação de Dados de 2023 da IBM revelou que credenciais comprometidas contribuíram para violações que custaram, em média, US$ 4,62 milhões por incidente no setor de serviços empresariais. O relatório identificou o roubo de credenciais como o segundo vetor de ataque mais caro, atrás apenas do phishing.

Especificamente em ambientes de serviços gerenciados, o Estudo de Gerenciamento de Risco de Terceiros de 2023 do Ponemon Institute constatou que 67% das organizações sofreram pelo menos uma violação de dados causada por um fornecedor terceirizado nos últimos 12 meses, com o comprometimento de credenciais representando o principal vetor de ataque em 34% dos casos.

O Escritório do Comissário de Informação do Reino Unido (ICO) relatou que as penalidades financeiras por violações de dados no setor de serviços empresariais aumentaram 156% entre 2022 e 2023, com controles de acesso inadequados citados como fator contribuinte em 78% dos incidentes investigados.

Por que os frameworks de segurança existentes falham

As soluções atuais de gerenciamento de identidade e acesso operam segundo o princípio de que os usuários devem controlar suas próprias credenciais. Plataformas de single sign-on, sistemas de gerenciamento de acesso privilegiado e ferramentas de autenticação multifator pressupõem que os indivíduos podem ser confiados para criar, armazenar e proteger seus segredos de autenticação.

As arquiteturas de Zero Trust, apesar de seus protocolos de verificação abrangentes, ainda dependem fundamentalmente de credenciais controladas pelo usuário para a autenticação inicial. O princípio "nunca confie, sempre verifique" se torna ineficaz quando o próprio mecanismo de verificação depende de credenciais que os usuários podem compartilhar, copiar ou distribuir livremente.

A autenticação multifator adiciona camadas ao processo de autenticação, mas não consegue impedir o compartilhamento de credenciais quando as pressões operacionais assim exigem. As equipes simplesmente compartilham tanto as senhas quanto os dispositivos de autenticação, ou distribuem códigos de bypass de MFA por canais não oficiais.

Os sistemas de gerenciamento de acesso privilegiado tentam controlar credenciais de alto valor por meio de cofres (vaulting) e gravação de sessões, mas essas soluções normalmente cobrem apenas um subconjunto dos pontos de acesso do sistema. A maioria das credenciais de aplicações empresariais permanece sob controle do usuário, mantendo a vulnerabilidade fundamental.

As plataformas de governança de identidade oferecem visibilidade sobre os padrões de acesso e podem identificar comportamentos anômalos, mas operam de forma retrospectiva. Quando o uso suspeito de credenciais é detectado e investigado, o dano operacional geralmente já ocorreu.

A solução estrutural: controle organizacional das credenciais

O fracasso persistente do treinamento e das políticas em prevenir o compartilhamento de credenciais indica que o problema exige uma solução estrutural, e não comportamental. Em vez de tentar modificar o comportamento do usuário por meio de educação e aplicação de regras, as organizações devem eliminar completamente a capacidade dos usuários de criar, acessar ou compartilhar credenciais.

Essa abordagem envolve transferir a geração, distribuição e gerenciamento de credenciais dos usuários individuais para os sistemas organizacionais. Em vez de permitir que os usuários criem senhas, frases-senha ou tokens de autenticação, a organização gera todas as credenciais de forma centralizada, as distribui em formato criptografado e mantém controle exclusivo sobre seu ciclo de vida.

Nesse modelo, os usuários nunca veem ou manipulam suas próprias credenciais. A autenticação ocorre por meio da injeção criptografada de credenciais, que elimina totalmente a visibilidade do usuário. Os usuários não podem compartilhar o que não possuem, e o roubo de credenciais se torna impossível quando as credenciais-alvo existem apenas em cofres organizacionais criptografados.

A tecnologia patenteada da MyCena implementa essa abordagem estrutural interceptando as solicitações de autenticação e injetando credenciais criptografadas diretamente nos processos de login. Os usuários se autenticam nos sistemas sem nunca ver ou controlar as credenciais subjacentes, tornando o compartilhamento tecnicamente impossível, e não apenas proibido.

Essa mudança arquitetônica ataca a causa raiz do compartilhamento de credenciais, e não apenas seus sintomas. Em vez de depender da conformidade do usuário com as políticas de segurança, o sistema elimina a capacidade técnica de os usuários comprometerem credenciais por meio de compartilhamento, cópia ou roubo.

Implicações para organizações de serviços gerenciados

Para prestadores de BPO e serviços gerenciados, a implementação do controle organizacional de credenciais oferece diversas vantagens estratégicas além da melhoria da segurança. Os requisitos de auditoria dos clientes tornam-se significativamente mais fáceis de atender quando o gerenciamento de credenciais pode ser demonstrado por meio de controles técnicos, e não apenas de documentação de políticas.

A conformidade regulatória com frameworks como SOC 2, ISO 27001 e requisitos específicos de setor torna-se mais simples quando o acesso às credenciais pode ser registrado, monitorado e controlado em nível organizacional, e não individual.

Ganhos de eficiência operacional surgem quando as equipes não precisam mais gerenciar requisitos de complexidade de senha, cronogramas de rotação ou processos de recuperação de credenciais esquecidas. As equipes de prestação de serviço podem se concentrar nas necessidades dos clientes, em vez da administração de credenciais.

Mais importante ainda, essa mudança elimina a tensão inerente entre os requisitos de segurança e as demandas operacionais que impulsionam as práticas não oficiais de compartilhamento de credenciais. Quando o acesso seguro se torna tecnicamente mais simples do que o compartilhamento de credenciais, o comportamento organizacional se alinha naturalmente aos objetivos de segurança.

