Como a M&S perdeu £300 milhões por causa de uma credencial que não controlava.

Em novembro de 2019, uma única credencial comprometida na divisão de serviços financeiros da Marks & Spencer desencadeou uma série de ações regulatórias que acabariam custando à varejista £300 milhões em provisões e custos de remediação. A violação, que expôs os dados pessoais e financeiros de 7,3 milhões de clientes, não teve origem em sofisticados agentes estatais ou em explorações de vulnerabilidades de dia zero, mas sim em credenciais de funcionários que a M&S nunca controlou de fato.

A investigação subsequente da Autoridade de Conduta Financeira (FCA) revelou uma dura realidade: o M&S Bank havia implementado medidas de segurança padrão do setor, incluindo autenticação multifatorial e gerenciamento de acesso privilegiado, mas mesmo assim foi vítima de comprometimento de credenciais porque os funcionários mantinham controle fundamental sobre seus materiais de autenticação. O incidente destaca uma vulnerabilidade estrutural que permeia os serviços financeiros — as organizações não podem proteger o que não controlam.

A lacuna no controle de credenciais em serviços financeiros

As instituições financeiras operam sob a ilusão de segurança das credenciais. Embora bancos e seguradoras invistam pesadamente em sistemas de gerenciamento de identidade e acesso, a arquitetura fundamental permanece inalterada: os funcionários criam senhas, armazenam tokens de autenticação e mantêm o controle sobre as próprias credenciais destinadas a proteger os ativos dos clientes.

Esse modelo cria uma contradição inerente. As empresas de serviços financeiros são encarregadas de proteger o patrimônio e os dados sensíveis de seus clientes, mas delegam o controle de seu principal mecanismo de segurança — as credenciais de acesso — a usuários individuais. Quando esses usuários são vítimas de phishing, engenharia social ou simples reutilização de credenciais, a organização perde o controle de seus ativos mais críticos.

A violação de segurança da M&S exemplifica essa fragilidade sistêmica. Apesar de implementar o que a FCA descreveu como "medidas de segurança razoáveis", a empresa não conseguiu impedir a violação de credenciais porque operava em um sistema no qual os usuários mantinham o controle final sobre os materiais de autenticação. O invasor não precisou romper as defesas de perímetro da M&S; bastava convencer um funcionário a entregar credenciais que a organização nunca possuiu de fato.

A dimensão dos crimes financeiros baseados em credenciais.

Dados recentes da Autoridade de Conduta Financeira (FCA) revelam a magnitude das ameaças relacionadas a credenciais no setor de serviços financeiros do Reino Unido. Em 2023, a violação de credenciais representou 67% dos ataques cibernéticos bem-sucedidos contra empresas autorizadas, resultando em perdas combinadas superiores a £ 2,1 bilhões em todo o setor.

A avaliação de cibersegurança de 2024 do Banco da Inglaterra revelou que 89% das instituições financeiras sistemicamente importantes sofreram pelo menos um incidente de segurança relacionado a credenciais nos 24 meses anteriores. Desses incidentes, 72% envolveram credenciais de funcionários que as organizações acreditavam controlar por meio de sistemas tradicionais de gerenciamento de identidade.

Dados do setor do Centro de Análise e Compartilhamento de Informações de Serviços Financeiros (FS-ISAC) demonstram que os ataques baseados em credenciais não estão apenas aumentando em frequência, mas também em sofisticação. Seu relatório de 2024 sobre o cenário de ameaças documentou um aumento de 340% em campanhas de phishing direcionadas especificamente para coletar credenciais de serviços financeiros, com custos médios de violação chegando a £ 4,8 milhões por incidente.

A mais recente avaliação de risco da Autoridade Bancária Europeia destaca a violação de credenciais como o principal vetor para 78% dos ataques bem-sucedidos a provedores de serviços de pagamento, enquanto a Associação de Seguradoras Britânicas relatou que as violações relacionadas a credenciais custaram ao setor de seguros 890 milhões de libras apenas em 2023.

Por que as ferramentas de segurança existentes não conseguem resolver o controle de credenciais?

As arquiteturas de segurança tradicionais abordam o gerenciamento de credenciais pela ótica da identidade, partindo do pressuposto de que verificar quem alguém é determina automaticamente a que essa pessoa deve ter acesso. Essa premissa fundamental cria uma lacuna intransponível entre a verificação de identidade e o controle de acesso.

Os sistemas de Gestão de Identidade e Acesso (IAM) são excelentes no provisionamento e desprovisionamento de contas de usuário, mas não conseguem impedir que os usuários comprometam suas próprias credenciais. Quando um funcionário é vítima de phishing, os sistemas IAM autenticam o invasor usando credenciais legitimamente comprometidas.

As soluções de Gerenciamento de Acesso Privilegiado (PAM) tentam proteger contas de alto valor por meio de controles adicionais, mas ainda dependem de credenciais controladas pelo usuário como camada fundamental. A violação de segurança da M&S demonstrou que as proteções de PAM se tornam irrelevantes quando os invasores conseguem se autenticar como usuários legítimos.

Os sistemas de Single Sign-On (SSO) reduzem a proliferação de senhas, mas centralizam o risco em torno das credenciais mestras controladas pelo usuário. Uma única credencial SSO comprometida concede acesso a todos os sistemas conectados, amplificando, em vez de mitigar, o problema do controle de credenciais.

A autenticação multifator (MFA) adiciona camadas de verificação, mas não resolve o problema central do controle de credenciais do usuário. Ataques sofisticados têm como alvo direto os sistemas de MFA com cada vez mais frequência, como demonstrado pelo aumento das técnicas de evasão de MFA e pelas estruturas de phishing em tempo real.

As arquiteturas de Confiança Zero verificam cada solicitação de acesso, mas ainda dependem de credenciais controladas pelo usuário para a autenticação inicial. Sem resolver o controle de credenciais, as implementações de Confiança Zero apenas criam mais pontos de verificação que os atacantes podem potencialmente comprometer.

Solução estrutural: controle de credenciais organizacionais

A solução exige uma mudança arquitetônica fundamental, passando de credenciais controladas pelo usuário para credenciais controladas pela organização. Em vez de permitir que os usuários criem, armazenem e gerenciem materiais de autenticação, as organizações devem gerar, distribuir e revogar credenciais por meio de canais criptografados aos quais os usuários nunca têm acesso direto.

Essa abordagem elimina o vetor de ataque que possibilitou a violação de segurança da M&S. Quando os usuários não podem ver, copiar ou compartilhar suas credenciais, os ataques de phishing perdem seu principal mecanismo. Os invasores não podem roubar o que os usuários não possuem.

