O relatório que a ANSSI, agência de segurança digital do governo francês, publicou sobre um ataque à administração tributária do país, ocorrido em junho de 2026, traz um episódio que interessa a qualquer equipe responsável por acessos corporativos. Às 10h40 de uma manhã, a central de monitoramento do órgão tratou um alerta de buscas suspeitas com o procedimento padrão para conta comprometida e redefiniu a senha. O invasor, que mantinha uma sessão aberta em outro portal, continuou conectado e seguiu extraindo dados por quase 16 horas.
Segundo o documento da agência francesa, o ataque expôs dados de cerca de 353 mil cidadãos e 252 mil profissionais sem recorrer a técnicas sofisticadas. O invasor reuniu, ao longo de três meses, dezenas de logins e senhas de funcionários, provavelmente capturados por infostealers em computadores que o órgão não administrava.
Com essas credenciais, entrou por portais que não pediam segundo fator de autenticação e chegou ao portal usado na extração pela rede que interliga os ministérios, a partir da infraestrutura comprometida de outro ministério. A primeira onda de extração aconteceu cerca de sete semanas antes de o grupo anunciar o roubo em um fórum, e nem o monitoramento do órgão nem o da própria agência perceberam o que acontecia.
A redefinição de senha, nesse caso, funcionou como a troca da fechadura com o invasor já dentro de casa: impede novas entradas e não alcança quem já entrou. Para a gestão de identidades e acessos, a lição está menos na senha do que na sessão, que é o que mantém um usuário conectado depois do login.
Por que a sessão sobrevive à troca de senha
Isso acontece porque, em geral, as aplicações web não conferem a senha a cada clique. Depois do login, o usuário é reconhecido por um token ou cookie de sessão, que vale até expirar ou ser revogado, enquanto a nova senha só é exigida no login seguinte. Em empresas com login único, uma autenticação no provedor de identidade abre sessões no e-mail, no ERP, no portal de RH e em várias aplicações em nuvem, cada uma com seu próprio tempo de expiração e sua própria forma de encerramento.
Por isso, a revogação de sessões precisa estar no mesmo procedimento que troca a senha. O OWASP ASVS 5.0, padrão de verificação de segurança de aplicações mantido pela fundação OWASP, inclui entre seus requisitos que a aplicação ofereça a opção de encerrar todas as outras sessões ativas depois da troca ou da remoção de qualquer fator de autenticação e que administradores consigam encerrar as sessões de um usuário específico ou de todos. Para ambientes com login único, o mesmo padrão pede que o tempo de vida e o encerramento das sessões entre o provedor de identidade e as aplicações funcionem como documentado, com nova autenticação quando o prazo máximo for atingido.
Levar essa revogação a todas as aplicações é o problema que o CAEP, perfil de avaliação contínua de acesso da OpenID Foundation, aprovado como especificação final junto com o Shared Signals Framework, se propõe a resolver. O padrão define eventos que o provedor de identidade transmite às aplicações, entre eles o de sessão revogada e o de troca de credencial, que cobre redefinição de senha e cadastro ou remoção de segundo fator, para que cada aplicação encerre ou restrinja o acesso sem esperar o token expirar.
Na contratação ou renovação de aplicações em nuvem, perguntar se o fornecedor recebe esses sinais ajuda a medir quanto da revogação ainda vai depender de trabalho manual.
O tempo de vida da sessão entra na mesma conta, e a NIST SP 800-63B-4, diretriz de autenticação do instituto de padrões dos Estados Unidos, recomenda, no nível intermediário de garantia, que a sessão exija nova autenticação em no máximo 24 horas e expire depois de no máximo uma hora de inatividade.
Sessões configuradas para durar dias por conveniência ficam longe dessa referência, e um teste com uma conta criada para isso mostra quais são as lacunas: abrir sessões no webmail, no ERP, no portal de parceiros e nas principais aplicações em nuvem, redefinir a senha, revogar a sessão no provedor de identidade e verificar quais acessos continuam funcionando. Enquanto as lacunas não são fechadas, exigir nova autenticação antes de exportações e consultas em massa reduz o estrago que uma sessão roubada pode causar.
O computador de casa e a máquina do parceiro
A origem das credenciais, por sua vez, leva a discussão para fora do perímetro da empresa. Segundo o Data Breach Investigations Report 2025, publicado pela Verizon, entre os sistemas comprometidos por infostealers que guardavam logins corporativos, 46% eram dispositivos não gerenciados, com credenciais pessoais e profissionais misturadas, situação que o relatório associa a programas de uso de equipamento próprio ou a máquinas da empresa usadas fora da política.
Enquanto o infostealer continua instalado no notebook de casa de um funcionário, a senha nova pode ser capturada da mesma forma que a anterior, e a redefinição só resolve se o aparelho também for limpo.
No Brasil, comunicado da Kaspersky com dados de suas soluções de proteção de endpoints informa que os bloqueios ligados a infostealers, pragas especializadas em roubar senhas corporativas e cookies de sessão salvos em navegadores, passaram de 34,5 mil para mais de 43 mil na comparação anual, alta de 25%.
