Grande parte dos incidentes cibernéticos recentes não começa com técnicas avançadas de invasão ou exploração sofisticada de vulnerabilidades. Em muitos casos, os criminosos entram nos ambientes corporativos utilizando credenciais legítimas, obtidas por phishing, vazamentos de dados, reutilização de senhas ou acessos esquecidos e sem monitoramento.
O cenário preocupa porque o acesso ocorre de forma aparentemente “normal”, dificultando a identificação imediata do comportamento malicioso. Segundo o relatório Data Breach Investigations Report (DBIR) 2025, da Verizon, o uso de credenciais comprometidas e a exploração de vulnerabilidades responderam por 42% das violações analisadas pela pesquisa.
Outro ponto crítico é o tempo necessário para detectar e conter um incidente. De acordo com o relatório Cost of a Data Breach 2024, da IBM, o ciclo médio para identificação e contenção de violações continua elevado, permitindo que invasores permaneçam ativos durante semanas ou meses sem serem percebidos.
Na prática, isso significa que muitos ataques atuais não dependem de “invadir” sistemas, no sentido tradicional. Os criminosos simplesmente utilizam acessos válidos para circular pela rede corporativa como usuários autênticos.
O problema das credenciais legítimas
O uso de credenciais válidas se tornou um dos principais vetores de acesso inicial porque elimina diversos alertas tradicionais de segurança. Quando o login ocorre com usuário e senha corretos, muitos controles entendem a atividade como legítima.
Esse cenário é ainda mais delicado em ambientes industriais e operações de Tecnologia Operacional (TO), onde frequentemente existem:
- Contas compartilhadas entre operadores;
- Acessos remotos de fornecedores;
- Sistemas legados sem revisão de privilégios;
- Usuários com permissões excessivas;
- Equipamentos sem autenticação moderna integrada.
Em diversos incidentes recentes, os invasores utilizaram credenciais verdadeiras para movimentação lateral, acesso remoto persistente e interrupção operacional sem precisar explorar vulnerabilidades complexas.
MFA ajuda, mas não resolve sozinho
A autenticação multifator (MFA) continua sendo uma medida importante de proteção e reduz significativamente ataques baseados apenas em senha. Porém, ela não elimina o problema.
Os grupos criminosos já utilizam técnicas capazes de contornar MFA em determinados cenários, como roubo de sessão autenticada, phishing em tempo real, engenharia social, aprovação indevida de notificações push, comprometimento de dispositivos já autenticados.
Além disso, muitos ambientes industriais ainda possuem limitações técnicas para implementação ampla de MFA em sistemas legados, aplicações críticas ou equipamentos operacionais.
Por esse motivo, as estratégias modernas de defesa contra violações de credenciais não devem se basear exclusivamente na autenticação.
A importância do monitoramento de comportamentos anômalos em TO
Em ambientes de Tecnologia Operacional (TO), o maior desafio muitas vezes não é apenas impedir o acesso, mas identificar comportamentos anormais utilizando contas aparentemente legítimas.
Um operador acessando sistemas fora do horário habitual, um fornecedor realizando conexões não previstas ou uma estação industrial iniciando comunicação diferente do padrão podem indicar um comprometimento em andamento.
É justamente nesse ponto que o monitoramento comportamental ganha relevância.A análise contínua de comportamento permite identificar desvios operacionais, padrões incomuns de acesso e movimentações incompatíveis com o perfil esperado de usuários, dispositivos e processos industriais.
Em infraestruturas críticas, detectar rapidamente esses comportamentos pode reduzir impactos operacionais, financeiros e até riscos à segurança física.
Segurança exige contexto, monitoramento e governança
O crescimento dos ataques utilizando credenciais válidas mostra que a segurança cibernética precisa evoluir além da lógica tradicional baseada apenas em bloqueio perimetral.
Autenticação forte é importante, mas deve estar integrada a:
- Gestão contínua de identidades e privilégios;
- Revisão periódica de acessos;
- Segmentação de redes;
- Monitoramento comportamental;
- Correlação de eventos de TI e TO;
- Resposta estruturada a incidentes.
Em ambientes industriais conectados, a combinação entre Tecnologia da Informação (TI) e Tecnologia Operacional (TO) amplia a necessidade de visibilidade operacional e detecção contínua de ameaças.
A TI Safe atua apoiando organizações na avaliação de maturidade, modelagem de riscos, monitoramento contínuo e proteção de infraestruturas críticas conectadas, utilizando a metodologia iCPS Cybersecurity para fortalecer ambientes de TI, TO e sistemas ciberfísicos diante dos desafios atuais da convergência entre automação industrial, IoT, inteligência artificial, computação em nuvem e infraestruturas críticas cada vez mais conectadas.
Fale com nossos especialistas e saiba como a TI Safe pode apoiar sua organização na implementação de estratégias avançadas de proteção cibernética.
