As equipes de segurança passaram anos reforçando a autenticação, e controles como autenticação multifator (MFA) e acesso condicional já são amplamente adotados. Embora uma autenticação mais forte reduza a eficácia do roubo tradicional de credenciais, ela não resolve todos os problemas de identidade.
Há vários momentos no ciclo de vida da identidade em que a confiança é estabelecida ou restabelecida.
Isso acontece quando um novo funcionário entra na empresa, quando alguém perde o acesso à conta, quando é necessário redefinir uma senha ou um fator de MFA e quando o service desk é acionado para fazer uma alteração sensível em uma conta.
Em vez de roubar credenciais ou contornar a MFA, um atacante pode tentar convencer o service desk de que é o titular da conta, usando engenharia social para explorar processos legítimos.
Isso aumenta a pressão sobre as organizações para proteger tanto o login quanto os processos de criação e recuperação de contas.
No fim de julho de 2026, o Departamento de Estado dos EUA e aliados como Japão, Canadá e Reino Unido emitiram um alerta conjunto informando que trabalhadores de TI norte-coreanos estavam se passando por estrangeiros para conseguir emprego.
As táticas se concentram na falsificação de documentos de identidade, como o uso de imagens fornecidas por terceiros em outro país para registrar contas. Depois disso, o norte-coreano realiza o trabalho de fato.
Esses trabalhadores normalmente miram empresas de tecnologia, portanto o ponto principal não é que todas as organizações devam esperar o mesmo tipo de campanha. O ponto é que o onboarding cria um momento em que a confiança é estabelecida pela primeira vez.
Se as verificações de identidade falharem nessa etapa, o atacante pode entrar no ambiente com um acesso que parece legítimo.
O mesmo problema pode ocorrer durante o processo de recuperação. Grupos de threat actor como o Scattered Spider são especialistas em engenharia social, se passando por funcionários e ligando para o service desk para redefinir senhas que dão acesso a uma conta.
Essa tática foi associada à violação com ransomware na M&S em 2025, o que teria contribuído para um impacto estimado de US$ 400 milhões no lucro operacional da varejista por causa da perda de vendas.
A pergunta de segurança nesses cenários é a mesma: com que grau de confiança a organização consegue verificar que a pessoa que faz a solicitação é realmente quem afirma ser?
Quando alguém liga para o service desk dizendo que esqueceu a senha ou perdeu acesso ao autenticador, o atendente precisa conseguir confirmar com segurança que a pessoa na linha é o verdadeiro dono da conta.
No entanto, em muitas organizações, as verificações de identidade ainda dependem de sinais relativamente fracos. Um service desk pode pedir um número de matrícula ou um número de telefone. As perguntas de segurança ainda são comuns, com questões como o nome do primeiro animal de estimação ou a escola em que a pessoa estudou.
O problema é que muitos desses dados podem ser pesquisados, roubados ou manipulados. Atacantes podem encontrar informações pessoais em data breaches ou nas redes sociais.
Mesmo quando há verificações mais fortes, as campanhas de trabalhadores remotos norte-coreanos mostram como documentos e outras evidências de identidade podem ser alterados ou falsificados.
A IA também está tornando a personificação mais convincente. Atacantes podem usar perfis sintéticos, imagens manipuladas, vozes clonadas e vídeos deepfake para sustentar uma identidade falsa ou tornar uma tentativa de engenharia social mais crível.
Tudo isso dificulta a atuação segura dos atendentes. Como é essencial que as organizações verifiquem os usuários em eventos de onboarding e recuperação, elas precisam de medidas mais robustas para fazer essa validação.
Soluções como o Specops Verified ID adicionam uma camada extra de confiança e ajudam os atendentes do service desk a confirmar a identidade com mais segurança antes de executar ações sensíveis.
A solução combina digitalização e validação de documentos oficiais com detecção de vivacidade biométrica.
As verificações de documentos ajudam a confirmar se o documento apresentado é legítimo, enquanto a detecção de vivacidade ajuda a verificar se há uma pessoa real e presente concluindo o processo, em vez de uma imagem estática ou outra evidência reproduzida.
Durante o onboarding, isso oferece às organizações uma forma mais sólida de verificar novos funcionários antes de conceder acesso aos sistemas corporativos. Com isso, é possível reduzir o risco de candidatos fraudulentos e tentativas de personificação, inclusive táticas vistas em campanhas de trabalhadores remotos norte-coreanos.
A mesma abordagem pode ser aplicada quando é necessária uma verificação de alta confiança, como em redefinições de senha para contas privilegiadas.
Em vez de adicionar complexidade a cada evento de identidade, o Specops Verified ID aplica uma verificação mais forte nos momentos em que as consequências de um erro são maiores.
A autenticação forte continua essencial, mas os atacantes seguirão buscando maneiras de contornar os controles mais difíceis de quebrar. Cada vez mais, isso significa mirar os processos usados para estabelecer ou recuperar a identidade, em vez de atacar diretamente o login.
Seja no onboarding de um novo funcionário ou na ajuda a um colaborador que precisa recuperar sua conta, o desafio é garantir que a pessoa certa receba acesso.
O Specops Verified ID adiciona validação de documento oficial e detecção biométrica de vivacidade a esses eventos de identidade de alto risco, ajudando as organizações a tomar essa decisão com mais confiança.
Publicidade
Tenha acesso aos melhores hackers éticos do mercado através de um serviço personalizado, especializado e adaptado para o seu negócio. Guardsi: qualidade, confiança e especialidade em segurança ofensiva de quem já protegeu centenas de empresas. Saiba mais...