O Think Ahead Report 2026, da SEK, coloca identidades, inteligência artificial e automação no centro da defesa corporativa. A análise das fontes mostra por que proteger credenciais exige também controlar permissões, sessões e integrações — sem tratar estatísticas de bases diferentes como equivalentes.
A segurança de identidades começa antes de uma senha ser digitada e continua depois da autenticação. Ela depende de quem pode criar uma conta, aprovar privilégios, recuperar um acesso ou conectar uma aplicação. Quando essas decisões falham, um invasor pode operar com uma identidade reconhecida pelo sistema, embora suas ações não sejam legítimas.
Esse é o eixo do Think Ahead Report 2026, da SEK. Em comunicado de 14 de setembro, fornecido à redação, a companhia atribui a identidades comprometidas 71% dos acessos iniciais registrados em incidentes reais em 2025. O indicador merece atenção, mas não deve ser apresentado como percentual de todos os ciberataques no mundo.
O que os números permitem afirmar
A metodologia descrita pela SEK combina dados de seus Centros de Defesa Cibernética, exercícios ofensivos na América Latina e pesquisas internacionais. O comunicado não detalha o tamanho da amostra nem os critérios de classificação dos 71%. Sem acesso à base original, o percentual permanece uma declaração atribuída à empresa, e não uma medida independentemente auditada nesta análise.
Uma referência verificável é o Unit 42 Global Incident Response Report 2026. Em sua própria base, técnicas relacionadas à identidade responderam por 65% dos acessos iniciais: 33% por engenharia social, 21% por uso indevido de credenciais e força bruta, e 11% por problemas de política de identidade e ameaças internas. Esses grupos não equivalem exclusivamente a senhas roubadas.
A distinção importa também para a linguagem: não se trata de “phishing resistente a MFA”, mas de ataques que procuram contornar determinados mecanismos de autenticação multifator ou sequestrar sessões. O mesmo relatório descreve o abuso de fluxos confiáveis de autenticação. Um acesso aceito tecnicamente não é, por si só, evidência de uma atividade autorizada pelo negócio.
As bases também divergem. No M-Trends 2026, a exploração de vulnerabilidades liderou os vetores iniciais, com 32% das intrusões investigadas. Portanto, os levantamentos reforçam a relevância das identidades, mas não sustentam abandonar correções ou afirmar que credenciais superaram vulnerabilidades em todos os ambientes.
Como uma identidade válida vira caminho de ataque
A autenticação verifica o controle de um autenticador; a autorização define quais operações a identidade pode executar. Essa separação ajuda a explicar o risco: uma senha roubada, um cookie de sessão capturado ou uma permissão excessiva podem abrir caminhos diferentes. Proteger apenas a tela de login deixa parte dessa cadeia sem cobertura.
Em um exemplo hipotético, um falso executivo convence o suporte a substituir seu fator de autenticação. O criminoso passa a usar o acesso recuperado e, se a conta tiver privilégios acumulados, consulta documentos e altera configurações. A fraude explora o processo de recuperação; não demonstra que todos os mecanismos de MFA foram tecnicamente quebrados.
Em outro cenário ilustrativo, uma integração de relatórios mantém uma chave permanente capaz de modificar dados, embora precise apenas consultá-los. O vazamento desse segredo transforma uma rotina administrativa em acesso indevido. O impacto depende tanto da credencial quanto do alcance das permissões: ler um conjunto restrito de registros é diferente de administrar todo o ambiente.
Esses exemplos traduzem uma recomendação de arquitetura: a organização deve limitar o que acontece depois da entrada. Revisar concessões, separar funções, restringir comunicações e registrar ações sensíveis ajuda a impedir que uma conta comprometida se transforme automaticamente em acesso amplo. Identidade é parte da defesa em profundidade, não substituta dela.
Máquinas e agentes de IA ampliam a responsabilidade
O 2026 Identity Security Landscape, da Palo Alto Networks, informa uma relação de 109 identidades de máquina por identidade humana em pesquisa com 2.930 líderes de cibersegurança. É um resultado da população pesquisada, não uma proporção obrigatória em toda empresa. A página primária consultada inclui agentes de IA nessa categoria, mas não confirma a decomposição de 79 agentes citada no comunicado.
Contas de serviço e identidades usadas por APIs e automações precisam ter proprietário, finalidade e permissões delimitadas. Um agente que consulta chamados, por exemplo, não deveria herdar automaticamente o direito de criar administradores. A pergunta relevante é qual autoridade foi delegada, por quanto tempo e com quais condições de interrupção.
A OWASP classifica a autonomia excessiva como risco em aplicações com modelos de linguagem. Instruções maliciosas podem influenciar um agente; permissões amplas ampliam as consequências. Limitar ferramentas e escopos, aplicar autorização nos sistemas de destino e exigir aprovação para ações de alto impacto reduz a dependência do comportamento do modelo.
Velocidade de ataque não é tempo de permanência
O Global Threat Report 2026, da CrowdStrike, registra 29 minutos de tempo médio de breakout para atividades de cibercrime em 2025: o intervalo entre acesso inicial e movimentação lateral. A empresa descreve aumento de 65% na velocidade em relação a 2024, e não redução de 65% na duração. O indicador tampouco significa controle completo da rede em 29 minutos.
Já o M-Trends informa mediana global de permanência de 14 dias, não média. Também registra detecção interna em 52% das investigações de 2025, frente a 43% em 2024. Assim, os 57% de descoberta externa do texto de referência não correspondem ao recorte mais recente apresentado pela fonte primária.
