Por que profissionais clínicos controlando suas próprias credenciais representam uma falha estrutural de conformidade com a HIPAA

Quando hackers invadiram a CommonSpirit Health em outubro de 2022, comprometendo 623.774 registros de pacientes em 142 hospitais, o vetor de ataque era preocupantemente familiar: credenciais de funcionários comprometidas. Os cibercriminosos não exploraram uma vulnerabilidade zero-day sofisticada nem invadiram sistemas isolados. Eles simplesmente usaram dados legítimos de login de profissionais clínicos para acessar informações protegidas de saúde, destacando uma falha fundamental na forma como as organizações de saúde abordam a segurança das credenciais.

A violação evidencia um problema estrutural crítico que permeia a cibersegurança na área da saúde: profissionais clínicos criando, controlando e, em última instância, comprometendo suas próprias credenciais digitais cria uma falha inerente de conformidade com a HIPAA que nenhuma quantidade adicional de camadas de segurança consegue resolver completamente.

O problema do controle de credenciais na área da saúde

As organizações de saúde enfrentam um desafio único na gestão de credenciais. Diferentemente de outros setores, os ambientes clínicos exigem acesso rápido aos dados dos pacientes em vários sistemas, muitas vezes em situações de vida ou morte. Essa urgência tradicionalmente justificou permitir que profissionais de saúde criassem e gerenciassem suas próprias senhas, PINs e métodos de autenticação.

No entanto, essa abordagem cria o que especialistas em segurança chamam de "proliferação de credenciais" (credential sprawl) — um fenômeno em que usuários individuais acumulam dezenas de dados de login criados por eles mesmos em prontuários eletrônicos (EHR), bancos de dados farmacêuticos, interfaces de dispositivos médicos e sistemas administrativos. Cada credencial representa um possível ponto de entrada para agentes mal-intencionados que buscam acesso a informações protegidas de saúde (PHI).

O problema vai além da simples higiene de senhas. Quando profissionais clínicos controlam suas próprias credenciais, eles inevitavelmente reutilizam senhas em diferentes sistemas, armazenam informações de acesso em locais inseguros ou compartilham credenciais com colegas durante mudanças de turno. Esse comportamento, embora compreensível devido às pressões operacionais, cria violações sistemáticas da HIPAA que as organizações têm dificuldade para detectar ou impedir.

A escala das violações de cibersegurança na área da saúde

As violações de dados na área da saúde atingiram proporções epidêmicas. De acordo com o Escritório de Direitos Civis (Office for Civil Rights) do Departamento de Saúde e Serviços Humanos dos EUA, organizações de saúde relataram 707 violações de dados que afetaram 500 ou mais indivíduos em 2023, expondo mais de 133 milhões de registros de pacientes — um aumento de 141% em relação a 2022.

O impacto financeiro também é severo. O Relatório de Custo de uma Violação de Dados 2023 da IBM constatou que as violações na área da saúde custaram em média US$ 10,93 milhões por incidente, quase três vezes a média geral entre setores, de US$ 4,45 milhões. Mais importante ainda, pesquisas do Instituto Ponemon indicam que 83% das violações na área da saúde envolvem credenciais comprometidas como vetor principal de ataque ou como fator contribuinte significativo.

Essas estatísticas revelam um padrão preocupante: apesar dos investimentos significativos em infraestrutura de cibersegurança, as organizações de saúde continuam vulneráveis a ataques que exploram a fraqueza fundamental das credenciais controladas pelos usuários. O problema não é a sofisticação tecnológica — é o controle estrutural.

Por que as ferramentas tradicionais de segurança não resolvem o problema

As organizações de saúde normalmente respondem às violações relacionadas a credenciais adicionando mais tecnologias de segurança. Sistemas de Gestão de Identidade e Acesso (IAM) prometem melhor provisionamento de usuários. Ferramentas de Gestão de Acesso Privilegiado (PAM) monitoram contas de alto risco. O Login Único (SSO) reduz a fadiga causada por múltiplas senhas. A Autenticação Multifator (MFA) adiciona etapas de verificação. Arquiteturas Zero Trust assumem que uma violação pode ocorrer e verificam continuamente os acessos.

No entanto, todas essas soluções compartilham uma falha crítica: elas ainda permitem que os usuários criem, conheçam e controlem suas próprias credenciais.

Os sistemas IAM podem impor regras de complexidade de senha, mas os usuários continuam escolhendo e memorizando senhas. As ferramentas PAM podem monitorar sessões privilegiadas, mas os usuários continuam inserindo seus próprios fatores de autenticação. O SSO pode reduzir o número de senhas, mas os usuários ainda controlam a credencial principal. A MFA pode adicionar camadas de segurança, mas os usuários ainda possuem o fator primário de autenticação.

Essa premissa fundamental de design — de que os usuários devem controlar suas próprias credenciais — cria uma vulnerabilidade de segurança impossível de eliminar. Ataques de engenharia social, campanhas de phishing e ataques de preenchimento de credenciais exploram exatamente esse controle do usuário para obter acesso não autorizado aos sistemas de saúde.

A solução estrutural: controle organizacional das credenciais

Resolver a crise de segurança das credenciais na área da saúde exige abandonar a suposição de que os usuários devem controlar seus próprios fatores de autenticação. Em vez disso, as organizações devem gerar, distribuir e revogar todas as credenciais sem que os usuários jamais as vejam ou controlem.

Essa abordagem, chamada de "custódia de credenciais" (credential custody), garante que as organizações de saúde mantenham controle total sobre o acesso às informações protegidas de saúde (PHI). Quando a organização gera credenciais criptografadas e as distribui por canais seguros, os profissionais clínicos podem acessar os sistemas necessários sem nunca possuir os segredos de autenticação subjacentes.

Quando funcionários deixam a organização, mudam de função ou surgem preocupações de segurança, a organização pode revogar o acesso instantaneamente sem depender da cooperação do usuário ou de alterações manuais de senha.

A tecnologia patenteada de controle de credenciais da MyCena demonstra como essa abordagem estrutural funciona na prática. Em vez de solicitar que profissionais clínicos criem senhas, o sistema gera credenciais de acesso criptografadas que os usuários nunca visualizam. A autenticação ocorre automaticamente por meio de canais organizacionais seguros, eliminando a possibilidade de comprometimento das credenciais por ações ou falhas humanas.

