A identidade é o novo perímetro de segurança na era do trabalho híbrido

A combinação de trabalho híbrido, dispositivos pessoais no posto e acesso de terceiros tornou as identidades — desumanas e não humanas — no principal perímetro de segurança de muitas organizações. Os atacantes sabem disso: comprometer uma conta é muitas vezes mais rápida, mais silenciosa e mais rentável do que explorar uma vulnerabilidade de infra-estruturas, e essa realidade obriga a repensar como validamos a confiança em cada acesso.

Nos últimos anos vimos uma evolução tática: não basta roubar senhas, agora os adversários apontam para as sessões e o processo de autenticação. Técnicas como o chamado “MFA fatigue” (bombardeio de notificações até que o usuário aceita) ou a intercepção de tokens de sessão mediante frameworks de adversary-in-the-middle permitem evitar controles que, sobre o papel, eram robustos. A autenticação com sucesso deixou de ser uma garantia de confiança por si só.

Outro vetor crítico são os endpoints. Com funcionários que usam computadores pessoais e móveis não gerenciados, o risco de infostealers e outro malware que extrai credenciais e cookies de sessão cresce de forma paralela. Um dispositivo comprometido converte uma identidade legítima em uma porta aberta, e muitas organizações ainda carecem da visibilidade contínua necessária para detectar essa condição em tempo real.

As implicações são tanto técnicas como comerciais: perda de dados, interrupção de serviços, sanções regulamentares e danos reputacionais. Além disso, a necessidade de equilibrar a segurança e a produtividade introduz dilemas operacionais; bloquear o acesso por defeito pode paralisar equipamentos, ao mesmo tempo que permitir demasiado aumentar o risco. Por isso, as estratégias meramente reativas já não bastam.

A boa notícia é que existem medidas práticas e complementares para reduzir a probabilidade e o impacto dos sequestros de contas. Em vez de depender apenas do momento do login, as organizações devem adotar modelos de verificação contínua que incorporem a postura do dispositivo, o contexto da sessão e sinais comportamentais durante toda a conexão. Para se orientar tecnicamente, consultar-se recomendações de autenticação moderna como as recolhidas pelo NIST: NIST SP 800-63B.

Implementar métodos de autenticação resistentes ao phishing, como FIDO2 e chaves físicas, reduz significativamente a efetividade de campanhas que tentam capturar credenciais ou enganar com prompts. Paralelamente, é crítico desativar e bloquear protocolos de autenticação herdados que não suportam controles modernos; a Microsoft documenta como esses métodos continuam sendo uma via de entrada frequente e como mitigar em ambientes cloud: Gestão de autenticação herdada no Azure AD.

A defesa eficaz combina controlos de identidade com proteção do endpoint e detecção de sessão. Ferramentas de EDR/EDRms combinadas com políticas de acesso condicional que avaliam a higiene do dispositivo e a localização do usuário permitem decisões de acesso baseadas em risco, não em presunções. Proteger cookies e tokens de sessão, monitorar anomalias no comportamento e aplicar remediação no ponto de acesso são práticas que reduzem o sucesso das técnicas de sequestro de sessão.

Não menos importante é a governança: inventário completo de identidades (incluindo contas de serviço e máquinas), princípios de privilégio mínimo e revisões periódicas de acessos. A integração de registros detalhados em um SIEM e exercícios contínuos de threat hunting e simulação de ataques (red team, phishing controlado) convertem a detecção precoce em uma capacidade operacional, não em uma esperança.

A formação deve evoluir: parar de se focar apenas em “não clicar” e ensinar sinais concretos de ataques sobre MFA, como reagir a prompts inesperados e como reportar incidentes sem penalizar aqueles que avisam. O fator humano continua sendo vital, mas há que empoderá-lo com processos e soluções que reduzam a fricção e aumentem a segurança.

Para os equipamentos que desenha uma estratégia defensiva, o caminho exige combinar políticas, tecnologia e processos: autenticação phishing-resistente, verificação contínua de dispositivo, bloqueio de autenticação herdada, proteção avançada de endpoints, visibilidade de sessões e governança rígida de identidades. Ninguém pode garantir zero risco, mas a soma destas medidas transforma um objectivo fácil num custo operacional e táctico muito menos atraente para o atacante.

Finalmente, e além de ferramentas concretas, é imprescindível medir. Estabelecer indicadores de risco, simular ataques e revisar políticas de acordo com métricas reais permite adaptar investimentos e priorizar controles com impacto comprovado. Para aqueles que querem aprofundar a natureza e a escala do problema, os relatórios trimestrais e anuais, como o DBIR da Verizon, fornecem dados valiosos sobre tendências de lacunas: Verizon DBIR.