Segurança de senhas, privilégios e resiliência na era da IA

O que acontece depois que uma senha é roubada?

Imagine que sua senha foi roubada hoje à noite.

Você não escolheu uma senha fraca e não a reutilizou. Fez tudo certo. No entanto, recebeu uma mensagem que parecia ter vindo de alguém conhecido. A escrita era impecável, sabia onde você trabalhava, qual era seu cargo e talvez até no que estava trabalhando na semana passada. Você clicou, e, em segundo plano, alguém capturou suas credenciais.

O que acontece a seguir?

Essa pergunta está no centro deste mês de outubro. O Mês da Conscientização sobre Cibersegurança nos EUA e o Mês Europeu da Cibersegurança na União Europeia existem por um motivo sério.

Quase todos os grandes incidentes que acompanhei em mais de três décadas neste setor envolveram um fator humano em algum momento: um clique, uma senha reutilizada, uma solicitação aprovada, uma confiança mal direcionada. A segurança das senhas ainda é fundamental, mas a questão principal é o que acontece após uma senha ser comprometida.

O verdadeiro teste é saber se uma única credencial roubada é suficiente para causar estragos graves e com que rapidez você consegue se recuperar caso isso aconteça.

O tema da campanha deste ano é: Não facilite a vida deles.

A orientação Secure Our World, da CISA, apresenta quatro passos práticos para todos: reconhecer e denunciar phishing, usar senhas fortes, ativar a autenticação de dois fatores (MFA) e manter os softwares atualizados.

Paralelamente a esses passos, a CISA orienta que as organizações, especialmente as operadoras de infraestruturas críticas, pratiquem os 3Rs: Reduzir, Substituir e Recuperar.

Vou detalhar ambos os conceitos, com foco no elemento que mais mudou desde o ano passado: a IA. 

Atacantes não invadem. Eles fazem login.

A IA não mudou fundamentalmente o que os atacantes buscam. Ela mudou a velocidade e a persuasão com que eles chegam lá. A etapa de reconhecimento, que antes levava uma semana para um atacante, como pesquisar funcionários, mapear tecnologias e escrever iscas convincentes com traduções bem-feitas, agora pode levar minutos. O mesmo vale para a análise de vulnerabilidades recém-descobertas e para o desenvolvimento de formas de explorá-las.

A maioria desses ataques ainda termina no mesmo ponto: a identidade. O objetivo do atacante é se passar por alguém, ou algo, em quem a organização já confia. Quando ele obtém uma credencial válida, a aplicação enxerga um nome de usuário correto, uma senha correta e uma sessão com aparência legítima. Se essa credencial pertencer a um administrador, ele pode passar a ter o controle de grande parte do negócio.

É por isso que a segurança de senhas não é apenas sobre senhas. É sobre o que a senha dá acesso.

Para indivíduos: quatro formas de se proteger online

1. Reconheça e denuncie tentativas de phishing 

Por anos ensinamos as pessoas a procurar erros de digitação, gramática ruim e saudações genéricas. A IA eliminou muitos desses sinais de alerta tradicionais. Uma mensagem de phishing agora pode soar totalmente profissional, imitar o tom de um colega de trabalho e chegar em um português, estoniano ou japonês impecáveis. Deepfakes de voz e vídeo levam o mesmo truque para chamadas e reuniões.

Por isso, a orientação precisa mudar de "encontre o erro de digitação" para "verifique a solicitação". Se uma mensagem criar urgência, pedir credenciais, alterar dados de pagamento ou pressionar você a sair do processo normal, diminua o ritmo e confirme a informação por um canal em que você já confia. Depois, faça a denúncia. Um phishing denunciado protege a próxima pessoa que seria o alvo.

2. Use senhas longas, únicas e um gerenciador de senhas 

Passamos décadas pedindo para a memória humana resolver um problema para o qual ela nunca foi feita, e por isso as pessoas improvisam. Elas reutilizam senhas, adicionam um número no final ou transformam Verão2025! em Verão2026!. Isso não é simples desatenção. É uma falha de projeto.

