Pontos principais
- As identidades não humanas (NHIs) já superam em muito o número de usuários humanos e estão crescendo a um ritmo muito mais acelerado, criando uma superfície de ataque significativa e insuficientemente regulamentada.
- Os invasores recorrem cada vez mais à engenharia social, como o phishing por voz (vishing), para contornar as defesas humanas e obter acesso às credenciais na camada da máquina.
- A maioria das NHIs opera com permissões excessivas e carece de um gerenciamento adequado do ciclo de vida, o que contribui para o acúmulo de “dívida de identidade”.
- As ferramentas tradicionais de segurança não conseguem detectar ameaças na camada de máquina porque os NHIs se comportam de maneira diferente dos usuários humanos.
- As organizações devem abandonar estratégias que priorizam a prevenção e adotar abordagens que priorizem a recuperação, dando prioridade à detecção rápida e à neutralização de ataques baseados em identidade.
Na última década, os investimentos em segurança corporativa mantiveram o foco no ser humano. Melhor autenticação. Autenticação multifatorial (MFA) mais robusta. Simulação de phishing. Arquitetura centrada na identidade. Esses investimentos foram a resposta correta ao cenário de ameaças da época. O panorama das ameaças mudou.
Os adversários mais sofisticados de hoje não estão tentando burlar sua MFA. Eles a estão usando como porta de entrada. Uma ligação convincente para o suporte técnico de TI, uma redefinição da MFA e uma conta humana comprometida – essa é a porta de entrada. O que eles realmente buscam é o que está por trás disso: a extensa e mal regulamentada camada de NHIs que conecta todos os sistemas em seu ambiente.
A dimensão do problema é impressionante
Contas de serviço, chaves de API, tokens OAuth, agentes de IA – as NHIs agora superam os usuários humanos na proporção de 144 para 1 e estão crescendo de 4 a 10 vezes mais rápido do que as contas humanas. No entanto, menos de 25% das organizações possuem políticas formais que regem sua criação ou desativação. Quase todas elas possuem permissões excessivas – direitos que excedem em muito o que sua função exige.
Esse não é um risco novo que surgiu do nada. Trata-se de uma dívida acumulada em matéria de identidade: anos de provisionamento sem governança, automação sem prestação de contas e nuvem sem visibilidade. E os adversários perceberam isso.
O vishing é o ponto de entrada
Grupos como ShinyHunters e Scattered Spider — operando sob o que os pesquisadores chamam de cluster Scattered LAPSUS$ Hunters (SLH) — industrializaram a engenharia social para explorar exatamente essa lacuna. O phishing por voz cresceu 449% em 2025. Não se trata de ligações oportunistas. São operações coordenadas: roteiros criados especificamente para esse fim, operadores recrutados, incentivos financeiros de até US$ 1.000 por falsificação de identidade bem-sucedida no suporte técnico.
A ligação não é o ataque. A ligação é a redefinição de credenciais que permite ao invasor ultrapassar o perímetro humano. O ataque começa quando ele migra para a camada de máquina — roubando tokens OAuth, criando contas de serviço administrativas e incorporando acesso a credenciais que raramente são monitoradas e quase nunca são renovadas. A conta humana é corrigida. O acesso na camada de máquina persiste. O invasor já seguiu em frente.
Três vulnerabilidades que os controles tradicionais não conseguem detectar
As ferramentas de segurança padrão são projetadas com base no comportamento humano. Elas sinalizam logins anômalos, geolocalização incomum e tráfego de e-mail suspeito. Os NHIs operam de maneira diferente, e essa diferença é o ponto cego.
O abuso do OAuth, por exemplo, se assemelha ao tráfego normal de API — mesmo após uma redefinição de senha. Milhares de contas de serviço não documentadas operam em grandes empresas com privilégios administrativos, muitas vezes muito tempo depois que os projetos que as criaram foram encerrados. Chaves de API de longa duração incorporadas em pipelines de DevOps conferem amplo acesso sem contexto de dispositivo e sem alerta de login. A autenticação multifatorial (MFA) não os protege. A detecção em terminais não os identifica. A filtragem de e-mails não surte efeito sobre eles.