Isso não é apenas uma camada adicional de segurança — é uma reestruturação fundamental da relação entre identidade e acesso. Os profissionais clínicos mantêm suas identidades e permissões baseadas em funções, mas a organização mantém controle exclusivo sobre os mecanismos que concedem acesso aos sistemas.

O imperativo de conformidade com a HIPAA

Para organizações de saúde, implementar a custódia de credenciais não é apenas uma boa prática de segurança — é uma necessidade de conformidade com a HIPAA.

As Salvaguardas Administrativas da regulamentação exigem que as entidades cobertas "atribuam um nome e/ou número exclusivo para identificar e rastrear a identidade do usuário". Quando os usuários controlam suas próprias credenciais, as organizações não conseguem realmente verificar a identidade dos usuários ou rastrear acessos com o nível de certeza exigido pela HIPAA.

Além disso, o padrão de Gestão de Acesso da HIPAA exige que as organizações implementem "procedimentos para conceder acesso a informações eletrônicas protegidas de saúde". Credenciais controladas pelos usuários tornam impossível implementar procedimentos genuínos de controle de acesso, pois os usuários podem modificar, compartilhar ou comprometer seus fatores de autenticação sem o conhecimento da organização.

Os CISOs e responsáveis por conformidade em organizações de saúde devem avaliar suas atuais práticas de gestão de credenciais em relação aos requisitos da HIPAA. Organizações que permitem que profissionais clínicos criem e controlem suas próprias credenciais podem enfrentar riscos regulatórios que vão além da cibersegurança, chegando a falhas fundamentais de conformidade.

O caminho a seguir exige reconhecer que identidade e acesso são conceitos separados. As identidades dos profissionais clínicos — seus papéis, permissões e responsabilidades — podem permanecer inalteradas enquanto as organizações assumem controle total sobre os mecanismos de acesso.

Essa mudança estrutural transforma a segurança das credenciais de uma responsabilidade do usuário em uma capacidade organizacional, finalmente alinhando as práticas de cibersegurança com os requisitos de conformidade da HIPAA.

Por que permitir que profissionais com credenciais de segurança controlem suas próprias credenciais de acesso representa uma vulnerabilidade para a segurança nacional

A recente violação da infraestrutura em nuvem da Snowflake, que comprometeu dados de mais de 165 grandes organizações, incluindo a Ticketmaster e o Banco Santander, começou com uma única credencial comprometida. O mais preocupante para os profissionais de segurança nacional é que o vetor de ataque não foi uma sofisticada vulnerabilidade zero-day, mas sim credenciais roubadas do dispositivo pessoal de um funcionário por meio de um malware comum. Quando profissionais com credenciais de segurança controlam suas próprias credenciais de acesso, criam vulnerabilidades sistêmicas que nenhum nível de treinamento ou de camadas adicionais de tecnologia consegue eliminar completamente.

O paradoxo do controle de credenciais nas organizações de defesa

Empreiteiras de defesa, agências governamentais e instalações com acesso a informações classificadas operam sob uma contradição fundamental de segurança. Enquanto o acesso físico a áreas sensíveis exige controle rigoroso da organização — com crachás emitidos, rastreados e revogados de forma centralizada — as credenciais de acesso digital permanecem, em grande parte, sob o controle do próprio usuário. Os colaboradores criam suas próprias senhas, gerenciam seus próprios tokens de autenticação e armazenam credenciais em dispositivos pessoais e navegadores.

Essa abordagem viola princípios básicos de segurança que regem todos os demais aspectos de ambientes classificados. Nenhuma instalação de alta segurança permitiria que seus profissionais fabricassem seus próprios crachás ou escolhessem seus próprios códigos de acesso. No entanto, o equivalente digital acontece milhares de vezes por dia em todo o setor de defesa, criando superfícies de ataque que atores hostis exploram ativamente.

O problema vai além de senhas fracas. Mesmo quando as organizações exigem políticas rigorosas de senhas e autenticação multifator (MFA), a vulnerabilidade fundamental permanece: os usuários possuem e controlam as próprias credenciais que concedem acesso aos sistemas sensíveis. Essa posse cria diversos vetores de exploração que adversários sofisticados conhecem e exploram sistematicamente.

A dimensão do problema das credenciais comprometidas

As estatísticas atuais de violações revelam a magnitude dessa vulnerabilidade. De acordo com o Data Breach Investigations Report 2024 da Verizon, 68% das violações envolvem um fator humano, sendo que credenciais roubadas respondem por 31% de todas as violações de dados — tornando-se o segundo vetor de ataque mais comum, atrás apenas da engenharia social. Para órgãos governamentais e contratantes do setor de defesa, esses números representam muito mais do que risco financeiro: representam potenciais comprometimentos da segurança nacional.

A Cybersecurity and Infrastructure Security Agency (CISA) informa que, em 2023, os ataques baseados em credenciais aumentaram 71% em relação ao ano anterior. A análise da agência sobre ataques conduzidos por Estados-nação mostra que 89% deles começaram com credenciais de usuários comprometidas, frequentemente obtidas por campanhas de phishing direcionadas especificamente a profissionais com autorização de segurança.

Mais preocupante ainda é a persistência desses ataques. O Cost of a Data Breach Report 2024, da IBM, constatou que violações envolvendo credenciais roubadas levaram, em média, 292 dias para serem identificadas e contidas — quase dez meses durante os quais invasores mantêm acesso não autorizado a sistemas sensíveis. Para organizações que lidam com informações classificadas, esse período representa uma janela inaceitável para possíveis comprometimentos de inteligência.

O fator humano amplia esses riscos de forma exponencial. Pesquisas do SANS Institute indicam que 61% dos profissionais de segurança reutilizam senhas em vários sistemas, incluindo contas pessoais que não possuem controles de segurança de nível corporativo. Quando essas contas pessoais são comprometidas — como ocorreu na violação da Snowflake — a exposição pode se propagar para os sistemas da organização.

Por que as soluções atuais de segurança não resolvem a causa raiz

As arquiteturas modernas de segurança normalmente combinam diversas tecnologias: Gerenciamento de Identidade e Acesso (IAM), Gerenciamento de Acesso Privilegiado (PAM), Single Sign-On (SSO), Autenticação Multifator (MFA) e estruturas Zero Trust. Embora essas ferramentas proporcionem melhorias importantes na segurança, elas não resolvem a vulnerabilidade fundamental porque continuam dependendo de credenciais controladas pelos usuários.

