Gestão de Acessos: porque credenciais ainda são um dos maiores riscos
- 7 de jul.
- 6 min de leitura
por Fabio Mazine
Head de Defensive
Toda empresa depende de credenciais para funcionar.
Usuários acessam sistemas internos, administradores entram em servidores, desenvolvedores usam repositórios, equipes acessam plataformas em nuvem, fornecedores entram em portais e aplicações se conectam por APIs (interfaces usadas para integração entre sistemas).
O problema é que cada credencial também pode se transformar em uma porta de entrada.
Quando uma senha vaza, uma conta antiga continua ativa, um acesso privilegiado não é revisado ou uma autenticação depende apenas de usuário e senha, a empresa passa a confiar que ninguém indevido usará aquele caminho.
E essa é uma aposta perigosa.
Por que credenciais continuam sendo um risco tão relevante?
Credenciais são atrativas porque, quando funcionam, fazem o atacante parecer um usuário legítimo.
Em vez de explorar uma falha técnica complexa, o invasor pode simplesmente entrar usando uma conta válida. Isso reduz barreiras, dificulta a detecção e aumenta o risco de movimentação lateral (quando o atacante usa um acesso inicial para tentar alcançar outros sistemas dentro do ambiente).
Na prática, uma credencial comprometida pode permitir acesso a e-mails, sistemas financeiros, ambientes em nuvem, repositórios de código, bancos de dados, VPNs (redes privadas usadas para acesso remoto) e painéis administrativos. Por isso, gestão de acessos não é apenas uma questão operacional e sim uma frente central de redução de risco.
O problema não é só a senha fraca
Quando se fala em credencial, muita gente pensa apenas em senha fraca. Mas o problema costuma ser mais amplo. Uma empresa pode ter senhas complexas e, ainda assim, estar exposta.
Isso acontece quando:
Contas antigas continuam ativas depois que colaboradores mudam de área ou deixam a empresa.
Acessos privilegiados são concedidos sem revisão periódica.
Sistemas críticos não exigem MFA (autenticação multifator, quando o acesso exige mais de uma forma de validação).
Usuários acumulam permissões ao longo do tempo.
Fornecedores mantêm acessos ativos mesmo após o fim de um contrato.
Aplicações usam chaves de API (credenciais técnicas usadas por sistemas) sem rotação ou monitoramento.
Contas compartilhadas impedem rastreabilidade, ou seja, a empresa não consegue saber quem fez determinada ação.
O risco, portanto, não está apenas na senha. Está na falta de governança sobre o ciclo de vida do acesso.
O que é gestão de acessos?
Gestão de acessos é o conjunto de processos e controles que define quem pode acessar quais recursos, por quanto tempo, com qual nível de permissão e sob quais condições.
Ela envolve três perguntas simples:
Quem é essa pessoa ou sistema?
O que ela pode acessar?
Esse acesso ainda faz sentido?
Uma gestão madura considera todo o ciclo de vida da identidade, desde a criação da conta até sua alteração, revisão e remoção. Isso inclui, também, entrada de novos colaboradores, mudanças de função, desligamentos, acessos emergenciais, contas de fornecedores, contas administrativas e identidades não humanas, como robôs, aplicações e integrações.
Quando esse processo não existe ou não é acompanhado de forma recorrente, a empresa passa a acumular acessos desnecessários. E acesso desnecessário é superfície de ataque.
Privilégio excessivo aumenta o impacto do incidente
É importante ressaltar, que nem todo acesso tem o mesmo risco. Uma conta comum pode causar impacto limitado. Já uma conta privilegiada pode permitir alteração de configurações, criação de novos usuários, acesso a bases de dados, desativação de logs (registros de atividade), remoção de controles e movimentação para outros ambientes.
Por isso, uma boa prática é aplicar o princípio do menor privilégio. Isso significa conceder apenas o acesso necessário para que a pessoa ou sistema execute sua função, nada além disso. Também é importante revisar acessos periodicamente. Um acesso que fazia sentido há seis meses pode não fazer mais sentido hoje.
Sem revisão, as permissões se acumulam. O colaborador pode até mudar de função, mas continua como acesso a sistemas antigos. O fornecedor conclui o projeto, mas a conta continua ativa. O administrador temporário vira administrador permanente.
Esse acúmulo cria risco silencioso.
MFA reduz risco, mas precisa ser bem aplicado
A autenticação multifator é uma das medidas mais importantes para proteger credenciais. Segundo a CISA, agência de segurança cibernética dos Estados Unidos, o uso de MFA torna contas 99% menos propensas a serem invadidas. Isso acontece porque, mesmo que a senha seja comprometida, o atacante ainda precisa vencer uma segunda camada de validação, como aplicativo autenticador, chave física ou biometria. Mas o MFA precisa ser aplicado nos lugares certos.
