A Verdade Assustadora Sobre a Confiança: Por que Estar "Verificado" Não Significa que Você Está Seguro

Vamos falar sobre algo que tira o sono dos profissionais de segurança. Não é o hacker de capuz que você vê nos filmes. Não é algum exploit sofisticado de "zero-day". É algo muito mais simples e infinitamente mais perigoso: a suposição de que verificar a identidade é o mesmo que verificar a autenticidade.

Eu me deparei com este estudo de caso fascinante (e um pouco assustador) recentemente, e não consigo parar de pensar nele. Uma empresa — vamos chamá-la de uma empresa de médio porte típica — passou por não um, não dois, mas TRÊS incidentes de segurança distintos ao longo de quatro meses. Aqui está o detalhe: nenhum deles envolveu invadir redes ou explorar bugs de software. Em todas as vezes, o invasor simplesmente se tornou alguém em quem a empresa já confiava.

Isso é... na verdade, muito inquietante quando você para para pensar.

A Senha Era Perfeita. A Pessoa Não Era.

A questão com a segurança tradicional é a seguinte: tratamos a autenticação como um problema de fechadura e chave. Consiga a senha correta, passe na verificação de MFA e pronto — você está dentro. Mas e se a fechadura estiver funcionando exatamente como projetado, e a pessoa que passa por ela simplesmente... não for quem diz ser?

Os casos aos quais me refiro mostraram três variações diferentes deste exato problema. Primeiro, houve um CFO que recebeu uma chamada do "suporte de TI" sobre uma atividade suspeita em sua conta. O identificador de chamadas mostrava um número interno. O interlocutor conhecia o provedor de MFA da empresa. Eles sabiam que o CFO estava viajando (porque ele postou sobre isso nas redes sociais, porque é claro que ele postou — todos nós postamos). Eles tinham até informações de antigos vazamentos de dados circulando na dark web.

Tudo o que precisavam era que ele ditasse um código de verificação. E ele ditou.

Em vinte minutos, alguém estava usando o e-mail dele para solicitar pagamentos urgentes. O único motivo pelo qual o dinheiro não se moveu? Um especialista atento em contas a pagar achou que o pedido parecia "estranho" e ligou diretamente para ele. Esse instinto humano salvou o dia.

Confie, Mas Verifique (Exceto Quando Você Não Confia)

O que mais me impressiona nesses incidentes não é a sofisticação dos ataques — é o quão tediosos eles pareceriam para a maioria dos sistemas de segurança. As credenciais estavam corretas. A autenticação passou. As sessões eram válidas.

Mas, em algum momento do caminho, esquecemos que a verificação não é apenas marcar caixas de verificação. É confirmar que o humano do outro lado é realmente quem diz ser — e que ele tem um motivo legítimo para estar fazendo o que está fazendo.

O segundo incidente envolveu uma contratação remota que parecia completamente legítima. Ótimo currículo. Referências credíveis. Portfólio sólido. Mas aqui está o detalhe: nada disso é difícil de roubar. A pessoa acabou sendo alguém usando a identidade de um engenheiro real, com referências completamente fabricadas, operando do exterior usando laptops da empresa enviados para um apartamento alugado.

O único motivo pelo qual isso foi detectado? Alguém notou que o laptop estava mais ativo durante o período da noite. Só isso. Sem detecção sofisticada. Apenas alguém prestando atenção em algo que parecia um pouco estranho.

O Problema de Sessão de Que Ninguém Fala

E há o terceiro incidente, que eu acho ser a ameaça mais negligenciada na segurança moderna. A conta de uma executiva foi acessada da Romênia. Ela estava dormindo em Ohio na hora.

A senha dela não foi comprometida. O MFA dela não foi contornado. Em vez disso, um malware em um computador doméstico compartilhado coletou os cookies de sessão do navegador dela. O invasor passou direto pela porta digital, aparecendo como um usuário autenticado perfeitamente legítimo.

Este é o segredo sujo da autenticação baseada em sessão: uma vez que você está dentro, muitas vezes você permanece dentro. Os tokens de sessão podem permanecer válidos por horas ou até dias. E, ao contrário das senhas, eles não são algo que os usuários possam proteger ou rotacionar facilmente.

Então, Qual é a Lição Real?

Eu não acho que a lição aqui seja "seja mais paranoico" (embora, honestamente, um pouco de paranoia saudável nunca faz mal). Acho que a verdadeira percepção é sobre a lacuna entre a verificação de identidade e a confirmação de confiança.

A maioria das organizações ficou muito boa na primeira parte. Verificamos credenciais, aplicamos o MFA, marcamos as caixas. Mas a segunda parte — confirmar continuamente se alguém ainda está autorizado e agindo de forma apropriada — é onde falhamos.

Os casos que estou discutindo tinham algo mais em comum: foram detectados por humanos ou sistemas projetados por humanos que buscavam anomalias comportamentais, não apenas falhas de autenticação. Um colega que questionou um pedido incomum. Um analista que notou padrões de trabalho estranhos. Um sistema automatizado que sinalizou uma "viagem impossível".

Controles técnicos são necessários. Mas não são suficientes. O verdadeiro multiplicador de segurança é construir uma cultura onde as pessoas se sintam capacitadas para questionar coisas que parecem erradas — mesmo quando as credenciais estão corretas.

Porque aqui está a verdade desconfortável: no cenário de ameaças de hoje, o maior risco de segurança pode não ser o invasor do lado de fora dos seus muros. Pode ser a identidade de aparência perfeitamente válida que já está dentro deles.

Fiquem vigilantes, amigos.

Tags: ['identity-security', 'social-engineering', 'business-security', 'remote-work-security', 'authentication']