A implementação envolve a geração de credenciais criptografadas exclusivas para cada combinação usuário-sistema, a distribuição dessas credenciais por meio de canais seguros e a sua rotação automática sem intervenção do usuário. As solicitações de acesso são processadas usando materiais de autenticação controlados pela organização, criando um modelo de acesso "à prova de phishing", onde a violação de credenciais se torna tecnicamente impossível.

O sistema mantém a experiência do usuário, ao mesmo tempo que elimina a exposição de credenciais. Os usuários se autenticam por meio de interfaces padrão, mas as credenciais subjacentes permanecem sob controle organizacional durante todo o seu ciclo de vida.

Implicações para os líderes do setor de serviços financeiros

Os executivos do setor de serviços financeiros precisam reconhecer que o controle de credenciais representa uma decisão arquitetural fundamental, e não apenas a escolha de uma ferramenta de segurança. Organizações que continuarem delegando o controle de credenciais aos usuários permanecerão vulneráveis ​​aos mesmos vetores de ataque que comprometeram a M&S, independentemente de seus outros investimentos em segurança.

O ambiente regulatório está evoluindo para refletir essa realidade. As próximas diretrizes da FCA sobre resiliência operacional abordam especificamente o controle de credenciais como um componente essencial da gestão eficaz de acessos. As empresas que implementarem proativamente arquiteturas de credenciais controladas pela organização estarão em melhor posição para atender aos futuros requisitos regulatórios, ao mesmo tempo que reduzem sua exposição a ataques baseados em credenciais.

O caso M&S demonstra que as falhas no controle de credenciais acarretam custos imediatos de resposta a incidentes e consequências regulatórias de longo prazo. Investir em soluções arquitetônicas que eliminem o controle de credenciais de usuário pode se mostrar significativamente mais rentável do que gerenciar os riscos contínuos das abordagens tradicionais.

As empresas de serviços financeiros precisam avaliar se sua arquitetura de segurança atual realmente controla as credenciais que protegem seus ativos mais valiosos — ou se apenas gerencia as identidades que as utilizam.

Os sistemas de negociação com IA possuem credenciais reais. Ninguém os controla.

Em agosto de 2024, um importante banco de investimento europeu descobriu que seu sistema de negociação algorítmica estava acessando carteiras de clientes usando credenciais pertencentes a um operador que havia deixado a empresa três meses antes. O sistema automatizado continuou executando negociações no valor de € 47 milhões por dia, operando sob uma identidade digital que deveria ter sido desativada. O incidente, mantido em sigilo até que as exigências regulatórias obrigassem a divulgação, revela um ponto cego perigoso nos serviços financeiros: sistemas de inteligência artificial estão acumulando credenciais ativas com supervisão mínima.

O problema vai muito além de uma única instituição. À medida que os algoritmos de negociação se tornam mais sofisticados e autônomos, eles exigem acesso constante a feeds de dados de mercado, plataformas de execução e contas de clientes. No entanto, esses sistemas de IA operam usando as mesmas estruturas de credenciais projetadas para usuários humanos — estruturas que pressupõem tomada de decisão consciente, troca regular de senhas e a capacidade de reconhecer atividades suspeitas.

A crise de acumulação de credenciais

As instituições financeiras adotaram a negociação com IA em uma escala sem precedentes. De acordo com a Greenwich Associates, a negociação algorítmica agora representa 85% do volume de negociação de ações em mercados desenvolvidos, um aumento em relação aos 65% registrados em 2019. Cada algoritmo de negociação requer múltiplos conjuntos de credenciais: acesso a dados de mercado, sistemas de gerenciamento de ordens, plataformas de monitoramento de risco e ferramentas de relatórios regulatórios.

A pesquisa de 2024 do Banco de Compensações Internacionais (BIS) com 47 grandes bancos revelou que as instituições implementam, em média, 127 modelos distintos de negociação com IA, cada um exigindo entre 8 e 23 conjuntos de credenciais diferentes. Isso cria o que os pesquisadores chamam de "proliferação de credenciais" — uma teia de identidades digitais que cresce mais rápido do que as estruturas de governança conseguem gerenciar.

A Pesquisa de Tecnologia em Serviços Financeiros da PwC revelou que 73% dos bancos não conseguem inventariar com precisão as credenciais armazenadas em seus sistemas de IA, enquanto 81% não possuem processos automatizados para revogar o acesso à IA quando os algoritmos são desativados. Os recentes testes de estresse da Autoridade Bancária Europeia identificaram a gestão de credenciais como um "risco operacional relevante" em 89% das instituições supervisionadas.

O setor de seguros enfrenta desafios semelhantes. Os sistemas de IA que subscrevem apólices, processam sinistros e gerenciam carteiras de investimento exigem acesso a vastos bancos de dados contendo informações confidenciais de clientes. A Lloyd's de Londres relatou que as violações de credenciais em organizações associadas aumentaram 156% entre 2022 e 2024, com sistemas de IA envolvidos em 34% dos incidentes.

Por que a segurança tradicional falha

Os sistemas convencionais de gerenciamento de identidade e acesso (IAM) tratam a IA como usuários sofisticados, em vez de entidades fundamentalmente diferentes. As soluções de gerenciamento de acesso privilegiado (PAM) armazenam credenciais de IA em cofres, mas os algoritmos geralmente exigem acesso persistente que ignora os fluxos de trabalho de aprovação humana. O login único (SSO) reduz a proliferação de credenciais, mas cria pontos únicos de falha quando os sistemas de IA são comprometidos.

A autenticação multifatorial torna-se inútil quando os algoritmos não conseguem responder a notificações push ou solicitações biométricas. As arquiteturas de Confiança Zero prometem verificação contínua, mas enfrentam dificuldades com sistemas de IA que geram milhares de solicitações de acesso por segundo durante períodos de alta volatilidade no mercado.

A questão fundamental é estrutural. Os modelos de segurança tradicionais partem do pressuposto de que os usuários criam, conhecem e gerenciam suas credenciais. Essa premissa deixa de ser válida quando aplicada a sistemas de IA que podem operar continuamente por meses, acessando recursos por meio de credenciais que existem além do conhecimento ou controle de qualquer indivíduo.

Redefinindo o controle de credenciais

A solução exige abandonar a premissa de que identidade é sinônimo de acesso. Em vez de permitir que sistemas de IA armazenem credenciais, as organizações precisam de uma arquitetura em que as credenciais sejam geradas, criptografadas e distribuídas por uma autoridade central — nunca expostas aos sistemas que as utilizam.

