O avanço das tentativas de fraude baseadas em credenciais mostra que validar o usuário no momento do acesso já não é suficiente

Falar sobre identidade digital é abordar uma pauta que vem ganhando, dia após dia, maior visibilidade no cenário da cibersegurança. A identidade impede que alguém se passe por outra pessoa, mas quando vazada ou utilizada indevidamente, ela pode ser a porta de entrada para ataques de prejuízos imensuráveis. Enquanto continuarmos enxergando identidade digital só como uma simples etapa de autenticação, estaremos falhando em termos básicos de proteção. E pior: deixando de acompanhar o que acontece depois que o cibercriminoso consegue acessar o que pretende.

Analisemos um panorama geral. Dados recentes do Mapa da Fraude da Serasa Experian mostram que 2.860.957 tentativas de fraude de identidade foram registradas no Brasil ao longo do primeiro semestre de 2026. O número representa uma alta de 32,9% em relação ao mesmo período de 2025. Aqui, faço uma ressalva: esse levantamento considera só ocorrências detectadas durante processos de cadastro e validação de identidade (conhecidos como onboarding). Portanto, não representa todas as fraudes que acontecem posteriormente em compras, pagamentos, transferências ou contas já existentes. De qualquer forma, o volume é expressivo.

Ataques de identidade podem ser aplicados em diversos setores. Vejamos também um exemplo na área da Educação: Um levantamento da Sophos, divulgado no relatório State of Ransomware in Education 2026, mostra que ataques que exploram falhas de identidade estiveram relacionados a 85% dos incidentes de ransomware analisados em instituições de ensino.

Esses dois levantamentos não devem ser tratados como se medissem a mesma coisa. O primeiro relatório observa tentativas de fraude durante o processo de entrada e validação de novos clientes. O segundo examina ataques de ransomware contra organizações de um setor específico e identifica a participação de técnicas relacionadas à identidade. A conexão entre eles está no seguinte ponto: em diferentes momentos da cadeia de ataque, a identidade ocupa uma posição central e não pode ser negligenciada.

Ter controles de segurança não significa ter controle sobre a identidade

Ainda sobre o levantamento da Sophos, destaco um dado importante: 98% das organizações educacionais atingidas por ataques baseados em credenciais tinham habilitada a Autenticação Multifator (MFA). Isso significa que a MFA seja ineficaz? Não, pelo contrário! Ela continua sendo uma camada importante de proteção. O que os dados demonstram é que nenhum controle isolado consegue eliminar o risco.

Proteger identidades digitais exige um olhar amplo para contexto e comportamento. Identidade, dispositivo, localização, atividade e nível de privilégio precisam ser considerados de maneira integrada. Por isso, é fundamental que gestores revisem frequentemente e periodicamente quem realmente precisa ter acesso a cada recurso. Contas antigas, acessos de terceiros ou de pessoas que já não possuem uma função ativa não devem permanecer “disponíveis” indefinidamente. Isso abre um leque de possibilidades para agentes mal-intencionados.

Com anos de atuação na área de cibersegurança e tecnologia, entendo que as identidades digitais precisam ser acompanhadas ao longo de todo o ciclo de acesso. Ou seja, é necessário combinar autenticação forte com monitoramento contínuo, revisão sistemática de contas e integração entre diferentes camadas de proteção. Não menos importante, é preciso compreender que uma identidade válida pode ser utilizada de maneira ilegítima, e que o fato de o usuário ter passado corretamente pelo processo de autenticação não deve ser interpretado como uma garantia de que toda atividade posterior será confiável.

Penso que a pergunta que as empresas brasileiras precisam fazer talvez não seja mais “como impedir uma fraude de identidade?”. Elas têm que avançar para uma questão mais ampla: “o que acontece depois que uma identidade é comprometida e o que devo fazer para me resguardar?”. Essas respostas passam pela percepção de que, quanto antes essa visão for incorporada, maiores serão as chances de impedir que uma identidade comprometida deixe de ser apenas um incidente e se transforme na porta de entrada para uma crise muito maior.

Luiza Dias é presidente da GlobalSign Brasil. Possui 18 anos de carreira, 8 deles dedicados à GlobalSign, é a única mulher latino-americana a ocupar esta posição em uma Autoridade Certificadora de Raiz Internacional. Na GlobalSign, ocupou os cargos de Vendedora, Gerente de Vendas Latam, e em 2021, se tornou Presidente da empresa no Brasil. À frente da primeira Autoridade Certificadora de Raiz Internacional a se instalar fisicamente no país, Luiza se tornou uma importante referência feminina do mercado em toda América Latina.

Fonte: IT Forum