Pontos principais
- Os ataques de vishing aumentaram drasticamente, com grupos organizados utilizando técnicas de engenharia social de forma sistemática para obter acesso inicial por meio de centrais de atendimento.
- Os invasores passam rapidamente de contas de usuários comprometidas para identidades de máquina persistentes, como tokens OAuth e contas de serviço.
- A maioria das organizações carece de governança e visibilidade sobre identidades não humanas (NHI), criando um grande ponto cego de segurança.
- Readiness eficaz depende da correlação de sinais de identidade e do tratamento das identidades de máquinas como ativos de alto risco.
- A verdadeira resiliência requer a capacidade de detectar e reverter alterações não autorizadas de privilégios antes que os invasores estabeleçam persistência.
A equipe de suporte técnico acabou de receber uma ligação. Quem ligou sabia o nome do funcionário, o nome de seu gerente e os últimos quatro dígitos do número do crachá. Solicitou a redefinição da senha. Procedimento padrão. O representante de TI atendeu ao pedido.
Aquela ligação era uma fraude. E o invasor agora está dentro do sistema.
O phishing por voz – vishing – aumentou 449% em 2025. Grupos de adversários transformaram a engenharia social em uma operação escalável: recrutando operadores, elaborando roteiros e pagando de US$ 500 a US$ 1.000 por cada falsificação de identidade bem-sucedida no suporte técnico. Eles não estão atrás dos seus dados. Estão procurando um ponto de entrada.
Uma vez dentro, os invasores não se limitam à conta do usuário. Eles se movem lateralmente – roubando tokens OAuth, criando novas contas de serviço administrativo, incorporando acesso em credenciais da camada de máquina que ninguém monitora. Ao contrário das senhas dos usuários, essas credenciais raramente são alteradas. Elas não acionam alertas de login. Podem sobreviver a uma correção completa da conta do usuário originalmente comprometido.
Quando sua equipe de segurança encerra o ticket do incidente no help desk, o invasor pode já estar silenciosamente presente em seu ambiente há semanas. A lacuna de governança agrava ainda mais a situação.
Menos de 25% das organizações possuem políticas formais para a criação ou desativação de NHIs — as contas de serviço, chaves de API e tokens OAuth que agora superam em número os usuários humanos na proporção de 144 para 1. Quase todas elas possuem permissões que vão muito além do que sua função exige.
A maioria das organizações não tem praticamente nenhuma confiança em sua capacidade de detectar um ataque direcionado a essa camada. Isso não é uma falha de prevenção. É uma falha no planejamento da Recovery.
Como se apresenta a Readiness
Readiness significa correlacionar os sinais: uma interação com o suporte técnico seguida imediatamente por uma redefinição da autenticação multifatorial (MFA) ou pela criação de um novo token é um indicador de alta probabilidade de comprometimento.
Significa tratar as identidades das máquinas como ativos de Nível 0 – controlando sua criação, definindo o escopo de suas permissões e monitorando para evitar escalonamentos não autorizados. E significa ter a capacidade de detectar e reverter alterações maliciosas de privilégios rapidamente, antes que se tornem o novo normal.
Descubra como a resiliência de identidade da Commvault oferece suporte à detecção rápida, reversão e Recovery do seu ambiente de identidade.
Perguntas frequentes
P: O que é um ataque de vishing no contexto da segurança corporativa?
R: O vishing (phishing por voz) utiliza chamadas telefônicas para se passar por funcionários e manipular os serviços de suporte de TI a fim de obter acesso – normalmente por meio de redefinições de senha ou de autenticação multifatorial (MFA). Trata-se de uma prática cada vez mais industrializada, com grupos organizados recrutando operadores e utilizando roteiros pré-escritos para maximizar as taxas de sucesso.
P: Por que os invasores mudam o foco para identidades de máquinas após um ataque de vishing?
R: As contas de usuários são corrigidas. As identidades de máquina (NHIs) — tokens OAuth, contas de serviço, chaves de API — são mais persistentes e raramente são alteradas, muitas vezes ficando invisíveis ao monitoramento tradicional. A migração do acesso para a camada de máquina permite que os invasores mantenham essa persistência por muito tempo depois que a violação original das credenciais dos usuários é detectada e corrigida.
P: O que significa “resiliência de identidade” na prática?
R: Significa que sua organização pode ajudar a detectar alterações não autorizadas de privilégios quase em tempo real e auxiliar na restauração rápida do ambiente de identidades a um estado confiável. A detecção por si só não é suficiente — a capacidade de reverter atividades maliciosas e verificar se as identidades das máquinas não foram adulteradas (ou, caso tenham sido, revertê-las para um ponto anterior em que estavam em bom estado) é o que diferencia a Readiness da exposição.
Vidya Shankaran é diretora de tecnologia de campo da Commvault.
