Quando o acesso é legítimo, como saber que há um ataque?

Durante muito tempo, uma das perguntas centrais da segurança cibernética foi: quem está tentando entrar? Hoje, uma pergunta igualmente importante é: e se o invasor já estiver entrando como alguém autorizado? Fornecedores de software, empresas de suporte, integradores, plataformas SaaS, aplicações e prestadores de serviços precisam acessar ambientes corporativos todos os dias.

São identidades legítimas, com permissões legítimas, executando atividades que, na maior parte do tempo, também são legítimas.

É justamente isso que torna esse tipo de ataque tão difícil de identificar.

O Microsoft Digital Defense Report 2025 mostra que os ataques baseados em identidade cresceram 32% apenas no primeiro semestre de 2025.

O relatório também aponta o abuso de contas válidas como uma técnica frequentemente observada, presente em 17% dos ataques analisados.

O problema, portanto, já não é apenas impedir uma entrada não autorizada.

É conseguir perceber quando um acesso autorizado começa a se comportar como uma ameaça.

Leia também: Marketing, Operações, IA e Vendas: as viradas na carerira e a coragem de aprender de Marcelle Paiva Credencial válida não significa comportamento legítimo Imagine um prestador que normalmente acessa três servidores, durante o horário comercial, para executar uma rotina específica de manutenção.

Se aquela mesma identidade começa, de madrugada, a consultar dezenas de sistemas, buscar informações que nunca acessou, elevar privilégios ou movimentar volumes incomuns de dados, a credencial continua válida.

O comportamento, não.

Essa diferença é cada vez mais relevante porque os atacantes aprenderam que agir como um usuário legítimo pode ser mais eficiente do que tentar romper controles de segurança.

A Microsoft relata, inclusive, casos em ambientes de nuvem nos quais criminosos conseguiram conduzir ataques utilizando identidades comprometidas como se fossem usuários ou recursos legítimos, manipulando aquilo que aquela identidade já estava autorizada a acessar.

O desafio deixa de ser somente “quem entrou?” e passa a ser “o que essa identidade está fazendo depois que entrou?”.

Quanto mais normal parecer, mais difícil pode ser detectar O M-Trends 2026, da Mandiant, reforça essa mudança.