SolarWinds: Como uma única credencial de fornecedor alcançou 18.000 organizações, incluindo o governo dos Estados Unidos

SolarWinds: Como uma única credencial de fornecedor alcançou 18.000 organizações, incluindo o governo dos Estados Unidos

Em 13 de dezembro de 2020, a empresa de cibersegurança FireEye divulgou que invasores apoiados por um Estado-nação haviam infiltrado o software de gerenciamento de rede Orion da SolarWinds, criando o que se tornaria o ataque cibernético à cadeia de suprimentos mais significativo da história. A violação expôs uma vulnerabilidade fundamental na forma como as organizações gerenciam o acesso de fornecedores: uma única credencial comprometida permitiu uma invasão em cascata que afetou 18.000 clientes, incluindo nove agências federais dos EUA e empresas da Fortune 500.

O ataque começou quando os invasores inseriram código malicioso nas atualizações do software da SolarWinds entre março e junho de 2020. Quando os clientes instalaram atualizações de rotina, eles concederam, sem saber, acesso persistente às suas redes. Essa violação demonstrou como falhas no gerenciamento de credenciais de fornecedores podem transformar relações comerciais de confiança em ameaças à segurança nacional.

A Falha Crítica no Controle de Acesso de Fornecedores Governamentais

Organizações de defesa e do setor público enfrentam um desafio único no gerenciamento de credenciais de fornecedores. Diferentemente de empresas privadas, que podem limitar o acesso de terceiros, agências governamentais precisam de ampla integração com fornecedores e contratados para tudo, desde infraestrutura de TI até programas de pesquisa classificados. Cada relação com um fornecedor cria possíveis vetores de ataque por meio de credenciais compartilhadas, acessos privilegiados e sistemas interconectados.

O incidente da SolarWinds revelou como as abordagens tradicionais de gerenciamento de credenciais falham em grande escala. Agências governamentais normalmente gerenciam o acesso de fornecedores por meio de processos manuais, contas compartilhadas ou sistemas básicos de gerenciamento de identidade que presumem que as credenciais permanecem seguras após serem emitidas. Essa suposição se mostrou catastrófica quando os invasores obtiveram acesso aos sistemas internos da SolarWinds e utilizaram credenciais existentes de fornecedores para se movimentar lateralmente pelas redes dos clientes.

O ataque teve sucesso porque explorou a relação de confiança entre fornecedores e clientes. As credenciais legítimas da SolarWinds forneceram aos invasores acesso autorizado aos sistemas dos clientes, contornando os controles tradicionais de segurança de perímetro. Para agências governamentais que lidam com informações classificadas ou infraestrutura crítica, isso representou uma falha completa da arquitetura de controle de acesso.

A Escala do Comprometimento: Em Números

A violação da SolarWinds afetou aproximadamente 18.000 organizações que baixaram atualizações de software comprometidas, segundo os próprios registros da empresa junto à SEC. No entanto, os invasores realizaram uma seleção estratégica dos alvos, e a Microsoft estimou que menos de 1.000 organizações foram realmente comprometidas por meio de atividades posteriores.

Entre as vítimas confirmadas, nove agências federais dos Estados Unidos foram comprometidas, incluindo os Departamentos de Estado, Tesouro, Segurança Interna, Energia e Comércio. Os invasores mantiveram acesso persistente por até nove meses antes da detecção, e algumas invasões continuaram por meses após a divulgação inicial.

Os dados sobre o impacto financeiro revelam o verdadeiro custo de um comprometimento de credenciais. A SolarWinds informou ter gasto mais de US$ 18 milhões apenas em resposta ao incidente em 2021, além de enfrentar diversas investigações federais e processos judiciais. A capitalização de mercado da empresa caiu aproximadamente US$ 3,3 bilhões nas semanas seguintes à divulgação, de acordo com registros financeiros.

O Centro Nacional de Segurança Cibernética do Reino Unido identificou que departamentos governamentais britânicos estavam entre os afetados, embora a extensão total permaneça classificada. Impactos semelhantes foram relatados entre aliados da OTAN, demonstrando como o comprometimento de credenciais de fornecedores pode se espalhar por redes governamentais internacionais.

Por Que as Ferramentas Tradicionais de Segurança Falharam

O ataque da SolarWinds teve sucesso apesar da ampla implementação de ferramentas modernas de segurança nas organizações afetadas. Os sistemas de Gerenciamento de Identidade e Acesso (IAM) falharam porque autenticaram credenciais legítimas da SolarWinds — os invasores estavam usando tokens de acesso válidos obtidos por meio do comprometimento da cadeia de suprimentos.

