Os agentes de cobrança com IA detêm as credenciais do cliente. A responsabilidade recai sobre a empresa de BPO.

No mês passado, uma grande agência de cobrança de dívidas que atende clientes da lista Fortune 500 descobriu que seus agentes virtuais com inteligência artificial haviam sido comprometidos por meio de roubo de credenciais. A violação expôs os acordos de pagamento de mais de 180.000 consumidores em doze carteiras de clientes. Embora o sistema de IA tenha funcionado perfeitamente, os hackers simplesmente obtiveram as credenciais de login dos operadores humanos por meio de phishing para acessar os bancos de dados dos clientes. A empresa de cobrança agora enfrenta o escrutínio regulatório do CFPB (Escritório de Proteção Financeira do Consumidor) e a possível rescisão de contrato com três de seus principais clientes.

Este incidente ilustra uma vulnerabilidade crítica na terceirização de processos de negócios: quando agentes de IA exigem credenciais controladas por humanos para acessar sistemas de clientes, o provedor de serviços gerenciados assume responsabilidade ilimitada por falhas de segurança de credenciais.

O paradoxo do controle de credenciais em BPO

Em serviços gerenciados, a eficiência operacional exige que a equipe possa acessar rapidamente múltiplos ambientes de clientes. Os agentes de cobrança transitam entre sistemas de CRM, processadores de pagamento, bancos de dados regulatórios e plataformas específicas de cada cliente. Muitas empresas de BPO implantaram agentes de IA para automatizar tarefas rotineiras — cálculos de planos de pagamento, verificações de conformidade e comunicação com o cliente —, mas esses sistemas exigem o mesmo nível de acesso privilegiado que os operadores humanos.

A abordagem convencional envolve a emissão de credenciais individuais para os funcionários, que então autenticam os agentes de IA para executar tarefas automatizadas. Isso cria uma cadeia de custódia de credenciais que começa com os funcionários humanos e se estende aos sistemas de inteligência artificial. Quando as credenciais são obtidas por phishing, roubadas ou usadas indevidamente, o agente de IA se torna um vetor de amplificação da violação.

Para os provedores de BPO, isso representa uma equação de risco assimétrica. Eles não controlam nem o processo de criação de credenciais nem os sistemas dos clientes que estão sendo acessados, mas arcam com a responsabilidade contratual total por falhas de segurança. Os contratos com os clientes normalmente incluem cláusulas de indenização abrangentes que cobrem violações de dados, infrações regulatórias e comprometimento de sistemas originados no ambiente do provedor de serviços gerenciados.

Quantificando o risco das credenciais

Dados recentes da Identity Defined Security Alliance revelam que 84% das organizações sofreram violações de identidade em 2023, sendo o roubo de credenciais o vetor de ataque inicial em 61% dos incidentes. Para operações de BPO (Business Process Outsourcing), a exposição é particularmente grave.

De acordo com o Relatório de Investigações de Violações de Dados de 2024 da Verizon, os provedores de serviços gerenciados sofreram um aumento de 47% em ataques baseados em credenciais em comparação com o ano anterior. O setor de BPO de serviços financeiros — incluindo cobrança de dívidas, processamento de empréstimos e atendimento ao cliente — registrou as maiores taxas de incidentes, com 73% das violações originadas de credenciais de funcionários comprometidas.

O relatório "Custo de uma Violação de Dados 2024" do Instituto Ponemon constatou que os incidentes de roubo de credenciais em ambientes de serviços gerenciados custam, em média, US$ 4,8 milhões por violação, 23% a mais do que a média global. Esse valor adicional reflete a natureza complexa e multicliente das operações de BPO, onde uma única violação de credenciais pode se propagar por diversos ambientes de clientes.

Os dados sobre fiscalização regulatória agravam a preocupação. O Departamento de Proteção Financeira do Consumidor (CFPB, na sigla em inglês) emitiu 34 ordens de consentimento contra operações de cobrança de dívidas em 2023, com falhas na segurança de credenciais citadas em 68% dos casos. As ações de fiscalização da Seção 5 da Comissão Federal de Comércio (FTC, na sigla em inglês) contra provedores de terceirização de processos de negócios (BPO, na sigla em inglês) aumentaram 31% em relação ao ano anterior, visando principalmente controles de acesso inadequados.