A autenticação multifator compensa a senha roubada desde que o segundo fator não caia junto com ela. A NIST SP 800-63B-4 proíbe o uso de e-mail como canal de autenticação fora de banda, entre outros motivos porque a caixa de correio pode ser acessada só com a senha, e determina que, no nível intermediário de garantia, o sistema ofereça ao menos uma opção de autenticação resistente a phishing. Portais de fornecedores e de clientes que ainda enviam o código de acesso por e-mail merecem prioridade nessa revisão, porque reúnem usuários externos cujos computadores a empresa não controla.
Com parceiros, a gestão de identidades e acessos trabalha com ainda menos controle sobre o equipamento do outro lado, e o que resta à empresa é limitar o que a conta externa alcança. Isso se traduz em contas de parceiros com um responsável interno, prazo de validade, revisão periódica, acesso restrito às aplicações que o contrato exige e um canal combinado para que o parceiro avise quando sofrer um incidente, cláusula que pode entrar no contrato junto com as de proteção de dados.
Gestão de identidades e acessos também define quanto cada conta alcança
O estrago de uma credencial roubada depende do que a conta consegue ver, e uma conta comum com acesso ao cadastro inteiro de clientes transforma o login de um funcionário em acesso ao acervo completo. Limitar os direitos de cada usuário ao que a função exige é o ponto de partida, mas o volume também precisa de teto, com limites de consulta por usuário, cotas por período para registros acessados e dados exportados e nova autenticação quando uma conta pede mais do que costuma pedir.
Os sinais de uma extração em curso aparecem nos registros de acesso, como conexões de madrugada, volumes anormais, endereços IP de má reputação e o padrão de raspagem de páginas, que gera uma requisição por registro consultado. Cada sinal isolado produz falsos positivos, e a combinação deles só é possível quando as aplicações de negócio mandam seus registros de acesso para o mesmo sistema que recebe os eventos de rede e de autenticação.
Numa empresa, o ponto cego pode ser o sistema que uma área ligou ao login corporativo para atender parceiros ou clientes e que entrega dados em volume sem mandar registro à central de monitoramento. A revisão compara as aplicações integradas ao provedor de identidade com as fontes que a central recebe, e o que aparece na primeira lista e falta na segunda é o que precisa entrar no monitoramento.
A Resolução CMN nº 5.274, com a qual o Conselho Monetário Nacional alterou a Resolução nº 4.893 sobre política de segurança cibernética, transformou parte dessas práticas em exigência para as instituições autorizadas pelo Banco Central, ao determinar autenticação multifator para acesso à rede corporativa a partir de ambientes externos, retenção segura das trilhas de auditoria e controles de acesso com revisão periódica de permissões. Para empresas de outros setores, a norma funciona como referência do que um regulador brasileiro considera mínimo em gestão de identidades e acessos.
Quando a conta comprometida alcança dados pessoais, o problema chega também à proteção de dados, porque a Resolução CD/ANPD nº 15/2024 inclui os dados de autenticação em sistemas entre os critérios que, somados à possibilidade de afetar significativamente os direitos dos titulares, caracterizam um incidente que precisa ser comunicado à ANPD e aos titulares em três dias úteis.
O indicador que importa é o tempo até a revogação
O Data Breach Investigations Report 2026, publicado pela Verizon, cruzou vazamentos de credenciais com vítimas de ransomware e encontrou, entre as organizações com algum vazamento registrado no ano, metade com um evento de credencial ou infostealer nos 95 dias anteriores ao ataque, prazo que dá a medida da janela disponível para a defesa. Serviços que monitoram a venda de credenciais vazadas ajudam a encurtar essa janela, desde que o alerta chegue a um procedimento que revogue, de uma vez, a senha, as sessões abertas e os tokens das aplicações daquela identidade.
A análise do que a conta fez desde a data provável do comprometimento também depende de preparo. Reconstruir a atividade de uma identidade em várias aplicações ao longo de semanas exige registros de acesso guardados por tempo suficiente e reunidos em um só lugar, e sem eles a empresa sabe que a senha vazou mas não consegue dizer o que foi acessado com ela.
A maturidade da gestão de identidades e acessos, assim, se mede melhor pelo tempo entre o primeiro sinal de comprometimento e a revogação de tudo o que aquela identidade alcança, incluindo sessões abertas, tokens de aplicações e acessos de parceiros, do que pela força da política de senhas. Esse tempo depende de inventário de aplicações, integração com o provedor de identidade e supervisão na camada de aplicação, e pode ser medido em um exercício controlado, com uma conta de teste, sem esperar por um incidente.
Com a autenticação multifator chegando aos acessos principais, sessões já autenticadas ganham valor para quem compra credenciais roubadas, e a análise da Okta sobre um pacote de dados de infostealers, com milhares de tokens de sessão ainda não expirados de grandes plataformas, mostra que esse material já circula. Para a empresa, a consequência prática é tratar a revogação de sessões como parte da troca de senha, testar esse procedimento em todas as aplicações que a identidade alcança e levar o tempo até a revogação completa para os indicadores acompanhados pela liderança, ao lado da cobertura de autenticação multifator.