A CISA recomenda o uso de senhas longas, aleatórias e únicas, com pelo menos 16 caracteres, além de um gerenciador de senhas para gerá-las e armazená-las. Quando a tecnologia assume a função de memorizar, cada conta ganha sua própria credencial. Um vazamento em uma empresa na qual você nunca pensa continua sendo um problema exclusivo dela, em vez de se tornar seu. Um vazamento permanece como apenas um vazamento.

3. Ative a autenticação de dois fatores 

Agora, considere que o atacante conseguiu sua senha de qualquer forma. Com a autenticação de dois fatores (MFA), a senha sozinha não é suficiente. Ative o recurso onde ele for oferecido e escolha a opção mais segura disponível.

Nem todos os métodos de MFA são iguais. Códigos e notificações push aumentam a segurança, mas métodos resistentes a phishing, como passkeys e chaves de segurança físicas, eliminam muitos dos truques que atacantes usam para roubar ou retransmitir fatores de autenticação. Os atacantes também se adaptaram ao MFA. Eles bombardeiam os usuários com solicitações até que alguém aprove, usam técnicas de Adversary-in-the-Middle para roubar sessões e aplicam engenharia social em equipes de suporte e nos processos de recuperação de conta.

Portanto, ensine as pessoas sobre o significado real de uma solicitação. Aprovar uma notificação significa dizer: "Sim, sou eu". Se você não iniciou o login, recuse e denuncie. Uma solicitação de MFA inesperada não é apenas um incômodo. Pode ser o primeiro alerta de que alguém já tem a sua senha.

4. Mantenha seus softwares atualizados 

Esta é a etapa menos chamativa e uma das mais eficientes. Atacantes que não conseguem roubar uma credencial procuram por uma vulnerabilidade, e a IA está reduzindo o tempo que os times de defesa têm entre a divulgação de uma falha e a sua exploração. Ative as atualizações automáticas para sistemas operacionais, navegadores, aplicativos e dispositivos, e instale correções importantes sem demora. Cada correção fecha uma porta. 

Esses quatro passos tornam os indivíduos alvos muito mais difíceis. Dentro de uma empresa, o problema se torna muito maior, porque credenciais, privilégios e sistemas estão por toda parte. 

Para Organizações: Reduzir, Substituir e Recuperar

A CISA criou os 3Rs pensando em infraestruturas críticas, mas a lógica se aplica a qualquer organização que opere um ambiente complexo: Reduzir o que os atacantes podem alcançar. Substituir o que não pode mais ser defendido. Recuperar rapidamente quando algo passar pela defesa.

Adiciono uma perspectiva que conecta todos esses pontos: quando os atacantes fazem login em vez de invadir, suas identidades passam a ser a sua superfície de ataque.

Agentes de IA estão expandindo a superfície de ataque de identidade

A IA está adicionando uma nova categoria de identidade aos ambientes corporativos, e isso está crescendo rapidamente. Estamos migrando da IA que apenas responde perguntas para agentes que executam ações. Os agentes realizam consultas em bancos de dados, chamam APIs, alteram infraestruturas em nuvem, implantam código, acionam outros fluxos de trabalho e se comunicam com outros agentes. Cada ação que permitimos que um agente realize é uma autoridade concedida, e essa autoridade representa uma superfície de ataque.

A primeira pergunta é: quem é o agente? Todo agente de IA capaz de executar ações deve ter sua própria identidade, com um responsável designado, permissões explicitamente delimitadas e credenciais que possam ser revogadas imediatamente.

Nem todo agente deve ser gerenciado da mesma forma. Um agente para tarefas de curta duração pode precisar de uma identidade temporária (ephemeral ou just-in-time), que existe apenas durante a execução da tarefa e desaparece ao final. Um agente permanente que roda continuamente precisa de um gerenciamento completo de ciclo de vida, assim como qualquer outra identidade de máquina: provisionamento, rotação de credenciais, revisão de acesso, monitoramento e desativação.

Um agente não vai tirar o celular do bolso para aprovar uma notificação push, mas o princípio por trás do MFA continua válido: nunca confie em uma única credencial por tempo indeterminado. Delimite rigorosamente as permissões, aplique o princípio do menor privilégio, exija autorização adicional para ações de alto risco e mantenha os privilégios temporários.

