Durante muito tempo, quando se falava em comprometimento de credenciais, a imagem mais comum era a de um ataque de phishing: alguém recebia uma página falsa, digitava usuário e senha e entregava essas informações diretamente ao criminoso.
Esse cenário continua existindo, mas já não representa toda a dimensão do problema.
Uma das ameaças que ganhou relevância nos últimos anos são os infostealers, malwares desenvolvidos especificamente para coletar informações armazenadas em dispositivos comprometidos. Senhas salvas no navegador, cookies de sessão, tokens, dados de preenchimento automático, credenciais de diferentes serviços e outras informações sensíveis podem ser extraídas em poucos segundos.
O resultado é especialmente preocupante para empresas porque, muitas vezes, o primeiro sistema comprometido nem sequer pertence à organização.
Pode ser o notebook pessoal de um colaborador, uma estação utilizada em trabalho remoto ou até um equipamento no qual uma conta corporativa foi acessada apenas uma vez.
A partir dali, uma credencial legítima pode se transformar em uma porta de entrada.
O que é um infostealer?
Infostealer é o nome dado a uma categoria de malware criada para roubar informações existentes no dispositivo da vítima.
Ao contrário de um ransomware, cujo impacto costuma ser imediatamente perceptível, um stealer pode executar silenciosamente, coletar os dados de interesse e desaparecer sem causar qualquer interrupção visível.
Dependendo da variante, ele pode buscar usuários e senhas armazenados em navegadores, cookies de autenticação, tokens de sessão, informações de aplicativos, dados de carteiras digitais, credenciais de VPN, acessos a serviços em nuvem e até informações associadas a clientes de e-mail ou ferramentas de comunicação.
Esses dados normalmente são organizados em pacotes conhecidos como stealer logs, que podem ser utilizados pelo próprio atacante, vendidos ou distribuídos para outros criminosos.
Isso criou uma cadeia de cibercrime bastante eficiente. Quem infecta o dispositivo não precisa necessariamente ser a mesma pessoa que tentará explorar as credenciais posteriormente.
O Think Ahead Report 2025, da SEK, destaca justamente a evolução dos infostealers e o crescimento do roubo de credenciais como parte relevante do cenário atual de ameaças.
O maior problema: a senha pode estar correta
Esse é um dos aspectos que tornam esse tipo de ataque difícil de identificar.
Em muitas invasões tradicionais, os mecanismos de segurança procuram algo obviamente anormal, como inúmeras tentativas de autenticação, exploração de vulnerabilidades ou padrões muito diferentes do comportamento esperado.
Com uma credencial roubada, porém, o invasor pode utilizar um usuário existente, uma senha válida ou até uma sessão autenticada anteriormente.
Do ponto de vista do sistema, parte daquela atividade pode parecer normal.
É justamente por isso que autenticação legítima não significa, necessariamente, usuário legítimo.
Se o controle de segurança depende apenas da combinação de usuário e senha, a capacidade de diferenciar um colaborador real de um invasor fica bastante limitada.
Cookies e sessões também podem ser roubados
Quando se fala em comprometimento de credenciais, é comum pensar apenas em senha.
Essa visão já é insuficiente.
Depois que um usuário realiza login em determinado serviço, normalmente é criada uma sessão autenticada. Essa sessão pode ser representada por cookies ou tokens armazenados no navegador ou na aplicação.
Caso esses elementos sejam capturados por um malware, o atacante pode tentar reutilizá-los.
Em determinados cenários, isso significa que o criminoso não precisa repetir exatamente o processo de login feito pelo usuário legítimo. Ele pode tentar aproveitar uma sessão já estabelecida.
Esse detalhe também ajuda a explicar por que simplesmente trocar uma senha nem sempre encerra completamente um incidente.
Dependendo do serviço afetado, pode ser necessário revogar sessões existentes, invalidar tokens, revisar dispositivos conectados e investigar o histórico de autenticação da conta.
A contenção precisa considerar todo o contexto da identidade, não apenas a senha.
De um computador pessoal para dentro da empresa
Imagine um cenário relativamente simples.
Um colaborador utiliza seu computador pessoal para acessar o e-mail corporativo. Em algum momento, instala um software malicioso, uma extensão falsa ou executa um arquivo comprometido.
O stealer coleta as informações existentes no navegador.
