Por Alexandre Silva, coordenador de Segurança em Nuvem na Redbelt Security
A maioria dos ataques corporativos modernos não começa por uma falha que o fabricante ainda não corrigiu. Começa por uma porta que a própria empresa deixou aberta: uma credencial roubada, um protocolo legado ativo, uma conta sem MFA. O Verizon Data Breach Investigations Report 2025 confirma que credenciais comprometidas seguem como o principal vetor de acesso inicial em brechas confirmadas globalmente O problema, na maioria dos casos, não é tecnológico. É operacional.
Na prática, atacantes conseguem comprometer ambientes corporativos inteiros sem precisar “invadir” os sistemas. Exploram credenciais expostas, protocolos legados e brechas na autenticação multifator (MFA) para acessar a infraestrutura pela “porta da frente”. Nesse modelo, uma única senha padrão pode ser suficiente para comprometer todo o ambiente corporativo em questão de minutos.
Vale destacar também que a simples habilitação do MFA no portal não impede ataques realizados por protocolos como IMAP e SMTP. Esse ponto costuma surpreender equipes de TI que acreditam estar protegidas após ativar o MFA no portal de administração.
Para mitigar esses riscos, acredito que precisamos de três camadas de proteção: Attack Surface Reduction (ASR), Cloud LAPS e Microsoft Defender for Identity (MDI). Esses recursos bloqueam os principais vetores de ataque explorados atualmente e, embora muitas empresas já os possuam em suas licenças Microsoft, ainda não os mantêm habilitados.
Na visão do atacante, o ransomware moderno não depende de zero-days sofisticados. Ele começa pela rota de menor atrito, credenciais roubadas, ausência de MFA e protocolos legados expostos. Antivírus padrão não é mais suficiente para barrar essa ameaça.
O conceito de Living off the Land (LotL) explica bem esse cenário: é a técnica em que criminosos utilizam ferramentas nativas do Windows, sem recorrer a malwares externos.
A dupla extorsão acabou se tornando o modelo predominante nos ataques de ransomware. Além de criptografar os dados e interromper as operações, os criminosos exfiltram informações sensíveis e ameaçam publicá-las na internet. Com isso, o impacto deixa de ser apenas operacional e passa a envolver riscos financeiros, jurídicos, regulatórios e reputacionais. O custo de um incidente vai muito além do pagamento de um eventual resgate, incluindo paralisação das atividades, multas por vazamento de dados, perda de confiança de clientes e danos à imagem da organização.
Muitas companhias investem em licenças Microsoft E3 ou E5 acreditando que, por si só, elas garantem um nível elevado de proteção. Porém, é comum encontrar recursos críticos já disponíveis no ambiente, mas mantidos desativados ou configurados apenas em modo de auditoria por receio de impactos na operação.
Um exemplo são as regras de Attack Surface Reduction (ASR), que permanecem em auditoria por longos períodos. As proteções existem, mas nunca entram em ação. Esse cenário costuma ser acompanhado por indicadores de maturidade baixos: em ambientes E3 sem gestão ativa de segurança, é comum ver o Microsoft Secure Score abaixo de 40%. Mas mesmo em empresas com licença E5, o indicador frequentemente fica na faixa dos 60% — longe do patamar de 80% ou mais que o próprio licenciamento permitiria alcançar.
O desafio central é a falta de governança para implementar esses controles de forma consistente. Ter a licença é um passo necessário, mas está longe de ser suficiente. Para que os controles de segurança gerem valor real, é preciso definir prioridades e políticas claras, realizar testes controlados, capacitar as equipes envolvidas e manter monitoramento e revisão contínuos.
Sem esse processo, as empresas continuam pagando por recursos avançados de segurança sem usufruir plenamente de sua proteção.
O conceito de defesa em profundidade combina tecnologia, processos, governança e monitoramento contínuo para reduzir riscos e aumentar a resiliência dos ambientes corporativos. Essa abordagem promove uma evolução gradual da postura de segurança, partindo de uma base sólida de controles essenciais e avançando por meio da adoção de boas práticas, testes controlados e otimização das configurações. A diferença entre uma empresa protegida e uma vulnerável raramente está na licença que ela possui. Está em se os controles que ela já pagou estão habilitados, configurados e monitorados.