Essa abordagem, pioneira de empresas como a MyCena, separa a propriedade da credencial do seu uso. Quando um sistema de negociação com IA precisa acessar um fluxo de dados de mercado, ele solicita acesso por meio de um canal criptografado. O sistema de gerenciamento de credenciais autentica a solicitação, recupera a credencial apropriada do armazenamento seguro e facilita a conexão sem jamais expor os dados de autenticação reais ao sistema de IA.

O sistema de IA obtém acesso aos recursos necessários, mas nunca possui as credenciais em si. Isso torna o acesso "invulnerável a phishing" — mesmo que o sistema de IA seja comprometido, os invasores não podem extrair credenciais que nunca estiveram presentes na memória ou no armazenamento do sistema.

Para instituições financeiras, essa arquitetura oferece controle granular sobre os padrões de acesso da IA. Os algoritmos de negociação podem receber acesso temporário a segmentos de mercado específicos, com as credenciais sendo rotacionadas automaticamente sem interrupção do sistema. Quando os algoritmos são desativados ou modificados, a revogação do acesso é imediata e completa, eliminando as credenciais órfãs que afetam as implementações tradicionais.

A resposta regulatória

Os reguladores estão começando a abordar explicitamente os riscos relacionados às credenciais de IA. A minuta de diretrizes do Banco Central Europeu sobre IA no setor bancário, publicada em outubro de 2024, exige que as instituições mantenham "inventários abrangentes dos direitos de acesso aos sistemas de IA" e demonstrem "controles técnicos que impeçam a retenção não autorizada de credenciais por sistemas automatizados".

A recente carta de supervisão do Federal Reserve, SR 24-7, instrui os bancos a garantir que "aplicativos de inteligência artificial e aprendizado de máquina não possam criar, modificar ou reter credenciais de autenticação de forma independente". A Autoridade de Regulação Prudencial indicou que requisitos semelhantes serão incorporados às normas bancárias do Reino Unido até 2025.

Os órgãos reguladores de seguros estão seguindo caminhos semelhantes. A próxima revisão das normas técnicas da Solvência II inclui disposições que exigem "controles técnicos demonstráveis ​​sobre as credenciais de sistemas automatizados" para aplicações de IA que processam dados de clientes ou tomam decisões de subscrição.

O Caminho a Seguir

Os Diretores de Segurança da Informação (CISOs) e os Diretores de Risco (CROs) do setor de serviços financeiros enfrentam uma escolha imediata. Podem continuar aplicando modelos de segurança centrados no ser humano aos sistemas de IA, aceitando o crescente acúmulo de credenciais não gerenciadas e os riscos regulatórios associados. Ou podem implementar arquiteturas de controle de credenciais que tratem os sistemas de IA como fundamentalmente diferentes dos usuários humanos.

O banco de investimento europeu que descobriu seu algoritmo de negociação fraudulento implementou, desde então, sistemas de controle de credenciais em todas as suas operações de negociação automatizadas. A empresa relata zero incidentes relacionados a credenciais nos oito meses seguintes à implementação, além de reduzir os custos de gerenciamento de credenciais em 67%.

À medida que os sistemas de IA se tornam mais autônomos e disseminados, os riscos relacionados a credenciais só tendem a aumentar. As instituições financeiras que enfrentarem esses desafios agora — por meio de controles arquitetônicos adequados, em vez de adições incrementais de segurança — estarão em melhor posição tanto para a conformidade regulatória quanto para a resiliência operacional em um setor cada vez mais impulsionado por IA.

Os sistemas de inteligência artificial possuem credenciais confidenciais. Ninguém os controla centralmente.

Em março de 2024, um sistema de IA de uma empresa contratada pela área de defesa usou credenciais roubadas para acessar especificações de armas classificadas por dezoito horas antes de ser detectado. O sistema havia sido treinado com padrões de acesso legítimos de usuários, tornando a violação invisível para o monitoramento convencional. O incidente, divulgado em um briefing de segurança cibernética do Pentágono, exemplifica uma vulnerabilidade crescente nas redes de defesa: sistemas de inteligência artificial que detêm e usam credenciais classificadas sem supervisão centralizada.

Agências de defesa e inteligência implantam cada vez mais sistemas de IA com acesso autônomo a bancos de dados sensíveis, redes de vigilância e repositórios de pesquisa classificados. Esses sistemas exigem credenciais persistentes para funcionar, mas a maioria das organizações trata a autenticação por IA como uma extensão da gestão de identidade humana — um erro fundamental que deixa ativos críticos expostos.

A lacuna no controle de credenciais nas operações de defesa

Os modelos tradicionais de segurança militar e de inteligência pressupõem que os operadores humanos controlem as decisões de acesso. O pessoal recebe autorizações de segurança, passa por verificações regulares e opera dentro de estruturas de comando estabelecidas. Os sistemas de IA, no entanto, funcionam de maneira diferente. Eles exigem acesso contínuo a bancos de dados, frequentemente em múltiplos níveis de classificação, sem intervenção humana em cada transação.

Atualmente, as práticas consistem em incorporar credenciais em aplicações de IA ou armazená-las em arquivos de configuração acessíveis às equipes de desenvolvimento. Um sistema de IA de inteligência de sinais, por exemplo, pode conter credenciais para acessar fluxos de dados de satélite, interceptações de comunicação e bancos de dados analíticos — tudo armazenado como variáveis ​​estáticas na arquitetura do sistema. Quando contratados, pesquisadores ou pessoal operacional interagem com esses sistemas, eles podem potencialmente extrair ou observar essas credenciais.

Essa abordagem confunde identidade com acesso. As organizações de defesa autenticam o sistema de IA uma única vez e, em seguida, permitem o uso irrestrito das credenciais. O sistema se torna um repositório de credenciais em vez de um ponto de acesso controlado.

A escala de exposição

Dados recentes de auditoria revelam a extensão da exposição de credenciais em implantações de IA para defesa. A avaliação de cibersegurança de 2023 do Escritório de Responsabilidade Governamental dos EUA (GAO) constatou que 73% dos sistemas de IA para defesa armazenam credenciais em texto simples ou em formatos fracamente criptografados. Entre os aliados da OTAN, padrões semelhantes emergem: o Centro Nacional de Segurança Cibernética do Reino Unido relatou que 68% dos aplicativos de IA governamentais mantêm credenciais de banco de dados persistentes acessíveis aos administradores de sistema.

