Identidades de máquina crescem nas empresas e ampliam os desafios de gestão de acessos, credenciais e segurança da informação
Empresas podem manter centenas de identidades e acessos ativos que já não deveriam existir, incluindo credenciais utilizadas por aplicações, integrações e processos automatizados. A expansão dessa camada de acesso aumenta a complexidade da gestão de identidades, especialmente quando credenciais permanecem ativas após desligamentos, mudanças de função ou processos de fusão e aquisição.
A Redbelt Security, consultoria brasileira especializada em segurança da informação, chama atenção para esse cenário e para a dificuldade de manter essas identidades sob controle ao longo do tempo. Segundo a empresa, processos como desligamentos de funcionários, mudanças de função e fusões e aquisições podem deixar credenciais ativas por meses ou até anos, fazendo com que acessos antigos permaneçam ativos sem serem identificados pelos controles utilizados no dia a dia.
Dados recentes ajudam a dimensionar o cenário. O Microsoft Digital Defense Report 2025, que processa mais de 100 trilhões de sinais de segurança por dia e analisa 38 milhões de detecções de risco de identidade diariamente, revela que 97% dos ataques de identidade são ataques de senha e que esse volume cresceu 32% no primeiro semestre do ano. O relatório também aponta que a autenticação multifator resistente a phishing bloqueia mais de 99% desses ataques.
Ao mesmo tempo, o Secure Sign-in Trends Report 2025, baseado em bilhões de autenticações reais no mundo, mostra que um terço dos acessos da força de trabalho ainda ocorre sem autenticação multifator (MFA).
A expansão das identidades não humanas adiciona outra camada ao cenário. O Relatório de Riscos de NHI (identidades não humanas) e Senhas de 2025, que analisou mais de 27 milhões de identidades não humanas em ambientes corporativos reais, encontrou uma proporção de 144 identidades de máquina para cada identidade humana, ante 92 para 1 no ano anterior. Segundo o mesmo levantamento, 47% dessas identidades passaram mais de um ano sem qualquer troca de credencial.
Identidades e acessos sob revisão contínua
Para a Redbelt Security, o desafio envolve não apenas a quantidade de acessos, mas também a dificuldade de identificar quais continuam necessários, quem responde por eles e quais permissões permanecem ativas.
O M-Trends 2026, da Mandiant, recomenda que acessos a serviços de nuvem e SaaS sejam revisados a cada dois meses, diante do uso de engenharia social interativa em ataques.
“O mercado inteiro está discutindo como governar agentes de IA e identidades não-humanas, enquanto o acesso do funcionário que saiu da empresa no ano passado continua ativo. É esse comportamento tão comum que abre a porta“, afirma Wagner Farias, Head de Engenharia de Ameaças da Redbelt Security.
Um dos pontos em que essa falha costuma aparecer é no desligamento de funcionários. O processo pode depender de um aviso enviado por e-mail e de revogações feitas manualmente por diferentes áreas.
Sem um levantamento completo dos sistemas e acessos utilizados por aquela pessoa, credenciais podem permanecer ativas sem que isso seja tratado como um incidente.
A mesma dificuldade pode surgir em processos de fusão e aquisição de empresas, quando novas estruturas, sistemas e credenciais passam a fazer parte do ambiente da organização. O receio de interromper aplicações em produção também pode levar equipes a postergar revogações até que exista clareza sobre o impacto de cada acesso.
Inventário de identidades
Para empresas com orçamento limitado, a Redbelt Security recomenda começar pela organização da base de identidades. A primeira etapa é revisar o diretório de identidades, como Active Directory ou equivalente, e definir controles de acesso por função.
Em seguida, é necessário alinhar cargos e responsabilidades com o setor de Recursos Humanos (RH) e construir um inventário que mostre quem são as pessoas envolvidas, quais sistemas utilizam e quais acessos mantêm.
Esse inventário cria uma referência para identificar acessos que deixaram de fazer sentido e estabelecer uma rotina de revisão. Segundo a Redbelt Security, tratar a identidade como uma operação contínua ajuda a evitar o acúmulo de credenciais antigas e permissões excessivas ao longo do tempo.
“Gestão de identidade não tem início, meio e fim. Ela se transforma em dívida no momento em que alguém trata como projeto encerrado, em vez de uma operação contínua“, resume Wagner Farias.
Fraudes de identidade cresceram 32,9%: como proteger as jornadas digitais da sua empresa?
Shield Security debate evolução da cibersegurança e gestão de riscos no Mind The Sec 2026
Unico assina acordo para aquisição da Valida e avança expansão na Argentina
O que é o KYC, para que serve e como fazer em 6 passos?
Identidade é quem você é. Identificação digital é como você prova isso. O Crypto ID trata dessa distinção desde 2014 e sobre identificação de pessoas e identidades não humanas (NHIs) com abordagem técnica e acadêmica, você só lê aqui!
