Executivo da Thales analisa phishing com IA, FIDO2, gestão de terceiros e autenticação em ambientes cada vez mais automatizados
Sérgio Muniz é Diretor de Vendas para Gestão de Identidade e Acesso da Thales na América Latina, área à qual dedica os últimos anos de sua trajetória profissional ligada à segurança digital. Na Thales, seu trabalho está diretamente relacionado à proteção das identidades e dos acessos de funcionários, terceiros e clientes em ambientes corporativos cada vez mais distribuídos e conectados.
A companhia atua globalmente nos segmentos de defesa, aeroespacial, cibersegurança e tecnologias digitais e mantém um portfólio voltado à proteção de aplicações, dados e identidades.
Foi a partir dessa perspectiva que Muniz participou de uma nova conversa com Regina Tupinambá e Susana Taboas, do Crypto ID, sobre uma mudança que vem alterando a lógica da cibersegurança: criminosos não estão mais interessados apenas em descobrir uma senha ou obter um código temporário. O objetivo passa a ser assumir, de forma convincente, a identidade da vítima e utilizar essa identidade para atravessar diferentes camadas de segurança.
A inteligência artificial mudou a escala do phishing
Um dos primeiros temas abordados foi a evolução do phishing. Técnicas que durante anos dependeram de mensagens mal escritas, páginas falsas relativamente rudimentares e abordagens facilmente reconhecíveis passaram a contar com recursos de inteligência artificial capazes de melhorar linguagem, contextualização e personalização dos ataques.
Para Sergio Muniz, isso altera não apenas a qualidade das tentativas de fraude, mas também sua escala econômica. Produzir mensagens convincentes ficou mais rápido e barato, permitindo que criminosos criem ataques personalizados com muito menos esforço.
O problema deixa, portanto, de estar limitado à proteção de uma credencial. Uma combinação de dados pessoais, engenharia social, credenciais comprometidas e conteúdos produzidos por inteligência artificial pode permitir ao fraudador construir uma representação cada vez mais convincente da própria vítima.
É nesse cenário que a identidade digital passa a ocupar o centro da estratégia de segurança.
FIDO2 e a resistência ao phishing
Durante a conversa, Sérgio Muniz explicou por que tecnologias baseadas no padrão Fast Identity Online 2 (FIDO2) vêm ganhando espaço como alternativa às autenticações baseadas exclusivamente em senhas ou códigos temporários.
A diferença está na arquitetura.
No FIDO2, a autenticação é baseada em criptografia assimétrica e a credencial fica vinculada ao serviço legítimo para o qual foi criada. Isso significa que, diante de um domínio falso criado para reproduzir a página verdadeira, a autenticação não é simplesmente entregue ao atacante.
A própria Thales descreve FIDO2 como um padrão aberto de autenticação sem senha e resistente a phishing. Cada chave privada permanece associada ao domínio correspondente e, se o domínio apresentado for falso, a autenticação falha.
Essa característica é particularmente importante porque modifica uma fragilidade histórica da autenticação tradicional: o usuário deixa de ser o único responsável por perceber se está ou não diante de um site fraudulento.
Em um ataque de phishing muito bem executado, aparência, endereço, mensagem e contexto podem induzir a vítima ao erro. Com mecanismos resistentes a phishing, a própria tecnologia passa a participar dessa verificação.
O desafio dos terceiros e dos ambientes compartilhados
A discussão também avançou para um problema recorrente nas grandes organizações: como controlar os acessos de pessoas que não pertencem necessariamente ao quadro permanente da empresa.
Terceirizados, fornecedores, equipes temporárias, distribuidores, prestadores de serviço e outros usuários externos podem precisar acessar aplicações corporativas, muitas vezes sem fazer parte da estrutura tradicional de diretórios da organização.
A dificuldade se torna ainda maior em ambientes nos quais várias pessoas utilizam o mesmo equipamento.
Call centers, lojas de varejo, hospitais, plantas industriais e diferentes operações de atendimento são exemplos nos quais nem sempre é possível associar um smartphone ou um computador individual a cada trabalhador.
Muniz discutiu alternativas para esses cenários, incluindo tecnologias de autenticação baseadas em padrões visuais, como o GrIDsure, no qual o usuário memoriza uma posição ou desenho sobre uma matriz cujos caracteres são alterados a cada acesso.
A Thales apresenta esse tipo de autenticação como uma alternativa para trabalhadores da linha de frente e ambientes nos quais simplicidade operacional e proteção das credenciais precisam coexistir.