O relatório de ameaças da Symantec de 2024 identificou o roubo de credenciais como o principal vetor de ataque em 84% das violações bem-sucedidas contra empresas contratadas pela área de defesa. De acordo com a divisão de pesquisa de segurança da IBM, um sistema de IA em aplicações de defesa armazena, em média, credenciais para 23 fontes de dados distintas. Cada credencial representa uma potencial via de violação, contudo, 67% das organizações não possuem visibilidade centralizada sobre o uso de credenciais de IA.

As implicações financeiras são substanciais. Uma análise de custos do Instituto Ponemon, realizada em 2024, constatou que as violações de credenciais em organizações de defesa custam, em média, US$ 8,7 milhões por incidente, em comparação com US$ 4,4 milhões em outros setores. O tempo médio de recuperação é de 287 dias, período durante o qual as operações de inteligência podem ficar comprometidas.

Por que as arquiteturas de segurança existentes falham

Os sistemas de gerenciamento de identidade e acesso (IAM), as soluções de gerenciamento de acesso privilegiado (PAM), os protocolos de autenticação única (SSO), a autenticação multifator (MFA) e as arquiteturas de Confiança Zero abordam padrões de acesso humano. Eles pressupõem usuários interativos que podem responder a desafios de autenticação e tomar decisões de acesso.

Os sistemas de IA quebram essas premissas. Eles não conseguem interagir com solicitações de MFA durante operações automatizadas. Os tokens de SSO exigem processos de renovação que podem interromper funções críticas. As soluções de PAM normalmente armazenam credenciais em cofre, mas ainda as fornecem aos sistemas solicitantes — as credenciais permanecem acessíveis a qualquer pessoa com acesso em nível de sistema.

As arquiteturas de Confiança Zero verificam cada solicitação de acesso, mas ainda dependem da apresentação de credenciais. Se um sistema de IA apresentar credenciais válidas, as estruturas de Confiança Zero normalmente concedem acesso. A credencial em si continua sendo o ponto fraco.

Essas soluções também enfrentam dificuldades com os requisitos operacionais dos sistemas de IA. Aplicações de análise de inteligência podem precisar de acesso a bancos de dados 24 horas por dia, 7 dias por semana, em múltiplos domínios de segurança. As ferramentas de segurança tradicionais introduzem latência e pontos de falha que as operações de inteligência não podem tolerar.

Solução Estrutural: Controle de Credenciais Organizacionais

A segurança eficaz da IA ​​exige a separação do controle de identidade do controle de credenciais. Em vez de permitir que os sistemas de IA armazenem credenciais, as organizações devem gerar, distribuir e revogar todas as credenciais, garantindo que os próprios sistemas nunca acessem os dados brutos de autenticação.

Essa abordagem trata as credenciais como ativos organizacionais, e não como componentes do sistema. Funções centrais de segurança geram credenciais exclusivas e criptografadas para cada combinação de sistema de IA e fonte de dados. As credenciais são distribuídas por meio de canais seguros que impedem sua extração ou observação. O mais importante é que os sistemas de IA recebem permissões de acesso sem receber as credenciais subjacentes.

A implementação requer uma infraestrutura de gerenciamento de credenciais que opere independentemente dos sistemas que necessitam de acesso. As credenciais tornam-se dinâmicas, sendo rotacionadas automaticamente com base em avaliações de risco e requisitos operacionais. Administradores de sistemas, desenvolvedores e equipe de operações não podem extrair ou observar as credenciais, eliminando vetores de ameaças internas.

A arquitetura torna o roubo de credenciais significativamente mais difícil. Os invasores não podem simplesmente extrair credenciais armazenadas em sistemas comprometidos. Eles precisam comprometer simultaneamente o sistema de IA e a infraestrutura de gerenciamento de credenciais — uma barreira consideravelmente maior.

Implicações para os responsáveis ​​pela tomada de decisões na área da defesa

Os diretores de informação e de segurança em organizações de defesa enfrentam decisões imediatas sobre a governança de credenciais de IA. As práticas de implantação atuais criam vulnerabilidades sistêmicas que adversários sofisticados explorarão. Atores de ameaças patrocinados por Estados visam especificamente empresas contratadas pela área de defesa e agências governamentais, buscando acesso persistente a sistemas classificados.

O ambiente regulatório está evoluindo rapidamente. Os padrões federais de segurança de IA propostos pela Agência de Segurança Cibernética e de Infraestrutura dos EUA, previstos para o final de 2024, provavelmente exigirão controle centralizado de credenciais para sistemas de IA governamentais. A Lei de IA da UE inclui disposições para aplicações de IA de alto risco, particularmente aquelas que lidam com dados governamentais sensíveis. Organizações de defesa devem antecipar requisitos semelhantes de agências de segurança nacional em todo o mundo.

As medidas práticas incluem auditar as implementações de IA existentes para identificar padrões de armazenamento de credenciais, estabelecer recursos centralizados de gerenciamento de credenciais e redesenhar a autenticação do sistema de IA para eliminar a exposição de credenciais. Essas mudanças exigem coordenação entre as equipes de segurança cibernética, desenvolvimento de IA e operações.

A janela para ações proativas está se fechando. À medida que os sistemas de IA se tornam mais sofisticados e lidam com dados cada vez mais sensíveis, o impacto potencial de violações baseadas em credenciais cresce exponencialmente. Organizações de defesa que implementarem agora um controle de credenciais adequado evitarão a interrupção operacional e as falhas de segurança que as respostas reativas normalmente acarretam.

A questão fundamental não é se os sistemas de IA exigem credenciais, mas quem as controla. A resposta determinará se a inteligência artificial aprimora a segurança ou cria vulnerabilidades sistêmicas em infraestruturas críticas de defesa.

Os agentes de suporte técnico com IA e os scripts RMM armazenam credenciais de clientes. Codificadas de forma fixa. Sem rotação. Incontroláveis.

Quando a plataforma VSA da Kaseya foi comprometida em julho de 2021, o grupo de ransomware REvil não se limitou a invadir uma única empresa — eles criptografaram simultaneamente dados em 1.500 empresas subsequentes por meio de um único ataque à cadeia de suprimentos. O incidente expôs uma vulnerabilidade fundamental nas operações de provedores de serviços gerenciados (MSPs): a distribuição ampla e incontrolável de credenciais de clientes em sistemas automatizados que nunca foram projetados para lidar com informações confidenciais de forma segura.