Os sistemas de IAM são excelentes para gerenciar identidades e permissões, mas normalmente permitem que os usuários criem e administrem suas próprias senhas. As soluções de PAM protegem contas privilegiadas, porém geralmente utilizam cofres de senhas que os próprios usuários precisam acessar, criando mais uma camada dependente de credenciais. O SSO reduz a quantidade de credenciais que os usuários precisam memorizar, mas concentra o risco em uma credencial principal que continua sob controle do usuário.

A MFA adiciona fatores extras de autenticação, mas não elimina a exposição das credenciais. Ataques sofisticados visam cada vez mais os sistemas de MFA por meio de técnicas como troca fraudulenta de SIM (SIM swapping), engenharia social e malwares capazes de interceptar tokens de autenticação. Os ataques do grupo Lapsus$ contra a Microsoft e outras grandes organizações demonstraram como a MFA pode ser contornada quando invasores obtêm acesso às credenciais e aos dispositivos controlados pelos usuários.

As arquiteturas Zero Trust representam um avanço significativo ao assumir que violações podem ocorrer e ao validar continuamente a confiança. No entanto, a maioria das implementações ainda depende de credenciais controladas pelos usuários para a autenticação inicial, criando um ponto único de falha que compromete todo o modelo de segurança.

A solução estrutural: controle organizacional das credenciais

A solução exige uma mudança arquitetônica fundamental: as organizações devem controlar todo o ciclo de vida das credenciais, desde sua geração até sua distribuição e revogação. Em vez de permitir que os usuários criem ou possuam credenciais, sistemas seguros devem gerar credenciais de forma centralizada, distribuí-las por canais criptografados e manter controle total sobre seu uso.

Essa abordagem trata as credenciais digitais da mesma forma que tokens físicos de segurança em instalações classificadas. Os usuários recebem acesso por meio de mecanismos controlados pela organização, mas nunca possuem ou controlam os materiais de autenticação subjacentes. Quando o acesso é necessário, o sistema autentica os usuários utilizando credenciais que eles não podem visualizar, copiar ou comprometer.

A tecnologia patenteada da MyCena demonstra como esse princípio funciona na prática. A plataforma gera credenciais exclusivas e criptografadas para cada usuário e para cada interação com o sistema, mas os usuários nunca possuem nem controlam essas credenciais diretamente. O acesso torna-se verdadeiramente imune ao phishing, pois não existem credenciais controladas pelo usuário que possam ser roubadas ou comprometidas. A organização mantém supervisão completa sobre a geração, distribuição e revogação das credenciais, criando uma trilha de auditoria compatível com os requisitos regulatórios mais rigorosos.

Essa abordagem está alinhada a estruturas regulatórias como os controles de gerenciamento de acesso da NIST 800-53, os requisitos DoD 8570 para garantia da informação e os padrões de autorização FedRAMP. Ao eliminar o controle das credenciais pelos usuários, as organizações podem demonstrar conformidade com princípios de segurança, em vez de depender exclusivamente de listas de verificação.

Implicações estratégicas para organizações de defesa

A transição de credenciais controladas pelos usuários para credenciais controladas pela organização representa mais do que uma mudança tecnológica; exige uma reformulação completa das estratégias de gerenciamento de acesso. Organizações de defesa que implementam esse modelo obtêm diversas vantagens estratégicas: acesso genuinamente resistente ao phishing, visibilidade completa de auditoria e uma demonstração de conformidade muito mais simples.

Para os profissionais responsáveis pela proteção de informações classificadas, a escolha torna-se cada vez mais evidente. Continuar permitindo que pessoas com autorização de segurança controlem suas próprias credenciais perpetua uma vulnerabilidade fundamental que adversários sofisticados conhecem e exploram. O controle organizacional das credenciais oferece uma solução estrutural que elimina a causa raiz do problema, em vez de apenas acrescentar novas camadas de complexidade tecnológica.

A questão para os líderes do setor de defesa não é se os ataques baseados em credenciais continuarão ocorrendo — eles certamente se intensificarão. A verdadeira questão é se as organizações enfrentarão essa vulnerabilidade estrutural ou continuarão tentando resolvê-la por meio de camadas adicionais de tecnologia, deixando intacto o problema central.

Fornecedores de Nível 1, Nível 2 e Nível 3 possuem credenciais de acesso aos seus sistemas de produção. Todos eles.

Quando a Toyota interrompeu as operações de 28 fábricas no Japão, em fevereiro de 2022, após um ataque cibernético contra a fornecedora Kojima Industries, a produção da montadora foi paralisada por um dia inteiro. A violação resultou em uma perda estimada de 13.000 veículos em produção. O vetor do ataque? Credenciais comprometidas de um fornecedor que concederam acesso direto aos sistemas de planejamento da produção da Toyota.

Esse incidente expôs uma vulnerabilidade fundamental da manufatura moderna: todos os níveis da sua cadeia de suprimentos possuem chaves digitais para os seus sistemas mais críticos. Desde fornecedores Tier 1 que gerenciam fluxos de estoque just-in-time até fornecedores Tier 3 que monitoram sensores de equipamentos, cada parceiro precisa de acesso autenticado às redes de produção. Cada um deles representa um possível ponto de entrada para agentes maliciosos.

O paradoxo das credenciais na indústria de manufatura

A transformação digital da manufatura criou uma complexa rede de interdependências entre sistemas. As linhas de produção dependem da troca de dados em tempo real entre fabricantes (OEMs), fornecedores, operadores logísticos e empresas de manutenção. As iniciativas da Indústria 4.0 intensificaram ainda mais essas conexões, permitindo que fornecedores acessem painéis de manutenção preditiva, sistemas de gestão de estoque e bancos de dados de controle de qualidade.

Considere um fabricante automotivo típico. Os fornecedores Tier 1 precisam acessar sistemas de programação da produção para coordenar entregas just-in-time. Fabricantes de componentes Tier 2 necessitam de visibilidade sobre previsões de demanda e especificações de qualidade. Fornecedores Tier 3 de matérias-primas precisam integrar-se às plataformas de compras e às ferramentas de conformidade regulatória. Cada ponto de acesso exige credenciais — nomes de usuário, senhas, chaves de API ou certificados digitais.