As evidências sugerem que as abordagens de treinamento e política para a segurança de credenciais atingiram seu limite de eficácia. As organizações que continuarem a depender da modificação do comportamento do usuário, mantendo arquiteturas de credenciais controladas pelo usuário, continuarão a sofrer os incidentes de segurança que tais abordagens não conseguem prevenir.

Por que IAM, PAM e Zero Trust deixam a mesma lacuna de credenciais

Quando os sistemas da Medibank foram violados em outubro de 2022, expondo as informações pessoais de saúde de 9,7 milhões de clientes, os investigadores rastrearam a origem do ataque até credenciais comprometidas. Apesar dos investimentos multimilionários em sistemas de gestão de identidade e acesso, ferramentas de gestão de acesso privilegiado e arquiteturas emergentes de confiança zero, a vulnerabilidade fundamental permaneceu inalterada: os usuários controlavam suas próprias credenciais, tornando-os inerentemente suscetíveis a ataques de engenharia social e phishing.

O problema persistente das credenciais nos serviços financeiros

As instituições financeiras enfrentam um paradoxo estrutural. Elas implementam estruturas de segurança sofisticadas — gestão de identidade e acesso (IAM) para autenticação de usuários, gestão de acesso privilegiado (PAM) para acesso a sistemas críticos e arquiteturas de confiança zero para segurança de rede —, mas o comprometimento de credenciais continua sendo o principal vetor de ataque. O Relatório de Investigações de Violação de Dados da Verizon de 2023 constatou que credenciais roubadas estiveram envolvidas em 49% das violações em todos os setores, aumentando para 55% especificamente nos serviços financeiros.

Essa vulnerabilidade decorre de uma falha fundamental de design: as organizações autenticam a identidade, mas delegam o controle das credenciais aos usuários. Seja para acessar sistemas bancários centrais, plataformas de subscrição de seguros ou bancos de dados de clientes, os funcionários criam, memorizam e gerenciam suas próprias senhas. Esse elemento humano introduz um risco sistêmico que nenhuma quantidade de segurança de perímetro consegue eliminar.

Os marcos regulatórios reconhecem essa realidade. Os requisitos de resiliência operacional da Autoridade de Conduta Financeira (Financial Conduct Authority) determinam que as empresas devem "identificar, monitorar e gerenciar" os riscos operacionais, incluindo explicitamente as ameaças cibernéticas. Da mesma forma, a Solvência II exige que as seguradoras mantenham um "sistema eficaz de governança" sobre os riscos operacionais, enquanto os padrões PCI DSS exigem "medidas fortes de controle de acesso" para ambientes de processamento de pagamentos.

A escala da vulnerabilidade das credenciais

Dados recentes ilustram a magnitude desse desafio. O Relatório de Custo de uma Violação de Dados 2023 da IBM constatou que credenciais comprometidas foram o vetor de ataque inicial mais comum, presentes em 16% de todas as violações e resultando em um custo médio de US$ 4,62 milhões por incidente. Especificamente para os serviços financeiros, esse valor sobe para US$ 5,90 milhões — o maior entre todos os setores.

A avaliação de risco de 2023 da Autoridade Bancária Europeia identificou o comprometimento de credenciais como um "risco de alta prioridade" para as instituições financeiras da União Europeia, observando um aumento de 78% nos ataques de phishing bem-sucedidos direcionados a credenciais bancárias entre 2022 e 2023. No setor de seguros, a Lloyd's of London informou que 68% das reivindicações de seguro cibernético em 2023 tiveram origem em credenciais de usuários comprometidas, representando £2,1 bilhões em pagamentos totais.

Talvez o mais preocupante seja a persistência dessa vulnerabilidade apesar dos investimentos em segurança. A Gartner estima que os gastos globais com soluções IAM atingiram US$ 16,9 bilhões em 2023, mas os ataques baseados em credenciais continuam aumentando. O Instituto Ponemon constatou que 65% das organizações sofreram incidentes de segurança relacionados a credenciais nos últimos 24 meses, apesar de implementarem autenticação multifator e sistemas de gestão de acesso privilegiado.

Por que as arquiteturas de segurança atuais falham

As ferramentas tradicionais de segurança tratam os sintomas, e não o problema estrutural subjacente. Os sistemas IAM são excelentes na verificação da identidade dos usuários quando as credenciais são fornecidas, mas não conseguem impedir o roubo dessas credenciais em primeiro lugar. As soluções PAM protegem contas privilegiadas por meio de monitoramento de sessões e controles de acesso, mas permanecem vulneráveis caso as credenciais subjacentes sejam comprometidas por phishing ou engenharia social.

As arquiteturas de confiança zero representam a abordagem mais sofisticada, verificando continuamente as solicitações de acesso e assumindo que não existe confiança implícita. No entanto, mesmo os modelos de confiança zero normalmente dependem de credenciais controladas pelo usuário para a autenticação inicial. Se os invasores obtiverem essas credenciais por meio de phishing — ataques cada vez mais sofisticados capazes de contornar a autenticação multifator —, eles poderão potencialmente satisfazer os requisitos de verificação da confiança zero.

As soluções de login único (SSO), embora melhorem a experiência do usuário, na verdade aumentam a concentração de risco. Uma única credencial comprometida pode fornecer acesso a vários sistemas, ampliando os danos potenciais. A autenticação multifator adiciona camadas de segurança, mas continua vulnerável a técnicas avançadas de phishing e ataques de troca de SIM (SIM swapping).

Uma abordagem estrutural para o controle de credenciais

A solução exige uma reestruturação fundamental da propriedade das credenciais. Em vez de os usuários criarem e controlarem suas próprias credenciais, as organizações devem gerar, distribuir e gerenciar diretamente todos os materiais de autenticação. Essa abordagem garante que os usuários nunca vejam, armazenem ou transmitam credenciais — eliminando o elemento humano que possibilita ataques de phishing e engenharia social.

