O alerta para líderes de TI: credenciais roubadas viraram matéria-prima do cibercrime

Quando pensamos em ataque cibernético, muitas vezes imaginamos uma exploração altamente sofisticada, um malware novo ou uma vulnerabilidade inédita. Porém, o relatório da Fortinet mostra um cenário que merece atenção especial dos líderes de tecnologia: a identidade virou uma das principais matérias-primas do cibercrime.

Hoje, o atacante nem sempre precisa começar do zero. Em muitos casos, ele já encontra credenciais, caminhos de acesso e dados sensíveis em ecossistemas da darknet. Depois, ele usa essas informações para acelerar o acesso inicial e reduzir etapas.

Segundo o relatório, a FortiRecon observou 4,62 bilhões de registros de roubo de identidade ou compartilhados na darknet, um aumento de 79,07% em relação a 2024. Além disso, aproximadamente 1,7 bilhão de registros de credenciais roubadas circularam em 2024, o que mostra a expansão contínua dessa economia de credenciais.

Para diretores, CISOs e líderes de TI, esse dado precisa acender um alerta: identidade não é apenas um controle técnico. Identidade virou um ponto central de risco de negócio.

O acesso pode começar antes da exploração

Um dos pontos mais importantes do relatório é que, em um cenário industrializado de ameaças, a exposição não começa mais apenas no reconhecimento. Muitas vezes, ela começa em mercados subterrâneos, onde criminosos já coletaram, organizaram e comercializaram dados antes mesmo de uma nova atividade de varredura.

Na prática, isso significa que a empresa pode estar olhando apenas para o que aparece hoje, enquanto o atacante já possui informações capturadas anteriormente.

Por isso, a gestão de exposição precisa acontecer de forma contínua. Não basta perguntar “o que está vulnerável agora?”. Também é necessário entender “o que o adversário já pode ter em mãos?”.

Credenciais válidas reduzem o esforço do atacante

O relatório mostra que logs de roubo de credenciais, listas de credenciais combinadas e dados específicos por região fazem parte de uma cadeia de suprimentos criminosa madura.

Esses registros funcionam como combustível para reutilização de credenciais, tentativas de aquisição de contas, acesso a VPNs, portais de SSO, webmail e outros serviços remotos.

E aqui está o ponto que mais me chama atenção: quando o atacante tem credenciais válidas, ele reduz etapas. Em alguns casos, a intrusão não começa pela exploração de uma falha técnica, mas pelo uso de um acesso que parece legítimo.

Como resultado, a detecção fica mais difícil. Por isso, controles de identidade, monitoramento de comportamento e velocidade para revogar credenciais comprometidas ganham ainda mais importância.

O risco não está só na credencial, mas na velocidade

O relatório também reforça que, em todas as fases de exposição, exploração, execução e impacto, a variável comum não é apenas a sofisticação do invasor. É velocidade e reutilização.

Os atacantes reutilizam credenciais, ferramentas, infraestrutura e técnicas. Enquanto isso, muitas empresas ainda dependem de processos manuais para identificar, investigar e conter riscos.

Portanto, para um líder de TI, a pergunta deixa de ser apenas “temos ferramentas de segurança?”. A pergunta passa a ser: “quanto tempo levamos para detectar, conter e revogar um acesso comprometido?”.

Ransomware também entra nessa equação

O relatório aponta que o ransomware continua operando como um modelo de produção maduro. Foram 7.831 vítimas confirmadas globalmente em 2025, em comparação com aproximadamente 1.600 em 2024.

Esse crescimento mostra que o impacto não é episódico. Ele é sistemático, economicamente otimizado e repetível.

Quando credenciais roubadas, automação, exploração em escala e infraestrutura criminosa se conectam, o resultado é um ambiente em que ataques podem acontecer com muito mais velocidade.

O que isso significa para líderes de tecnologia

Para diretores e líderes de TI, a proteção de identidade precisa ser tratada como prioridade estratégica. Isso significa sair de uma visão apenas reativa e avançar para uma abordagem mais preventiva.

O relatório recomenda que as organizações adotem abordagens de CTEM para compreender melhor sua superfície de ataque e priorizar a remediação. Também reforça que a velocidade defensiva, medida pelo tempo para detectar, conter e revogar credenciais comprometidas, deve ser tratada como um indicador de risco comercial primário.

Esse é um ponto essencial: segurança não pode ser medida apenas pelo número de ferramentas implantadas. A vantagem está na rapidez com que a empresa identifica e interrompe uma invasão.

Credenciais roubadas não são apenas um problema técnico. Elas representam uma porta de entrada para riscos maiores, incluindo intrusões em nuvem, abuso de identidade, movimentação lateral e ransomware.

Por isso, a discussão sobre identidade precisa estar na mesa de decisão dos líderes de tecnologia.

Em um cenário onde o cibercrime opera em velocidade de máquina, proteger credenciais, monitorar exposição e acelerar a resposta não é apenas uma boa prática. É uma decisão de negócio.

Fonte: Relatório do Cenário Global de Ameaças de 2026 — Fortinet / FortiGuard Labs.

Mais artigos sobre o tema