Quando o acesso é legítimo, como saber que há um ataque?

Durante muito tempo, uma das perguntas centrais da segurança cibernética foi: quem está tentando entrar? Hoje, uma pergunta igualmente importante é: e se o invasor já estiver entrando como alguém autorizado?

Fornecedores de software, empresas de suporte, integradores, plataformas SaaS, aplicações e prestadores de serviços precisam acessar ambientes corporativos todos os dias. São identidades legítimas, com permissões legítimas, executando atividades que, na maior parte do tempo, também são legítimas.

É justamente isso que torna esse tipo de ataque tão difícil de identificar. O Microsoft Digital Defense Report 2025 mostra que os ataques baseados em identidade cresceram 32% apenas no primeiro semestre de 2025. O relatório também aponta o abuso de contas válidas como uma técnica frequentemente observada, presente em 17% dos ataques analisados.

O problema, portanto, já não é apenas impedir uma entrada não autorizada. É conseguir perceber quando um acesso autorizado começa a se comportar como uma ameaça.

Leia também: Marketing, Operações, IA e Vendas: as viradas na carerira e a coragem de aprender de Marcelle Paiva

Credencial válida não significa comportamento legítimo

Imagine um prestador que normalmente acessa três servidores, durante o horário comercial, para executar uma rotina específica de manutenção.

Se aquela mesma identidade começa, de madrugada, a consultar dezenas de sistemas, buscar informações que nunca acessou, elevar privilégios ou movimentar volumes incomuns de dados, a credencial continua válida.

O comportamento, não. Essa diferença é cada vez mais relevante porque os atacantes aprenderam que agir como um usuário legítimo pode ser mais eficiente do que tentar romper controles de segurança.

A Microsoft relata, inclusive, casos em ambientes de nuvem nos quais criminosos conseguiram conduzir ataques utilizando identidades comprometidas como se fossem usuários ou recursos legítimos, manipulando aquilo que aquela identidade já estava autorizada a acessar.

O desafio deixa de ser somente “quem entrou?” e passa a ser “o que essa identidade está fazendo depois que entrou?”.

Quanto mais normal parecer, mais difícil pode ser detectar

O M-Trends 2026, da Mandiant, reforça essa mudança. Baseado em mais de 500 mil horas de investigações realizadas ao longo de 2025, o levantamento mostra que grupos sofisticados estão priorizando credenciais legítimas, dispositivos pouco monitorados e funcionalidades nativas das próprias redes para permanecer nos ambientes sem chamar a atenção.

O tempo mediano entre a invasão e a detecção também voltou a crescer: passou de 11 para 14 dias globalmente. Em determinados ataques de espionagem e casos envolvendo trabalhadores de TI ligados à Coreia do Norte, a mediana chegou a 122 dias.

Isso ajuda a entender por que olhar apenas para eventos isolados pode ser insuficiente.

Fazer login é normal. Consultar uma base é normal. Utilizar uma ferramenta administrativa pode ser normal. Transferir um arquivo também pode ser normal.

O risco aparece no contexto. Um login autorizado seguido por elevação de privilégio, acesso incomum a um repositório e movimentação atípica de dados conta uma história completamente diferente daquela apresentada por cada evento separadamente.

O problema não está apenas no endpoint

Outro dado do M-Trends 2026 merece atenção. A Mandiant recomenda ampliar a visibilidade para além dos endpoints tradicionais porque atacantes vêm explorando equipamentos de borda, infraestrutura de virtualização, protocolos de autenticação e outros ambientes que nem sempre estão cobertos pelas ferramentas convencionais de endpoint.

Isso muda também o papel de um SOC. Não basta receber milhares de alertas independentes. É necessário correlacionar informações de identidade, endpoints, rede, aplicações em nuvem, VPNs, sistemas de autenticação e infraestrutura para identificar padrões que individualmente poderiam parecer legítimos.

O objetivo é conseguir responder não apenas se determinada atividade é permitida, mas se ela faz sentido para aquela identidade, naquele momento e naquele contexto.

Zero Trust também vale para fornecedores

Quando empresas ampliam seus ecossistemas digitais, ampliam também o número de identidades que precisam administrar.

E isso inclui terceiros. O modelo de Zero Trust parte justamente do princípio de que confiança não deve ser permanente. Na prática, isso envolve aplicar menor privilégio, autenticação multifator, segmentação, revisão de contas de serviço, limitação temporal de acessos e monitoramento contínuo.

Também exige responder perguntas bastante concretas: quais fornecedores conseguem acessar o ambiente? A quais recursos? Por qual motivo? Com quais privilégios? E aquele acesso ainda é necessário?

Sistemas são substituídos, projetos terminam, profissionais mudam e as integrações permanecem. Uma identidade esquecida pode continuar válida muito depois de perder sua finalidade operacional.

Segurança precisa aprender a desconfiar do que parece normal

A digitalização tornou inevitável a existência de ambientes conectados a fornecedores, aplicações SaaS, APIs e diferentes serviços externos.

O caminho não é fechar essas conexões, mas sim mudar a forma como confiamos nelas. Em um ambiente no qual atacantes conseguem utilizar identidades legítimas e ferramentas legítimas, autenticar alguém já não encerra a análise de segurança. Em muitos casos, é justamente ali que ela começa.

A próxima invasão pode não gerar dezenas de tentativas de senha nem disparar imediatamente um bloqueio no firewall. Ela pode entrar autenticada, usar ferramentas conhecidas e parecer apenas mais um usuário trabalhando.

Reconhecer o ataque quando tudo parece normal talvez seja hoje um dos maiores desafios de um SOC.

Siga o IT Forum no LinkedIn e fique por dentro de todas as notícias!