Empresas podem manter centenas de identidades e acessos ativos que já não deveriam existir, incluindo credenciais usadas por aplicações, integrações e processos automatizados. A Redbelt Security, consultoria brasileira especializada em segurança da informação, chama atenção para o crescimento dessa camada de acesso e para a dificuldade de manter essas identidades sob controle ao longo do tempo, segundo comunicado da empresa. A consultoria aponta que processos como desligamentos de funcionários, mudanças de função e fusões e aquisições podem deixar credenciais ativas por meses ou até anos, fazendo com que acessos antigos permaneçam ativos sem serem identificados pelos controles usados no dia a dia.
Conforme a Redbelt Security, dados recentes ajudam a dimensionar o problema. O Microsoft Digital Defense Report 2025, que processa mais de 100 trilhões de sinais de segurança por dia e analisa 38 milhões de detecções de risco de identidade por dia, revela que 97% dos ataques de identidade são ataques de senha e que esse volume cresceu 32% no primeiro semestre do ano. O relatório também aponta que a autenticação multifator resistente a phishing bloqueia mais de 99% desses ataques. Ao mesmo tempo, o Secure Sign-in Trends Report 2025, baseado em bilhões de autenticações reais no mundo, mostra que um terço dos acessos da força de trabalho ainda ocorre sem MFA.
Identidades não humanas e recomendações
De acordo com o comunicado, a expansão das identidades não humanas adiciona outra camada ao problema. O Relatório de Riscos de NHI e Senhas de 2025, que analisou mais de 27 milhões de identidades não humanas em ambientes corporativos reais, encontrou uma proporção de 144 identidades de máquina para cada identidade humana, ante 92 para 1 no ano anterior. Segundo o mesmo levantamento, 47% dessas identidades passaram mais de um ano sem qualquer troca de credencial. Para a Redbelt Security, o desafio envolve a quantidade de acessos e a dificuldade de saber quais continuam necessários, quem responde por eles e quais permissões permanecem ativas. O M-Trends 2026, da Mandiant, recomenda que acessos a serviços de nuvem e SaaS sejam revisados a cada dois meses, diante do uso de engenharia social interativa em ataques.
“O mercado inteiro está discutindo como governar agentes de IA e identidades não humanas, enquanto o acesso do funcionário que saiu da empresa no ano passado continua ativo. É esse comportamento tão comum que abre a porta”, afirma Wagner Farias, Head de engenharia de ameaças da Redbelt Security, no comunicado.
Segundo a empresa, um dos pontos em que essa falha costuma aparecer é no desligamento de funcionários. O processo pode depender de um aviso enviado por e-mail e de revogações feitas manualmente por diferentes áreas. Sem um levantamento completo dos sistemas e acessos utilizados por aquela pessoa, credenciais podem permanecer ativas sem que isso seja tratado como um incidente. A mesma dificuldade pode surgir em processos de fusão e aquisição, quando novas estruturas, sistemas e credenciais passam a fazer parte do ambiente da organização. O receio de interromper aplicações em produção também pode levar equipes a postergar revogações até que exista clareza sobre o impacto de cada acesso.
A recomendação da Redbelt Security para empresas com orçamento limitado é começar pela organização da base de identidades. A primeira etapa é revisar o diretório de identidades, como Active Directory ou equivalente, e definir controles de acesso por função. Depois, é preciso alinhar cargos e responsabilidades com o setor de RH e construir um inventário que mostre quem são as pessoas envolvidas, quais sistemas utilizam e quais acessos mantêm. Esse inventário cria uma referência para identificar acessos que deixaram de fazer sentido e estabelecer uma rotina de revisão. “Gestão de identidade não tem início, meio e fim. Ela se transforma em dívida no momento em que alguém trata como projeto encerrado, em vez de uma operação contínua”, resume Farias.
