Account takeover: quando a conta é roubada às 3h e ninguém vê

Três da manhã. Um acesso bem-sucedido entra no sistema de e-mail corporativo a partir de um endereço IP registrado em outro país. A senha estava correta. A autenticação passou. Nenhum alarme disparou.

Essa cena não é hipótese. É o padrão de abertura de boa parte dos incidentes que chegam até mim com semanas de atraso, quando o prejuízo já tem nome e valor no balanço. O que chama atenção não é a sofisticação do ataque, porque não há sofisticação nenhuma. É a ausência de reação no momento em que a reação ainda seria útil.

O account takeover, ou sequestro de conta, é hoje o vetor de incidente que mais cresce em ambientes corporativos. Não porque os invasores ficaram mais habilidosos. Mas porque o modelo de defesa da maioria das empresas foi construído para bloquear intrusos, e não para identificar um usuário legítimo se comportando de forma estranha.

Esse é o ponto que eu quero desenvolver aqui. E ele tem consequências diretas para qualquer CEO que toma decisão sobre infraestrutura de TI.

O que é account takeover e por que ele é diferente de uma invasão

Account takeover é o acesso não autorizado a uma conta usando credenciais legítimas. A diferença em relação a uma invasão técnica clássica é fundamental: não há exploração de vulnerabilidade de software, não há força bruta detectável, não há assinatura de malware para um antivírus capturar. O invasor entra pela porta da frente, com a chave certa, porque essa chave vazou em outro lugar.

Como a chave chega às mãos erradas? Os caminhos mais comuns são três:

1. Vazamento de base de dados de um serviço terceiro onde o usuário usou a mesma senha.
2. Phishing direcionado que capturou a credencial sem que o usuário percebesse.
3. Compra de lote de credenciais em fóruns de acesso restrito, prática conhecida como credential stuffing.

Em todos os casos, o invasor não precisa quebrar nada. Ele testa a credencial, o sistema valida, e o acesso é concedido. A partir desse momento, do ponto de vista da plataforma, ele é o usuário.

O invasor não está invadindo. Ele está logado. E essa distinção muda tudo sobre como você precisa monitorar.

O que acontece depois do login é o que torna o account takeover especialmente destrutivo em ambiente corporativo. O invasor não age com pressa. Ele lê e-mails, mapeia fluxos de aprovação, identifica quem tem alçada para movimentação financeira, descobre o padrão de comunicação interno. Monta a fraude com cuidado. Quando alguém na empresa percebe algo errado, dias ou semanas podem ter passado.

Por que a plataforma não avisou

A resposta direta é incômoda: porque avisar nunca foi o trabalho da plataforma.

Um serviço de e-mail corporativo foi construído para entregar mensagem. Um sistema de ERP foi construído para processar transação. Uma ferramenta de colaboração foi construída para sincronizar arquivo. Nenhuma dessas plataformas tem como missão central monitorar o comportamento do usuário e levantar a mão quando o padrão destoa.

Algumas oferecem alertas básicos, como notificação de novo dispositivo ou acesso de IP desconhecido. Mas esses alertas chegam por e-mail, para o próprio usuário, que pode ser exatamente o e-mail que está sob controle do invasor. O aviso vai para a caixa que foi comprometida.

Além disso, o alerta isolado não resolve o problema de correlação. Um login às 3h, por si só, pode ser o CEO viajando. Um acesso de fora do país, por si só, pode ser o time em home office com VPN mal configurada. O que identifica o sequestro de conta não é um evento único. É a combinação de variáveis analisadas em contexto: horário fora do padrão histórico do usuário, geolocalização incompatível com a anterior, volume de leitura de e-mails atípico, acesso a pastas que esse perfil normalmente não toca.

Essa análise de contexto comportamental não é o que uma plataforma de entrega faz. É o que um sistema de monitoramento de segurança faz.

O que a visibilidade do ambiente muda na prática

Quando o ambiente está sendo monitorado de forma contínua, o acesso das 3h de um país onde a empresa não tem ninguém não passa pela malha. O sistema correlaciona as variáveis, identifica o desvio de padrão e gera o alerta antes que o invasor tenha tempo de estudar a rotina.

A diferença entre perder e reagir é medida em minutos. E minutos você só tem se alguém estiver olhando.

Na UNODATA, desenvolvemos o AHSU 360 (AntiHacking System UNODATA), uma camada de monitoramento comportamental e detecção de ameaças que opera sobre o ambiente do cliente sem depender da inteligência nativa de cada plataforma individualmente. O princípio é simples: olhar o comportamento do usuário de forma centralizada, correlacionar eventos de múltiplas fontes e gerar alerta no momento em que o desvio acontece, não no fechamento do mês.