A realidade matemática é clara: uma empresa de manufatura com 200 fornecedores, cada um necessitando acessar, em média, três sistemas, cria 600 potenciais vetores de ataque baseados em credenciais. Os modelos tradicionais de segurança assumem que essas credenciais permanecerão protegidas em centenas de organizações externas, cada uma com níveis diferentes de maturidade em cibersegurança.

Os dados comprovam o problema

O relatório Cost of a Data Breach Report 2023, da IBM, revelou que 19% das violações no setor de manufatura tiveram origem em credenciais comprometidas de parceiros, com um custo médio de US$ 4,45 milhões por incidente. O setor industrial ficou em terceiro lugar entre os mais afetados por ataques baseados em credenciais, atrás apenas dos serviços financeiros e da saúde.

O estudo State of Third-Party Risk Management 2023, do Ponemon Institute, mostrou que 56% dos executivos da indústria sofreram uma violação de dados causada por acessos de terceiros nos últimos 24 meses. Mais preocupante ainda, 74% dos fabricantes admitiram ter visibilidade limitada sobre como seus fornecedores gerenciam as credenciais utilizadas para acessar seus sistemas.

O National Cyber Security Centre (NCSC) do Reino Unido registrou um aumento de 300% nos ataques à cadeia de suprimentos direcionados à manufatura entre 2021 e 2023, sendo que 82% começaram com credenciais comprometidas de fornecedores.

Na manufatura, interrupções operacionais ampliam drasticamente o impacto financeiro. Quando a produção para, os prejuízos aumentam rapidamente. A pesquisa Supply Chain Risk Survey, da Deloitte, constatou que fabricantes afetados por violações relacionadas a credenciais na cadeia de suprimentos enfrentaram, em média, 3,2 dias de paralisação da produção, o equivalente a cerca de US$ 1,2 milhão em receita perdida por dia para empresas de médio porte.

Por que as ferramentas tradicionais de segurança não resolvem o problema

As soluções de Gerenciamento de Identidade e Acesso (IAM) são altamente eficientes para controlar o acesso de funcionários internos, mas apresentam dificuldades quando se trata de credenciais de fornecedores externos. Normalmente, as plataformas IAM dependem de que os próprios fornecedores gerenciem sua autenticação, criando lacunas de visibilidade e políticas de segurança inconsistentes em toda a cadeia de suprimentos.

As soluções de Gerenciamento de Acesso Privilegiado (PAM) oferecem monitoramento de sessões e cofres de credenciais, mas exigem que os fornecedores utilizem um portal centralizado — algo frequentemente impraticável para integrações industriais em tempo real. Além disso, dependem de que os fornecedores sigam procedimentos específicos de acesso, criando atritos que equipes operacionais frequentemente contornam.

O Single Sign-On (SSO) reduz a quantidade de credenciais, mas não as elimina. Os fornecedores ainda precisam manter as credenciais iniciais para acessar o ambiente SSO. Além disso, o SSO cria um ponto único de falha: se as credenciais SSO de um fornecedor forem comprometidas, diversos sistemas poderão ser acessados.

A Autenticação Multifator (MFA) adiciona camadas extras de proteção, mas continua vulnerável a ataques sofisticados. As campanhas do grupo Lapsus$ em 2023 demonstraram como invasores conseguem contornar a MFA utilizando engenharia social, troca fraudulenta de SIM (SIM swapping) e ataques de MFA prompt bombing. Para fornecedores distribuídos em diferentes fusos horários e com capacidades técnicas variadas, a implementação consistente da MFA torna-se ainda mais difícil.

As arquiteturas Zero Trust melhoram a segmentação das redes e a verificação contínua da identidade, mas continuam baseadas no modelo tradicional de credenciais. O Zero Trust consegue validar se uma credencial é legítima, porém não impede que ela seja roubada ou utilizada indevidamente caso seja comprometida no ambiente do fornecedor.

O problema estrutural comum a todas essas abordagens é simples: elas pressupõem que os fornecedores são capazes de armazenar e gerenciar credenciais com segurança. Na prática, eles enfrentam os mesmos desafios de segurança de credenciais que qualquer outra organização — muitas vezes com menos recursos e programas de cibersegurança menos maduros.

Repensando a propriedade das credenciais

A solução exige inverter completamente o modelo tradicional de credenciais. Em vez de distribuir credenciais aos fornecedores e esperar que permaneçam protegidas, os fabricantes precisam manter controle total sobre a autenticação sem comprometer a eficiência operacional.

A abordagem patenteada da MyCena separa identidade de acesso, garantindo que os fornecedores jamais possuam credenciais utilizáveis. O sistema gera credenciais exclusivas e criptografadas para cada interação com o fornecedor e as transmite por canais seguros diretamente aos sistemas de autenticação. Os fornecedores obtêm acesso aos sistemas necessários sem jamais visualizar, armazenar ou comprometer as credenciais subjacentes.

Esse modelo torna os ataques de phishing ineficazes, pois os fornecedores não podem entregar credenciais que nunca possuem. A engenharia social perde sua eficácia quando o alvo não tem nenhum segredo de autenticação para revelar. Mesmo que toda a infraestrutura de um fornecedor seja comprometida, os invasores não encontrarão credenciais que possam ser roubadas ou utilizadas.

Para os fabricantes, essa abordagem oferece trilhas completas de auditoria, controle de acesso em tempo real e revogação imediata de acessos em toda a cadeia de suprimentos. Quando uma relação comercial é encerrada ou ocorre um incidente de segurança, o acesso pode ser cancelado instantaneamente, sem necessidade de coordenação com terceiros.

O imperativo competitivo

A indústria de manufatura opera com margens extremamente reduzidas, onde uma única violação de segurança pode eliminar a lucratividade de vários trimestres. À medida que as cadeias de suprimentos se tornam mais digitalmente integradas, a segurança das credenciais passará a diferenciar fabricantes competitivos daqueles mais vulneráveis.

As regulamentações seguem a mesma direção. A Diretiva NIS2 da União Europeia e as futuras exigências de segurança para cadeias de suprimentos nos Estados Unidos deverão impor controles mais rigorosos sobre o acesso de fornecedores a sistemas críticos.

