Infostealers: como credenciais roubadas alimentam o ransomware

Por que credenciais roubadas superam as defesas tradicionais? Porque o atacante não invade: ele faz login. Um usuário, uma senha e, cada vez mais, um cookie de sessão válidos são idênticos aos de um colaborador legítimo, e as ferramentas de perímetro não enxergam nada de anormal.

Três fatores agravam o problema em empresas dos EUA e da América Latina. Primeiro, a velocidade: as credenciais costumam passar do roubo a uma listagem clandestina em 48 horas, e afiliados de ransomware já usaram o acesso comprado em outras 48. Segundo, o preço: registros brutos são vendidos por US$ 1 a US$ 50, enquanto os corretores de acesso inicial revendem acessos corporativos por US$ 500 a US$ 5.000. Terceiro, o roubo de sessões: um cookie roubado pode contornar totalmente a autenticação multifator, pois o usuário já passou pela verificação.

O incidente da Snowflake em 2024, que afetou 165 organizações, mostrou o custo dessa lacuna: nenhuma das contas comprometidas tinha MFA ativado. Trabalho remoto, dispositivos pessoais e terceirizados ampliam a superfície de ataque, porque a infecção ocorre fora da rede corporativa.

Por que as empresas latino-americanas estão especialmente expostas? A rápida adoção da nuvem, o uso intenso de dispositivos pessoais no trabalho e a dependência do login único do Microsoft 365 fazem com que uma única sessão vazada abra e-mail, arquivos e Teams de uma só vez.

Como funciona a cadeia de infostealer a ransomware? Ela segue uma sequência previsível que as equipes de defesa podem interromper em cada etapa.

1. Infecção. O usuário executa um instalador pirata, um falso CAPTCHA, um anúncio malicioso ou uma atualização adulterada.
2. Coleta. O malware copia senhas, cookies, tokens e perfis de VPN ou RDP e os exfiltra como um «log».
3. Venda. O log é vendido em um mercado automatizado ou chega a um corretor que filtra contas corporativas.
4. Acesso. Um afiliado de ransomware compra o acesso e entra por VPN, área de trabalho remota ou console de nuvem, muitas vezes em 48 horas.
5. Escalonamento. Move-se lateralmente, obtém privilégios de administrador e desativa as ferramentas de segurança.
6. Extorsão. Rouba dados, ataca backups e cópias de sombra e inicia uma contagem regressiva.

A defesa vence encurtando o tempo de detecção: MFA resistente a phishing, sessões mais curtas, acesso condicional por saúde do dispositivo e monitoramento de logins anômalos. Soma-se a segmentação de rede, viabilizada entre filiais e países pelo projeto de conectividade multioperadora e SD-WAN da HIT.

Como saber se suas credenciais já estão à venda? Monitore fontes de logs de infostealers e da dark web em busca dos seus domínios corporativos, revogue as sessões imediatamente quando houver correspondência e force a troca de senha da identidade afetada. Qualquer credencial corporativa encontrada em um log deve ser tratada como comprometida, mesmo com MFA, porque o cookie pode já estar em uso.

O que as empresas ganham ao barrar o roubo de credenciais cedo? A economia favorece claramente a prevenção. Na saúde, o custo médio de uma violação chega a US$ 7,42 milhões, e os setores mais atingidos por incidentes com infostealers são serviços profissionais, indústria e saúde. Barrar o atacante no login custa uma fração de recuperar servidores criptografados.

Os benefícios são concretos: menor probabilidade de ransomware, porque o ponto de entrada mais comum é fechado; menor tempo de permanência do invasor, já que o monitoramento 24/7 sinaliza acessos suspeitos em minutos; proteção de dados regulados e auditorias mais simples; e continuidade operacional diante dos ataques de dupla extorsão.

A resiliência também conta. Grupos como o n0n ameaçam explicitamente os backups, então as cópias precisam estar isoladas e testadas. Combinar detecção com proteção externa reforçada por meio de serviços gerenciados de TI e backup em nuvem permite restaurar nos seus próprios termos, sem negociar.

O que isso significa para a conformidade? Normas como a LGPD no Brasil, a Lei 1581 na Colômbia e as leis estaduais de privacidade dos EUA exigem proteger dados pessoais com controles razoáveis. Ter MFA, monitoramento de sessões e registros de resposta a incidentes torna muito mais fácil comprovar a devida diligência perante reguladores, auditores e seguradoras, que cada vez mais perguntam sobre defesas contra infostealers antes de renovar uma apólice.

Como a HIT Communications ajuda? Com mais de 30 anos operando serviços de telecomunicações e TI na América Latina, nos Estados Unidos e na Europa, a HIT une rede e segurança, as duas camadas que essa ameaça atravessa.

Nossa prática de cibersegurança oferece SOC, SIEM e MDR gerenciados que monitoram sinais de identidade, endpoints e rede 24 horas por dia, correlacionam com indicadores conhecidos de infostealers e respondem quando uma credencial roubada é usada. Nossa equipe de conectividade projeta redes segmentadas e multioperadoras para que uma conta comprometida não circule livremente. E os serviços de TI reforçam os dispositivos, aplicam acesso condicional e mantêm backups imutáveis.

Como a HIT opera a rede, a plataforma de voz e a segurança em um único relacionamento, não sobram lacunas entre fornecedores onde um atacante possa se esconder. Empresas na Colômbia, no México, no Panamá, no Brasil, nos EUA e na Espanha usam esse modelo integrado para reduzir o intervalo entre uma senha vazada e um incidente contido.

O que fazer agora? Comece neste trimestre com três ações: exigir MFA resistente a phishing em todos os acessos, encurtar e monitorar os tokens de sessão e confirmar que os backups estão isolados e restauráveis. Depois, verifique se alguém vigia a atividade com credenciais roubadas 24 horas por dia, porque o relógio de 48 horas começa muito antes de você ver um alerta.

Os infostealers transformaram o roubo de credenciais em uma cadeia de suprimentos industrial, e os grupos de ransomware são os clientes. As empresas que tratam a identidade como o novo perímetro, apoiada por monitoramento contínuo, negam a eles uma venda fácil.

Pronto para avaliar sua exposição? Fale com a HIT Communications para uma avaliação de segurança e um plano sob medida para o seu ambiente.