Pontos principais
- A engenharia social no suporte técnico tornou-se atualmente um dos principais pontos de entrada, com os ataques de vishing (phishing por voz) aumentando rapidamente e levando ao comprometimento de credenciais.
- Identidades não humanas, como contas de serviço e tokens, constituem um grande ponto cego de segurança, muitas vezes não gerenciadas e amplamente exploradas para movimentação lateral.
- O Active Directory (AD) é um alvo de grande valor devido ao seu controle centralizado e às possíveis configurações incorretas.
- A prevenção por si só não é suficiente; as organizações precisam de recursos robustos de detecção e recuperação rápida para limitar os danos.
- Medidas operacionais imediatas — como a auditoria de contas e a correlação entre as atividades do suporte técnico e as alterações de identidade — podem reduzir significativamente o risco.
O AD continua sendo um dos principais alvos dos invasores, pois está no centro da identidade corporativa. Pesquisas recentes mostram que 67% dos incidentes envolvem atualmente violações relacionadas à identidade, com os invasores atacando sistemas críticos, como o AD, poucas horas após o acesso inicial. Uma vez comprometido, a recuperação pode levar dias ou semanas — causando uma interrupção significativa nas atividades da empresa.
A questão que vale a pena levantar não é se o AD é um alvo. É como os invasores chegam até lá — e por que o caminho é muito mais curto do que as equipes de segurança poderiam imaginar.
3 Passos para um Comprometimento Total
Grupos de adversários como ShinyHunters e Scattered Spider transformaram a engenharia social em uma operação de produção. O phishing por voz – vishing – aumentou 449% em 2025. Os operadores de chamadas são recrutados, recebem roteiros e são pagos em até US$ 1.000, dependendo do sucesso e da taxa de acerto.
Isso significa que é possível iniciar um ataque com apenas um passo: solicitar a redefinição de uma senha ou uma alteração na autenticação multifatorial (MFA). É só isso.
A partir dessa única credencial, o invasor se move lateralmente para ambientes em nuvem e virtualizados. Ele coleta tokens OAuth, cria novas contas de serviço administrativas e incorpora o acesso por meio de credenciais na camada da máquina. Essas identidades não humanas – contas de serviço, chaves de API, tokens – agora superam os usuários humanos na proporção de 144 para 1. A expansão descontrolada e a sobrecarga operacional dificultam a rotação e a auditoria. Esse movimento lateral tem um destino: o Active Directory.
A publicidade é o alvo
O AD é o sistema nervoso central da identidade corporativa. Controle-o e você controlará tudo – contas de usuário, políticas de grupo e acesso a todos os sistemas associados ao domínio na rede. A razão pela qual ele é tão atraente para os invasores – e tão difícil de defender – é estrutural. Qualquer usuário autenticado pode ler o diretório inteiro. Todos os sistemas associados ao domínio herdam a confiança dele.
Os Objetos de Política de Grupo vinculados à raiz do domínio podem ser usados como arma para desativar completamente os controles de segurança. Protocolos legados mantidos ativos para compatibilidade de aplicativos oferecem acesso direto. A própria documentação da Microsoft afirma que “a maioria dos ataques à identidade utiliza configurações incorretas comuns no Active Directory”. Quando um invasor chega ao Active Directory, ele não precisa forçar a entrada. A porta geralmente está aberta.
A prevenção é necessária, mas não suficiente
A pilha de segurança padrão — MFA, detecção de endpoints, filtragem de e-mail — é construída com base no comportamento humano. Ela não foi projetada para controlar a camada de identidade das máquinas nem para detectar o tipo de escalada de privilégios lenta e aparentemente legítima que caracteriza os ataques modernos ao AD. Um invasor que passa de uma conta humana comprometida para uma conta de serviço e, em seguida, para um administrador de domínio ao longo de 72 horas pode nunca acionar um único alerta.
É por isso que o foco da discussão deve passar de “prevenção em primeiro lugar” para “recuperação em primeiro lugar”. A prevenção continua sendo importante. Acesso com privilégios mínimos, auditoria das alterações no AD, fortalecimento das configurações padrão e desativação de contas inativas — essas medidas podem ajudar a reduzir a superfície de ataque. Mas, considerando que metade das organizações já sofreu um ataque ao AD, projetar com foco apenas na prevenção significa projetar para o fracasso.