O ponto central não está, portanto, em escolher uma única tecnologia de autenticação para toda a organização, mas em reconhecer que diferentes identidades, níveis de risco e condições de trabalho exigem mecanismos diferentes de autenticação.
A autenticação também precisa entender o risco
Outro eixo da conversa foi a evolução para modelos de autenticação capazes de considerar contexto e risco.
Uma operação cotidiana de baixo impacto não necessariamente precisa receber o mesmo nível de proteção aplicado a uma transferência financeira relevante, uma alteração em folha de pagamento, uma ação administrativa privilegiada ou uma intervenção em infraestrutura tecnológica.
A segurança pode, assim, ser ajustada conforme elementos como perfil do usuário, tipo de operação, dispositivo utilizado, ambiente, criticidade do recurso e comportamento.
Essa lógica reduz um dilema histórico da segurança digital: aumentar a proteção sem transformar cada atividade cotidiana em uma sequência excessiva de verificações.
IA cria uma nova pergunta: quem autorizou a máquina?
A inteligência artificial introduz ainda outra dimensão ao problema.
À medida que sistemas passam a executar ações, acessar informações corporativas e interagir com aplicações de forma mais autônoma, torna-se necessário estabelecer com clareza quem autorizou determinada ação e qual identidade humana está por trás de uma operação crítica.
Muniz destacou durante a entrevista a adoção de mecanismos fortes de autenticação, inclusive tokens de hardware baseados em FIDO, para situações nas quais é fundamental manter uma pessoa responsável pela autorização de determinada função.
O conceito de human in the loop, ou humano no circuito decisório, ganha uma nova importância nesse contexto.
A discussão não é apenas sobre provar que existe uma pessoa diante do sistema. Trata-se de estabelecer uma cadeia confiável entre a identidade humana, sua autorização e aquilo que um sistema de inteligência artificial poderá executar.
Quanto maior a autonomia concedida à máquina, maior se torna a importância dessa associação.
O CISO precisa falar a linguagem do negócio
Nos minutos finais, a conversa saiu da tecnologia para entrar na governança.
Para Sérgio Muniz, o Chief Information Security Officer (CISO) precisa ser capaz de traduzir vulnerabilidades técnicas em riscos compreensíveis para o conselho e para a alta administração.
Phishing, comprometimento de credenciais, acesso inadequado de terceiros ou falhas de autenticação não deveriam chegar ao board apenas como uma discussão sobre tecnologia.
Precisam ser apresentados em termos de impacto sobre continuidade operacional, perdas financeiras, reputação, conformidade, relacionamento com clientes e sustentabilidade do negócio.
Essa mudança de linguagem também reflete uma transformação maior na cibersegurança.
Identidade e acesso já não podem ser tratados apenas como componentes da infraestrutura de tecnologia. Com pessoas, máquinas e agentes de inteligência artificial compartilhando o mesmo ambiente digital, saber quem está acessando, o que pode fazer e quem efetivamente autorizou determinada ação torna-se uma questão de negócio.
E talvez essa tenha sido a principal reflexão da conversa com Sérgio Muniz: diante de ataques cada vez mais sofisticados, proteger apenas a senha é insuficiente.
É preciso proteger a identidade.
ID Talk: Thales detalha como identidade virou controle de risco nas operações críticas
Entrevista com Sérgio Muniz e Luis Sant’Anna aborda a Gestão de Identidade e Acesso no cenário aeroportuário
Sobre Thales
A Thales (Euronext Paris: HO) é líder global em tecnologias avançadas para os setores de Defesa, Aeroespacial, Cibersegurança e Digital. Seu portfólio de produtos e serviços inovadores ajuda a enfrentar diversos grandes desafios: soberania, segurança, sustentabilidade e inclusão.
O Grupo investe 4.5 bilhões de euros por ano em Pesquisa e Desenvolvimento em áreas-chave, especialmente para ambientes críticos, como Inteligência Artificial, Cibersegurança e Tecnologias Quânticas e de Nuvem.
A Thales possui mais de 85 mil colaboradores em 65 países. Em 2025, o Grupo registrou vendas de 22,1 bilhões de euros.
Leia outros artigos da Thales aqui!
ID Talk são entrevistas que geram insights poderosos e soluções práticas para você tomar decisões estratégicas e liderar o futuro. Assistindo ou lendo você descobre o que há de mais inovador em tecnologia. Você vai gostar muito!