A pergunta para os líderes da indústria não é se devem enfrentar os riscos relacionados às credenciais da cadeia de suprimentos, mas se agirão antes ou depois que uma interrupção da escala da Toyota os obrigue a mudar. Em um setor em que poucas horas de paralisação representam milhões em perdas, a matemática entre prevenção e resposta é inequívoca.

A próxima geração da segurança na manufatura começa com um princípio simples: se os fornecedores não possuem suas credenciais, eles também não podem perdê-las.

O problema das credenciais em BPO que toda empresa de serviços financeiros carrega

Quando a violação de dados dos clientes da Medibank expôs 9,7 milhões de registros em outubro de 2022, os investigadores rastrearam o vetor de ataque até credenciais comprometidas em um fornecedor terceirizado. O incidente consolidou uma preocupação crescente no setor de serviços financeiros: os contratos de Business Process Outsourcing (BPO) criam uma exposição de credenciais que as estruturas tradicionais de segurança não conseguem resolver adequadamente.

A responsabilidade oculta na sua cadeia de suprimentos

As instituições financeiras passaram a última década fortalecendo sua postura interna de segurança, implementando sistemas sofisticados de gerenciamento de identidade e acesso, arquiteturas Zero Trust e autenticação multifator em seus ambientes. No entanto, uma vulnerabilidade crítica permanece evidente: as credenciais gerenciadas pelos parceiros de Business Process Outsourcing.

Os acordos de BPO em serviços financeiros normalmente envolvem operações sensíveis — atendimento ao cliente, processamento de sinistros, monitoramento de transações, relatórios de conformidade e análise de dados. Essas parcerias exigem que os provedores BPO mantenham acesso administrativo a sistemas bancários centrais, plataformas de negociação, bancos de dados de clientes e ferramentas de relatórios regulatórios. Cada ponto de acesso representa uma credencial que, se comprometida, pode fornecer aos invasores um caminho direto para os sistemas mais sensíveis da instituição financeira.

O desafio vai além do simples gerenciamento de acesso. Ambientes BPO frequentemente operam sob padrões de segurança diferentes, empregam funcionários com níveis variados de conscientização sobre segurança e mantêm práticas de gerenciamento de credenciais que seriam consideradas inadequadas dentro da própria instituição financeira. Ainda assim, essas mesmas credenciais podem acessar sistemas que contêm dados financeiros de clientes, informações de negociação e documentos regulatórios.

A dimensão da exposição

Análises recentes do setor revelam a extensão desse risco. De acordo com a pesquisa de resiliência operacional de 2023 da Financial Conduct Authority, 78% das empresas de serviços financeiros do Reino Unido dependem de contratos críticos de BPO, com uma média de 12 fornecedores terceirizados tendo acesso a sistemas classificados como serviços empresariais importantes.

O Data Breach Investigations Report 2023, da Verizon, constatou que 61% das violações no setor financeiro envolveram credenciais comprometidas, sendo que 43% dessas violações tiveram origem em pontos de acesso de parceiros ou da cadeia de suprimentos. Segundo o relatório Cost of a Data Breach da IBM Security, o custo médio de uma violação na cadeia de suprimentos no setor financeiro chegou a US$ 4,8 milhões em 2023.

As implicações regulatórias são igualmente preocupantes. Os dados de relatórios de incidentes cibernéticos do Banco Central Europeu de 2023 mostram que 34% dos incidentes cibernéticos significativos relatados por instituições de crédito envolveram fornecedores terceirizados ou acordos de terceirização. Nos Estados Unidos, o Office of the Comptroller of the Currency identificou gerenciamento inadequado de riscos de terceiros em 23% das ações de fiscalização contra bancos nacionais em 2023.

Talvez o dado mais revelador seja o estudo do Ponemon Institute, que descobriu que organizações de serviços financeiros conseguem identificar apenas 57% das credenciais mantidas por seus fornecedores BPO em determinado momento. Essa lacuna de visibilidade representa uma falha fundamental de controle em ambientes onde as regulamentações exigem supervisão completa dos acessos a sistemas sensíveis.

Por que as ferramentas atuais de segurança não resolvem o problema

O setor financeiro investiu fortemente em tecnologias avançadas de gerenciamento de acesso, mas essas soluções não conseguem resolver o problema fundamental do controle de credenciais nas relações com fornecedores BPO.

Os sistemas de Gerenciamento de Identidade e Acesso (IAM) são eficientes para administrar identidades dentro dos limites organizacionais, mas enfrentam dificuldades com a natureza distribuída das credenciais BPO. Esses sistemas conseguem provisionar e remover acessos, mas não conseguem impedir que funcionários de BPO acessem, copiem ou compartilhem as próprias credenciais.

As soluções de Gerenciamento de Acesso Privilegiado (PAM) oferecem gravação de sessões e fluxos de aprovação, mas ainda dependem do princípio de que os usuários possuem suas próprias credenciais. Quando um funcionário de BPO recebe credenciais para uma conta privilegiada, os sistemas PAM conseguem monitorar como essas credenciais são utilizadas, mas não conseguem impedir que elas sejam comprometidas na origem.

O Single Sign-On (SSO) reduz a proliferação de credenciais, mas exige um grande esforço de integração e pode não ser viável em ambientes BPO complexos envolvendo múltiplos sistemas e plataformas. Mais importante ainda, o SSO continua exigindo que os usuários mantenham credenciais de autenticação, apenas concentrando o risco em vez de eliminá-lo.

A Autenticação Multifator (MFA) adiciona uma camada de segurança, mas não resolve o roubo de credenciais. Invasores sofisticados demonstraram diversas técnicas para contornar a MFA, desde troca fraudulenta de SIM (SIM swapping) até ataques de phishing em tempo real capazes de capturar senhas e tokens de autenticação.

As arquiteturas Zero Trust melhoram a postura de segurança ao não assumir confiança automática, mas ainda precisam conceder acesso com base em algum tipo de verificação de credencial. Se essas credenciais forem comprometidas, os princípios Zero Trust oferecem proteção limitada.

A falha comum em todas essas abordagens é estrutural: elas assumem que os usuários precisam possuir credenciais para acessar sistemas. Essa suposição cria uma vulnerabilidade inerente que nenhum nível de monitoramento, criptografia ou controle de acesso consegue eliminar completamente.