A verdadeira resiliência de identidade requer a capacidade de detectar escaladas de privilégios não autorizadas quase em tempo real, reverter alterações maliciosas antes que elas se propaguem e restaurar o ambiente de identidade a um estado conhecido e confiável rapidamente — não em dias ou semanas, mas com rapidez suficiente para conter o alcance do impacto. Isso significa tratar o AD e a camada de identidades não humanas como ativos de Nível 0, com o mesmo investimento em governança e recuperação que você aplicaria a qualquer outro sistema de missão crítica.
O que fazer agora mesmo para garantir a resiliência da identidade
A lacuna entre onde a maioria das organizações se encontra e onde precisa estar em termos de resiliência de identidade é real. Mas é possível preenchê-la. As prioridades imediatas são pouco glamorosas e operacionais:
- Faça uma auditoria no conteúdo do seu AD.
- Identifique as contas que não deveriam mais existir.
- Altere as credenciais que não são utilizadas há anos.
- Correlacione a atividade do help desk com os eventos de criação de tokens e contas.
Uma interação com o suporte técnico seguida de uma redefinição da autenticação multifatorial (MFA) e, em seguida, da criação de uma nova conta de serviço é um sinal altamente confiável de ataque — e é detectável se você estiver atento a isso.
O trabalho de longo prazo é de natureza estrutural: incorpore resiliência ao seu programa de identidade para que, quando um ataque for bem-sucedido — e geralmente é uma questão de “quando”, não de “se” —, você possa contê-lo, reverter seus efeitos e tentar restaurar a confiança mais rapidamente do que o invasor consegue consolidar sua posição.
Os invasores contam com o fato de que seu AD não é governado, suas identidades de máquina são invisíveis e seu plano de recuperação é meramente teórico. Preencha uma dessas lacunas neste trimestre. Preencha todas as três e você terá mudado fundamentalmente a equação. Saiba como o Commvault Cloud oferece proteção abrangente para o AD — desde a avaliação de vulnerabilidades até a reversão com um clique e a recuperação completa da floresta.
Recentemente, participei do podcast STRIVE com Vidya Shankaran para discutir a lacuna de governança para identidades não humanas. Confira nosso episódio aqui. E não deixe de ler o blog da Vidya, “O ponto cego da identidade de máquina agora é uma superfície de ataque primária”.
Perguntas frequentes
P: Por que os serviços de suporte estão se tornando um grande risco à segurança? R: Os serviços de suporte técnico geralmente são responsáveis por redefinir senhas e alterar configurações de autenticação multifatorial (MFA), o que os torna alvos atraentes para ataques de engenharia social. Os invasores exploram essa confiança para obter acesso inicial com o mínimo de resistência. P: Qual é o papel das identidades não humanas nos ataques?
R: A complexidade e a sobrecarga operacional dificultam a rotação e a auditoria de identidades não humanas, como contas de serviço e chaves de API. Os invasores as utilizam para manter a persistência e se deslocar sem serem detectados entre os sistemas. P: Por que o AD é um alvo tão crítico? R: O AD controla a autenticação e o acesso em toda a rede. Assumir o controle sobre ele permite que os invasores gerenciem usuários, políticas e sistemas em grande escala. P: A autenticação multifatorial (MFA) e a segurança de endpoints não são suficientes para impedir esses ataques? R: Essas ferramentas se concentram no comportamento humano e podem não detectar uma escalada de privilégios lenta e que pareça legítima. Os invasores podem agir dentro dos padrões normais e evitar acionar alertas. P: O que significa uma abordagem de segurança que prioriza a recuperação? R: Significa se preparar para a realidade de que violações ocorrerão e priorizar a capacidade de detectá-las, contê-las e revertê-las rapidamente. Essa abordagem ajuda a reduzir o tempo de inatividade e pode ajudar a limitar o impacto geral. P: Quais são as medidas mais importantes a serem tomadas imediatamente? R: Comece realizando uma auditoria em seu AD, removendo contas desnecessárias, atualizando credenciais antigas e monitorando sequências suspeitas de atividades relacionadas ao suporte técnico e à identidade. Dan Conrad é Tecnólogo Sênior e Diretor de Tecnologia de Campo na Commvault.
