O ciberataque de 35 milhões de libras esterlinas sofrido pela Advanced, fornecedora do NHS, em outubro de 2022, expôs uma verdade incômoda para os provedores de serviços gerenciados: a violação de credenciais no nível do MSP pode se alastrar por centenas de ambientes de clientes simultaneamente. Em poucas horas, 111 serviços em vários hospitais do NHS ficaram offline, o atendimento ao paciente foi interrompido e uma única violação de senha se espalhou por todo o ecossistema de saúde.
Para os MSPs que atendem setores regulamentados — saúde, finanças, infraestrutura crítica — este incidente cristalizou uma crescente preocupação dos clientes: como podem confiar na segurança das credenciais de seus provedores de serviços quando sua própria conformidade regulatória está em jogo?
O paradoxo das credenciais MSP
Os provedores de serviços gerenciados enfrentam uma contradição inerente. Os clientes exigem cada vez mais serviços robustos de cibersegurança, mas os MSPs precisam armazenar e gerenciar milhares de credenciais privilegiadas em diversos ambientes de clientes para fornecer esses serviços. Cada credencial representa tanto uma necessidade operacional quanto um risco sistêmico.
O desafio se intensifica com as estruturas regulatórias. De acordo com o GDPR, uma violação de credenciais em um MSP pode desencadear violações de proteção de dados em todos os clientes afetados. A Diretiva NIS2, em vigor em toda a UE, estende a responsabilidade ainda mais ao longo da cadeia de suprimentos. Clientes de serviços financeiros sujeitos aos requisitos do PCI DSS ou SOX não podem simplesmente delegar o risco de credenciais — eles permanecem responsáveis pela postura de segurança de seus provedores de serviços.
As abordagens tradicionais agravam o problema. A maioria dos MSPs emite credenciais para técnicos que, por sua vez, as gerenciam, armazenam e utilizam em sistemas de clientes. Esse modelo centrado no ser humano cria múltiplos pontos de falha: credenciais compartilhadas por canais inseguros, armazenadas em navegadores, anotadas ou retidas por funcionários que se desligam da empresa. Quando os técnicos controlam suas próprias credenciais de acesso, o MSP perde o controle fundamental sobre seus ativos de segurança mais críticos.
A escala da exposição às credenciais
Os dados do setor revelam a magnitude do desafio. O Relatório de Investigações de Violações de Dados da Verizon de 2023 constatou que 49% das violações envolveram credenciais roubadas, com o comprometimento de e-mails corporativos representando perdas de £ 2,1 bilhões em todo o mundo. Para os MSPs (provedores de serviços gerenciados), o efeito multiplicador é severo: uma única credencial de administrador comprometida pode fornecer acesso a dezenas de ambientes de clientes.
Pesquisas do Ponemon Institute indicam que 65% das organizações possuem mais de 500 contas privilegiadas, e muitos MSPs gerenciam milhares delas. No entanto, de acordo com a pesquisa da CyberArk de 2023, 55% das organizações admitem não conseguir identificar rapidamente todas as contas privilegiadas em seu ambiente. Para MSPs que lidam com múltiplas infraestruturas de clientes, essa lacuna de visibilidade se torna exponencialmente mais perigosa.
O cenário regulatório aumenta a urgência financeira. As multas do GDPR atingiram uma média de £85 milhões em 2022, de acordo com o relatório anual da DLA Piper. No setor financeiro, a FCA aplicou £260 milhões em penalidades por falhas na resiliência operacional somente em 2023. Esses valores não incluem danos à reputação e perda de clientes — custos que podem ser fatais para MSPs de médio porte.
O tempo necessário para conter uma violação de dados agrava o problema. O relatório da IBM sobre o custo de uma violação de dados mostra um ciclo de vida médio de 277 dias, desde a invasão inicial até a contenção. Para os MSPs (provedores de serviços gerenciados), esse longo período significa exposição prolongada de múltiplos clientes, fiscalização regulatória e interrupção dos serviços.
Por que as soluções tradicionais falham?
O setor de cibersegurança respondeu com ferramentas cada vez mais sofisticadas: plataformas de Gestão de Identidade e Acesso (IAM), sistemas de Gestão de Acesso Privilegiado (PAM), Single Sign-On (SSO), Autenticação Multifator (MFA) e arquiteturas de Confiança Zero. Mesmo assim, as violações de credenciais continuam a proliferar.
A falha fundamental reside na premissa subjacente: essas ferramentas aprimoram a segurança das credenciais, mas mantêm o princípio de que os usuários criam, conhecem e controlam suas credenciais. Mesmo com autenticação multifator (MFA), biometria e análise comportamental, a credencial em si permanece vulnerável à engenharia social, phishing e ameaças internas.