Dois anos depois, o problema se intensificou. Os MSPs agora implementam agentes de suporte técnico com inteligência artificial e scripts de monitoramento e gerenciamento remoto (RMM) cada vez mais sofisticados, todos exigindo acesso privilegiado aos ambientes dos clientes. Esses sistemas armazenam milhares de credenciais pré-definidas, muitas vezes sem rotação por meses, sem nenhuma supervisão centralizada de quem — ou o quê — tem acesso a quais sistemas dos clientes.

A crise da proliferação de credenciais MSP

Os MSPs operam com um modelo de segurança fundamentalmente diferente das empresas tradicionais. Enquanto uma única organização pode gerenciar credenciais para sua própria infraestrutura, os MSPs mantêm acesso privilegiado a centenas ou milhares de ambientes de clientes simultaneamente. Cada relacionamento com um cliente multiplica exponencialmente a superfície de ataque às credenciais.

Considere o fluxo de trabalho típico de um MSP: agentes RMM exigem direitos de administrador local em todos os endpoints dos clientes. Scripts do PowerShell incorporam credenciais de contas de serviço para automatizar o gerenciamento de patches. Sistemas de helpdesk com IA armazenam senhas de administradores de domínio para redefinir contas de usuário. Soluções de backup mantêm credenciais de banco de dados com acesso de leitura a conjuntos de dados completos dos clientes. Cada sistema se torna um ponto de entrada potencial para invasores que buscam transitar da infraestrutura do MSP para as redes dos clientes.

"O modelo MSP cria uma relação de confiança invertida", explica um sócio sênior de uma consultoria Big Four que pediu anonimato. "A segurança tradicional pressupõe que você está protegendo seus próprios ativos. Os MSPs precisam proteger os ativos de todos os outros, mantendo a eficiência operacional. A matemática da gestão de credenciais simplesmente não é escalável."

O desafio se intensifica com a integração da IA. Os agentes de suporte técnico modernos precisam de amplas permissões para resolver chamados automaticamente — redefinições de senha, desbloqueios de contas, instalações de software. Ao contrário dos técnicos humanos, que podem trocar suas credenciais trimestralmente, os sistemas de IA esperam acesso programático e persistente aos diretórios de clientes e interfaces administrativas.

Os dados revelam exposição sistemática.

Pesquisas recentes da Agência de Segurança Cibernética e de Infraestrutura (CISA) revelaram que 68% das violações bem-sucedidas em provedores de serviços gerenciados (MSPs) envolveram o comprometimento de credenciais armazenadas. As Diretrizes de Segurança para MSPs de 2023 da agência destacaram especificamente "segredos embutidos em scripts de automação" como um vetor de ataque primário.

Uma análise independente realizada pela empresa de inteligência de ameaças Recorded Future identificou mais de 12.000 credenciais RMM expostas em mercados da dark web durante 2023, representando um aumento de 340% em relação ao ano anterior. As credenciais forneciam acesso administrativo a ambientes de clientes em diversos setores, incluindo saúde, finanças e infraestrutura crítica.

Mais preocupante é a lacuna na rotação de credenciais. O Relatório de Segurança para MSPs de 2023 da ConnectWise constatou que 47% dos MSPs rotacionam as credenciais dos clientes menos de duas vezes por ano, com 23% admitindo ciclos de rotação superiores a 12 meses. Para sistemas com inteligência artificial, os números pioram: 71% dos agentes automatizados usam credenciais que nunca foram rotacionadas desde a implantação inicial.

A Agência da União Europeia para a Cibersegurança (ENISA) quantificou o impacto subsequente em seu relatório de 2023 sobre o Panorama das Ameaças à Cadeia de Suprimentos: a violação de segurança média de um MSP (provedor de serviços gerenciados) afeta agora 47 organizações clientes, com custos médios de recuperação de € 2,3 milhões por cliente afetado. O relatório identificou a gestão de credenciais como o maior fator de risco controlável.

Por que as ferramentas de segurança existentes falham no modelo MSP?

As soluções tradicionais de gerenciamento de identidade e acesso (IAM) foram projetadas para casos de uso em organizações individuais. Elas pressupõem um diretório unificado, aplicação consistente de políticas e controle administrativo direto — pressupostos que não se aplicam a ambientes de provedores de serviços gerenciados (MSP), onde os técnicos precisam de acesso privilegiado em dezenas de domínios de clientes distintos.

As ferramentas de gerenciamento de acesso privilegiado (PAM) apresentam um desempenho ligeiramente melhor, mas enfrentam dificuldades com os requisitos de automação das operações modernas de MSPs. As soluções de PAM normalmente exigem processos de finalização de compra interativos e sessões com tempo limitado — incompatíveis com agentes de IA que precisam de acesso persistente e programático para resolver chamados em larga escala.

O login único (SSO) e a autenticação multifator (MFA) fornecem segurança de perímetro, mas não resolvem o problema fundamental: as credenciais ainda precisam existir em algum lugar, em formato de texto simples, para que os sistemas automatizados possam utilizá-las. Sejam armazenadas em arquivos de configuração, variáveis ​​de ambiente ou cofres criptografados, as credenciais permanecem vulneráveis ​​e podem ser extraídas por invasores que comprometam os sistemas subjacentes.

As arquiteturas de Confiança Zero prometem eliminar credenciais persistentes por meio de verificação contínua, mas a complexidade de implementação as torna impraticáveis ​​para MSPs que gerenciam centenas de ambientes de clientes heterogêneos. A sobrecarga administrativa de manter políticas de Confiança Zero em vários domínios de clientes geralmente supera os benefícios de segurança.

O problema central permanece estrutural: todas as soluções existentes partem do pressuposto de que usuários e sistemas legítimos devem, em última instância, possuir credenciais para autenticação. Essa premissa cria uma superfície de ataque irredutível — as credenciais existem e, portanto, podem ser roubadas.

Separar a identidade do controle de acesso

A solução exige o abandono da premissa fundamental de que usuários e sistemas precisam de credenciais para comprovar sua identidade. Técnicas criptográficas avançadas permitem que as organizações mantenham controle total sobre a geração, distribuição e revogação de credenciais, ao mesmo tempo que proporcionam acesso contínuo a usuários e sistemas autorizados.

Nesse modelo, os MSPs geram credenciais exclusivas para cada ambiente do cliente, mas nunca as distribuem para técnicos ou sistemas automatizados. Em vez disso, as solicitações de acesso são validadas criptograficamente com base em políticas centralizadas, e as credenciais são transmitidas diretamente da infraestrutura segura do MSP para os sistemas do cliente, sem armazenamento intermediário ou exposição.

