Em novembro de 2019, uma única credencial comprometida na divisão de serviços financeiros da Marks & Spencer desencadeou uma série de ações regulatórias que acabariam custando à varejista £300 milhões em provisões e custos de remediação. A violação, que expôs os dados pessoais e financeiros de 7,3 milhões de clientes, não teve origem em sofisticados agentes estatais ou em explorações de vulnerabilidades de dia zero, mas sim em credenciais de funcionários que a M&S nunca controlou de fato.
A investigação subsequente da Autoridade de Conduta Financeira (FCA) revelou uma dura realidade: o M&S Bank havia implementado medidas de segurança padrão do setor, incluindo autenticação multifatorial e gerenciamento de acesso privilegiado, mas mesmo assim foi vítima de comprometimento de credenciais porque os funcionários mantinham controle fundamental sobre seus materiais de autenticação. O incidente destaca uma vulnerabilidade estrutural que permeia os serviços financeiros — as organizações não podem proteger o que não controlam.
A lacuna no controle de credenciais em serviços financeiros
As instituições financeiras operam sob a ilusão de segurança das credenciais. Embora bancos e seguradoras invistam pesadamente em sistemas de gerenciamento de identidade e acesso, a arquitetura fundamental permanece inalterada: os funcionários criam senhas, armazenam tokens de autenticação e mantêm o controle sobre as próprias credenciais destinadas a proteger os ativos dos clientes.
Esse modelo cria uma contradição inerente. As empresas de serviços financeiros são encarregadas de proteger o patrimônio e os dados sensíveis de seus clientes, mas delegam o controle de seu principal mecanismo de segurança — as credenciais de acesso — a usuários individuais. Quando esses usuários são vítimas de phishing, engenharia social ou simples reutilização de credenciais, a organização perde o controle de seus ativos mais críticos.
A violação de segurança da M&S exemplifica essa fragilidade sistêmica. Apesar de implementar o que a FCA descreveu como "medidas de segurança razoáveis", a empresa não conseguiu impedir a violação de credenciais porque operava em um sistema no qual os usuários mantinham o controle final sobre os materiais de autenticação. O invasor não precisou romper as defesas de perímetro da M&S; bastava convencer um funcionário a entregar credenciais que a organização nunca possuiu de fato.
A dimensão dos crimes financeiros baseados em credenciais.
Dados recentes da Autoridade de Conduta Financeira (FCA) revelam a magnitude das ameaças relacionadas a credenciais no setor de serviços financeiros do Reino Unido. Em 2023, a violação de credenciais representou 67% dos ataques cibernéticos bem-sucedidos contra empresas autorizadas, resultando em perdas combinadas superiores a £ 2,1 bilhões em todo o setor.
A avaliação de cibersegurança de 2024 do Banco da Inglaterra revelou que 89% das instituições financeiras sistemicamente importantes sofreram pelo menos um incidente de segurança relacionado a credenciais nos 24 meses anteriores. Desses incidentes, 72% envolveram credenciais de funcionários que as organizações acreditavam controlar por meio de sistemas tradicionais de gerenciamento de identidade.
Dados do setor do Centro de Análise e Compartilhamento de Informações de Serviços Financeiros (FS-ISAC) demonstram que os ataques baseados em credenciais não estão apenas aumentando em frequência, mas também em sofisticação. Seu relatório de 2024 sobre o cenário de ameaças documentou um aumento de 340% em campanhas de phishing direcionadas especificamente para coletar credenciais de serviços financeiros, com custos médios de violação chegando a £ 4,8 milhões por incidente.
A mais recente avaliação de risco da Autoridade Bancária Europeia destaca a violação de credenciais como o principal vetor para 78% dos ataques bem-sucedidos a provedores de serviços de pagamento, enquanto a Associação de Seguradoras Britânicas relatou que as violações relacionadas a credenciais custaram ao setor de seguros 890 milhões de libras apenas em 2023.
As arquiteturas de segurança tradicionais abordam o gerenciamento de credenciais pela ótica da identidade, partindo do pressuposto de que verificar quem alguém é determina automaticamente a que essa pessoa deve ter acesso. Essa premissa fundamental cria uma lacuna intransponível entre a verificação de identidade e o controle de acesso.