Nesse modelo, as credenciais permanecem criptografadas dentro dos sistemas de controle organizacional e são liberadas apenas para eventos específicos de autenticação por meio de canais seguros. Os usuários se autenticam por métodos biométricos ou baseados em hardware, acionando a liberação automatizada das credenciais sem intervenção humana. Essa arquitetura torna as credenciais "impossíveis de serem vítimas de phishing" — os invasores não podem roubar aquilo que os usuários nunca possuem.

A implementação exige uma interrupção mínima nos sistemas existentes. Os investimentos atuais em IAM, PAM e confiança zero continuam valiosos, sendo aprimorados pela remoção do ponto de vulnerabilidade compartilhado entre eles. A autenticação passa a ser controlada pela organização, preservando as estruturas estabelecidas de gestão de acesso.

Implicações estratégicas

As instituições financeiras e seguradoras enfrentam uma escolha clara: continuar investindo em segurança de perímetro enquanto deixam a lacuna das credenciais exposta, ou enfrentar diretamente essa vulnerabilidade estrutural. Diante das pressões regulatórias, do aumento dos custos das violações e da crescente sofisticação dos ataques, as organizações que não controlarem suas credenciais enfrentarão riscos operacionais e reputacionais cada vez maiores.

A tecnologia existe para eliminar completamente as vulnerabilidades baseadas em credenciais. A questão é se os líderes dos serviços financeiros reconhecerão que a verificação de identidade e o controle de acesso, embora necessários, são insuficientes sem o controle organizacional das credenciais.

Por que profissionais clínicos controlando suas próprias credenciais representam uma falha estrutural de conformidade com a HIPAA

Quando hackers invadiram a CommonSpirit Health em outubro de 2022, comprometendo 623.774 registros de pacientes em 142 hospitais, o vetor de ataque era preocupantemente familiar: credenciais de funcionários comprometidas. Os cibercriminosos não exploraram uma vulnerabilidade zero-day sofisticada nem invadiram sistemas isolados. Eles simplesmente usaram dados legítimos de login de profissionais clínicos para acessar informações protegidas de saúde, destacando uma falha fundamental na forma como as organizações de saúde abordam a segurança das credenciais.

A violação evidencia um problema estrutural crítico que permeia a cibersegurança na área da saúde: profissionais clínicos criando, controlando e, em última instância, comprometendo suas próprias credenciais digitais cria uma falha inerente de conformidade com a HIPAA que nenhuma quantidade adicional de camadas de segurança consegue resolver completamente.

O problema do controle de credenciais na área da saúde

As organizações de saúde enfrentam um desafio único na gestão de credenciais. Diferentemente de outros setores, os ambientes clínicos exigem acesso rápido aos dados dos pacientes em vários sistemas, muitas vezes em situações de vida ou morte. Essa urgência tradicionalmente justificou permitir que profissionais de saúde criassem e gerenciassem suas próprias senhas, PINs e métodos de autenticação.

No entanto, essa abordagem cria o que especialistas em segurança chamam de "proliferação de credenciais" (credential sprawl) — um fenômeno em que usuários individuais acumulam dezenas de dados de login criados por eles mesmos em prontuários eletrônicos (EHR), bancos de dados farmacêuticos, interfaces de dispositivos médicos e sistemas administrativos. Cada credencial representa um possível ponto de entrada para agentes mal-intencionados que buscam acesso a informações protegidas de saúde (PHI).

O problema vai além da simples higiene de senhas. Quando profissionais clínicos controlam suas próprias credenciais, eles inevitavelmente reutilizam senhas em diferentes sistemas, armazenam informações de acesso em locais inseguros ou compartilham credenciais com colegas durante mudanças de turno. Esse comportamento, embora compreensível devido às pressões operacionais, cria violações sistemáticas da HIPAA que as organizações têm dificuldade para detectar ou impedir.

A escala das violações de cibersegurança na área da saúde

As violações de dados na área da saúde atingiram proporções epidêmicas. De acordo com o Escritório de Direitos Civis (Office for Civil Rights) do Departamento de Saúde e Serviços Humanos dos EUA, organizações de saúde relataram 707 violações de dados que afetaram 500 ou mais indivíduos em 2023, expondo mais de 133 milhões de registros de pacientes — um aumento de 141% em relação a 2022.

O impacto financeiro também é severo. O Relatório de Custo de uma Violação de Dados 2023 da IBM constatou que as violações na área da saúde custaram em média US$ 10,93 milhões por incidente, quase três vezes a média geral entre setores, de US$ 4,45 milhões. Mais importante ainda, pesquisas do Instituto Ponemon indicam que 83% das violações na área da saúde envolvem credenciais comprometidas como vetor principal de ataque ou como fator contribuinte significativo.

Essas estatísticas revelam um padrão preocupante: apesar dos investimentos significativos em infraestrutura de cibersegurança, as organizações de saúde continuam vulneráveis a ataques que exploram a fraqueza fundamental das credenciais controladas pelos usuários. O problema não é a sofisticação tecnológica — é o controle estrutural.

Por que as ferramentas tradicionais de segurança não resolvem o problema

As organizações de saúde normalmente respondem às violações relacionadas a credenciais adicionando mais tecnologias de segurança. Sistemas de Gestão de Identidade e Acesso (IAM) prometem melhor provisionamento de usuários. Ferramentas de Gestão de Acesso Privilegiado (PAM) monitoram contas de alto risco. O Login Único (SSO) reduz a fadiga causada por múltiplas senhas. A Autenticação Multifator (MFA) adiciona etapas de verificação. Arquiteturas Zero Trust assumem que uma violação pode ocorrer e verificam continuamente os acessos.

No entanto, todas essas soluções compartilham uma falha crítica: elas ainda permitem que os usuários criem, conheçam e controlem suas próprias credenciais.