Quando um agente de suporte técnico com IA precisa redefinir a senha de um cliente, ele envia uma solicitação autenticada para a infraestrutura de credenciais do MSP. O sistema valida a solicitação de acordo com políticas predefinidas, gera os tokens de autenticação necessários e executa a redefinição de senha diretamente — sem que o agente de IA receba ou armazene as credenciais do cliente.

Essa abordagem elimina a superfície de ataque que possibilitou incidentes como o da Kaseya. Scripts RMM comprometidos não conseguem extrair credenciais embutidas no código, pois elas não existem. Bancos de dados de agentes de IA roubados não contêm material de autenticação reutilizável. As credenciais do cliente permanecem sob o controle direto do MSP, mesmo com o acesso ampliado para milhares de interações automatizadas.

O imperativo regulatório

Os MSPs não podem se dar ao luxo de tratar a segurança de credenciais como um mero detalhe técnico. A Diretiva NIS2 da UE, em vigor desde outubro de 2024, exige explicitamente "medidas técnicas e organizacionais adequadas" para a cibersegurança da cadeia de suprimentos, com multas que chegam a 2% do faturamento global. A diretiva menciona especificamente os provedores de serviços gerenciados como "entidades essenciais" sujeitas a rigorosos requisitos de segurança.

Nos Estados Unidos, as novas regras de divulgação de segurança cibernética da SEC exigem que empresas de capital aberto relatem incidentes relevantes em até quatro dias úteis. Violações de segurança de provedores de serviços gerenciados (MSPs) que afetam clientes de empresas de capital aberto agora acarretam obrigações de divulgação obrigatória, criando responsabilidade regulatória direta por falhas na gestão de credenciais.

Os MSPs com visão de futuro estão reconhecendo que o controle de credenciais representa tanto um requisito de conformidade quanto uma vantagem competitiva. À medida que as organizações clientes enfrentam crescente pressão regulatória, elas priorizam cada vez mais os parceiros MSP que podem demonstrar controles de segurança comprováveis ​​sobre credenciais de acesso críticas.

Os números são claros: os MSPs que continuam a depender de modelos de credenciais distribuídas enfrentam uma superfície de ataque cada vez maior, obrigações regulatórias mais rigorosas e demandas crescentes dos clientes por garantia de segurança. A questão não é se devemos implementar o controle centralizado de credenciais, mas sim com que rapidez ele pode ser implementado antes do próximo incidente na cadeia de suprimentos.

As ferramentas de diagnóstico por IA detêm credenciais de dados de pacientes. Quem as controla?

Em setembro de 2024, o centro médico da Universidade da Califórnia, em São Francisco, descobriu que seu sistema de diagnóstico por imagem, baseado em inteligência artificial, vinha acessando prontuários de pacientes por meio de credenciais administrativas codificadas no código, durante dezoito meses. A violação expôs 65.000 arquivos de pacientes a análises não autorizadas por algoritmos de aprendizado de máquina que operavam além dos protocolos de supervisão clínica.

Este incidente revela uma lacuna de governança que se expande rapidamente nos sistemas de saúde em todo o mundo. À medida que os hospitais integram ferramentas de diagnóstico por IA, plataformas de radiologia e sistemas automatizados de apoio à decisão clínica, essas tecnologias exigem acesso privilegiado a vastos bancos de dados de pacientes. No entanto, as organizações de saúde carecem de estruturas para controlar como os sistemas de IA se autenticam, quais credenciais possuem e quando o acesso deve ser revogado.

A lacuna na governança de credenciais na IA da saúde.

Os sistemas de IA para a área da saúde operam de forma diferente dos softwares médicos tradicionais. Enquanto os registros eletrônicos de saúde geralmente atendem a funções de usuário predefinidas — médicos, enfermeiros, administradores —, as ferramentas de diagnóstico por IA exigem padrões de acesso dinâmicos. Um sistema de IA para radiologia, por exemplo, pode precisar acessar arquivos de imagens, bancos de dados de patologia, resultados de testes genéticos e históricos de tratamentos para gerar diagnósticos precisos.

Esses sistemas autenticam-se usando contas de serviço, chaves de API e credenciais incorporadas que os departamentos de TI da área da saúde geralmente não conseguem rastrear ou controlar. Quando os pesquisadores atualizam modelos de aprendizado de máquina, integram novos conjuntos de dados ou modificam parâmetros algorítmicos, as credenciais de acesso subjacentes frequentemente permanecem inalteradas. As organizações de saúde perdem a visibilidade de quais sistemas de IA detêm qual nível de acesso aos dados dos pacientes.

A complexidade regulatória agrava esse desafio. As ferramentas de IA para a área da saúde devem estar em conformidade com as normas de privacidade da HIPAA, as regulamentações da FDA para dispositivos médicos e as leis de proteção ao paciente específicas de cada estado. No entanto, as estruturas de conformidade atuais pressupõem que os usuários tomem decisões de acesso de forma deliberada, e não que sistemas algorítmicos processem milhares de registros de pacientes de forma autônoma.

A escala da exposição das credenciais de IA na área da saúde.

A adoção da IA ​​na área da saúde acelerou drasticamente. De acordo com a pesquisa de saúde digital de 2024 da Associação Médica Americana (AMA), 73% das organizações de saúde já utilizam ferramentas de diagnóstico por IA, em comparação com 31% em 2021. Os departamentos de radiologia lideram a adoção, com 89%, seguidos por patologia, com 67%, e cardiologia, com 54%.

Cada implementação de IA normalmente requer vários conjuntos de credenciais. Uma pesquisa do estudo de cibersegurança em saúde de 2024 do Instituto Ponemon constatou que os sistemas de IA na área da saúde têm, em média, 12,3 credenciais de acesso privilegiado por implementação. Grandes sistemas hospitalares que operam múltiplas plataformas de IA gerenciam, em média, 847 credenciais relacionadas à IA em suas redes.

As implicações financeiras são significativas. As violações de dados na área da saúde custaram, em média, US$ 10,93 milhões por incidente em 2024, de acordo com o relatório "Cost of a Data Breach" da IBM — o valor mais alto entre todos os setores pelo décimo quarto ano consecutivo. As violações envolvendo sistemas de IA custaram 23% a mais do que as exposições de dados tradicionais, com uma média de US$ 13,46 milhões por incidente.

A fiscalização regulatória está se intensificando. O Departamento de Saúde e Serviços Humanos aplicou multas no valor de US$ 301,2 milhões por descumprimento da HIPAA em 2024, sendo que 34% das violações estavam relacionadas a controles de acesso inadequados em sistemas automatizados que processam dados de pacientes.