A mudança de paradigma: da abordagem centrada na prevenção para a abordagem centrada na recuperação
A resposta lógica a uma ameaça que muitas vezes escapa à detecção tradicional é deixar de presumir que é possível impedir todas as invasões e começar a planejar uma recuperação rápida diante daquelas que conseguem se concretizar. Isso significa tratar os NHIs como ativos de Nível 0 — com os mesmos controles de governança aplicados aos administradores de domínio ou aos planos de nuvem gerenciados com identidades humanas. Significa substituir segredos estáticos por tokens de curta duração e rotação automática.
Isso também significa correlacionar sinais entre domínios: uma interação com o suporte técnico seguida por uma redefinição da autenticação multifatorial (MFA) e, em seguida, pela criação de um novo token é um indicador de alto grau de confiança de que houve comprometimento, e detectá-lo precocemente faz a diferença entre a contenção e uma violação prolongada. Significa mapear os NHIs às identidades humanas para fins de responsabilização.
Acima de tudo, isso significa ter a capacidade de detectar escaladas de privilégios não autorizadas e reverter alterações maliciosas de identidade em tempo real — restaurando o ambiente a um estado conhecido e confiável antes que os danos se agravem.
A prevenção continua sendo importante. Mas, dada a lacuna de governança que muitas organizações apresentam, a velocidade de recuperação está se tornando um indicador primordial de resiliência. As organizações devem desenvolver programas de identidade projetados para os ataques que já estão ocorrendo, e não para aqueles que eram comuns há cinco anos. Visite o Readiverse e confira nosso e-book *A Crise de Identidade Não Humana*, que explora todo o escopo da superfície de ataque das máquinas e a estrutura para a resiliência da identidade.
Perguntas frequentes
P1: O que são identidades não humanas (NHIs)?
R: As NHIs incluem contas de serviço, chaves de API, tokens OAuth e agentes de IA que permitem que sistemas e aplicativos interajam. Ao contrário dos usuários humanos, elas costumam operar automaticamente e em grande escala, o que torna mais difícil monitorá-las e controlá-las.
P2: Por que as NHIs são consideradas um risco à segurança?
R: As NHIs costumam ter permissões excessivas e carecem de governança adequada, o que as torna alvos atraentes para invasores. Como raramente são monitoradas ou têm suas credenciais atualizadas, as credenciais comprometidas podem permanecer sem serem detectadas por longos períodos.
P3: Como os invasores exploram as NHIs?
R: Os invasores geralmente obtêm acesso inicial por meio de engenharia social, como phishing por voz, e depois avançam para a camada de máquina. Eles roubam tokens, criam novas contas de serviço ou incorporam acesso persistente em credenciais que não são monitoradas de perto.
P4: Por que as ferramentas tradicionais de segurança não detectam essas ameaças?
R: A maioria das ferramentas de segurança é projetada para monitorar o comportamento humano, como anomalias no login ou tentativas de phishing. Os NHIs geram tráfego de sistema que parece normal, o que permite que atividades maliciosas se misturem às operações legítimas.
P5: O que se entende por uma abordagem de segurança que prioriza a recuperação?
R: Uma abordagem que prioriza a recuperação concentra-se na detecção rápida de violações e na restauração dos sistemas a um estado confiável, em vez de partir do princípio de que todos os ataques podem ser evitados. Isso inclui identificar alterações não autorizadas e revertê-las em tempo real.
P6: Como as organizações podem melhorar a segurança do NHI?
R: As organizações podem tratar os NHIs como ativos essenciais, implementar políticas rigorosas de governança, substituir credenciais estáticas por tokens de curta duração e correlacionar sinais entre sistemas. O mapeamento dos NHIs aos seus proprietários humanos também melhora a prestação de contas e a supervisão.
Vidya Shankaran é diretora de tecnologia de campo da Commvault.
