Durante muito tempo, uma das perguntas centrais da seguran\u00e7a cibern\u00e9tica foi: quem est\u00e1 tentando entrar? Hoje, uma pergunta igualmente importante \u00e9: e se o invasor j\u00e1 estiver entrando como algu\u00e9m autorizado?<\/p>\n
Fornecedores de software, empresas de suporte, integradores, plataformas SaaS, aplica\u00e7\u00f5es e prestadores de servi\u00e7os precisam acessar ambientes corporativos todos os dias. S\u00e3o identidades leg\u00edtimas, com permiss\u00f5es leg\u00edtimas, executando atividades que, na maior parte do tempo, tamb\u00e9m s\u00e3o leg\u00edtimas.<\/p>\n \u00c9 justamente isso que torna esse tipo de ataque t\u00e3o dif\u00edcil de identificar. O Microsoft Digital Defense Report 2025 mostra que os ataques baseados em identidade cresceram 32% apenas no primeiro semestre de 2025. O relat\u00f3rio tamb\u00e9m aponta o abuso de contas v\u00e1lidas como uma t\u00e9cnica frequentemente observada, presente em 17% dos ataques analisados.<\/p>\n O problema, portanto, j\u00e1 n\u00e3o \u00e9 apenas impedir uma entrada n\u00e3o autorizada. \u00c9 conseguir perceber quando um acesso autorizado come\u00e7a a se comportar como uma amea\u00e7a.<\/p>\n Credencial v\u00e1lida n\u00e3o significa comportamento leg\u00edtimo<\/strong><\/p>\n Imagine um prestador que normalmente acessa tr\u00eas servidores, durante o hor\u00e1rio comercial, para executar uma rotina espec\u00edfica de manuten\u00e7\u00e3o.<\/p>\n Se aquela mesma identidade come\u00e7a, de madrugada, a consultar dezenas de sistemas, buscar informa\u00e7\u00f5es que nunca acessou, elevar privil\u00e9gios ou movimentar volumes incomuns de dados, a credencial continua v\u00e1lida.<\/p>\n O comportamento, n\u00e3o. Essa diferen\u00e7a \u00e9 cada vez mais relevante porque os atacantes aprenderam que agir como um usu\u00e1rio leg\u00edtimo pode ser mais eficiente do que tentar romper controles de seguran\u00e7a.<\/p>\n A Microsoft relata, inclusive, casos em ambientes de nuvem nos quais criminosos conseguiram conduzir ataques utilizando identidades comprometidas como se fossem usu\u00e1rios ou recursos leg\u00edtimos, manipulando aquilo que aquela identidade j\u00e1 estava autorizada a acessar.<\/p>\n O desafio deixa de ser somente \u201cquem entrou?\u201d e passa a ser \u201co que essa identidade est\u00e1 fazendo depois que entrou?\u201d.<\/p>\n Quanto mais normal parecer, mais dif\u00edcil pode ser detectar<\/strong><\/p>\n O M-Trends 2026, da Mandiant, refor\u00e7a essa mudan\u00e7a. Baseado em mais de 500 mil horas de investiga\u00e7\u00f5es realizadas ao longo de 2025, o levantamento mostra que grupos sofisticados est\u00e3o priorizando credenciais leg\u00edtimas, dispositivos pouco monitorados e funcionalidades nativas das pr\u00f3prias redes para permanecer nos ambientes sem chamar a aten\u00e7\u00e3o.<\/p>\n O tempo mediano entre a invas\u00e3o e a detec\u00e7\u00e3o tamb\u00e9m voltou a crescer: passou de 11 para 14 dias globalmente. Em determinados ataques de espionagem e casos envolvendo trabalhadores de TI ligados \u00e0 Coreia do Norte, a mediana chegou a 122 dias.<\/p>\n Isso ajuda a entender por que olhar apenas para eventos isolados pode ser insuficiente.<\/p>\n Fazer login \u00e9 normal. Consultar uma base \u00e9 normal. Utilizar uma ferramenta administrativa pode ser normal. Transferir um arquivo tamb\u00e9m pode ser normal.