Entre os dados encontrados estão o endereço de e-mail corporativo, alguma credencial reutilizada, cookies de uma aplicação SaaS e informações que identificam o domínio da empresa.
O computador comprometido não faz parte da infraestrutura corporativa.
Ainda assim, o incidente agora envolve a organização.
É exatamente essa fronteira que vem ficando cada vez menos clara.
A segurança da empresa não termina mais necessariamente no notebook corporativo ou no firewall do escritório.
Identidades e credenciais circulam por aplicações em nuvem, ferramentas SaaS, ambientes de desenvolvimento, navegadores, plataformas de comunicação e dispositivos utilizados remotamente.
Essa dispersão aumenta a superfície de ataque e torna a gestão de identidade ainda mais importante.
Uma credencial antiga ainda pode representar risco
Outro erro comum é considerar que uma credencial deixa de importar simplesmente porque é antiga.
Nem sempre.
Mesmo um registro histórico pode revelar informações úteis para um atacante, como o domínio corporativo, o padrão utilizado nos endereços de e-mail, nomes de usuários, tecnologias utilizadas ou serviços que fazem parte do ambiente da organização.
Existe ainda o problema da reutilização de senha.
Uma senha comprometida anos atrás em um serviço externo pode continuar sendo usada em outro sistema.
Nesse caso, um vazamento aparentemente antigo pode se transformar em um problema atual.
É por esse motivo que o tratamento de credenciais expostas não deve depender apenas da data do vazamento. O mais importante é entender se aquela informação ainda possui alguma relação com ativos e identidades utilizados pela organização.
Credential stuffing e o reaproveitamento de acessos
Stealer logs e vazamentos também alimentam outro tipo de ataque conhecido como credential stuffing.
Nesse modelo, criminosos utilizam combinações de usuário e senha obtidas anteriormente e tentam reaproveitá-las em outros serviços.
O raciocínio é simples: se uma pessoa utilizou a mesma senha em vários lugares, uma credencial comprometida em um serviço menos relevante pode abrir caminho para outro muito mais sensível.
Esses testes podem ser automatizados em grande escala.
Por isso, a reutilização de senhas continua sendo um risco importante mesmo quando a origem inicial do vazamento não possui relação direta com a empresa.
O efeito cascata de uma conta comprometida
Uma conta raramente existe de forma isolada.
Um e-mail corporativo pode permitir redefinição de senha em outros serviços. Uma conta de desenvolvedor pode ter acesso a repositórios. Um repositório pode revelar informações sobre infraestrutura. Uma conta administrativa pode possuir acesso a outros usuários ou sistemas internos.
Por isso, o problema não é simplesmente o fato de uma senha ter aparecido em um vazamento.
A pergunta mais importante é: até onde alguém conseguiria chegar utilizando essa identidade?
Essa análise muda completamente a priorização do incidente.
Uma credencial relacionada a um sistema sem privilégios pode representar risco limitado. Já uma identidade com acesso a e-mail corporativo, VPN, nuvem, ambiente de desenvolvimento ou sistemas administrativos pode exigir resposta imediata.
MFA ajuda, mas não resolve tudo
A autenticação multifator é uma das medidas mais importantes para reduzir o impacto de credenciais comprometidas.
Ela dificulta bastante o uso de uma senha roubada, principalmente quando são adotados métodos mais resistentes a phishing.
Ainda assim, não deve ser tratada como uma solução absoluta.
Ataques podem tentar explorar sessões autenticadas, engenharia social, fadiga de MFA ou o próprio dispositivo comprometido.
A conclusão não é que MFA seja ineficaz.
Muito pelo contrário.
O ponto é que segurança de identidade precisa funcionar em camadas.
MFA, proteção de endpoint, gestão de acessos, menor privilégio, revisão de sessões e monitoramento precisam trabalhar de forma conjunta.
Como reduzir o risco na prática
Não existe um único controle capaz de eliminar completamente esse tipo de ameaça.
Uma estratégia mais eficiente combina prevenção, detecção e capacidade de resposta.
A primeira medida continua sendo evitar a reutilização de senhas e utilizar autenticação multifator sempre que possível.
Também é importante proteger os dispositivos utilizados para acessar sistemas corporativos, porque o endpoint continua sendo um dos principais pontos de coleta de credenciais.