O que muda operacionalmente com monitoramento ativo

A comparação entre os dois cenários é objetiva:

• Sem monitoramento comportamental: o acesso anômalo é registrado em log, mas ninguém lê log em tempo real. A descoberta acontece por acidente, por reclamação de cliente ou por auditoria retroativa. O tempo médio de identificação de account takeover sem monitoramento ativo supera 15 dias.
• Com monitoramento comportamental: o desvio de padrão gera alerta em minutos. A equipe responsável recebe notificação imediata com contexto: qual conta, qual o padrão histórico, o que destoa. A sessão pode ser encerrada, a conta bloqueada e a investigação iniciada antes que o invasor conclua o mapeamento do ambiente.

A diferença não é de tecnologia sofisticada versus tecnologia simples. É de ter ou não ter alguém olhando de forma estruturada.

O que o CEO precisa decidir sobre isso

Essa é a conversa que eu tenho com frequência. O gestor entende o risco no nível conceitual, mas não sabe traduzir em decisão concreta. Então vou direto ao ponto.

A primeira pergunta que você precisa responder é: se uma conta do meu time for comprometida agora, em quanto tempo eu fico sabendo? Se a resposta for “quando alguém reclamar” ou “na próxima auditoria”, você tem um problema estrutural, não uma questão de política de senhas.

A segunda pergunta é: quem no meu time está olhando para o comportamento de acesso hoje, não para a lista de vulnerabilidades, mas para o padrão de uso das contas ativas? Se não houver uma resposta clara para essa pergunta, o monitoramento não existe de forma efetiva.

A terceira pergunta é sobre superfície de risco real. Quantas contas corporativas o seu time usa em plataformas externas? E-mail, ERP, CRM, ferramentas de projeto, plataformas de pagamento. Cada uma dessas contas é um ponto de entrada potencial. A pergunta não é se alguma dessas credenciais já vazou em algum lugar. A pergunta é o que acontece quando uma delas for usada por alguém que não deveria ter acesso.

Essas três perguntas não exigem que você se torne especialista em segurança. Exigem que você saiba se o seu ambiente está sendo observado ou não.

A maioria das empresas que passa por um incidente de account takeover significativo não tinha tecnologia ruim. Tinha visibilidade ruim. O dado estava lá, o log existia, o acesso estava registrado. Só não havia ninguém olhando para ele no momento certo.

Se o seu ambiente te acordaria às 3h, você está em posição de reagir. Se a resposta for não, vale revisar essa decisão antes que a pergunta deixe de ser retórica.

Perguntas frequentes

O que é account takeover e como ele se diferencia de um ataque de invasão?

Account takeover é o acesso não autorizado a uma conta usando credenciais legítimas obtidas por vazamento, phishing ou credential stuffing. Diferente de uma invasão técnica, não há exploração de vulnerabilidade de software: o sistema valida o login normalmente porque a senha está correta. Isso torna a detecção muito mais dependente de análise comportamental do que de antivírus ou firewall.

Por que as plataformas corporativas não detectam esse tipo de acesso automaticamente?

A maioria das plataformas foi construída para entregar um serviço, não para monitorar comportamento de usuário. Os alertas nativos que existem, como notificação de novo dispositivo, chegam ao próprio e-mail comprometido e analisam variáveis isoladas. Sem correlação de múltiplos eventos em contexto histórico, o desvio de padrão não é identificado como ameaça.

Quanto tempo em média um invasor fica ativo numa conta corporativa antes de ser identificado?

Sem monitoramento comportamental ativo, o tempo médio de identificação de account takeover supera 15 dias em ambientes corporativos. Nesse período, o invasor tem acesso completo à comunicação, fluxos financeiros e dados sensíveis da conta comprometida. A detecção tardia é o principal fator de amplificação do prejuízo.

O que é o AHSU 360 e qual problema ele resolve?

O AHSU 360 (AntiHacking System UNODATA) é uma camada de monitoramento comportamental e detecção de ameaças que opera de forma centralizada sobre o ambiente do cliente. Ele correlaciona eventos de múltiplas plataformas, identifica desvios de padrão de acesso em tempo real e gera alertas acionáveis no momento do desvio, não em relatório retroativo. O objetivo é reduzir o tempo entre o acesso anômalo e a resposta da equipe para minutos.