As soluções de Gerenciamento de Acesso Privilegiado (PAM), projetadas para controlar contas de alto valor, foram ineficazes porque os invasores utilizaram acessos padrão de fornecedores em vez de credenciais claramente privilegiadas. O código malicioso operava dentro dos processos normais de atualização de software, evitando o monitoramento do PAM focado em atividades administrativas.

O Single Sign-On (SSO) e a Autenticação Multifator (MFA) não ofereceram proteção porque os invasores ignoraram completamente esses controles. Uma vez dentro das redes das vítimas por meio do acesso legítimo da SolarWinds, os invasores puderam se movimentar lateralmente sem acionar desafios de autenticação projetados para acessos externos.

As arquiteturas Zero Trust, cada vez mais adotadas por agências governamentais, também não conseguiram impedir a violação porque ainda dependiam da validação de credenciais, em vez de controlar sua criação e distribuição. A suposição fundamental — de que as credenciais podem ser confiáveis após serem verificadas — permaneceu intacta e explorável.

Essas ferramentas resolvem problemas de autenticação e monitoramento, mas não solucionam o problema central: as organizações não conseguem controlar credenciais que permitem que terceiros criem e mantenham. Credenciais de fornecedores, por definição, existem fora dos limites de controle organizacional, criando pontos cegos persistentes na arquitetura de segurança.

Solução Estrutural: Controle Organizacional das Credenciais

A violação da SolarWinds demonstra que uma segurança eficaz exige que as organizações mantenham controle completo sobre todas as credenciais que acessam seus sistemas, incluindo acessos de fornecedores. Isso significa mudar da verificação de credenciais para a geração e distribuição controladas de credenciais.

Em um modelo de credenciais controladas, as organizações geram todas as credenciais de acesso centralmente, distribuem-nas de forma criptografada e mantêm capacidade contínua de revogação. Fornecedores e contratados nunca possuem credenciais em texto simples, eliminando a possibilidade de roubo ou uso indevido. O acesso torna-se verdadeiramente resistente a phishing porque os usuários não podem divulgar credenciais que nunca possuem.

Essa abordagem transforma relações com fornecedores de um modelo baseado em confiança para um modelo baseado em verificação. Em vez de confiar que os fornecedores protegerão suas próprias credenciais, as organizações mantêm controle criptográfico sobre os direitos de acesso. Quando fornecedores precisam acessar sistemas, eles solicitam permissões específicas concedidas por meio de distribuição criptografada de credenciais, e não pelo compartilhamento permanente de senhas.

A tecnologia patenteada da MyCena implementa esse modelo garantindo que os usuários nunca vejam ou controlem suas próprias credenciais. O sistema gera credenciais criptograficamente seguras, distribui-as de forma criptografada e permite revogação instantânea em todos os pontos de acesso. Para agências governamentais, isso significa que o acesso de fornecedores pode ser controlado com o mesmo rigor aplicado ao gerenciamento de informações classificadas.

Implicações para Líderes de Defesa e do Setor Público

A violação da SolarWinds criou mudanças regulatórias e operacionais duradouras nas agências governamentais. A Ordem Executiva dos EUA sobre Cibersegurança (EO 14028) agora exige controles específicos para cadeias de suprimentos de software e gerenciamento de acesso de fornecedores. Requisitos semelhantes estão surgindo em países aliados, criando obrigações de conformidade que as ferramentas tradicionais de segurança não conseguem atender.

Os líderes governamentais precisam reconhecer que o comprometimento de credenciais de fornecedores representa um risco sistêmico que exige soluções arquitetônicas, e não apenas melhorias incrementais de segurança. A mudança para uma distribuição controlada de credenciais se tornará uma exigência, e não uma opção, à medida que os regulamentos evoluem.

As organizações devem auditar imediatamente seus mecanismos de acesso de fornecedores e identificar credenciais que existem fora de seu controle direto. Cada credencial não controlada representa um possível vetor de comprometimento semelhante ao da SolarWinds, capaz de fornecer aos invasores acesso autorizado a sistemas críticos.

A lição da SolarWinds é clara: em um ambiente de ameaças cada vez mais interconectado, o controle de credenciais não pode ser delegado a terceiros, independentemente das relações de confiança ou obrigações contratuais. A arquitetura de segurança deve assumir que as credenciais podem ser comprometidas e ser projetada de acordo com essa realidade.