Os sistemas IAM podem impor regras de complexidade de senha, mas os usuários continuam escolhendo e memorizando senhas. As ferramentas PAM podem monitorar sessões privilegiadas, mas os usuários continuam inserindo seus próprios fatores de autenticação. O SSO pode reduzir o número de senhas, mas os usuários ainda controlam a credencial principal. A MFA pode adicionar camadas de segurança, mas os usuários ainda possuem o fator primário de autenticação.

Essa premissa fundamental de design — de que os usuários devem controlar suas próprias credenciais — cria uma vulnerabilidade de segurança impossível de eliminar. Ataques de engenharia social, campanhas de phishing e ataques de preenchimento de credenciais exploram exatamente esse controle do usuário para obter acesso não autorizado aos sistemas de saúde.

A solução estrutural: controle organizacional das credenciais

Resolver a crise de segurança das credenciais na área da saúde exige abandonar a suposição de que os usuários devem controlar seus próprios fatores de autenticação. Em vez disso, as organizações devem gerar, distribuir e revogar todas as credenciais sem que os usuários jamais as vejam ou controlem.

Essa abordagem, chamada de "custódia de credenciais" (credential custody), garante que as organizações de saúde mantenham controle total sobre o acesso às informações protegidas de saúde (PHI). Quando a organização gera credenciais criptografadas e as distribui por canais seguros, os profissionais clínicos podem acessar os sistemas necessários sem nunca possuir os segredos de autenticação subjacentes.

Quando funcionários deixam a organização, mudam de função ou surgem preocupações de segurança, a organização pode revogar o acesso instantaneamente sem depender da cooperação do usuário ou de alterações manuais de senha.

A tecnologia patenteada de controle de credenciais da MyCena demonstra como essa abordagem estrutural funciona na prática. Em vez de solicitar que profissionais clínicos criem senhas, o sistema gera credenciais de acesso criptografadas que os usuários nunca visualizam. A autenticação ocorre automaticamente por meio de canais organizacionais seguros, eliminando a possibilidade de comprometimento das credenciais por ações ou falhas humanas.

Isso não é apenas uma camada adicional de segurança — é uma reestruturação fundamental da relação entre identidade e acesso. Os profissionais clínicos mantêm suas identidades e permissões baseadas em funções, mas a organização mantém controle exclusivo sobre os mecanismos que concedem acesso aos sistemas.

O imperativo de conformidade com a HIPAA

Para organizações de saúde, implementar a custódia de credenciais não é apenas uma boa prática de segurança — é uma necessidade de conformidade com a HIPAA.

As Salvaguardas Administrativas da regulamentação exigem que as entidades cobertas "atribuam um nome e/ou número exclusivo para identificar e rastrear a identidade do usuário". Quando os usuários controlam suas próprias credenciais, as organizações não conseguem realmente verificar a identidade dos usuários ou rastrear acessos com o nível de certeza exigido pela HIPAA.

Além disso, o padrão de Gestão de Acesso da HIPAA exige que as organizações implementem "procedimentos para conceder acesso a informações eletrônicas protegidas de saúde". Credenciais controladas pelos usuários tornam impossível implementar procedimentos genuínos de controle de acesso, pois os usuários podem modificar, compartilhar ou comprometer seus fatores de autenticação sem o conhecimento da organização.

Os CISOs e responsáveis por conformidade em organizações de saúde devem avaliar suas atuais práticas de gestão de credenciais em relação aos requisitos da HIPAA. Organizações que permitem que profissionais clínicos criem e controlem suas próprias credenciais podem enfrentar riscos regulatórios que vão além da cibersegurança, chegando a falhas fundamentais de conformidade.

O caminho a seguir exige reconhecer que identidade e acesso são conceitos separados. As identidades dos profissionais clínicos — seus papéis, permissões e responsabilidades — podem permanecer inalteradas enquanto as organizações assumem controle total sobre os mecanismos de acesso.

Essa mudança estrutural transforma a segurança das credenciais de uma responsabilidade do usuário em uma capacidade organizacional, finalmente alinhando as práticas de cibersegurança com os requisitos de conformidade da HIPAA.

Por que permitir que profissionais com credenciais de segurança controlem suas próprias credenciais de acesso representa uma vulnerabilidade para a segurança nacional

A recente violação da infraestrutura em nuvem da Snowflake, que comprometeu dados de mais de 165 grandes organizações, incluindo a Ticketmaster e o Banco Santander, começou com uma única credencial comprometida. O mais preocupante para os profissionais de segurança nacional é que o vetor de ataque não foi uma sofisticada vulnerabilidade zero-day, mas sim credenciais roubadas do dispositivo pessoal de um funcionário por meio de um malware comum. Quando profissionais com credenciais de segurança controlam suas próprias credenciais de acesso, criam vulnerabilidades sistêmicas que nenhum nível de treinamento ou de camadas adicionais de tecnologia consegue eliminar completamente.

O paradoxo do controle de credenciais nas organizações de defesa

Empreiteiras de defesa, agências governamentais e instalações com acesso a informações classificadas operam sob uma contradição fundamental de segurança. Enquanto o acesso físico a áreas sensíveis exige controle rigoroso da organização — com crachás emitidos, rastreados e revogados de forma centralizada — as credenciais de acesso digital permanecem, em grande parte, sob o controle do próprio usuário. Os colaboradores criam suas próprias senhas, gerenciam seus próprios tokens de autenticação e armazenam credenciais em dispositivos pessoais e navegadores.

Essa abordagem viola princípios básicos de segurança que regem todos os demais aspectos de ambientes classificados. Nenhuma instalação de alta segurança permitiria que seus profissionais fabricassem seus próprios crachás ou escolhessem seus próprios códigos de acesso. No entanto, o equivalente digital acontece milhares de vezes por dia em todo o setor de defesa, criando superfícies de ataque que atores hostis exploram ativamente.

