Em agosto de 2024, o comandante de resposta a incidentes da CrowdStrike revelou como uma única credencial privilegiada permitiu que invasores mantivessem persistência no ambiente da empresa por semanas antes da interrupção global. O incidente destacou uma falha fundamental na forma como os provedores de serviços gerenciados (MSPs) abordam o gerenciamento de acessos privilegiados: até mesmo o cofre de credenciais mais sofisticado é inútil se técnicos puderem ser enganados e entregar as chaves.
Para MSPs que gerenciam centenas de ambientes de clientes com privilégios elevados, isso representa uma ameaça existencial. Cada técnico com acesso privilegiado torna-se um potencial vetor de comprometimento, independentemente do nível de segurança utilizado para armazenar essas credenciais.
O dilema das credenciais em serviços gerenciados
Os MSPs enfrentam um desafio único relacionado às credenciais. Diferentemente das empresas tradicionais que administram um único ambiente, eles precisam de acesso privilegiado a centenas ou milhares de sistemas de clientes. Um único técnico de Nível 2 pode possuir credenciais administrativas para dezenas de domínios de clientes, plataformas em nuvem e sistemas de infraestrutura crítica.
Isso cria o que os profissionais de segurança chamam de "proliferação de credenciais em escala". Cada técnico torna-se uma chave mestra ambulante para múltiplos ambientes de clientes. As soluções tradicionais de Gerenciamento de Acesso Privilegiado (PAM) tentam proteger essas credenciais em cofres, mas dependem fundamentalmente de operadores humanos que precisam se autenticar para recuperar as credenciais quando necessário.
O modelo pressupõe que verificar a identidade do técnico é suficiente para conceder acesso. Porém, essa suposição torna-se extremamente perigosa quando esse técnico recebe um e-mail de phishing convincente ou é vítima de engenharia social. Assim que um invasor compromete o método de autenticação do técnico, ele herda o acesso a todos os sistemas de clientes que esse profissional consegue alcançar.
Os dados revelam uma realidade preocupante
De acordo com o Data Breach Investigations Report 2024, da Verizon, 68% das violações envolveram um fator humano, com ataques de phishing aumentando 76% em relação ao ano anterior. Para MSPs, essas estatísticas representam um risco ampliado em toda a sua base de clientes.
O relatório Cost of Insider Threats 2024, do Ponemon Institute, revelou que incidentes envolvendo roubo de credenciais custam às organizações uma média de US$ 4,99 milhões por violação, com MSPs enfrentando ainda responsabilidades adicionais devido aos contratos com seus clientes. Mais preocupante ainda, o estudo mostrou que 60% dos incidentes de ameaça interna envolveram usuários privilegiados — exatamente a população de técnicos da qual os MSPs dependem para suas operações diárias.
Pesquisas da Cybersecurity and Infrastructure Security Agency (CISA) mostram que 90% dos ataques cibernéticos bem-sucedidos envolvem credenciais comprometidas. Para MSPs, isso significa que a verificação tradicional de identidade — mesmo com autenticação multifator — cria um ponto único de falha capaz de se espalhar por múltiplos ambientes de clientes.
O National Cyber Security Centre (NCSC) do Reino Unido informou que MSPs foram alvos em 47% dos ataques à cadeia de suprimentos em 2023, sendo que credenciais privilegiadas comprometidas foram o principal vetor de ataque em 73% desses incidentes.
Por que as ferramentas atuais de segurança falham no modelo MSP
A maioria das organizações implementa um conjunto de ferramentas de gerenciamento de identidade e acesso: cofres PAM, plataformas de Single Sign-On (SSO), autenticação multifator (MFA) e, cada vez mais, estruturas Zero Trust. Mesmo assim, as violações continuam ocorrendo regularmente.
O problema fundamental está em uma equação falha que sustenta todas essas soluções: identidade significa acesso.
Todas as ferramentas existentes operam com base no princípio de que verificar quem é uma pessoa deve determinar aquilo que ela pode acessar. Comprove sua identidade por meio de senhas, biometria ou tokens físicos, e o sistema concede os direitos de acesso correspondentes.
