Ataques de identidade estão por trás de 67% dos incidentes digitais

Durante décadas, o modelo mental das invasões digitais era o de um especialista buscando uma brecha técnica em um sistema. O relatório "The State of Identity Security 2026", da Sophos, mostra que esse modelo já não descreve a realidade. 

A empresa analisou 661 casos investigados por suas equipes entre novembro de 2024 e outubro de 2025, em 70 países e 34 setores, e concluiu que 67% dos incidentes cibernéticos tiveram origem em comprometimento de identidade digital. Credenciais roubadas, autenticação fraca e uso indevido de acessos legítimos substituíram as vulnerabilidades técnicas como principal porta de entrada dos criminosos.

Por que os ataques de identidade superaram as invasões técnicas?

O dado que resume a mudança é a comparação entre dois métodos de acesso inicial: força bruta alcança 15,6% dos casos, praticamente empatando com a descoberta de falhas de software, responsável por 16%. Isso significa que tentar combinações de senhas até encontrar a certa é tão eficaz quanto identificar e usar uma vulnerabilidade em um sistema.

A lógica é direta: uma falha de software exige que o alvo não tenha aplicado a correção disponível. Uma credencial roubada funciona independentemente da versão do sistema, do nível de atualização e da sofisticação da infraestrutura de segurança. Enquanto as organizações investem em patches e atualizações, os criminosos encontram um caminho mais direto: a senha do usuário.

Esse caminho é facilitado pelo volume de credenciais disponíveis. Dados obtidos em vazamentos anteriores são compilados e usados em ataques de força bruta e em tentativas de reutilização de senha, que testam combinações conhecidas em diferentes plataformas. Quem usa a mesma senha em múltiplos serviços aumenta significativamente a superfície de ataque disponível a qualquer pessoa que tenha acesso a um vazamento anterior.

A mudança de foco dos criminosos também reflete a realidade do ambiente digital atual. Com mais serviços em nuvem, acessos remotos e identidades federadas, a credencial se tornou o passe universal. Comprometer uma senha bem posicionada dá acesso a múltiplos sistemas sem a necessidade de qualquer invasão técnica.

O que acontece depois que uma credencial é comprometida?

A velocidade é um dos aspectos mais reveladores do relatório. Em média, os invasores levam apenas 3,4 horas para alcançar servidores de Active Directory após obter o acesso inicial ao ambiente corporativo. O Active Directory é o sistema de gerenciamento de identidades e acessos da maioria das organizações: comprometê-lo significa controle sobre usuários, permissões e sistemas internos.

O tempo de permanência no ambiente antes de ser detectado caiu para três dias, reflexo tanto da velocidade dos ataques quanto da melhora nas ferramentas de monitoramento. Em três dias, porém, há espaço para a exfiltração de dados e para a implantação de ransomware.

A janela escolhida pelos atacantes reforça o nível de planejamento por trás dessas operações: 88% das cargas de ransomware são implantadas à noite ou nos fins de semana, e 79% das ações de exfiltração de dados também ocorrem nesses períodos. O momento é calculado para coincidir com a menor capacidade de resposta das equipes de segurança.

"O dado mais preocupante do relatório é a dominância das causas relacionadas à identidade nos acessos iniciais bem-sucedidos. Credenciais comprometidas, phishing e ataques de força bruta exploram fragilidades que não podem mais ser resolvidas apenas com gestão de patches", afirma John Shier, da Sophos.

O estudo revela ainda que 59% dos casos analisados apresentavam ausência ou falhas em 2FA, a autenticação multifator. Sem essa camada adicional, uma senha roubada é suficiente para abrir o acesso. Com ela ativa, o invasor precisa também do segundo fator, que normalmente está no dispositivo físico do usuário.

Como os dados pessoais do consumidor entram nessa equação?

A cadeia que conecta o consumidor individual aos ataques corporativos começa nos vazamentos de dados. Quando uma empresa tem informações de clientes expostas, esses dados, incluindo emails, CPFs e senhas, vão para bases utilizadas em novos ataques. Quem usa a mesma senha do serviço comprometido em outros sistemas fica vulnerável a tentativas de acesso em cascata, sem que haja qualquer nova falha técnica envolvida.

O email e o CPF funcionam como a identidade digital do consumidor na maioria dos serviços online. São usados como identificadores no cadastro, como chave de recuperação de senha e como dado de verificação de identidade. Quando combinados com uma senha, tornam-se exatamente a credencial que o relatório da Sophos aponta como o principal ponto de entrada dos ataques em 2026.

O phishing é o principal método de coleta dessas credenciais. Páginas e mensagens que imitam comunicações legítimas induzem o usuário a digitar login e senha em um formulário controlado pelo atacante. Os dados capturados são usados diretamente ou repassados para uso em ataques posteriores. O roubo de identidade começa frequentemente com uma credencial entregue sem que a vítima perceba, a partir de um link que parecia inofensivo.

Outro caminho é o da reutilização de credenciais obtidas em vazamentos antigos. Uma senha usada em uma plataforma que sofreu um vazamento dois anos atrás pode estar circulando em bases de dados de criminosos e sendo testada hoje em serviços bancários, e-mails e plataformas de compras. A antiguidade do vazamento não elimina o risco enquanto a senha continuar em uso.

Cerca de 59% dos casos investigados pela Sophos tinham 2FA ausente ou mal configurado. Uma camada extra de autenticação muda significativamente a dificuldade de usar uma credencial roubada, mesmo quando a senha já está nas mãos do atacante.

O que fazer para proteger sua identidade digital?

A proteção começa com senhas únicas para cada serviço. Reutilizar senhas transforma um vazamento pontual em uma vulnerabilidade que se estende a todos os serviços onde a mesma combinação foi cadastrada. Gerenciadores de senhas facilitam a criação e o armazenamento de senhas distintas sem a necessidade de memorizá-las.

Ativar a autenticação em dois fatores em todo serviço que ofereça a opção é a segunda medida mais efetiva disponível. Com 2FA ativo, uma senha roubada não é suficiente para acessar a conta: o invasor também precisa do segundo fator, que normalmente está vinculado ao dispositivo físico do usuário e expira em segundos.

Reconhecer tentativas de phishing protege as credenciais antes mesmo de serem comprometidas. Mensagens que criam urgência, pedem clique em link ou solicitam senha fora do fluxo habitual merecem verificação antes de qualquer ação. Confirmar o endereço completo do remetente e acessar os serviços diretamente pelo navegador, sem usar o link recebido, elimina a maioria das armadilhas de coleta de credenciais.

Monitorar os próprios dados ao longo do tempo permite identificar quando informações pessoais aparecem em contextos fora do esperado. O monitoramento de dados pessoais do Davi avisa quando o CPF aparece em situações inesperadas, ajudando a detectar o uso indevido antes que se converta em acesso não autorizado a contas ou serviços. Quem acompanha seus dados com regularidade tem muito mais condições de agir rapidamente quando um vazamento afeta os serviços que utiliza.