Uma única credencial de fornecedor. Todos os operadores atendidos. A cascata da cadeia de suprimentos.

Quando hackers invadiram a Colonial Pipeline em maio de 2021, interrompendo a maior rede de oleodutos de combustível dos Estados Unidos por seis dias, os investigadores rastrearam o ataque até uma única credencial comprometida pertencente a um ex-funcionário. Essa única senha — provavelmente obtida na dark web — deu aos operadores do ransomware DarkSide acesso a toda a rede, causando escassez de combustível na costa leste dos EUA e resultando em US$ 4,4 milhões em pagamentos de resgate.

O incidente revelou uma vulnerabilidade fundamental na infraestrutura crítica: o efeito cascata do comprometimento de credenciais através das cadeias de suprimentos. Uma única credencial de fornecedor comprometida pode desbloquear o acesso a dezenas de operadores downstream, criando um risco sistêmico que os reguladores estão apenas começando a compreender.

O efeito multiplicador na infraestrutura crítica

No setor de energia, um único fornecedor de tecnologia normalmente atende vários operadores de rede elétrica, empresas de oleodutos e instalações de geração de energia. Quando as credenciais desse fornecedor são comprometidas, os invasores podem obter acesso potencial a todos os clientes de seu portfólio. A matemática é preocupante: um único ataque de phishing bem-sucedido pode se transformar em dezenas de violações simultâneas de infraestrutura.

Esse risco de credenciais na cadeia de suprimentos é especialmente grave em sistemas de controle industrial, onde fornecedores precisam de acesso privilegiado para monitorar e manter tecnologias operacionais críticas. Uma única empresa de engenharia pode possuir credenciais administrativas para parques eólicos em três estados diferentes. Um fornecedor de software SCADA pode ter recursos de acesso remoto em dezenas de instalações de tratamento de água.

O problema vai além das relações diretas com fornecedores. Subcontratados, consultores e trabalhadores temporários criam caminhos adicionais de acesso por meio de credenciais, cada um representando possíveis vetores para movimentação lateral através de redes de infraestrutura interconectadas.

A dimensão da exposição

Dados recentes da Agência de Segurança Cibernética e de Infraestrutura (CISA) revelam a dimensão dessa vulnerabilidade. A avaliação de ameaças à infraestrutura crítica da CISA de 2023 identificou o comprometimento de credenciais como vetor inicial de ataque em uma grande parte das violações bem-sucedidas contra alvos do setor de energia, com relacionamentos da cadeia de suprimentos facilitando a movimentação lateral.

Os dados de relatórios de incidentes cibernéticos do Departamento de Energia dos EUA mostram que violações relacionadas a fornecedores afetam, em média, vários operadores adicionais de infraestrutura além do alvo inicial. Nos casos mais graves, uma única credencial comprometida de fornecedor pode se espalhar e impactar diversas instalações em múltiplos estados.

As perdas financeiras aumentam proporcionalmente. Embora os custos diretos médios de uma violação para empresas de energia sejam de milhões de dólares, segundo o relatório Cost of a Data Breach da IBM de 2023, incidentes envolvendo a cadeia de suprimentos geram responsabilidades adicionais. Os custos totais do incidente da Colonial Pipeline, incluindo interrupção operacional e penalidades regulatórias, ultrapassaram US$ 90 milhões.

A North American Electric Reliability Corporation (NERC) registrou centenas de incidentes de segurança cibernética no sistema elétrico de alta tensão em 2022, com uma parcela significativa relacionada ao comprometimento de credenciais de terceiros. Cada incidente gerou requisitos obrigatórios de comunicação e possíveis violações de conformidade segundo os padrões NERC CIP.

Por que as ferramentas atuais de segurança falham no teste da cascata

Os sistemas de Gerenciamento de Identidade e Acesso (IAM) são eficientes para gerenciar ciclos de vida de usuários internos, mas enfrentam dificuldades no controle de credenciais externas de fornecedores. Muitas plataformas IAM não conseguem aplicar políticas consistentes de credenciais em relações com terceiros, criando lacunas de governança exploradas por invasores.

As soluções de Gerenciamento de Acesso Privilegiado (PAM) resolvem alguns desafios de acesso de fornecedores criando cofres seguros de credenciais e monitoramento de sessões. No entanto, geralmente operam dentro dos limites de cada organização. Quando uma credencial gerenciada por PAM de um fornecedor é comprometida na organização de origem, essa violação ainda pode se espalhar para ambientes de clientes onde o fornecedor mantém direitos de acesso.