O problema vai além de senhas fracas. Mesmo quando as organizações exigem políticas rigorosas de senhas e autenticação multifator (MFA), a vulnerabilidade fundamental permanece: os usuários possuem e controlam as próprias credenciais que concedem acesso aos sistemas sensíveis. Essa posse cria diversos vetores de exploração que adversários sofisticados conhecem e exploram sistematicamente.

A dimensão do problema das credenciais comprometidas

As estatísticas atuais de violações revelam a magnitude dessa vulnerabilidade. De acordo com o Data Breach Investigations Report 2024 da Verizon, 68% das violações envolvem um fator humano, sendo que credenciais roubadas respondem por 31% de todas as violações de dados — tornando-se o segundo vetor de ataque mais comum, atrás apenas da engenharia social. Para órgãos governamentais e contratantes do setor de defesa, esses números representam muito mais do que risco financeiro: representam potenciais comprometimentos da segurança nacional.

A Cybersecurity and Infrastructure Security Agency (CISA) informa que, em 2023, os ataques baseados em credenciais aumentaram 71% em relação ao ano anterior. A análise da agência sobre ataques conduzidos por Estados-nação mostra que 89% deles começaram com credenciais de usuários comprometidas, frequentemente obtidas por campanhas de phishing direcionadas especificamente a profissionais com autorização de segurança.

Mais preocupante ainda é a persistência desses ataques. O Cost of a Data Breach Report 2024, da IBM, constatou que violações envolvendo credenciais roubadas levaram, em média, 292 dias para serem identificadas e contidas — quase dez meses durante os quais invasores mantêm acesso não autorizado a sistemas sensíveis. Para organizações que lidam com informações classificadas, esse período representa uma janela inaceitável para possíveis comprometimentos de inteligência.

O fator humano amplia esses riscos de forma exponencial. Pesquisas do SANS Institute indicam que 61% dos profissionais de segurança reutilizam senhas em vários sistemas, incluindo contas pessoais que não possuem controles de segurança de nível corporativo. Quando essas contas pessoais são comprometidas — como ocorreu na violação da Snowflake — a exposição pode se propagar para os sistemas da organização.

Por que as soluções atuais de segurança não resolvem a causa raiz

As arquiteturas modernas de segurança normalmente combinam diversas tecnologias: Gerenciamento de Identidade e Acesso (IAM), Gerenciamento de Acesso Privilegiado (PAM), Single Sign-On (SSO), Autenticação Multifator (MFA) e estruturas Zero Trust. Embora essas ferramentas proporcionem melhorias importantes na segurança, elas não resolvem a vulnerabilidade fundamental porque continuam dependendo de credenciais controladas pelos usuários.

Os sistemas de IAM são excelentes para gerenciar identidades e permissões, mas normalmente permitem que os usuários criem e administrem suas próprias senhas. As soluções de PAM protegem contas privilegiadas, porém geralmente utilizam cofres de senhas que os próprios usuários precisam acessar, criando mais uma camada dependente de credenciais. O SSO reduz a quantidade de credenciais que os usuários precisam memorizar, mas concentra o risco em uma credencial principal que continua sob controle do usuário.

A MFA adiciona fatores extras de autenticação, mas não elimina a exposição das credenciais. Ataques sofisticados visam cada vez mais os sistemas de MFA por meio de técnicas como troca fraudulenta de SIM (SIM swapping), engenharia social e malwares capazes de interceptar tokens de autenticação. Os ataques do grupo Lapsus$ contra a Microsoft e outras grandes organizações demonstraram como a MFA pode ser contornada quando invasores obtêm acesso às credenciais e aos dispositivos controlados pelos usuários.

As arquiteturas Zero Trust representam um avanço significativo ao assumir que violações podem ocorrer e ao validar continuamente a confiança. No entanto, a maioria das implementações ainda depende de credenciais controladas pelos usuários para a autenticação inicial, criando um ponto único de falha que compromete todo o modelo de segurança.

A solução estrutural: controle organizacional das credenciais

A solução exige uma mudança arquitetônica fundamental: as organizações devem controlar todo o ciclo de vida das credenciais, desde sua geração até sua distribuição e revogação. Em vez de permitir que os usuários criem ou possuam credenciais, sistemas seguros devem gerar credenciais de forma centralizada, distribuí-las por canais criptografados e manter controle total sobre seu uso.

Essa abordagem trata as credenciais digitais da mesma forma que tokens físicos de segurança em instalações classificadas. Os usuários recebem acesso por meio de mecanismos controlados pela organização, mas nunca possuem ou controlam os materiais de autenticação subjacentes. Quando o acesso é necessário, o sistema autentica os usuários utilizando credenciais que eles não podem visualizar, copiar ou comprometer.

A tecnologia patenteada da MyCena demonstra como esse princípio funciona na prática. A plataforma gera credenciais exclusivas e criptografadas para cada usuário e para cada interação com o sistema, mas os usuários nunca possuem nem controlam essas credenciais diretamente. O acesso torna-se verdadeiramente imune ao phishing, pois não existem credenciais controladas pelo usuário que possam ser roubadas ou comprometidas. A organização mantém supervisão completa sobre a geração, distribuição e revogação das credenciais, criando uma trilha de auditoria compatível com os requisitos regulatórios mais rigorosos.

Essa abordagem está alinhada a estruturas regulatórias como os controles de gerenciamento de acesso da NIST 800-53, os requisitos DoD 8570 para garantia da informação e os padrões de autorização FedRAMP. Ao eliminar o controle das credenciais pelos usuários, as organizações podem demonstrar conformidade com princípios de segurança, em vez de depender exclusivamente de listas de verificação.

Implicações estratégicas para organizações de defesa

A transição de credenciais controladas pelos usuários para credenciais controladas pela organização representa mais do que uma mudança tecnológica; exige uma reformulação completa das estratégias de gerenciamento de acesso. Organizações de defesa que implementam esse modelo obtêm diversas vantagens estratégicas: acesso genuinamente resistente ao phishing, visibilidade completa de auditoria e uma demonstração de conformidade muito mais simples.

