Quatro em cada cinco ataques de ransomware hoje começam da mesma forma: com a identidade de alguém, não com seus servidores. Esse único dado, relatado pelo The Manila Times, captura uma mudança que vem se acumulando há anos, mas que agora é impossível de ignorar. Os atacantes não estão mais correndo para encontrar um servidor sem correção ou uma exploração de dia zero. Eles simplesmente fazem login, usando credenciais que foram obtidas por phishing, compradas ou vazadas, e entram pela porta da frente como qualquer outro usuário autorizado.

Essa mudança é importante porque altera o que "segurança" realmente significa para a maioria das organizações e indivíduos. Um firewall não pode impedir alguém que tenha um nome de usuário e senha válidos. Um servidor corrigido não ajuda se o atacante nunca precisou explorá-lo. Os ataques de ransomware baseados em credenciais transferiram o campo de batalha da infraestrutura de rede para a identidade humana, e isso significa que as defesas mais importantes também mudaram.

Por que a Identidade, e Não a Infraestrutura, é o Novo Ponto de Entrada do Ransomware

Durante anos, a estratégia de defesa contra ransomware se concentrou na infraestrutura: corrigir servidores, segmentar a rede, monitorar intrusões. Essas defesas ainda são importantes, mas abordam um modelo de ameaça cada vez mais desatualizado. Quando quatro em cada cinco ataques começam com um login em vez de uma invasão, o cálculo muda. Os atacantes perceberam que as credenciais são mais baratas, mais rápidas e muito menos propensas a disparar alarmes do que uma exploração técnica.

Kits de phishing, ferramentas de preenchimento de credenciais e malware infostealer transformaram a coleta de detalhes de login em um negócio de baixo esforço e alta recompensa. Combine isso com o grande número de senhas reutilizadas em contas pessoais e de trabalho, e os atacantes têm um suprimento constante de credenciais funcionais sem nunca tocar em um firewall. Uma vez lá dentro, eles não parecem intrusos. Parecem funcionários, contratados ou administradores fazendo seu trabalho, e é exatamente isso que torna essa abordagem tão eficaz.

Como Credenciais Roubadas Ignoram as Defesas de Segurança Tradicionais

As ferramentas de segurança tradicionais são construídas para detectar anomalias: padrões de tráfego incomuns, tentativas de acesso não autorizado, assinaturas de malware. Um login válido usando credenciais reais não aciona a maioria desses alarmes. Sistemas de detecção de endpoint, ferramentas de prevenção de intrusão e até firewalls bem configurados são projetados para deter atacantes que estão tentando quebrar algo. Eles são muito menos eficazes contra alguém que está simplesmente usando uma chave que lhe foi entregue, mesmo que essa chave tenha sido roubada.

Isso é parte do motivo pelo qual as operações de ransomware se tornaram tão rápidas depois de obter acesso. Uma reportagem sobre a operação de ransomware Spirals mostrou atacantes criptografando todo o ambiente da vítima em menos de 24 horas após o acesso inicial. Quando a entrada não exige a exploração de uma vulnerabilidade, mais tempo e recursos vão diretamente para a fase de danos. O mesmo padrão aparece em ataques ligados à CVE-2026-0257, uma falha de bypass de autenticação em firewalls Palo Alto explorada por atores do ransomware Qilin, onde a autenticação comprometida, e não a invasão por força bruta, deu aos atacantes o ponto de apoio que precisavam.

Autenticação Multifator e Gerenciadores de Senhas como Primeira Linha de Defesa

Dado que as credenciais roubadas são o principal ponto de entrada, as defesas mais eficazes são aquelas que tornam uma senha roubada menos útil por si só. A autenticação multifator (MFA) é o exemplo mais claro. Mesmo que uma senha seja comprometida por phishing ou violação de dados, a MFA exige uma segunda etapa de verificação, como um código de um aplicativo autenticador ou uma chave de hardware, antes que o acesso seja concedido. Ela não elimina totalmente o risco, mas fecha o caminho mais fácil para os atacantes que dependem apenas de credenciais de login.

Os gerenciadores de senhas abordam um problema relacionado: a reutilização de senhas. Quando as pessoas usam a mesma senha em várias contas, uma única credencial vazada pode desbloquear vários sistemas não relacionados. Um gerenciador de senhas torna prático usar uma senha única e complexa para cada conta, o que limita o raio de impacto quando um conjunto de credenciais é exposto. Nenhuma das ferramentas é complicada de configurar, e ambas miram diretamente na fraqueza exata que os ataques de ransomware baseados em credenciais exploram.

Onde as VPNs se Encaixam na Proteção do Acesso a Contas Administrativas e Sensíveis

As VPNs não são uma solução mágica contra o roubo de credenciais, mas desempenham um papel específico e útil, particularmente para administradores e qualquer pessoa que acesse sistemas sensíveis remotamente. Uma VPN criptografa a conexão entre o usuário e a rede que está acessando, o que ajuda a evitar que as credenciais sejam interceptadas em trânsito, especialmente em redes não seguras ou públicas. Para administradores remotos que gerenciam infraestrutura crítica, combinar o acesso VPN com MFA adiciona uma camada significativa de atrito para atacantes que têm apenas uma senha roubada para trabalhar.

Vale a pena ser claro sobre o que uma VPN não faz: ela não impedirá alguém de usar credenciais válidas e roubadas para fazer login através de um ponto de acesso legítimo. É por isso que o uso da VPN deve ser tratado como uma camada entre várias, funcionando em conjunto com MFA, higiene de senhas e monitoramento de acesso, em vez de uma correção isolada.

O que Isso Significa para Você

Se você gerencia contas sensíveis, seja para negócios ou uso pessoal, a conclusão é direta: sua senha não é mais suficiente, e provavelmente não é há algum tempo. Os ataques de ransomware baseados em credenciais têm sucesso porque exploram hábitos humanos previsíveis, senhas reutilizadas, logins desprotegidos e contas sem uma segunda etapa de verificação. Fechar essas lacunas não exige orçamentos empresariais ou conhecimento técnico especializado. Exige hábitos consistentes aplicados a cada conta que importa.

Medidas Práticas

  • Ative a autenticação multifator em todas as contas que a suportam, começando com e-mail, serviços financeiros e qualquer acesso administrativo.
  • Use um gerenciador de senhas para gerar e armazenar senhas únicas, eliminando o risco de credenciais reutilizadas serem exploradas em várias contas.
  • Combine o uso de VPN com MFA para acesso administrativo remoto, especialmente ao gerenciar sistemas por redes públicas ou não confiáveis.
  • Trate a higiene de credenciais como uma prática contínua, não uma configuração única, já que novas contas e serviços são adicionados regularmente.

Os grupos de ransomware adaptaram sua estratégia porque ela funciona. A boa notícia é que as contramedidas, MFA, gerenciadores de senhas e controles de acesso em camadas, são bem compreendidas e estão ao alcance de quase qualquer pessoa. A mudança de invadir para fazer login significa que a responsabilidade pela defesa também mudou, e agora ela recai tanto sobre a higiene da identidade individual quanto sobre as equipes de segurança de rede.