Pontos principais
- Os ataques de vishing aumentaram drasticamente, com grupos organizados industrializando a engenharia social para obter acesso inicial por meio de centrais de atendimento.
- Os invasores passam rapidamente de contas humanas comprometidas para identidades de máquina persistentes, como tokens OAuth e contas de serviço.
- A maioria das organizações carece de governança e visibilidade sobre identidades não humanas (NHI), criando um grande ponto cego de segurança.
- Readiness eficaz depende da correlação de sinais de identidade e do tratamento das identidades de máquinas como ativos de alto risco.
- A verdadeira resiliência requer a capacidade de detectar e reverter alterações não autorizadas de privilégios antes que os invasores estabeleçam persistência.
A equipe do seu suporte técnico acabou de receber uma ligação. Quem ligou sabia o nome do funcionário, o nome de seu gerente e os últimos quatro dígitos do número do crachá. Pediu a redefinição de senha. Procedimento padrão. O representante de TI atendeu ao pedido.
Aquela ligação era uma fraude. E o invasor agora está dentro do sistema.
O phishing por voz – vishing – aumentou449% em 2025. Grupos de adversários transformaram a engenharia social em uma operação escalável: recrutando operadores, escrevendo roteiros epagando de US$ 500 a US$ 1.000por cada falsificação de identidade bem-sucedida no suporte técnico. Eles não estão atrás dos seus dados. Estão procurando um ponto de entrada.
Uma vez dentro, os invasores não se detêm na conta do usuário. Eles se movem lateralmente – roubando tokens OAuth, criando novas contas de serviço administrativo, incorporando acesso em credenciais da camada de máquina que ninguém monitora. Ao contrário das senhas de usuários, essas credenciais raramente são trocadas. Elas não acionam alertas de login. Podem sobreviver a uma correção completa do usuário originalmente comprometido.
Quando sua equipe de segurança encerra o ticket do incidente no help desk, o invasor pode já estar silenciosamente presente em seu ambiente há semanas. A lacuna de governança agrava ainda mais a situação.Menos de 25%das organizações possuem políticas formais para a criação ou desativação de NHIs — as contas de serviço, chaves de API e tokens OAuth que agora superam em número os usuários humanos na proporção de144 para 1. Quase todas elas possuem permissões que vão muito além do que sua função exige.
A maioria das organizações não tem praticamente nenhuma confiança em sua capacidade de detectar um ataque direcionado a essa camada. Isso não é uma falha de prevenção. É uma falha no planejamento de Recovery.
Como se apresenta a Readiness
Readiness significa correlacionar os sinais: uma interação com o suporte técnico seguida imediatamente por uma redefinição da autenticação multifatorial (MFA) ou pela criação de um novo token é um indicador de alta probabilidade de comprometimento.
Significa tratar as identidades de máquinas como ativos de Nível 0 – controlando sua criação, definindo o escopo de suas permissões e monitorando para evitar escalonamentos não autorizados. E significa ter a capacidade de detectar e reverter alterações maliciosas de privilégios rapidamente, antes que se tornem o novo normal.
Explore comoa resiliência de identidade da Commvaultoferece suporte à detecção rápida, reversão e Recovery do seu ambiente de identidade.
Perguntas frequentes
P: O que é um ataque de vishing no contexto da segurança corporativa?
R: O vishing (phishing por voz) utiliza chamadas telefônicas para se passar por funcionários e manipular as equipes de suporte de TI a concederem acesso — geralmente por meio de redefinições de senha ou de autenticação multifatorial (MFA). Trata-se de uma prática cada vez mais industrializada, com grupos organizados recrutando operadores e utilizando roteiros pré-escritos para maximizar as taxas de sucesso.
P: Por que os invasores passam a atacar identidades de máquinas após um ataque de vishing?
R: As contas de usuários são corrigidas. Os NHIs — tokens OAuth, contas de serviço, chaves de API — são mais persistentes e raramente são renovados, sendo muitas vezes invisíveis ao monitoramento tradicional. A migração do acesso para a camada de máquina permite que os invasores mantenham essa persistência muito tempo depois que a violação original das credenciais de usuários é detectada e resolvida.
P: O que significa, na prática, “resiliência de identidade”?
R: Isso significa que sua organização pode ajudar a detectar alterações não autorizadas de privilégios quase em tempo real e contribuir para restaurar rapidamente o ambiente de identidades a um estado confiável. A detecção por si só não é suficiente — a capacidade de reverter atividades maliciosas e verificar se as identidades das máquinas não foram adulteradas (ou, caso tenham sido, revertê-las para um ponto anterior em que estavam em bom estado) é o que distingue a Readiness da exposição.
Vidya Shankaran é diretor de tecnologia (CTO) da Commvault.