Por que as ferramentas de segurança convencionais falham

Os sistemas de Gestão de Identidade e Acesso (IAM) fornecem autenticação e autorização, mas não podem impedir que os usuários compartilhem, anotem ou divulguem inadvertidamente suas credenciais. Mesmo as plataformas de IAM mais sofisticadas dependem da manutenção da segurança das credenciais por parte dos usuários — uma dependência que cria vulnerabilidade sistêmica.

As soluções de Gerenciamento de Acesso Privilegiado (PAM) são excelentes para proteger contas administrativas, mas normalmente isentam usuários operacionais, como agentes de cobrança, representantes de atendimento ao cliente e processadores de dados. Os sistemas PAM também exigem que os usuários se autentiquem inicialmente com credenciais pessoais antes de acessar recursos privilegiados, perpetuando essa vulnerabilidade fundamental.

O Single Sign-On (SSO) reduz a proliferação de credenciais, mas concentra o risco nas credenciais mestras. Quando as credenciais do SSO são comprometidas — como ocorreu nos incidentes da Okta em 2022 e 2023 — os invasores obtêm acesso a todos os sistemas conectados simultaneamente.

A autenticação multifator (MFA) oferece camadas adicionais de segurança, mas permanece vulnerável a ataques sofisticados de phishing, troca de SIM e engenharia social. A invasão sistemática de sistemas protegidos por MFA pelo grupo Lapsus$ demonstrou essas limitações em diversos alvos de alto perfil.

As arquiteturas de Confiança Zero aprimoram a segurança da rede e a verificação de acesso, mas dependem fundamentalmente da autenticação inicial de credenciais. A Confiança Zero pressupõe que a apresentação de credenciais equivale à verificação de identidade — uma premissa que deixa de existir quando as credenciais são roubadas ou compartilhadas.

A solução estrutural

O MyCena resolve essa fragilidade fundamental eliminando completamente o controle do usuário sobre as credenciais. Em vez de esperar que os usuários criem e protejam suas próprias credenciais de acesso, o MyCena gera todas as credenciais centralmente, as distribui de forma criptografada e mantém o controle exclusivo de revogação.

Nesse modelo, os agentes de cobrança nunca veem nem manipulam as credenciais de login dos usuários. O sistema insere automaticamente credenciais criptografadas nos fluxos de autenticação, tornando os ataques de phishing tecnicamente impossíveis. Os usuários não podem compartilhar o que não possuem, não podem perder o que nunca tiveram e não podem ser enganados para revelar o que permanece invisível para eles.

Para operações de BPO, isso representa uma mudança fundamental: da gestão do comportamento das credenciais para o controle da arquitetura de credenciais. Os agentes de IA podem ser provisionados com credenciais criptografadas que se renovam automaticamente e não exigem intervenção ou supervisão humana. Quando ocorre rotatividade de pessoal — um desafio constante nas operações de cobrança e atendimento ao cliente — a revogação de credenciais torna-se instantânea e completa.

Essa abordagem transforma a equação de responsabilidade para provedores de serviços gerenciados. Em vez de depender do treinamento de conscientização de segurança dos funcionários e da conformidade comportamental, as empresas de BPO podem demonstrar controles técnicos que tornam o roubo de credenciais impossível desde a concepção. Isso fornece evidências concretas de medidas de segurança razoáveis ​​para auditorias de clientes, exames regulatórios e avaliações de seguros cibernéticos.

Implicações para líderes de BPO

A integração de agentes de IA em operações de serviços gerenciados exige uma evolução correspondente na arquitetura de segurança de credenciais. As abordagens tradicionais que delegam o controle de credenciais a usuários individuais criam uma exposição ilimitada à responsabilidade para os provedores de BPO.

As organizações devem avaliar se seus investimentos atuais em segurança visam à custódia de credenciais ou apenas ao seu uso. Essa distinção determina se os agentes de IA representam eficiência operacional ou vetores de risco amplificados.

Para executivos de BPO, a questão não é se ataques baseados em credenciais atingirão suas operações, mas sim se sua arquitetura de credenciais conseguirá resistir a tentativas sistemáticas de comprometimento. A resposta a essa pergunta determina, cada vez mais, a retenção de clientes, a conformidade regulatória e a viabilidade operacional

Os parceiros de faturamento possuem credenciais de acesso aos sistemas dos pacientes. Essa é a sua responsabilidade de acordo com a HIPAA.