A prioridade deve ser dada a contas administrativas, VPNs, e-mail corporativo, ambientes em nuvem, sistemas financeiros, aplicações críticas e painéis expostos à internet. Também é importante lembrar que nem todo MFA oferece o mesmo nível de proteção. Métodos resistentes a phishing (técnicas que reduzem o risco de o usuário entregar o fator de autenticação em uma página falsa), como chaves de segurança e passkeys, tendem a ser mais robustos do que códigos por SMS.
O ponto principal é simples: depender apenas de senha deixou de ser aceitável para acessos críticos.
Exemplo real: Colonial Pipeline
Um dos exemplos mais conhecidos do impacto de credenciais comprometidas ocorreu em 2021, no ataque de ransomware contra a Colonial Pipeline, empresa responsável por uma parte importante do abastecimento de combustíveis na Costa Leste dos Estados Unidos.
Segundo a CISA, o ataque de ransomware à Colonial Pipeline, em 7 de maio de 2021, teve grande repercussão e gerou cenas de filas em postos de gasolina. Em depoimento ao Senado dos Estados Unidos, o CEO da empresa afirmou que o ataque ocorreu por meio de um sistema legado de VPN que não tinha autenticação multifator. A Reuters reportou esse depoimento e destacou que o acesso podia ocorrer apenas com senha, sem uma segunda etapa de validação.
Esse caso mostra um ponto essencial: uma credencial não protegida adequadamente pode gerar impacto muito além da área técnica. O problema não fica restrito ao login. Ele pode afetar operação, abastecimento, receita, reputação, comunicação de crise e confiança pública.
O que a ISO 27001 ajuda a organizar
A ISO 27001 trata segurança da informação como gestão. Isso é importante porque gestão de acessos não se resolve apenas com uma ferramenta. É necessário definir política, responsabilidade, processo, evidência e revisão.
No contexto de uma avaliação de maturidade, o pilar de acessos e identidades deve verificar se a empresa possui autenticação centralizada, MFA nos ambientes críticos, revisão periódica de acessos, controle de privilégios, rastreabilidade e remoção de contas desnecessárias.
A pergunta não é “temos usuários cadastrados?”. A pergunta é: sabemos quem acessa o quê, por que acessa e se esse acesso ainda deveria existir?
Sinais de que a gestão de acessos precisa evoluir
Alguns sinais indicam que a empresa ainda está exposta:
Não existe revisão periódica de acessos.
Contas administrativas são usadas no dia a dia.
MFA não está habilitado em sistemas críticos.
Não há processo claro de remoção de acessos em desligamentos.
Fornecedores mantêm contas ativas após o fim do contrato.
Existem contas compartilhadas entre usuários.
Chaves de API ficam armazenadas em repositórios ou planilhas.
A empresa não sabe quais usuários têm privilégios elevados.
Logs de acesso não são analisados ou não estão disponíveis.
Esses pontos indicam que a segurança ainda depende mais da confiança do que do controle.
Como começar a reduzir o risco
O primeiro passo é mapear os acessos críticos. Não é necessário resolver tudo de uma vez. Comece pelos sistemas que sustentam a operação, armazenam dados sensíveis ou permitem administração do ambiente.
Depois, algumas ações práticas ajudam a criar uma base mais segura:
Habilitar MFA nos acessos críticos.
Revisar contas privilegiadas.
Remover usuários inativos.
Eliminar contas compartilhadas sempre que possível.
Definir responsáveis por aprovar acessos.
Criar processo claro para entrada, mudança de função e desligamento.
Revisar acessos de fornecedores.
Registrar e monitorar acessos administrativos.
Aplicar o princípio do menor privilégio.
Essas ações reduzem risco sem depender de grandes transformações iniciais.
Com o tempo, a empresa pode evoluir para IAM (gestão de identidades e acessos), PAM (gestão de acessos privilegiados) e automações de revisão e provisionamento (criação, alteração e remoção automática de contas).
Mas a maturidade começa antes da ferramenta. Começa pela visibilidade.
Gestão de acessos também protege dados
Credenciais dão acesso a dados. Por isso, uma falha de acesso pode se transformar em incidente de privacidade. A LGPD prevê sanções administrativas que podem incluir multa simples de até 2% do faturamento da pessoa jurídica, limitada a R$ 50 milhões por infração.
Mas, novamente, a multa é apenas uma parte do problema. O impacto pode envolver investigação, comunicação a titulares, comunicação à autoridade, custos jurídicos, perda de confiança e desgaste comercial.
Controlar acessos é uma forma direta de reduzir esse risco.
Conclusão
Credenciais continuam sendo um dos maiores riscos porque representam o caminho mais direto entre o atacante e os ativos críticos da empresa. Quando a gestão de acessos é frágil, a organização perde visibilidade sobre quem pode acessar o quê, quais privilégios estão acumulados e quais contas já deveriam ter sido removidas.
Uma gestão madura de acessos reduz a chance de invasão, limita o impacto de uma credencial comprometida e melhora a capacidade de resposta.
No fim, a pergunta que toda empresa precisa responder é simples:
Se uma credencial for comprometida hoje, até onde ela levaria?
Comentários