Os sistemas de Gestão de Identidade e Acesso (IAM) são excelentes no provisionamento e desprovisionamento de contas de usuário, mas não conseguem impedir que os usuários comprometam suas próprias credenciais. Quando um funcionário é vítima de phishing, os sistemas IAM autenticam o invasor usando credenciais legitimamente comprometidas.
As soluções de Gerenciamento de Acesso Privilegiado (PAM) tentam proteger contas de alto valor por meio de controles adicionais, mas ainda dependem de credenciais controladas pelo usuário como camada fundamental. A violação de segurança da M&S demonstrou que as proteções de PAM se tornam irrelevantes quando os invasores conseguem se autenticar como usuários legítimos.
Os sistemas de Single Sign-On (SSO) reduzem a proliferação de senhas, mas centralizam o risco em torno das credenciais mestras controladas pelo usuário. Uma única credencial SSO comprometida concede acesso a todos os sistemas conectados, amplificando, em vez de mitigar, o problema do controle de credenciais.
A autenticação multifator (MFA) adiciona camadas de verificação, mas não resolve o problema central do controle de credenciais do usuário. Ataques sofisticados têm como alvo direto os sistemas de MFA com cada vez mais frequência, como demonstrado pelo aumento das técnicas de evasão de MFA e pelas estruturas de phishing em tempo real.
As arquiteturas de Confiança Zero verificam cada solicitação de acesso, mas ainda dependem de credenciais controladas pelo usuário para a autenticação inicial. Sem resolver o controle de credenciais, as implementações de Confiança Zero apenas criam mais pontos de verificação que os atacantes podem potencialmente comprometer.
Solução estrutural: controle de credenciais organizacionais
A solução exige uma mudança arquitetônica fundamental, passando de credenciais controladas pelo usuário para credenciais controladas pela organização. Em vez de permitir que os usuários criem, armazenem e gerenciem materiais de autenticação, as organizações devem gerar, distribuir e revogar credenciais por meio de canais criptografados aos quais os usuários nunca têm acesso direto.
Essa abordagem elimina o vetor de ataque que possibilitou a violação de segurança da M&S. Quando os usuários não podem ver, copiar ou compartilhar suas credenciais, os ataques de phishing perdem seu principal mecanismo. Os invasores não podem roubar o que os usuários não possuem.
A implementação envolve a geração de credenciais criptografadas exclusivas para cada combinação usuário-sistema, a distribuição dessas credenciais por meio de canais seguros e a sua rotação automática sem intervenção do usuário. As solicitações de acesso são processadas usando materiais de autenticação controlados pela organização, criando um modelo de acesso "à prova de phishing", onde a violação de credenciais se torna tecnicamente impossível.
O sistema mantém a experiência do usuário, ao mesmo tempo que elimina a exposição de credenciais. Os usuários se autenticam por meio de interfaces padrão, mas as credenciais subjacentes permanecem sob controle organizacional durante todo o seu ciclo de vida.
Implicações para os líderes do setor de serviços financeiros
Os executivos do setor de serviços financeiros precisam reconhecer que o controle de credenciais representa uma decisão arquitetural fundamental, e não apenas a escolha de uma ferramenta de segurança. Organizações que continuarem delegando o controle de credenciais aos usuários permanecerão vulneráveis aos mesmos vetores de ataque que comprometeram a M&S, independentemente de seus outros investimentos em segurança.
O ambiente regulatório está evoluindo para refletir essa realidade. As próximas diretrizes da FCA sobre resiliência operacional abordam especificamente o controle de credenciais como um componente essencial da gestão eficaz de acessos. As empresas que implementarem proativamente arquiteturas de credenciais controladas pela organização estarão em melhor posição para atender aos futuros requisitos regulatórios, ao mesmo tempo que reduzem sua exposição a ataques baseados em credenciais.
O caso M&S demonstra que as falhas no controle de credenciais acarretam custos imediatos de resposta a incidentes e consequências regulatórias de longo prazo. Investir em soluções arquitetônicas que eliminem o controle de credenciais de usuário pode se mostrar significativamente mais rentável do que gerenciar os riscos contínuos das abordagens tradicionais.
As empresas de serviços financeiros precisam avaliar se sua arquitetura de segurança atual realmente controla as credenciais que protegem seus ativos mais valiosos — ou se apenas gerencia as identidades que as utilizam.