Quando a Professional Finance Company, empresa de faturamento médico com sede na Flórida, sofreu um ataque de ransomware em fevereiro de 2023, a violação expôs informações de saúde protegidas de mais de 1,9 milhão de pacientes em diversos provedores de serviços de saúde. O incidente evidenciou uma vulnerabilidade crítica no extenso ecossistema digital da área da saúde: parceiros terceirizados de faturamento geralmente detêm credenciais administrativas de acesso aos sistemas dos pacientes, criando responsabilidades de conformidade que as organizações de saúde têm dificuldade em monitorar ou controlar.

O problema do controle de credenciais nas cadeias de suprimentos da área da saúde.

As organizações de saúde operam em redes complexas de empresas de faturamento, processadoras de seguros, fornecedores farmacêuticos e fornecedores de tecnologia. Cada parceiro requer diferentes níveis de acesso ao sistema para executar os serviços contratados. As empresas de faturamento médico precisam de acesso aos registros dos pacientes e aos sistemas financeiros. As administradoras de benefícios farmacêuticos exigem integração com bancos de dados de prescrições. Os fornecedores de registros eletrônicos de saúde mantêm privilégios administrativos em todos os sistemas clínicos.

A questão fundamental reside na forma como esses privilégios de acesso são gerenciados. A maioria das organizações de saúde emite credenciais diretamente para funcionários parceiros, que então criam, armazenam e gerenciam senhas de acordo com seus próprios protocolos de segurança. Esse gerenciamento distribuído de credenciais cria pontos cegos no controle de acesso e potenciais violações dos requisitos de salvaguardas administrativas da HIPAA, que exigem que as entidades cobertas implementem procedimentos para conceder acesso a informações eletrônicas de saúde protegidas.

De acordo com a Norma de Segurança da HIPAA, as organizações de saúde permanecem responsáveis ​​por violações envolvendo seus dados, mesmo quando o incidente ocorre em um parceiro comercial. A regulamentação exige que as entidades cobertas garantam que os parceiros comerciais implementem medidas de segurança adequadas, mas o compartilhamento tradicional de credenciais torna essa supervisão praticamente impossível.

Escala de acesso de terceiros na área da saúde

Segundo o relatório sobre o panorama de ameaças à segurança na cadeia de suprimentos da área da saúde, os incidentes de segurança na cadeia de suprimentos do setor aumentaram 42% entre 2022 e 2023. O banco de dados de violações de dados do Departamento de Saúde e Serviços Humanos dos EUA mostra que incidentes envolvendo terceiros representaram 64% das principais violações de dados na área da saúde em 2023, afetando mais de 75 milhões de registros de pacientes.

Uma pesquisa realizada pela Healthcare Information and Management Systems Society constatou que, em média, uma organização de saúde concede acesso ao sistema a 47 fornecedores externos. Grandes sistemas hospitalares trabalham com mais de 200 fornecedores de tecnologia terceirizados. Cada relacionamento com um fornecedor normalmente envolve múltiplas contas de usuário em diferentes sistemas, criando milhares de pontos de contato de credenciais que exigem gerenciamento contínuo.

As implicações financeiras são substanciais. O custo médio de uma violação de dados na área da saúde atingiu US$ 10,93 milhões em 2023, de acordo com o relatório "Cost of a Data Breach" da IBM. Quando terceiros estão envolvidos, os custos de resolução aumentam em média US$ 370.000 devido à complexidade da resposta a incidentes em várias organizações.

A fiscalização regulatória está se intensificando. O Escritório de Direitos Civis aplicou multas no valor de US$ 42,4 milhões por violações da HIPAA em 2023, sendo que controles de acesso inadequados foram citados como fator contribuinte em 73% dos casos envolvendo parceiros comerciais.

Por que as ferramentas de segurança existentes são insuficientes?

As organizações de saúde geralmente implementam sistemas de gerenciamento de identidade e acesso (IAM), plataformas de gerenciamento de acesso privilegiado (PAM), soluções de autenticação única (SSO) e autenticação multifator (MFA) para proteger o acesso de parceiros. Essas ferramentas abordam a autenticação e a autorização, mas não resolvem o problema fundamental do controle de credenciais.