Para os profissionais responsáveis pela proteção de informações classificadas, a escolha torna-se cada vez mais evidente. Continuar permitindo que pessoas com autorização de segurança controlem suas próprias credenciais perpetua uma vulnerabilidade fundamental que adversários sofisticados conhecem e exploram. O controle organizacional das credenciais oferece uma solução estrutural que elimina a causa raiz do problema, em vez de apenas acrescentar novas camadas de complexidade tecnológica.

A questão para os líderes do setor de defesa não é se os ataques baseados em credenciais continuarão ocorrendo — eles certamente se intensificarão. A verdadeira questão é se as organizações enfrentarão essa vulnerabilidade estrutural ou continuarão tentando resolvê-la por meio de camadas adicionais de tecnologia, deixando intacto o problema central.

O problema das credenciais no PAM: por que um cofre é tão seguro quanto o técnico que possui a chave

Em agosto de 2024, o comandante de resposta a incidentes da CrowdStrike revelou como uma única credencial privilegiada permitiu que invasores mantivessem persistência no ambiente da empresa por semanas antes da interrupção global. O incidente destacou uma falha fundamental na forma como os provedores de serviços gerenciados (MSPs) abordam o gerenciamento de acessos privilegiados: até mesmo o cofre de credenciais mais sofisticado é inútil se técnicos puderem ser enganados e entregar as chaves.

Para MSPs que gerenciam centenas de ambientes de clientes com privilégios elevados, isso representa uma ameaça existencial. Cada técnico com acesso privilegiado torna-se um potencial vetor de comprometimento, independentemente do nível de segurança utilizado para armazenar essas credenciais.

O dilema das credenciais em serviços gerenciados

Os MSPs enfrentam um desafio único relacionado às credenciais. Diferentemente das empresas tradicionais que administram um único ambiente, eles precisam de acesso privilegiado a centenas ou milhares de sistemas de clientes. Um único técnico de Nível 2 pode possuir credenciais administrativas para dezenas de domínios de clientes, plataformas em nuvem e sistemas de infraestrutura crítica.

Isso cria o que os profissionais de segurança chamam de "proliferação de credenciais em escala". Cada técnico torna-se uma chave mestra ambulante para múltiplos ambientes de clientes. As soluções tradicionais de Gerenciamento de Acesso Privilegiado (PAM) tentam proteger essas credenciais em cofres, mas dependem fundamentalmente de operadores humanos que precisam se autenticar para recuperar as credenciais quando necessário.

O modelo pressupõe que verificar a identidade do técnico é suficiente para conceder acesso. Porém, essa suposição torna-se extremamente perigosa quando esse técnico recebe um e-mail de phishing convincente ou é vítima de engenharia social. Assim que um invasor compromete o método de autenticação do técnico, ele herda o acesso a todos os sistemas de clientes que esse profissional consegue alcançar.

Os dados revelam uma realidade preocupante

De acordo com o Data Breach Investigations Report 2024, da Verizon, 68% das violações envolveram um fator humano, com ataques de phishing aumentando 76% em relação ao ano anterior. Para MSPs, essas estatísticas representam um risco ampliado em toda a sua base de clientes.

O relatório Cost of Insider Threats 2024, do Ponemon Institute, revelou que incidentes envolvendo roubo de credenciais custam às organizações uma média de US$ 4,99 milhões por violação, com MSPs enfrentando ainda responsabilidades adicionais devido aos contratos com seus clientes. Mais preocupante ainda, o estudo mostrou que 60% dos incidentes de ameaça interna envolveram usuários privilegiados — exatamente a população de técnicos da qual os MSPs dependem para suas operações diárias.

Pesquisas da Cybersecurity and Infrastructure Security Agency (CISA) mostram que 90% dos ataques cibernéticos bem-sucedidos envolvem credenciais comprometidas. Para MSPs, isso significa que a verificação tradicional de identidade — mesmo com autenticação multifator — cria um ponto único de falha capaz de se espalhar por múltiplos ambientes de clientes.

O National Cyber Security Centre (NCSC) do Reino Unido informou que MSPs foram alvos em 47% dos ataques à cadeia de suprimentos em 2023, sendo que credenciais privilegiadas comprometidas foram o principal vetor de ataque em 73% desses incidentes.

Por que as ferramentas atuais de segurança falham no modelo MSP

A maioria das organizações implementa um conjunto de ferramentas de gerenciamento de identidade e acesso: cofres PAM, plataformas de Single Sign-On (SSO), autenticação multifator (MFA) e, cada vez mais, estruturas Zero Trust. Mesmo assim, as violações continuam ocorrendo regularmente.

O problema fundamental está em uma equação falha que sustenta todas essas soluções: identidade significa acesso.

Todas as ferramentas existentes operam com base no princípio de que verificar quem é uma pessoa deve determinar aquilo que ela pode acessar. Comprove sua identidade por meio de senhas, biometria ou tokens físicos, e o sistema concede os direitos de acesso correspondentes.

Essa abordagem cria uma vulnerabilidade inerente. Independentemente da sofisticação do processo de verificação de identidade, quando um invasor consegue se passar por um usuário legítimo, ele herda todos os privilégios desse usuário. Um técnico de MSP comprometido não representa apenas uma única violação — ele representa um possível comprometimento de todos os ambientes de clientes aos quais possui acesso.

Os cofres PAM exemplificam esse problema. Eles protegem credenciais armazenadas, mas dependem de operadores humanos para recuperá-las e utilizá-las. O cofre protege as credenciais em repouso, mas não impede que um técnico comprometido acesse e utilize essas credenciais indevidamente. O SSO e a MFA apenas transferem a vulnerabilidade para outros fatores de autenticação, enquanto as estruturas Zero Trust continuam dependendo da verificação de identidade como base.

