Descoberta e escopo do relatório
O SpyCloud Identity Threat Report 2026, divulgado nesta quarta-feira (09), revela uma mudança significativa no panorama de ameaças cibernéticas. O estudo, baseado em pesquisas com 750 líderes de segurança em organizações com mais de 500 funcionários, identifica que identidades não humanas (NHIs) — incluindo agentes de IA, contas de serviço, chaves de API e tokens de autenticação — tornaram-se a rota mais comum para invasores entrarem nas empresas.
Os dados mostram que 31% das organizações consideram as NHIs comprometidas como o ponto de entrada primário, quase o dobro do phishing e engenharia social, que ocupam a segunda posição com 17%. Além disso, o mau uso relacionado a NHIs foi o tipo de evento baseado em identidade mais relatado, atingindo 42% dos respondentes.
Discrepância entre visibilidade e monitoramento
Um dos achados mais críticos do relatório é a falsa sensação de segurança. Enquanto 95% das organizações acreditam ter visibilidade sobre suas exposições de identidade de IA e máquina, apenas 36% estão monitorando ativamente esses ativos. Isso torna as identidades de máquina a categoria de risco de identidade menos observada no relatório.
Essa lacuna é explorada por atacantes. Trevor Hilligoss, Chief Intelligence Officer da SpyCloud, destaca: "Essa assimetria é o que os atacantes estão explorando. Cada uma dessas identidades é um convite permanente que se renova até que alguém perceba".
Adoção de IA supera governança
A adoção de ferramentas de IA cresceu rapidamente, mas a governança não acompanhou. Quase todas as organizações (91%) usam ferramentas ou agentes de IA com acesso a sistemas internos, aplicações ou dados. No entanto, apenas 56% possuem governança formal e propriedade para os privilégios resultantes. Outros 41% dependem de processos informais ou propriedade parcial, deixando acesso sombra — conexões privilegiadas operando fora da governança e monitoramento normais.
Impacto e alcance
68% das organizações experimentaram um evento baseado em identidade no mesmo período, com os afetados registrando uma média de oito eventos cada. Organizações que tinham visibilidade sobre cookies de sessão roubados experimentaram taxas de eventos baseados em identidade significativamente menores (37%) do que aquelas que não podiam (50%).
Os cookies de sessão e tokens permitem que atacantes contornem controles de autenticação, como MFA, retomando uma sessão já autenticada. Isso dá acesso confiável a aplicações e dados, explicando por que os dados de sessão superaram as senhas como o principal alvo dos atacantes.
Medidas de mitigação recomendadas
O relatório introduz o SpyCloud Identity Threat Protection Maturity Model, que agrupa os respondentes em quatro níveis: Reativo, Construção, Operacional e Otimizado. As organizações mais maduras dependem de monitoramento contínuo de exposição de identidade e remediação automatizada.
Damon Fleury, Chief Product Officer da SpyCloud, afirma: "A maioria dos programas de identidade ainda é medida sobre se uma exposição aconteceu. Esse é o placar errado". Organizações que combinam monitoramento contínuo de identidade com remediação automatizada de exposições da força de trabalho criam a maior fricção para criminosos.
Implicações regulatórias e LGPD
Para o Brasil, a exposição de identidades não humanas pode ter implicações diretas na conformidade com a LGPD. A falta de inventário de contas de serviço e tokens pode violar os princípios de segurança e prevenção de vazamentos. A ANPD tem enfatizado a necessidade de controles robustos sobre o acesso a dados pessoais, o que inclui o acesso automatizado por sistemas e agentes.
O que os CISOs devem fazer imediatamente
1. Inventariar todas as identidades não humanas em uso.
2. Implementar monitoramento contínuo de exposição de identidade.
3. Automatizar a remediação de credenciais comprometidas.
4. Revisar a governança de acesso para agentes de IA.
5. Estabelecer processos claros de propriedade para contas de serviço.
Perguntas frequentes
Qual a diferença entre identidade humana e não humana?
Identidades humanas são contas de usuários finais, enquanto identidades não humanas são contas de serviço, tokens de API e agentes de IA que acessam sistemas.
Como a LGPD afessa essa descoberta?
A LGPD exige que as organizações protejam dados pessoais, o que inclui garantir que apenas identidades autorizadas acessem esses dados, seja humano ou máquina.