A SEK relata operação ativa por 42 dias em infraestrutura crítica sem acionar controles internos. Trata-se de exercício ofensivo, não de uma mediana de incidentes reais comparável à Mandiant. A lição operacional é testar se uma atividade indevida será percebida, investigada e contida, em vez de assumir que a existência de ferramentas garante detecção.
O impacto aparece nos processos de negócio
Uma conta financeira com acesso indevido pode viabilizar fraude; uma identidade administrativa pode permitir interrupções; uma integração com leitura ampla pode expor informações confidenciais. São cenários de risco, não consequências inevitáveis. A prioridade deve considerar o processo alcançável, a sensibilidade dos dados e a capacidade de desfazer alterações.
Essa leitura conecta as cinco frentes propostas pela SEK: identidade, risco humano amplificado por IA, automação defensiva, ecossistema digital e governança de IA. Como desdobramento prático, decisões sobre acessos de terceiros, privilégios de agentes e recuperação de contas precisam de responsáveis de negócio. Não deveriam depender exclusivamente da equipe que administra a ferramenta.
Segurança de identidades: controles antes e depois do login
O primeiro passo proposto é inventariar pessoas, contas técnicas, integrações e agentes, relacionando cada identidade a um responsável e à necessidade de acesso. Admissão, mudança de função e desligamento devem incluir revisão de concessões. No encerramento de um contrato, a análise precisa alcançar também credenciais e integrações mantidas pelo fornecedor.
Na autenticação, o NIST SP 800-63B-4 diferencia mecanismos resistentes a phishing daqueles baseados em segredos que podem ser retransmitidos. Soluções FIDO2/WebAuthn, como chaves de segurança e passkeys adequadamente implantadas, vinculam a autenticação ao serviço legítimo. Códigos de uso único não oferecem, isoladamente, essa mesma propriedade.
A proteção precisa incluir o cadastramento de novos autenticadores e a recuperação da conta. Para solicitações sensíveis, a recomendação é confirmar a identidade por meios previamente estabelecidos e exigir aprovação proporcional ao risco. Uma voz convincente ou uma conversa por vídeo não deve dispensar o procedimento definido pela organização.
Na camada de privilégios, devem ser reduzidas concessões permanentes e separados os acessos administrativos dos cotidianos. Acesso temporário, aprovação contextual e gestão de acessos privilegiados (PAM) podem limitar a exposição, desde que cubram os sistemas relevantes. Guardar senhas em um cofre não corrige, sozinho, permissões excessivas nas aplicações.
Para workloads, as boas práticas de IAM da AWS priorizam funções e credenciais temporárias, menor privilégio e remoção de acessos desnecessários. Onde segredos estáticos ainda forem indispensáveis, o tratamento deve incluir armazenamento seguro, escopo restrito e substituição controlada. A correção precisa preservar dependências legítimas, sem perpetuar credenciais expostas.
Contenção exige mais do que trocar a senha
Um procedimento de resposta deve distinguir credenciais, tokens e sessões de aplicação. A documentação do Microsoft Entra esclarece que revogar acesso envolve controles diferentes e pode depender da integração de cada aplicação. Desabilitar uma conta ou redefinir sua senha não permite presumir encerramento instantâneo de todas as sessões existentes.
Como roteiro operacional, a equipe deve identificar o escopo, preservar evidências e, conforme o caso, bloquear a identidade, revogar sessões e tokens, retirar concessões indevidas e corrigir o dispositivo ou processo de origem. A validação final precisa testar o acesso nos serviços afetados. Encerrar o incidente apenas porque a troca de senha foi concluída deixa uma lacuna de verificação.
A automação pode acelerar essas etapas, mas precisa de limites. Uma ação baseada em sinal confiável e de baixo impacto pode ser automática; suspender uma identidade que sustenta um processo crítico exige tratamento distinto. Supervisão humana significa oferecer contexto e autoridade de decisão, não pedir confirmações genéricas que acabam aprovadas mecanicamente.
Exercícios autorizados de Red Team e validações colaborativas com a defesa ajudam a medir o resultado. O roteiro pode acompanhar uma conta de teste desde a concessão de acesso até a detecção e a revogação efetiva. Escopo formal, limites de impacto, responsáveis e critérios de interrupção devem anteceder qualquer simulação.
Conclusão: governar o acesso, não apenas a entrada
O valor do alerta da SEK não depende de transformar os 71% em uma regra universal. A questão central é reconhecer que identidades humanas e não humanas carregam autoridade dentro da organização. Quando essa autoridade é concedida sem limites, revisada tarde ou revogada de maneira incompleta, o login deixa de representar uma barreira suficiente.
Uma estratégia de segurança de identidades deve combinar autenticação resistente a phishing, menor privilégio, governança de terceiros, controle de agentes e resposta verificável. Para a gestão, a pergunta decisiva passa a ser: qual processo uma identidade comprometida consegue afetar e quanto tempo a empresa leva para interromper esse acesso de verdade?
Referências
Think Ahead Report 2026
SEK AI Resilience
2026 Unit 42 Global Incident Response Report
2026 Identity Security Landscape — Chapter One
2026 CrowdStrike Global Threat Report: AI Accelerates Adversaries and Reshapes the Attack Surface
M-Trends 2026: Data, Insights, and Strategies From the Frontlines
NIST SP 800-63B-4: Digital Identity Guidelines — Authentication and Authenticator Management
Security best practices in IAM
Revoke user access in an emergency in Microsoft Entra ID
LLM06:2025 Excessive Agency
Soluções Mindsec
Be the first to comment