Resolvendo o controle de credenciais na origem

A solução está em reestruturar fundamentalmente a propriedade e a distribuição das credenciais. Em vez de permitir que parceiros BPO criem, armazenem e gerenciem credenciais, as instituições financeiras precisam de sistemas nos quais as credenciais sejam geradas, distribuídas e controladas totalmente pela organização — sem que os usuários tenham acesso direto ao material da credencial.

Nesse modelo, quando um funcionário de BPO precisa acessar um sistema financeiro, ele recebe um material de credencial criptografado que só pode ser descriptografado e utilizado dentro de um ambiente controlado. O funcionário não consegue extrair, copiar ou compartilhar as credenciais porque nunca as possui em formato legível. O acesso torna-se vinculado criptograficamente a dispositivos e sessões específicas, tornando o roubo de credenciais praticamente impossível.

A tecnologia patenteada de controle de credenciais da MyCena demonstra essa abordagem na prática. O sistema gera credenciais criptografadas exclusivas para cada usuário e sessão, distribuindo-as por canais seguros sem nunca expor o material da credencial ao usuário final. Funcionários de BPO podem acessar os sistemas necessários para realizar suas funções, mas o mecanismo de autenticação permanece totalmente sob controle da instituição financeira.

Essa mudança arquitetônica transforma o gerenciamento de credenciais BPO de um exercício de gestão de riscos em um controle técnico. Em vez de esperar que parceiros BPO mantenham práticas adequadas de segurança, as instituições financeiras podem garantir que o comprometimento de ambientes BPO não resulte em roubo de credenciais.

O imperativo de conformidade

Para empresas de serviços financeiros, as implicações são claras. Estruturas regulatórias exigem cada vez mais controle comprovável sobre acessos de terceiros a sistemas sensíveis. A regulamentação europeia DORA, que entrou em vigor em janeiro de 2025, exige explicitamente que entidades financeiras mantenham "supervisão e responsabilidade completas" sobre serviços de TIC fornecidos por terceiros.

O momento de tratar o gerenciamento de credenciais BPO como uma questão contratual, e não técnica, passou. Instituições financeiras que continuam dependendo de abordagens tradicionais de gerenciamento de acesso em relações BPO mantêm uma vulnerabilidade estrutural que a fiscalização regulatória e a sofisticação dos agentes de ameaça inevitavelmente irão expor.

O caminho à frente exige reconhecer que identidade e acesso são conceitos separados — e que a verdadeira segurança surge do controle do acesso sem distribuir as credenciais que permitem esse acesso.

SOC 2, ISO 27001 e NIS2: o que os MSPs devem comprovar sobre a governança de credenciais

A multa de £36 milhões aplicada à British Airways após sua violação de dados de 2018 causou impacto em todos os setores que lidam com dados de clientes. Para os Managed Service Providers (MSPs), a mensagem foi clara: o comprometimento de credenciais que afeta ambientes de clientes agora representa um risco financeiro existencial. No entanto, três anos após a entrada em vigor da NIS2, a maioria dos MSPs continua fundamentalmente exposta ao mesmo vetor de ataque que derrubou a BA — credenciais comprometidas que os auditores não conseguem rastrear, controlar ou revogar.

A crise de complexidade das credenciais nos MSPs

Os MSPs enfrentam um desafio único de governança de credenciais que empresas tradicionais não enfrentam. Enquanto uma corporação gerencia credenciais de seus próprios funcionários acessando seus próprios sistemas, os MSPs precisam controlar credenciais em múltiplos ambientes de clientes, cada um com diferentes requisitos de segurança e obrigações regulatórias.

Considere um MSP de médio porte gerenciando 200 ambientes de clientes. Cada técnico precisa de acesso administrativo aos sistemas dos clientes, plataformas de backup, ferramentas de monitoramento e infraestrutura em nuvem. Ao multiplicar isso por diferentes turnos, acesso de contratados e cenários de resposta emergencial, o número de credenciais rapidamente ultrapassa 50.000 credenciais ativas. Quando os auditores SOC 2 Tipo II analisam esse ambiente, eles exigem evidências da criação, distribuição, monitoramento de uso e revogação de cada ponto de acesso.

A carga regulatória aumenta com a NIS2, que exige explicitamente "medidas técnicas e organizacionais adequadas e proporcionais para gerenciar os riscos apresentados à segurança das redes e dos sistemas de informação". Para os MSPs, isso significa demonstrar controle sobre cada credencial que possa impactar os sistemas dos clientes. A certificação ISO 27001, cada vez mais exigida por clientes corporativos, requer evidências semelhantes nos controles A.9.2.1 (Registro e cancelamento de usuários) e A.9.2.6 (Revisão dos direitos de acesso).

Os dados revelam uma realidade preocupante

Pesquisas recentes do Ponemon Institute mostram que 61% das violações de dados em ambientes de serviços gerenciados envolvem credenciais comprometidas. Mais preocupante para os MSPs: o tempo médio para identificar uma violação baseada em credenciais é de 287 dias, período durante o qual os invasores mantêm acesso persistente aos ambientes dos clientes.

O Relatório de Investigações de Violações de Dados da Verizon de 2024 descobriu que 68% das violações envolvendo provedores de serviços gerenciados utilizaram credenciais roubadas como principal vetor de ataque. O impacto financeiro vai além das perdas diretas — os MSPs relatam uma taxa média de perda de 23% dos clientes após um incidente de segurança relacionado a credenciais, segundo o estudo MSP Trust and Security Study 2024 da CompTIA.

As penalidades regulatórias aumentam essas perdas. Sob a NIS2, as multas podem chegar a €10 milhões ou 2% do faturamento anual global. Para MSPs operando com margens típicas de 15% a 20%, uma única violação significativa pode eliminar anos de crescimento de lucro.

A carga de conformidade também gera custos ocultos. MSPs relatam gastar em média 40 horas por trimestre preparando evidências de governança de credenciais para auditorias SOC 2, segundo pesquisas da Service Leadership. MSPs certificados pela ISO 27001 gastam 60% mais tempo com documentação de credenciais do que aqueles sem certificação.

Por que as ferramentas atuais não atendem aos requisitos regulatórios

As plataformas de Gerenciamento de Identidade e Acesso (IAM) prometem controle de credenciais, mas normalmente deixam a criação de senhas nas mãos dos usuários. Quando os auditores analisam os registros do IAM, eles conseguem ver eventos de acesso, mas não conseguem verificar quem realmente criou ou conhece a credencial. O controle CC6.1 do SOC 2 exige evidências de que o acesso lógico é "restrito a usuários autorizados" — algo difícil de comprovar quando os próprios usuários criam suas senhas.