Essa abordagem cria uma vulnerabilidade inerente. Independentemente da sofisticação do processo de verificação de identidade, quando um invasor consegue se passar por um usuário legítimo, ele herda todos os privilégios desse usuário. Um técnico de MSP comprometido não representa apenas uma única violação — ele representa um possível comprometimento de todos os ambientes de clientes aos quais possui acesso.
Os cofres PAM exemplificam esse problema. Eles protegem credenciais armazenadas, mas dependem de operadores humanos para recuperá-las e utilizá-las. O cofre protege as credenciais em repouso, mas não impede que um técnico comprometido acesse e utilize essas credenciais indevidamente. O SSO e a MFA apenas transferem a vulnerabilidade para outros fatores de autenticação, enquanto as estruturas Zero Trust continuam dependendo da verificação de identidade como base.
Separando identidade de acesso
A solução exige abandonar completamente o paradigma de que identidade equivale a acesso. Em vez de perguntar "quem é essa pessoa e quais sistemas ela deve acessar?", a pergunta passa a ser: "como permitir as funções empresariais necessárias sem expor credenciais aos operadores humanos?"
Essa abordagem, conhecida como acesso sem credenciais, garante que os usuários nunca visualizem, possuam ou controlem as credenciais que concedem acesso aos sistemas. Em vez de armazenar credenciais em um cofre para posterior recuperação, a organização gera, criptografa e gerencia cada credencial de forma centralizada. Quando um técnico precisa acessar um sistema de cliente, a credencial é enviada diretamente ao sistema-alvo sem nunca ficar visível para o usuário.
A solução patenteada da MyCena demonstra esse princípio na prática. Quando um técnico de MSP precisa de acesso administrativo ao controlador de domínio de um cliente, ele não recupera uma senha de um cofre. Em vez disso, o sistema gera uma credencial criptografada, transmite-a diretamente ao sistema-alvo e estabelece a sessão sem que o técnico jamais veja o material de autenticação.
Isso torna os ataques de phishing fundamentalmente impossíveis. Um invasor que comprometa o dispositivo ou a conta de um técnico não encontrará credenciais para roubar. O próprio técnico não pode expor acidentalmente credenciais porque nunca as possui. Ataques de engenharia social falham porque não existem segredos de autenticação que possam ser revelados.
Do ponto de vista de conformidade regulatória, essa abordagem atende aos requisitos de diversas estruturas. Os controles SOC 2 Type II relacionados ao gerenciamento de credenciais tornam-se demonstráveis por meio da arquitetura técnica, e não apenas por políticas e procedimentos. Os requisitos da ISO 27001 para gerenciamento de acessos privilegiados passam de controles administrativos para controles técnicos automatizados. Para MSPs que atendem setores regulamentados, isso fornece evidências auditáveis de segurança das credenciais sem depender do comportamento humano.
O futuro dos MSPs
O problema das credenciais enfrentado pelos MSPs exige uma mudança arquitetural, não apenas mais camadas de verificação de identidade. Organizações que continuarem operando no modelo de identidade igual a acesso permanecerão vulneráveis independentemente do investimento realizado em segurança.
Os MSPs devem avaliar sua exposição atual de credenciais em toda a sua equipe técnica. Quantos ambientes de clientes poderiam ser comprometidos se apenas um técnico fosse vítima de phishing? Qual seria o impacto financeiro e reputacional de uma violação que se propagasse por vários ambientes de clientes?
A transição para o acesso sem credenciais representa uma mudança fundamental na arquitetura de segurança, mas aborda a causa raiz do problema em vez de tratar apenas os sintomas. Para MSPs que enfrentam maior pressão regulatória e exigências crescentes de segurança por parte dos clientes, essa abordagem oferece proteção comprovável contra os vetores de ataque que mais têm afetado o setor.
A questão não é se os MSPs enfrentarão ataques baseados em credenciais, mas se implementarão soluções capazes de tornar esses ataques impossíveis antes que se tornem o próximo grande incidente divulgado mundialmente.