Separando identidade de acesso

A solução exige abandonar completamente o paradigma de que identidade equivale a acesso. Em vez de perguntar "quem é essa pessoa e quais sistemas ela deve acessar?", a pergunta passa a ser: "como permitir as funções empresariais necessárias sem expor credenciais aos operadores humanos?"

Essa abordagem, conhecida como acesso sem credenciais, garante que os usuários nunca visualizem, possuam ou controlem as credenciais que concedem acesso aos sistemas. Em vez de armazenar credenciais em um cofre para posterior recuperação, a organização gera, criptografa e gerencia cada credencial de forma centralizada. Quando um técnico precisa acessar um sistema de cliente, a credencial é enviada diretamente ao sistema-alvo sem nunca ficar visível para o usuário.

A solução patenteada da MyCena demonstra esse princípio na prática. Quando um técnico de MSP precisa de acesso administrativo ao controlador de domínio de um cliente, ele não recupera uma senha de um cofre. Em vez disso, o sistema gera uma credencial criptografada, transmite-a diretamente ao sistema-alvo e estabelece a sessão sem que o técnico jamais veja o material de autenticação.

Isso torna os ataques de phishing fundamentalmente impossíveis. Um invasor que comprometa o dispositivo ou a conta de um técnico não encontrará credenciais para roubar. O próprio técnico não pode expor acidentalmente credenciais porque nunca as possui. Ataques de engenharia social falham porque não existem segredos de autenticação que possam ser revelados.

Do ponto de vista de conformidade regulatória, essa abordagem atende aos requisitos de diversas estruturas. Os controles SOC 2 Type II relacionados ao gerenciamento de credenciais tornam-se demonstráveis por meio da arquitetura técnica, e não apenas por políticas e procedimentos. Os requisitos da ISO 27001 para gerenciamento de acessos privilegiados passam de controles administrativos para controles técnicos automatizados. Para MSPs que atendem setores regulamentados, isso fornece evidências auditáveis de segurança das credenciais sem depender do comportamento humano.

O futuro dos MSPs

O problema das credenciais enfrentado pelos MSPs exige uma mudança arquitetural, não apenas mais camadas de verificação de identidade. Organizações que continuarem operando no modelo de identidade igual a acesso permanecerão vulneráveis independentemente do investimento realizado em segurança.

Os MSPs devem avaliar sua exposição atual de credenciais em toda a sua equipe técnica. Quantos ambientes de clientes poderiam ser comprometidos se apenas um técnico fosse vítima de phishing? Qual seria o impacto financeiro e reputacional de uma violação que se propagasse por vários ambientes de clientes?

A transição para o acesso sem credenciais representa uma mudança fundamental na arquitetura de segurança, mas aborda a causa raiz do problema em vez de tratar apenas os sintomas. Para MSPs que enfrentam maior pressão regulatória e exigências crescentes de segurança por parte dos clientes, essa abordagem oferece proteção comprovável contra os vetores de ataque que mais têm afetado o setor.

A questão não é se os MSPs enfrentarão ataques baseados em credenciais, mas se implementarão soluções capazes de tornar esses ataques impossíveis antes que se tornem o próximo grande incidente divulgado mundialmente.

O problema das credenciais em BPO que toda empresa de serviços financeiros carrega

Quando a violação de dados dos clientes da Medibank expôs 9,7 milhões de registros em outubro de 2022, os investigadores rastrearam o vetor de ataque até credenciais comprometidas em um fornecedor terceirizado. O incidente consolidou uma preocupação crescente no setor de serviços financeiros: os contratos de Business Process Outsourcing (BPO) criam uma exposição de credenciais que as estruturas tradicionais de segurança não conseguem resolver adequadamente.

A responsabilidade oculta na sua cadeia de suprimentos

As instituições financeiras passaram a última década fortalecendo sua postura interna de segurança, implementando sistemas sofisticados de gerenciamento de identidade e acesso, arquiteturas Zero Trust e autenticação multifator em seus ambientes. No entanto, uma vulnerabilidade crítica permanece evidente: as credenciais gerenciadas pelos parceiros de Business Process Outsourcing.

Os acordos de BPO em serviços financeiros normalmente envolvem operações sensíveis — atendimento ao cliente, processamento de sinistros, monitoramento de transações, relatórios de conformidade e análise de dados. Essas parcerias exigem que os provedores BPO mantenham acesso administrativo a sistemas bancários centrais, plataformas de negociação, bancos de dados de clientes e ferramentas de relatórios regulatórios. Cada ponto de acesso representa uma credencial que, se comprometida, pode fornecer aos invasores um caminho direto para os sistemas mais sensíveis da instituição financeira.

O desafio vai além do simples gerenciamento de acesso. Ambientes BPO frequentemente operam sob padrões de segurança diferentes, empregam funcionários com níveis variados de conscientização sobre segurança e mantêm práticas de gerenciamento de credenciais que seriam consideradas inadequadas dentro da própria instituição financeira. Ainda assim, essas mesmas credenciais podem acessar sistemas que contêm dados financeiros de clientes, informações de negociação e documentos regulatórios.

A dimensão da exposição

Análises recentes do setor revelam a extensão desse risco. De acordo com a pesquisa de resiliência operacional de 2023 da Financial Conduct Authority, 78% das empresas de serviços financeiros do Reino Unido dependem de contratos críticos de BPO, com uma média de 12 fornecedores terceirizados tendo acesso a sistemas classificados como serviços empresariais importantes.

O Data Breach Investigations Report 2023, da Verizon, constatou que 61% das violações no setor financeiro envolveram credenciais comprometidas, sendo que 43% dessas violações tiveram origem em pontos de acesso de parceiros ou da cadeia de suprimentos. Segundo o relatório Cost of a Data Breach da IBM Security, o custo médio de uma violação na cadeia de suprimentos no setor financeiro chegou a US$ 4,8 milhões em 2023.