A IA também nos obriga a separar dois conceitos que costumávamos confundir. A autenticação prova quem é a identidade. A autorização decide o que ela pode fazer. Com agentes de IA, surge uma terceira pergunta: a autoridade é adequada para a tarefa? Um agente que lê um banco de dados não precisa ter permissão para excluí-lo. Um agente que analisa uma configuração não precisa ter, automaticamente, autoridade para alterá-la. A capacidade de realizar uma tarefa não deve conceder autoridade para executar todas as ações decorrentes dela, e, à medida que os agentes se tornam mais autônomos, essa distinção se torna a mais importante.

Isso torna os 3Rs cada vez mais fundamentais para a segurança de identidade.

Reduzir: Encolher a superfície de ataque de identidade

Aplicar correções e remover vulnerabilidades expostas são a base para reduzir a superfície de ataque. No entanto, se você fizer uma pergunta simples para quase qualquer organização consolidada: "Quantas credenciais privilegiadas vocês possuem?", raramente obterá uma resposta direta.

Existem contas de administradores e prestadores de serviço, contas de serviço e aplicações, credenciais de banco de dados, chaves de API, funções de nuvem e certificados. Há segredos incorporados em scripts e credenciais criadas para projetos que terminaram há anos. Algumas são compartilhadas, algumas não têm um responsável e outras não passam por rotação desde o dia em que foram criadas. Você não pode proteger uma credencial que nem sabe que existe.

Reduzir a superfície de ataque de identidade envolve três ações: descobrir contas privilegiadas e segredos onde quer que estejam, remover o que ninguém precisa e eliminar privilégios permanentes desnecessários por meio de acessos just-in-time e princípios de Zero Standing Privilege. Se alguém precisa de acesso elevado por vinte minutos, por que manter esse acesso ativo durante vinte e quatro horas por dia?

Substituir: Desativar o que não pode mais ser defendido

Softwares, firmwares e hardwares sem suporte acabam se tornando passivos de segurança, pois as vulnerabilidades permanecem sem um caminho suportado para correção. Sistemas legados também trazem problemas de identidade legados: senhas gravadas no código (hardcoded), credenciais padrão e contas de administrador compartilhadas que não podem ser alteradas ou monitoradas facilmente.

Amplio o conceito de Substituir para incluir as práticas que já superamos:

• Substitua contas privilegiadas compartilhadas por identidades individuais e rastreáveis, e não recrie o problema dando a vários agentes de IA uma única credencial compartilhada com altos privilégios.
• Substitua senhas salvas em planilhas, scripts e documentos por um cofre de senhas que as proteja e realize a rotação de forma automática.
• Substitua direitos permanentes de administrador por acessos just-in-time sempre que possível.
• Substitua autenticações mais fracas por métodos resistentes ao phishing, começando pelos usuários com maiores privilégios.

A senha privilegiada mais forte é aquela que ninguém precisa saber. A questão deixa de ser "Esta identidade se autenticou?" e passa para as perguntas que realmente importam: quem está solicitando, o que está solicitando e por quê? Por quanto tempo? O que estão fazendo com esse acesso? É possível revogá-lo agora mesmo? Esse modelo deve cobrir pessoas, máquinas e, cada vez mais, agentes de IA.

Recuperar: Assuma que algo vai passar pelas defesas

Mesmo os bons controles acabam falhando em algum momento. Uma senha é comprometida, uma vulnerabilidade é explorada, um fornecedor sofre um vazamento ou um agente executa algo que ninguém esperava. Quando isso acontece, duas perguntas são decisivas: com que rapidez você saberá e com que rapidez poderá se recuperar?

Monitore com foco na identidade. Imagine milhares de tentativas de login com falha seguidas por um acesso bem-sucedido, uma conta privilegiada entrando a partir de um local incomum ou um agente de IA acessando um sistema onde nunca esteve antes. Alguém notaria? Quando um atacante usa uma credencial válida, o login pode parecer normal. Por isso, registre a autenticação e as atividades administrativas, monitore sessões privilegiadas e torne as identidades não humanas tão visíveis quanto as de pessoas reais. Se um agente alterar uma configuração às 2h13 da manhã, você deve conseguir identificar o que mudou, qual identidade realizou a ação e o motivo.