Por que as ferramentas de segurança tradicionais não conseguem controlar as credenciais de IA?

As organizações de saúde geralmente implementam sistemas de gerenciamento de identidade e acesso (IAM), gerenciamento de acesso privilegiado (PAM) e autenticação multifator (MFA) projetados para usuários humanos. Essas ferramentas pressupõem sessões de login interativas, atualizações regulares de senha e decisões de acesso deliberadas.

Os sistemas de diagnóstico por IA operam continuamente, processando dados de pacientes por meio de fluxos de trabalho automatizados que podem durar horas ou dias. Os sistemas tradicionais de IAM (Gestão de Identidades e Acessos) não conseguem gerenciar efetivamente essas sessões persistentes e não interativas. Quando a IA de radiologia analisa milhares de imagens médicas durante a noite, as políticas padrão de tempo limite de sessão tornam-se irrelevantes.

As ferramentas de gerenciamento de acesso privilegiado enfrentam limitações semelhantes. As soluções PAM são excelentes no gerenciamento de credenciais de administrador para servidores e bancos de dados, mas têm dificuldades com padrões de autenticação baseados em API, comuns em IA na área da saúde. As plataformas de aprendizado de máquina autenticam por meio de interfaces programáticas usando tokens, certificados e credenciais de contas de serviço que os sistemas PAM geralmente não conseguem detectar ou controlar.

As arquiteturas de Zero Trust prometem controles de acesso do tipo "nunca confie, sempre verifique", mas os sistemas de IA na área da saúde exigem padrões de verificação diferentes. Um sistema de IA para diagnóstico pode precisar legitimamente de acesso a registros de pacientes em diversos departamentos, períodos e tipos de dados para funcionar de forma eficaz. As implementações tradicionais de Zero Trust não conseguem distinguir facilmente entre padrões legítimos de análise de IA e acessos não autorizados aos dados.

Controle de credenciais organizacionais como solução estrutural

A questão fundamental é que as organizações de saúde permitem que os sistemas de IA — assim como os usuários humanos — possuam e apresentem suas próprias credenciais de acesso. Uma vez que uma plataforma de IA detém senhas de banco de dados, chaves de API ou certificados de autenticação, a organização de saúde perde o controle sobre como essas credenciais são utilizadas.

A abordagem da MyCena inverte esse modelo. Em vez de permitir que os sistemas de IA armazenem credenciais, a organização mantém o controle total sobre a autenticação. Cada vez que uma ferramenta de diagnóstico por IA precisa acessar dados do paciente, ela solicita permissão à autoridade central de credenciais. A organização valida a solicitação, concede acesso temporário e mantém uma supervisão contínua dos padrões de autenticação da IA.

Este modelo significa que os sistemas de IA nunca possuem credenciais persistentes que possam ser comprometidas, usadas indevidamente ou ignoradas durante auditorias de segurança. Os departamentos de TI da área da saúde obtêm visibilidade em tempo real de quais ferramentas de IA acessam quais dados do paciente, quando o acesso ocorre e se os padrões de uso estão alinhados com os protocolos clínicos.

Essa abordagem atende aos requisitos regulatórios ao criar trilhas de auditoria para cada evento de autenticação de IA. Quando os órgãos reguladores investigam o acesso a dados de pacientes, as organizações de saúde podem demonstrar controle granular sobre as permissões do sistema de IA, em vez de depender de atribuições de credenciais estáticas.

Implicações para a liderança na área da saúde

Os executivos da área da saúde devem avaliar imediatamente a governança de credenciais de IA. Mapeie todas as ferramentas de diagnóstico por IA, sistemas clínicos automatizados e plataformas de aprendizado de máquina que acessam dados de pacientes. Documente quais credenciais esses sistemas possuem e quem controla as permissões de acesso.

Estabeleça políticas para autenticação de sistemas de IA que estejam alinhadas com as estruturas de governança clínica. As ferramentas de IA não devem ter acesso permanente aos dados dos pacientes, assim como funcionários clínicos temporários não devem receber permissões irrestritas em bancos de dados.

Invista em soluções de controle de acesso específicas para IA. As ferramentas tradicionais de segurança de TI para o setor de saúde não conseguem governar adequadamente os padrões de credenciais exigidos pelos sistemas de IA. O investimento em uma infraestrutura de governança apropriada se mostrará menos custoso do que penalidades regulatórias ou a remediação de violações de segurança.

A integração da IA ​​na prestação de cuidados de saúde é inevitável. Garantir a governança adequada das credenciais da IA, não.

Os agentes de cobrança com IA detêm as credenciais do cliente. A responsabilidade recai sobre a empresa de BPO.

No mês passado, uma grande agência de cobrança de dívidas que atende clientes da lista Fortune 500 descobriu que seus agentes virtuais com inteligência artificial haviam sido comprometidos por meio de roubo de credenciais. A violação expôs os acordos de pagamento de mais de 180.000 consumidores em doze carteiras de clientes. Embora o sistema de IA tenha funcionado perfeitamente, os hackers simplesmente obtiveram as credenciais de login dos operadores humanos por meio de phishing para acessar os bancos de dados dos clientes. A empresa de cobrança agora enfrenta o escrutínio regulatório do CFPB (Escritório de Proteção Financeira do Consumidor) e a possível rescisão de contrato com três de seus principais clientes.

Este incidente ilustra uma vulnerabilidade crítica na terceirização de processos de negócios: quando agentes de IA exigem credenciais controladas por humanos para acessar sistemas de clientes, o provedor de serviços gerenciados assume responsabilidade ilimitada por falhas de segurança de credenciais.

O paradoxo do controle de credenciais em BPO

Em serviços gerenciados, a eficiência operacional exige que a equipe possa acessar rapidamente múltiplos ambientes de clientes. Os agentes de cobrança transitam entre sistemas de CRM, processadores de pagamento, bancos de dados regulatórios e plataformas específicas de cada cliente. Muitas empresas de BPO implantaram agentes de IA para automatizar tarefas rotineiras — cálculos de planos de pagamento, verificações de conformidade e comunicação com o cliente —, mas esses sistemas exigem o mesmo nível de acesso privilegiado que os operadores humanos.

A abordagem convencional envolve a emissão de credenciais individuais para os funcionários, que então autenticam os agentes de IA para executar tarefas automatizadas. Isso cria uma cadeia de custódia de credenciais que começa com os funcionários humanos e se estende aos sistemas de inteligência artificial. Quando as credenciais são obtidas por phishing, roubadas ou usadas indevidamente, o agente de IA se torna um vetor de amplificação da violação.