<\/p>\n O risco aparece no contexto. Um login autorizado seguido por eleva\u00e7\u00e3o de privil\u00e9gio, acesso incomum a um reposit\u00f3rio e movimenta\u00e7\u00e3o at\u00edpica de dados conta uma hist\u00f3ria completamente diferente daquela apresentada por cada evento separadamente.<\/p>\n O problema n\u00e3o est\u00e1 apenas no endpoint<\/strong><\/p>\n Outro dado do M-Trends 2026 merece aten\u00e7\u00e3o. A Mandiant recomenda ampliar a visibilidade para al\u00e9m dos endpoints tradicionais porque atacantes v\u00eam explorando equipamentos de borda, infraestrutura de virtualiza\u00e7\u00e3o, protocolos de autentica\u00e7\u00e3o e outros ambientes que nem sempre est\u00e3o cobertos pelas ferramentas convencionais de endpoint.<\/p>\n Isso muda tamb\u00e9m o papel de um SOC. N\u00e3o basta receber milhares de alertas independentes. \u00c9 necess\u00e1rio correlacionar informa\u00e7\u00f5es de identidade, endpoints, rede, aplica\u00e7\u00f5es em nuvem, VPNs, sistemas de autentica\u00e7\u00e3o e infraestrutura para identificar padr\u00f5es que individualmente poderiam parecer leg\u00edtimos.<\/p>\n O objetivo \u00e9 conseguir responder n\u00e3o apenas se determinada atividade \u00e9 permitida, mas se ela faz sentido para aquela identidade, naquele momento e naquele contexto.<\/p>\n Zero Trust tamb\u00e9m vale para fornecedores<\/strong><\/p>\n Quando empresas ampliam seus ecossistemas digitais, ampliam tamb\u00e9m o n\u00famero de identidades que precisam administrar.<\/p>\n E isso inclui terceiros. O modelo de Zero Trust parte justamente do princ\u00edpio de que confian\u00e7a n\u00e3o deve ser permanente. Na pr\u00e1tica, isso envolve aplicar menor privil\u00e9gio, autentica\u00e7\u00e3o multifator, segmenta\u00e7\u00e3o, revis\u00e3o de contas de servi\u00e7o, limita\u00e7\u00e3o temporal de acessos e monitoramento cont\u00ednuo.<\/p>\n Tamb\u00e9m exige responder perguntas bastante concretas: quais fornecedores conseguem acessar o ambiente? A quais recursos? Por qual motivo? Com quais privil\u00e9gios? E aquele acesso ainda \u00e9 necess\u00e1rio?<\/p>\n Sistemas s\u00e3o substitu\u00eddos, projetos terminam, profissionais mudam e as integra\u00e7\u00f5es permanecem. Uma identidade esquecida pode continuar v\u00e1lida muito depois de perder sua finalidade operacional.<\/p>\n Seguran\u00e7a precisa aprender a desconfiar do que parece normal<\/strong><\/p>\n A digitaliza\u00e7\u00e3o tornou inevit\u00e1vel a exist\u00eancia de ambientes conectados a fornecedores, aplica\u00e7\u00f5es SaaS, APIs e diferentes servi\u00e7os externos.<\/p>\n O caminho n\u00e3o \u00e9 fechar essas conex\u00f5es, mas sim mudar a forma como confiamos nelas. Em um ambiente no qual atacantes conseguem utilizar identidades leg\u00edtimas e ferramentas leg\u00edtimas, autenticar algu\u00e9m j\u00e1 n\u00e3o encerra a an\u00e1lise de seguran\u00e7a. Em muitos casos, \u00e9 justamente ali que ela come\u00e7a.<\/p>\n A pr\u00f3xima invas\u00e3o pode n\u00e3o gerar dezenas de tentativas de senha nem disparar imediatamente um bloqueio no firewall. Ela pode entrar autenticada, usar ferramentas conhecidas e parecer apenas mais um usu\u00e1rio trabalhando.<\/p>\n Reconhecer o ataque quando tudo parece normal talvez seja hoje um dos maiores desafios de um SOC.<\/p>\n