As soluções de Gerenciamento de Acesso Privilegiado (PAM) adicionam outra camada de complexidade. Embora as ferramentas PAM possam armazenar e alternar senhas, elas ainda dependem da criação inicial de credenciais pelos usuários. De acordo com o controle A.9.4.3 da ISO 27001 (Gerenciamento de Direitos de Acesso Privilegiado), as organizações devem demonstrar que as credenciais privilegiadas são "alocadas e utilizadas de forma restrita e controlada". Senhas criadas por usuários não conseguem atender plenamente a esse requisito.

O Single Sign-On (SSO) centraliza a autenticação, mas não resolve o problema fundamental: os usuários ainda criam e conhecem suas credenciais. A Autenticação Multifator (MFA) adiciona camadas de segurança, mas ataques de phishing estão cada vez mais conseguindo contornar MFA por SMS e aplicativos. A Microsoft registrou um aumento de 74% em ataques de phishing bem-sucedidos contra contas protegidas por MFA em 2024.

As arquiteturas Zero Trust assumem que uma violação pode ocorrer e verificam cada transação, mas essa verificação depende de credenciais controladas pelos usuários. Se a credencial original for comprometida, o Zero Trust se torna um sistema sofisticado para autenticar invasores.

O ponto comum de falha em todas essas tecnologias: elas confundem identidade com acesso. Os usuários provam quem são usando credenciais que eles mesmos criaram e controlam. Esse modelo torna as credenciais inerentemente vulneráveis a phishing e a governança inevitavelmente incompleta.

Separando identidade do controle de acesso

A solução exige reconhecer que identidade e acesso são conceitos distintos. Identidade estabelece quem uma pessoa é; acesso determina quais recursos ela pode alcançar. Os sistemas atuais misturam esses conceitos ao permitir que usuários criem credenciais que desempenham ambas as funções.

A MyCena Technologies desenvolveu uma abordagem patenteada que separa completamente essas funções. Nesse modelo, as organizações geram todas as credenciais usando processos criptográficos. Essas credenciais são criptografadas e distribuídas aos usuários autorizados, mas os usuários nunca veem a senha real. Quando ocorre uma autenticação, a credencial é descriptografada automaticamente sem visibilidade ou intervenção do usuário.

Essa mudança arquitetural torna as credenciais resistentes a phishing — os usuários não podem revelar senhas que nunca visualizaram. Para MSPs, isso cria uma governança completa de credenciais: cada senha é gerada pela organização, distribuída criptograficamente e pode ser revogada centralmente. Os auditores podem rastrear todo o ciclo de vida de cada credencial sem depender de declarações ou comportamentos dos usuários.

As implicações para conformidade são significativas. Os auditores SOC 2 podem verificar que todas as credenciais estão "restritas a usuários autorizados", pois usuários não autorizados não conseguem criá-las. Os requisitos da ISO 27001 para "alocação controlada" de direitos de acesso tornam-se automaticamente atendidos. O padrão de "medidas técnicas adequadas" da NIS2 é cumprido por meio de provas criptográficas, e não apenas documentação de políticas.

O caminho futuro para os MSPs

Os MSPs não podem mais tratar a governança de credenciais como um problema técnico resolvido apenas adicionando novas camadas de ferramentas sobre senhas controladas pelos usuários. As estruturas regulatórias exigem cada vez mais evidências de controle organizacional sobre credenciais, e não apenas monitoramento de seu uso.

A mudança para a geração organizacional de credenciais representa uma alteração fundamental de arquitetura, não apenas uma atualização de produto. Os MSPs que avaliam essa transição devem analisar sua quantidade atual de credenciais, os custos de preparação para auditorias e os requisitos de segurança dos clientes. A questão não é se a governança de credenciais se tornará obrigatória — NIS2, SOC 2 e ISO 27001 já definiram essa direção — mas se os MSPs implementarão soluções proativas ou esperarão pela próxima penalidade regulatória.

A multa da British Airways demonstrou que o comprometimento de credenciais representa um risco existencial. Para MSPs que gerenciam centenas de ambientes de clientes, os riscos são proporcionalmente maiores. A tecnologia agora existe para eliminar completamente esse risco. A única questão é quando essa mudança será adotada.

NotPetya: Como um comprometimento de credenciais na cadeia de suprimentos custou US$ 10 bilhões aos fabricantes

NotPetya: Como um comprometimento de credenciais na cadeia de suprimentos custou US$ 10 bilhões aos fabricantes

Em 27 de junho de 2017, uma atualização rotineira de software da empresa ucraniana de contabilidade M.E.Doc tornou-se o vetor do ataque cibernético mais destrutivo da história da manufatura. Em poucas horas, o malware NotPetya propagou-se pelas cadeias globais de suprimentos, paralisando linhas de produção, desde os 76 terminais portuários da Maersk até a rede logística europeia da FedEx. O ataque explorou uma vulnerabilidade fundamental que continua afetando as operações industriais: a suposição de que os usuários podem controlar com segurança suas próprias credenciais de acesso.

A crise das credenciais na manufatura

Os ambientes de manufatura apresentam desafios únicos de gerenciamento de credenciais que os diferenciam de outros setores. Os sistemas de produção frequentemente dependem de estações de trabalho compartilhadas, sistemas legados de controle industrial e integrações complexas com a cadeia de suprimentos, nas quais diversas partes necessitam de diferentes níveis de acesso aos sistemas. As abordagens tradicionais de gerenciamento de credenciais — em que usuários criam senhas, armazenam-nas localmente ou as compartilham entre equipes — criam vulnerabilidades sistêmicas exploradas por invasores com eficiência devastadora.

O ataque NotPetya demonstrou como o comprometimento de credenciais em uma organização pode se propagar rapidamente por ecossistemas industriais interconectados. O servidor de atualizações comprometido da M.E.Doc continha credenciais legítimas que permitiram ao malware autenticar-se através de diferentes redes, sendo reconhecido pelos sistemas de segurança como tráfego autorizado. A natureza altamente conectada da manufatura — desde sistemas ERP até dispositivos de Internet Industrial das Coisas (IIoT) — amplia exponencialmente o impacto de qualquer violação de credenciais.