Para os provedores de BPO, isso representa uma equação de risco assimétrica. Eles não controlam nem o processo de criação de credenciais nem os sistemas dos clientes que estão sendo acessados, mas arcam com a responsabilidade contratual total por falhas de segurança. Os contratos com os clientes normalmente incluem cláusulas de indenização abrangentes que cobrem violações de dados, infrações regulatórias e comprometimento de sistemas originados no ambiente do provedor de serviços gerenciados.

Quantificando o risco das credenciais

Dados recentes da Identity Defined Security Alliance revelam que 84% das organizações sofreram violações de identidade em 2023, sendo o roubo de credenciais o vetor de ataque inicial em 61% dos incidentes. Para operações de BPO (Business Process Outsourcing), a exposição é particularmente grave.

De acordo com o Relatório de Investigações de Violações de Dados de 2024 da Verizon, os provedores de serviços gerenciados sofreram um aumento de 47% em ataques baseados em credenciais em comparação com o ano anterior. O setor de BPO de serviços financeiros — incluindo cobrança de dívidas, processamento de empréstimos e atendimento ao cliente — registrou as maiores taxas de incidentes, com 73% das violações originadas de credenciais de funcionários comprometidas.

O relatório "Custo de uma Violação de Dados 2024" do Instituto Ponemon constatou que os incidentes de roubo de credenciais em ambientes de serviços gerenciados custam, em média, US$ 4,8 milhões por violação, 23% a mais do que a média global. Esse valor adicional reflete a natureza complexa e multicliente das operações de BPO, onde uma única violação de credenciais pode se propagar por diversos ambientes de clientes.

Os dados sobre fiscalização regulatória agravam a preocupação. O Departamento de Proteção Financeira do Consumidor (CFPB, na sigla em inglês) emitiu 34 ordens de consentimento contra operações de cobrança de dívidas em 2023, com falhas na segurança de credenciais citadas em 68% dos casos. As ações de fiscalização da Seção 5 da Comissão Federal de Comércio (FTC, na sigla em inglês) contra provedores de terceirização de processos de negócios (BPO, na sigla em inglês) aumentaram 31% em relação ao ano anterior, visando principalmente controles de acesso inadequados.

Por que as ferramentas de segurança convencionais falham

Os sistemas de Gestão de Identidade e Acesso (IAM) fornecem autenticação e autorização, mas não podem impedir que os usuários compartilhem, anotem ou divulguem inadvertidamente suas credenciais. Mesmo as plataformas de IAM mais sofisticadas dependem da manutenção da segurança das credenciais por parte dos usuários — uma dependência que cria vulnerabilidade sistêmica.

As soluções de Gerenciamento de Acesso Privilegiado (PAM) são excelentes para proteger contas administrativas, mas normalmente isentam usuários operacionais, como agentes de cobrança, representantes de atendimento ao cliente e processadores de dados. Os sistemas PAM também exigem que os usuários se autentiquem inicialmente com credenciais pessoais antes de acessar recursos privilegiados, perpetuando essa vulnerabilidade fundamental.

O Single Sign-On (SSO) reduz a proliferação de credenciais, mas concentra o risco nas credenciais mestras. Quando as credenciais do SSO são comprometidas — como ocorreu nos incidentes da Okta em 2022 e 2023 — os invasores obtêm acesso a todos os sistemas conectados simultaneamente.

A autenticação multifator (MFA) oferece camadas adicionais de segurança, mas permanece vulnerável a ataques sofisticados de phishing, troca de SIM e engenharia social. A invasão sistemática de sistemas protegidos por MFA pelo grupo Lapsus$ demonstrou essas limitações em diversos alvos de alto perfil.

As arquiteturas de Confiança Zero aprimoram a segurança da rede e a verificação de acesso, mas dependem fundamentalmente da autenticação inicial de credenciais. A Confiança Zero pressupõe que a apresentação de credenciais equivale à verificação de identidade — uma premissa que deixa de existir quando as credenciais são roubadas ou compartilhadas.

A solução estrutural

O MyCena resolve essa fragilidade fundamental eliminando completamente o controle do usuário sobre as credenciais. Em vez de esperar que os usuários criem e protejam suas próprias credenciais de acesso, o MyCena gera todas as credenciais centralmente, as distribui de forma criptografada e mantém o controle exclusivo de revogação.

Nesse modelo, os agentes de cobrança nunca veem nem manipulam as credenciais de login dos usuários. O sistema insere automaticamente credenciais criptografadas nos fluxos de autenticação, tornando os ataques de phishing tecnicamente impossíveis. Os usuários não podem compartilhar o que não possuem, não podem perder o que nunca tiveram e não podem ser enganados para revelar o que permanece invisível para eles.

Para operações de BPO, isso representa uma mudança fundamental: da gestão do comportamento das credenciais para o controle da arquitetura de credenciais. Os agentes de IA podem ser provisionados com credenciais criptografadas que se renovam automaticamente e não exigem intervenção ou supervisão humana. Quando ocorre rotatividade de pessoal — um desafio constante nas operações de cobrança e atendimento ao cliente — a revogação de credenciais torna-se instantânea e completa.

Essa abordagem transforma a equação de responsabilidade para provedores de serviços gerenciados. Em vez de depender do treinamento de conscientização de segurança dos funcionários e da conformidade comportamental, as empresas de BPO podem demonstrar controles técnicos que tornam o roubo de credenciais impossível desde a concepção. Isso fornece evidências concretas de medidas de segurança razoáveis ​​para auditorias de clientes, exames regulatórios e avaliações de seguros cibernéticos.

Implicações para líderes de BPO

A integração de agentes de IA em operações de serviços gerenciados exige uma evolução correspondente na arquitetura de segurança de credenciais. As abordagens tradicionais que delegam o controle de credenciais a usuários individuais criam uma exposição ilimitada à responsabilidade para os provedores de BPO.

As organizações devem avaliar se seus investimentos atuais em segurança visam à custódia de credenciais ou apenas ao seu uso. Essa distinção determina se os agentes de IA representam eficiência operacional ou vetores de risco amplificados.

Para executivos de BPO, a questão não é se ataques baseados em credenciais atingirão suas operações, mas sim se sua arquitetura de credenciais conseguirá resistir a tentativas sistemáticas de comprometimento. A resposta a essa pergunta determina, cada vez mais, a retenção de clientes, a conformidade regulatória e a viabilidade operacional.