As implicações regulatórias são igualmente preocupantes. Os dados de relatórios de incidentes cibernéticos do Banco Central Europeu de 2023 mostram que 34% dos incidentes cibernéticos significativos relatados por instituições de crédito envolveram fornecedores terceirizados ou acordos de terceirização. Nos Estados Unidos, o Office of the Comptroller of the Currency identificou gerenciamento inadequado de riscos de terceiros em 23% das ações de fiscalização contra bancos nacionais em 2023.

Talvez o dado mais revelador seja o estudo do Ponemon Institute, que descobriu que organizações de serviços financeiros conseguem identificar apenas 57% das credenciais mantidas por seus fornecedores BPO em determinado momento. Essa lacuna de visibilidade representa uma falha fundamental de controle em ambientes onde as regulamentações exigem supervisão completa dos acessos a sistemas sensíveis.

Por que as ferramentas atuais de segurança não resolvem o problema

O setor financeiro investiu fortemente em tecnologias avançadas de gerenciamento de acesso, mas essas soluções não conseguem resolver o problema fundamental do controle de credenciais nas relações com fornecedores BPO.

Os sistemas de Gerenciamento de Identidade e Acesso (IAM) são eficientes para administrar identidades dentro dos limites organizacionais, mas enfrentam dificuldades com a natureza distribuída das credenciais BPO. Esses sistemas conseguem provisionar e remover acessos, mas não conseguem impedir que funcionários de BPO acessem, copiem ou compartilhem as próprias credenciais.

As soluções de Gerenciamento de Acesso Privilegiado (PAM) oferecem gravação de sessões e fluxos de aprovação, mas ainda dependem do princípio de que os usuários possuem suas próprias credenciais. Quando um funcionário de BPO recebe credenciais para uma conta privilegiada, os sistemas PAM conseguem monitorar como essas credenciais são utilizadas, mas não conseguem impedir que elas sejam comprometidas na origem.

O Single Sign-On (SSO) reduz a proliferação de credenciais, mas exige um grande esforço de integração e pode não ser viável em ambientes BPO complexos envolvendo múltiplos sistemas e plataformas. Mais importante ainda, o SSO continua exigindo que os usuários mantenham credenciais de autenticação, apenas concentrando o risco em vez de eliminá-lo.

A Autenticação Multifator (MFA) adiciona uma camada de segurança, mas não resolve o roubo de credenciais. Invasores sofisticados demonstraram diversas técnicas para contornar a MFA, desde troca fraudulenta de SIM (SIM swapping) até ataques de phishing em tempo real capazes de capturar senhas e tokens de autenticação.

As arquiteturas Zero Trust melhoram a postura de segurança ao não assumir confiança automática, mas ainda precisam conceder acesso com base em algum tipo de verificação de credencial. Se essas credenciais forem comprometidas, os princípios Zero Trust oferecem proteção limitada.

A falha comum em todas essas abordagens é estrutural: elas assumem que os usuários precisam possuir credenciais para acessar sistemas. Essa suposição cria uma vulnerabilidade inerente que nenhum nível de monitoramento, criptografia ou controle de acesso consegue eliminar completamente.

Resolvendo o controle de credenciais na origem

A solução está em reestruturar fundamentalmente a propriedade e a distribuição das credenciais. Em vez de permitir que parceiros BPO criem, armazenem e gerenciem credenciais, as instituições financeiras precisam de sistemas nos quais as credenciais sejam geradas, distribuídas e controladas totalmente pela organização — sem que os usuários tenham acesso direto ao material da credencial.

Nesse modelo, quando um funcionário de BPO precisa acessar um sistema financeiro, ele recebe um material de credencial criptografado que só pode ser descriptografado e utilizado dentro de um ambiente controlado. O funcionário não consegue extrair, copiar ou compartilhar as credenciais porque nunca as possui em formato legível. O acesso torna-se vinculado criptograficamente a dispositivos e sessões específicas, tornando o roubo de credenciais praticamente impossível.

A tecnologia patenteada de controle de credenciais da MyCena demonstra essa abordagem na prática. O sistema gera credenciais criptografadas exclusivas para cada usuário e sessão, distribuindo-as por canais seguros sem nunca expor o material da credencial ao usuário final. Funcionários de BPO podem acessar os sistemas necessários para realizar suas funções, mas o mecanismo de autenticação permanece totalmente sob controle da instituição financeira.

Essa mudança arquitetônica transforma o gerenciamento de credenciais BPO de um exercício de gestão de riscos em um controle técnico. Em vez de esperar que parceiros BPO mantenham práticas adequadas de segurança, as instituições financeiras podem garantir que o comprometimento de ambientes BPO não resulte em roubo de credenciais.

O imperativo de conformidade

Para empresas de serviços financeiros, as implicações são claras. Estruturas regulatórias exigem cada vez mais controle comprovável sobre acessos de terceiros a sistemas sensíveis. A regulamentação europeia DORA, que entrou em vigor em janeiro de 2025, exige explicitamente que entidades financeiras mantenham "supervisão e responsabilidade completas" sobre serviços de TIC fornecidos por terceiros.

O momento de tratar o gerenciamento de credenciais BPO como uma questão contratual, e não técnica, passou. Instituições financeiras que continuam dependendo de abordagens tradicionais de gerenciamento de acesso em relações BPO mantêm uma vulnerabilidade estrutural que a fiscalização regulatória e a sofisticação dos agentes de ameaça inevitavelmente irão expor.

O caminho à frente exige reconhecer que identidade e acesso são conceitos separados — e que a verdadeira segurança surge do controle do acesso sem distribuir as credenciais que permitem esse acesso.