As soluções PAM criptografam e armazenam credenciais em cofre, mas, em última instância, precisam descriptografá-las e apresentá-las aos usuários para autenticação. Esse modelo de "descriptografia para uso" cria uma vulnerabilidade inerente. Da mesma forma, os sistemas SSO centralizam a autenticação, mas não conseguem eliminar o risco de comprometimento de credenciais no nível do provedor de identidade.
A arquitetura Zero Trust representa um avanço significativo, verificando continuamente a identidade do usuário e o status do dispositivo. No entanto, ela não consegue lidar com cenários em que usuários legítimos com credenciais válidas foram vítimas de engenharia social ou coerção. Se o usuário conhece legitimamente suas credenciais, o Zero Trust não tem base para negar o acesso.
Uma abordagem estrutural para o controle de credenciais
Um princípio arquitetônico diferente está emergindo: separar a verificação de identidade do controle de credenciais. Em vez de aprimorar as credenciais controladas pelo usuário, essa abordagem elimina completamente o acesso do usuário às credenciais.
Nesse modelo, as organizações geram todas as credenciais usando métodos criptograficamente seguros, criptografam-nas imediatamente e as armazenam em sistemas distribuídos e à prova de adulteração. Os usuários autenticam sua identidade por meio de múltiplos vetores, mas nunca recebem ou manipulam as credenciais necessárias para acessar o sistema.
A implementação patenteada da MyCena exemplifica essa abordagem. Quando um técnico de um MSP precisa acessar o sistema de um cliente, ele autentica sua identidade por meio do cliente MyCena. O sistema então gera e insere dinamicamente a credencial necessária diretamente no aplicativo de destino, sem que o usuário a veja. A credencial existe apenas durante a sessão e é criptograficamente exclusiva para aquela solicitação de acesso específica.
Essa arquitetura torna os vetores de ataque tradicionais ineficazes. Campanhas de phishing não conseguem coletar credenciais que os usuários jamais possuirão. A engenharia social falha quando os funcionários não podem fornecer informações que desconhecem. As ameaças internas diminuem quando o acesso privilegiado exige tanto a verificação de identidade quanto a injeção de credenciais mediada pelo sistema.
Para os MSPs, esse modelo oferece visibilidade e controle sem precedentes. Cada acesso por credencial gera registros de auditoria imutáveis. Padrões suspeitos acionam alertas automáticos. Políticas de acesso específicas para cada cliente impõem a segregação entre ambientes. E, crucialmente, a revogação de credenciais é instantânea e definitiva — funcionários demitidos não podem manter o acesso a sistemas aos quais nunca acessaram diretamente.
O imperativo competitivo
Os MSPs que implementam garantia de credenciais abrangente criam vantagens competitivas distintas em mercados regulamentados. Eles podem demonstrar aos clientes em potencial que a violação de credenciais — o vetor por trás de quase metade de todas as violações — foi eliminada de suas operações por meio de sua arquitetura.
Essa capacidade torna-se particularmente valiosa durante avaliações de segurança e auditorias de conformidade de clientes. Os MSPs podem fornecer respostas definitivas sobre gerenciamento do ciclo de vida de credenciais, registro de acesso e procedimentos de revogação. Eles podem garantir que as credenciais do cliente permaneçam segregadas e que funcionários que deixam a empresa não possam manter acesso privilegiado.
As implicações para o setor de seguros são significativas. As seguradoras de cibersegurança examinam cada vez mais as práticas de gestão de credenciais ao avaliar as apólices. Os MSPs (provedores de serviços gerenciados) com controle de credenciais comprovado podem ter acesso a melhores condições de cobertura e prêmios mais baixos — vantagens que podem ser parcialmente repassadas aos clientes.
Mais importante ainda, a garantia abrangente de credenciais transforma as conversas com os clientes, deixando de ser uma mera aquisição baseada em custos para se tornarem uma parceria estratégica. Os MSPs (provedores de serviços gerenciados) passam a ser facilitadores da conformidade regulatória dos clientes, em vez de potenciais fontes de risco regulatório. Em um ambiente onde violações de credenciais podem acarretar multas milionárias, essa garantia justifica preços premium e impulsiona a fidelização de clientes.
A violação de segurança avançada do NHS demonstrou que a segurança de credenciais deixou de ser uma preocupação interna de TI e se tornou um risco de negócios em nível de diretoria, com impacto em toda a cadeia de suprimentos. Os MSPs que reconhecerem e lidarem com essa realidade definirão a próxima geração de serviços gerenciados.