O Single Sign-On (SSO) reduz a quantidade de credenciais utilizadas, mas cria pontos únicos de falha. Uma credencial SSO comprometida pode conceder acesso simultâneo a vários sistemas conectados. Para fornecedores que atendem múltiplos clientes de infraestrutura, um comprometimento de SSO aumenta, em vez de reduzir, o risco de efeito cascata.

A Autenticação Multifator (MFA) adiciona camadas extras de segurança, mas continua vulnerável a ataques sofisticados de phishing. O grupo Lapsus$ demonstrou técnicas avançadas de contorno de MFA em campanhas de ataque contra infraestruturas em 2022, utilizando engenharia social para superar barreiras de autenticação.

As arquiteturas Zero Trust melhoram a postura de segurança ao assumir que uma violação pode ocorrer e validar continuamente solicitações de acesso. No entanto, elas não resolvem o problema fundamental: os usuários ainda criam, conhecem e controlam suas próprias credenciais. Um usuário comprometido ainda pode se autenticar legitimamente dentro de uma estrutura Zero Trust.

Separando identidade do controle de credenciais

A solução estrutural exige separar a verificação de identidade da propriedade das credenciais. Em vez de permitir que usuários criem e gerenciem suas próprias senhas e tokens de acesso, as organizações devem manter controle completo sobre a geração, distribuição e revogação de credenciais.

Esse princípio muda o paradigma de segurança de "confiar, mas verificar" para "controlar e distribuir". Nesse modelo, os usuários comprovam sua identidade por meio de biometria ou outros métodos de verificação, mas nunca possuem as credenciais reais que concedem acesso aos sistemas. Em vez disso, credenciais criptografadas são geradas centralmente e entregues diretamente aos sistemas de destino sem exposição ao usuário.

A abordagem patenteada da MyCena implementa essa separação removendo o conhecimento humano da equação das credenciais. Os usuários autenticam sua identidade, mas a organização mantém controle exclusivo sobre as chaves criptográficas que realmente liberam o acesso aos sistemas. Como os usuários nunca veem ou manipulam essas credenciais, elas não podem ser alvo de phishing, roubadas ou reutilizadas em múltiplos ambientes de clientes.

Essa arquitetura impede falhas em cascata na cadeia de suprimentos, garantindo que mesmo se o processo de verificação de identidade de um fornecedor for comprometido, as credenciais subjacentes permaneçam seguras e não possam ser reutilizadas contra sistemas de clientes. Cada sessão de acesso exige uma nova validação criptográfica da organização responsável pelo controle.

A convergência regulatória exige ação

Diversas estruturas regulatórias estão convergindo para exigir maior controle sobre credenciais na cadeia de suprimentos. As diretivas de cibersegurança da Administração de Segurança dos Transportes (TSA) para operadores de oleodutos exigem explicitamente avaliações de risco cibernético envolvendo acesso remoto de terceiros. As novas regras de divulgação de incidentes cibernéticos da Comissão de Valores Mobiliários dos EUA (SEC) incluem critérios de materialidade que tratam violações de credenciais de fornecedores como eventos potencialmente reportáveis.

Os padrões NERC CIP-004 exigem avaliações de risco de pessoal para acessos de fornecedores, enquanto atualizações propostas ao CIP-013 fortalecem os requisitos de segurança cibernética da cadeia de suprimentos. A Comissão Federal Reguladora de Energia (FERC) indicou que futuras avaliações de conformidade terão forte foco nos controles de acesso de terceiros.

Para operadores de infraestrutura crítica, a mensagem é clara: o risco de cascata de credenciais está deixando de ser apenas uma preocupação de cibersegurança e se tornando uma exigência regulatória. Organizações que não conseguirem demonstrar uma governança robusta de credenciais de fornecedores enfrentarão maior fiscalização de diversos órgãos reguladores.

A matemática do risco de credenciais na cadeia de suprimentos não perdoa. Um fornecedor comprometido afeta múltiplos operadores. Múltiplos operadores criam uma vulnerabilidade sistêmica de infraestrutura. Vulnerabilidades sistêmicas atraem intervenção regulatória e possíveis ações de fiscalização. A defesa mais eficaz é impedir o comprometimento inicial das credenciais por meio de controle organizacional, e não depender da responsabilidade individual dos usuários.