A dimensão das perdas cibernéticas na manufatura

O impacto financeiro do NotPetya sobre a indústria foi sem precedentes. De acordo com registros corporativos e documentos regulatórios:

• A Maersk reportou perdas de US$ 300 milhões após o ataque destruir 4.000 servidores e 45.000 computadores em sua rede global. Todo o sistema de rastreamento de contêineres deixou de funcionar, obrigando a empresa a operar manualmente em portos ao redor do mundo.
• A subsidiária da FedEx, TNT Express, sofreu perdas de US$ 400 milhões, com suas operações europeias gravemente interrompidas por semanas. O ataque comprometeu dados de clientes e sistemas de faturamento, exigindo a reconstrução completa da infraestrutura.
• A Reckitt Benckiser enfrentou prejuízos de US$ 130 milhões, enquanto fábricas em diversos países ficaram fora de operação, interrompendo a produção de produtos farmacêuticos e bens de consumo.
• A Beiersdorf registrou perdas de € 80 milhões após o malware se espalhar por seus sistemas industriais na Europa, forçando o fechamento temporário de linhas de produção.

Uma análise da Lloyd's de Londres estimou que o NotPetya provocou mais de US$ 10 bilhões em perdas econômicas globais, sendo que o setor de manufatura respondeu por aproximadamente 40% dos prejuízos totais. O ataque afetou operações em 65 países, com empresas industriais representando a maior concentração de organizações severamente impactadas.

A pesquisa Global Digital Trust Insights 2023, da PwC, revelou que 32% dos executivos da indústria relataram interrupções significativas nos negócios causadas por ataques cibernéticos no ano anterior, em comparação com 23% considerando todos os setores. Segundo o relatório Cost of a Data Breach 2023, da IBM, o custo médio por incidente para fabricantes ultrapassou US$ 5,4 milhões.

Por que as ferramentas tradicionais de segurança falharam

O ataque NotPetya teve sucesso apesar de muitos fabricantes já utilizarem medidas convencionais de cibersegurança. Os sistemas de Gerenciamento de Identidade e Acesso (IAM) falharam porque dependem de credenciais controladas pelos usuários, que podem ser capturadas e reutilizadas. O malware utilizou credenciais legítimas para autenticar-se entre diferentes segmentos de rede, contornando completamente os controles do IAM.

As soluções de Gerenciamento de Acesso Privilegiado (PAM) também se mostraram insuficientes porque normalmente protegem apenas o cofre de credenciais, mas não eliminam a vulnerabilidade fundamental: os usuários continuam recebendo e manipulando credenciais que podem ser interceptadas ou comprometidas. Depois que os invasores obtiveram credenciais válidas através da M.E.Doc, os sistemas PAM trataram esse acesso como legítimo.

As implementações de Single Sign-On (SSO) acabaram acelerando a propagação do ataque. Uma vez comprometidas as credenciais do SSO, o malware obteve acesso simultâneo a vários sistemas conectados. A Autenticação Multifator (MFA) não ofereceu proteção porque o ataque utilizou comunicações legítimas entre sistemas, sem necessidade de autenticação interativa dos usuários.

As arquiteturas Zero Trust, embora conceitualmente sólidas, dependem da verificação da identidade do usuário — um processo que deixa de funcionar quando as próprias credenciais utilizadas na autenticação já foram comprometidas. O princípio de "nunca confiar, sempre verificar" perde seu significado quando os mecanismos de verificação autenticam credenciais roubadas como se fossem legítimas.

A solução estrutural: remover o controle das credenciais dos usuários

A principal falha exposta pelo NotPetya não está na sofisticação das tecnologias de segurança, mas na própria arquitetura: permitir que usuários possuam, visualizem ou controlem suas credenciais de acesso. Isso cria uma superfície de ataque impossível de eliminar apenas com ferramentas avançadas de segurança.

A abordagem patenteada da MyCena resolve essa vulnerabilidade estrutural removendo completamente o controle das credenciais dos usuários. O sistema gera, criptografa e gerencia todas as credenciais de acesso de forma centralizada, distribuindo-as apenas quando necessário para solicitações específicas de acesso. Os usuários nunca recebem, visualizam ou manipulam diretamente suas credenciais, tornando impossível o roubo de credenciais, mesmo que seus dispositivos sejam comprometidos.

Essa mudança arquitetural transforma o modelo de segurança, deixando de proteger credenciais para eliminar sua exposição ao usuário. Quando um malware infecta uma estação de trabalho, ele não consegue capturar credenciais que os usuários nunca possuem. Ataques à cadeia de suprimentos perdem seu principal mecanismo de propagação quando as credenciais legítimas jamais são expostas ao ambiente do usuário.

O sistema opera por meio de protocolos criptográficos que autenticam os usuários sem revelar as credenciais, nem mesmo para eles próprios. Isso cria um acesso verdadeiramente resistente a phishing, pois invasores não conseguem roubar credenciais por engenharia social, malware ou comprometimento da cadeia de suprimentos, já que elas permanecem criptografadas e isoladas da interação humana.

O caminho da manufatura para o futuro

Os líderes da indústria precisam reconhecer que o modelo de ataque utilizado pelo NotPetya continua sendo uma ameaça real. As interdependências das cadeias de suprimentos continuam crescendo, os sistemas industriais estão cada vez mais conectados às redes corporativas e os ataques baseados em credenciais tornam-se cada vez mais sofisticados. Os US$ 10 bilhões em prejuízos representam não apenas um dano histórico, mas o custo contínuo de uma vulnerabilidade que permanece ativa.

A solução exige ir além da proteção das credenciais e eliminar completamente sua exposição aos usuários. Trata-se de uma mudança fundamental de arquitetura, e não apenas da adoção de uma nova tecnologia. Fabricantes que continuam operando sob modelos em que usuários controlam credenciais permanecem vulneráveis a ataques semelhantes ao NotPetya, independentemente de outros investimentos em segurança.

Para os executivos da indústria, a questão não é se ataques sofisticados continuarão tendo como alvo os sistemas de credenciais, mas se sua infraestrutura ainda pressupõe que usuários podem controlar credenciais de acesso com segurança. O precedente estabelecido pelo NotPetya demonstra que essa suposição representa um risco financeiro e operacional inaceitável.