Robo de credenciais dispara em 2025: IA, MFA phishing-resistente e Zero Trust para proteger suas identidades

Os números recentes mostram que o roubo de credenciais disparou, com um aumento do 160% em 2025, e que as credenciais comprometidas já participam numa parte significativa dos vazamentos de dados, segundo relatórios como o da Verizon. Estes números não são uma curiosidade estatística: são um sintoma claro de que os atacantes melhoraram suas táticas, integrando inteligência artificial Para automatizar seu reconhecimento de vítimas, gerar mensagens mais convincentes e evitar controles tradicionais. Para as organizações isso implica que a verificação de identidade já não pode ser um trâmite; deve ser um processo contextual, resiliente e auditável.

Uma chave para reverter esta tendência é repensar o papel das senhas e dos fatores de autenticação. O uso generalizado de senhas estáticas, a reutilização entre serviços e os processos de incorporação laxos criam trajetórias de ataque que a automação maliciosa explora rapidamente. Relatórios técnicos como o DBIR da Verizon e análise jornalística especializada sobre o aumento do roubo de credenciais confirmam que a exposição é generalizada e que a defesa deve ser múltipla e coordenada.

Em primeiro lugar, é imprescindível priorizar MFA resistente ao phishing Em vez de soluções baseadas em SMS ou aprobações push susceptíveis a “prompt bombing” ou troca de SIM. A adoção de padrões como FIDO2 e WebAuthn, hardware tokens, ou passkeys reduz drasticamente a probabilidade de compromisso porque removem a transmissão de segredos reutilizáveis. Isso não significa abandonar as senhas da noite para a manhã, mas implementar um plano de transição que contemple a recuperação segura de contas e medidas provisórias para usuários em dispositivos não compatíveis.

O suporte técnico e as mesas de ajuda continuam sendo um vetor preferido pelos atacantes porque atuam como guardiões do acesso legítimo sob pressão. É fundamental aplicar Procedimentos rigorosos de verificação Antes de resets ou alterações críticas: verificar identidade com fatores múltiplos (não apenas informação pública), registrar as interações sensíveis, exigir autorização adicional para mudanças de MFA e usar ferramentas que integrem verificação automática no fluxo do helpdesk. Além disso, simular ataques de engenharia social e realizar exercícios específicos contra deepfakes e suplantação de voz ajuda a endurecer respostas humanas e técnicas.

A identidade já não pode ser avaliada apenas por “que conhece” o usuário; é preciso verificar também “desde o que” é acessado. Incorporar confiança do dispositivo às decisões de acesso —mediante MDM/EMM, EDR, certificados de dispositivo e avaliação do estado de adesivo — permite aplicar políticas diferenciais: acessos de baixo risco com controles mínimos e acessos críticos com step-up authentication ou bloqueio. Esta lógica de acesso condicional é o núcleo de um modelo de Zero Trust que reduz a superfície utilizável por credenciais roubadas.

As passkeys e o passwordless são uma alternativa promissora para reduzir a fricção e as janelas de exploração, mas não são uma panaceia. Sua adoção deve ser acompanhada de estratégias de recuperação robustas, governança sobre chaves privadas e formação a usuários para evitar que mecanismos de fallback (por exemplo, correio de recuperação) se tornem a nova fraqueza explorável. Projetar fluxos de transferência de dispositivos, backups seguros e controles administrativos para contas privilegiadas é parte essencial de qualquer implantação de passkeys.

A biometria oferece conveniência e barreira adicional, mas exige uma abordagem de proteção por design: nunca armazenar pegadas ou rostos em forma sem processar, preferir a verificação local no dispositivo, cifrar modelos biométricos e limitar seu uso a processos concretos. Para ambientes de grande segurança, tecnologias de preservação da privacidade como criptografia homomórfico e protocolos que permitem comparar sem expor dados subjacentes se aproximam de soluções práticas; no entanto, sua complexidade e custo requerem avaliações de risco e testes piloto antes de sua implantação massiva.

No plano operacional, é necessário complementar controles técnicos com detecção e resposta: monitoramento de padrões de início de sessão anormais, proteção de sessões e cookies, bloqueio de autenticações legacy, análise de credenciais comprometidas e exercícios regulares de resposta a incidentes que incluam cenários de suplantação assistida por IA. A formação contínua de usuários e equipamentos de suporte, juntamente com auditorias periódicas de políticas de acesso, geralmente oferece o maior retorno de investimento em redução de risco.

Para os responsáveis pela segurança, o primeiro passo prático é realizar um inventário de vectores de autenticação, mapear pontos fracos (helpdesk, contas privilegiadas, mecanismos de recuperação) e priorizar medidas que mitiguem o risco com maior impacto: implantar MFA phishing-resistente em contas críticas, aplicar confiança de dispositivo para acesso remoto e fechar canais inseguros como SMS OTP. Acompanhei estas medidas com testes reais, relatórios de métricas-chave e um plano de comunicação para usuários que reduza a fricção e melhore a adoção.

O aumento do roubo de credenciais nos lembra que a segurança de identidades exige uma abordagem multifacetada que combine tecnologia, processos e treinamento humano. Não há uma única solução milagrosa, mas uma estratégia coerente que combine MFA robusto, verificação rígida no suporte, confiança no dispositivo, passwordless bem governado e proteção de dados biométricos Coloca as organizações numa posição de vantagem frente às táticas cada vez mais automatizadas dos atacantes.