Os sistemas de gerenciamento de identidade e acesso são excelentes no provisionamento e desprovisionamento de contas de usuário, mas dependem dos usuários para criar e gerenciar suas próprias senhas. Quando um funcionário de uma empresa de faturamento deixa a organização, o provedor de serviços de saúde pode revogar o acesso ao sistema, mas não pode garantir que as credenciais armazenadas não sejam retidas ou utilizadas indevidamente.

As plataformas de gerenciamento de acesso privilegiado oferecem monitoramento de sessão e armazenamento seguro de senhas para administradores internos, mas apresentam dificuldades com os padrões de acesso de parceiros externos. Empresas de faturamento e outros fornecedores exigem acesso persistente em vários sistemas por longos períodos, o que torna os controles baseados em sessão impraticáveis.

As soluções de autenticação única (SSO) reduzem a proliferação de senhas, mas concentram o risco nos protocolos de federação e na vulnerabilidade do provedor de identidade. A autenticação multifator (MFA) adiciona camadas de segurança, mas não impede o roubo de credenciais por meio de sofisticadas campanhas de phishing direcionadas a funcionários de empresas parceiras.

As arquiteturas de confiança zero tentam solucionar essas limitações por meio de verificação contínua e modelos de acesso com privilégios mínimos. No entanto, elas ainda dependem de estruturas de credenciais tradicionais, nas quais os usuários possuem fatores de autenticação que podem ser comprometidos ou usados ​​indevidamente.

Uma abordagem estrutural para o controle de credenciais

A solução exige repensar a relação entre identidade e controle de acesso. Em vez de permitir que organizações parceiras criem e gerenciem credenciais para acesso a sistemas de saúde, a organização de saúde pode manter o controle total sobre todos os fatores de autenticação, ao mesmo tempo que possibilita acesso contínuo para usuários autorizados.

Essa abordagem envolve a organização de saúde gerando e distribuindo credenciais criptografadas para funcionários parceiros, sem que esses usuários jamais vejam ou armazenem as informações de autenticação reais. Quando um funcionário da empresa de faturamento precisa acessar os sistemas dos pacientes, seu software local se comunica com o sistema de controle de credenciais da organização de saúde para obter tokens de acesso temporários.

A plataforma patenteada de controle de credenciais da MyCena implementa esse modelo separando a identidade do usuário das credenciais de acesso. As organizações de saúde geram todas as senhas e fatores de autenticação, criptografam-nos com chaves que nunca saem do seu controle e distribuem pacotes criptografados aos funcionários parceiros. Os usuários podem acessar os sistemas necessários sem possuir credenciais que possam ser obtidas por meio de phishing, roubadas ou retidas após o término do vínculo empregatício.

Essa arquitetura torna o acesso inviolável, pois os usuários nunca visualizam as credenciais que os invasores poderiam roubar por meio de engenharia social ou sites maliciosos. Ela também proporciona às organizações de saúde total visibilidade e controle sobre o acesso de parceiros, atendendo aos requisitos de conformidade com a HIPAA para a supervisão de parceiros comerciais.

Implicações para a estratégia de conformidade na área da saúde

As organizações de saúde devem reconhecer que as abordagens tradicionais para a gestão de acesso de parceiros criam responsabilidades inerentes em relação à HIPAA. A emissão de credenciais diretamente para parceiros comerciais remove o controle organizacional sobre um componente crítico de segurança e torna a prevenção de violações dependente das práticas de segurança de terceiros.

O ambiente regulatório exige uma abordagem mais proativa. Os líderes da área da saúde devem avaliar seus atuais contratos com parceiros comerciais para identificar lacunas no controle de credenciais e verificar se as salvaguardas técnicas existentes oferecem supervisão adequada do acesso dos parceiros.

Implementar um sistema de gerenciamento de credenciais controlado pela organização representa tanto uma melhoria na segurança quanto um investimento em conformidade. Ao manter o controle sobre todas as credenciais de acesso e, ao mesmo tempo, habilitar as funcionalidades necessárias para parceiros de negócios, as organizações de saúde podem reduzir o risco de violações de dados e demonstrar maior adesão aos requisitos de salvaguardas administrativas da HIPAA.

O custo da prevenção continua sendo substancialmente menor do que o custo da resposta a violações de segurança, especialmente quando os relacionamentos com terceiros complicam o gerenciamento de incidentes e as obrigações de relatórios regulatórios.