Do lado da gestão de acessos, o princípio do menor privilégio ajuda a reduzir o impacto caso uma conta seja comprometida. Quanto menos permissões desnecessárias existirem, menor tende a ser o alcance de um invasor.
Outro ponto importante é encerrar rapidamente contas que deixaram de ser utilizadas. Identidades antigas, acessos de ex-colaboradores e serviços abandonados não devem permanecer ativos indefinidamente.
Durante um incidente, também é essencial olhar além da senha. Sessões abertas, tokens e dispositivos autenticados precisam fazer parte da análise.
Encontrar a credencial é apenas o começo
Existe uma diferença importante entre localizar um e-mail em uma base de vazamento e compreender efetivamente o risco associado àquela informação.
Uma credencial exposta pode ser apenas um registro histórico sem impacto atual, ou pode estar ligada a uma conta ativa com acesso sensível.
Por isso, a análise precisa responder questões mais amplas: a identidade ainda existe? A senha já foi alterada? O usuário continua na empresa? Há autenticações suspeitas? A conta possui privilégios relevantes? Existem sessões ainda válidas?
Sem esse contexto, organizações correm o risco de tratar todos os casos como igualmente críticos ou, no extremo oposto, ignorar ocorrências que mereciam atenção.
A gestão de exposição precisa transformar dado bruto em contexto operacional.
Visibilidade também é parte da defesa
O crescimento dos infostealers reforça uma mudança importante na segurança corporativa.
As organizações não podem observar apenas o que acontece dentro da infraestrutura.
Também precisam compreender como seus domínios, identidades, ativos e serviços aparecem fora dela.
Credenciais expostas, subdomínios esquecidos, serviços acessíveis pela Internet, vulnerabilidades conhecidas e tecnologias desatualizadas fazem parte da mesma superfície de risco.
Ter essa visibilidade permite agir antes que uma informação externa seja utilizada como ponto de partida para um ataque.
O que fazer quando uma credencial corporativa aparece em um vazamento?
A primeira reação não deveria ser apenas trocar a senha.
O ideal é avaliar se a conta ainda existe, quais serviços utiliza, quais permissões possui e se houve alguma atividade suspeita.
Quando houver risco real de comprometimento, pode ser necessário trocar credenciais, revogar sessões, revisar autenticações recentes, validar o MFA e verificar se a mesma senha foi utilizada em outros sistemas.
Também é importante analisar o dispositivo utilizado pela pessoa afetada, principalmente quando existe a possibilidade de infecção por infostealer.
O nível de resposta deve ser proporcional ao risco.
Uma credencial antiga e desativada não exige necessariamente a mesma urgência que uma conta administrativa encontrada em um stealer recente.
A nova superfície de ataque também é formada por identidades
Durante muitos anos, o conceito de superfície de ataque esteve associado principalmente a servidores, portas abertas, aplicações e endereços IP.
Esses elementos continuam importantes.
Mas existe uma camada adicional.
As identidades também fazem parte dessa superfície.
E-mails corporativos, contas administrativas, credenciais de VPN, chaves, tokens e sessões podem funcionar como caminhos de entrada tão relevantes quanto uma vulnerabilidade técnica.
Em alguns casos, o invasor nem precisa explorar uma falha.
Ele simplesmente entra utilizando uma credencial válida.
É por isso que gestão de vulnerabilidades, gestão de ativos e monitoramento de credenciais não devem ser tratados como atividades completamente separadas.
Todos respondem, no fundo, à mesma pergunta:
de quais formas alguém pode alcançar os ativos da organização?
Infostealers mostram como o modelo tradicional de proteção baseado apenas no perímetro se tornou insuficiente.
Uma empresa pode manter servidores atualizados, firewall configurado e boas práticas internas e ainda assim enfrentar um incidente originado por uma credencial capturada em outro ambiente.
A resposta para esse cenário não está em um único produto ou controle.
Ela depende da combinação entre autenticação forte, proteção de endpoints, gestão de acessos, menor privilégio, resposta a incidentes e visibilidade sobre aquilo que está exposto.
Mais importante do que descobrir que uma credencial apareceu em algum lugar é conseguir entender o que aquela exposição significa para a organização naquele momento.
Porque, em cibersegurança, uma informação aparentemente pequena pode ser exatamente o ponto que conecta um atacante ao próximo ativo.