Faça backup do que importa e teste o processo. Isole os backups do ambiente de produção e das credenciais administrativas diárias, e faça restaurações periódicas. Um backup que nunca foi testado é apenas uma suposição, e o meio de um incidente de ransomware é o pior momento para descobrir que ninguém sabe a senha do administrador do backup.

Planeje também a recuperação de identidades. O que acontece se o seu provedor de identidade ou sua infraestrutura de acesso privilegiado for comprometido? Os administradores ainda conseguirão acessar sistemas críticos com segurança? Mantenha procedimentos protegidos de break-glass (acesso de emergência), saiba como revogar sessões ativas em escala e pratique a rotação rápida de credenciais privilegiadas, chaves de API e segredos de máquinas. Se a identidade faz parte da superfície de ataque, ela precisa fazer parte do plano de recuperação.

Criptografe dados sensíveis em repouso e em trânsito. A autenticação controla quem passa pela porta. A criptografia protege os dados enquanto estão armazenados ou trafegando entre sistemas. Nenhuma das duas elimina a necessidade de controlar o que uma identidade autenticada realmente pode fazer.

Treine a sua resposta. Realize simulações de incidentes (tabletop exercises) focadas em uma conta de administrador comprometida, uma sessão de MFA roubada, uma indisponibilidade no provedor de identidade, um ataque de ransomware e um agente de IA executando ações não autorizadas. Quem desativa a conta? Quem revoga as sessões e faz a rotação das credenciais? Quem alinha as informações com a liderança e os clientes? Quem decide quando os sistemas estão seguros para voltar ao ar?

Vá além. E se o e-mail ficar indisponível ou os administradores não conseguirem se autenticar? E se todas as credenciais privilegiadas precisarem ser alteradas de uma só vez, ou se um agente de IA tiver executado ações em dezenas de sistemas antes que alguém percebesse o erro? A empresa consegue continuar operando? A resposta para essa pergunta é a diferença entre cibersegurança e resiliência cibernética.

Comunique incidentes à CISA, ao CERT.br ou à sua autoridade nacional de cibersegurança. O incidente de uma organização pode servir como alerta preventivo para outra. 

Como a Segurança de Identidade Muda o Resultado

Agora, volte ao cenário inicial: sua senha é roubada hoje à noite.

Em uma versão dessa história, a senha roubada é tudo de que o atacante precisa. Ela abre seu e-mail e, como você a reutilizou, abre também outras três contas. Se você for um administrador, ela abre a organização inteira. Uma conta de serviço esquecida e um servidor sem atualização dão ao atacante o próximo passo. Pela manhã, o primeiro sinal de problema é um pedido de resgate por ransomware, e ninguém tem certeza se os backups funcionam.

Na outra versão, a história termina quase assim que começa. A senha não dá acesso a mais nada. Uma notificação de MFA inesperada chega no seu celular, você recusa e faz a denúncia. Mesmo que o atacante tivesse avançado, teria encontrado sistemas atualizados, nenhum direito permanente de administrador desnecessário, credenciais que já haviam passado por rotação e agentes de IA com acesso restrito apenas às tarefas necessárias. O login suspeito apareceu destacado nos relatórios.

A equipe sabia para quem ligar porque havia treinado exatamente esse cenário, e os backups tinham sido testados no mês passado. Mesmo que a própria infraestrutura de identidade tivesse sido atingida, o time já sabia como recuperar o acesso administrativo seguro.

O mesmo ataque. A mesma senha roubada. Dois resultados completamente diferentes.

A diferença não está em um único controle perfeito. Está na proteção em camadas: quatro passos práticos para todos, e Reduzir, Substituir e Recuperar para cada organização.

Esse é o desafio no qual estamos focados na Segura™: proteger credenciais privilegiadas, reduzir privilégios permanentes e deixar claro quem, ou o quê, está acessando sistemas críticos, qual autoridade possui e por qual motivo.

Todos nós devemos assumir que, um dia, alguém vai conseguir uma senha. A verdadeira medida de segurança é o quão pouco uma senha roubada consegue acessar.

Neste Mês da Conscientização sobre Cibersegurança, não facilite a vida deles.

Não torne apenas as suas senhas mais fortes. Torne as senhas insuficientes.