(41) 99193-1264
Por Interesse_
Por Setor_
Por Segmento_
(41) 99193-1264
Por Interesse_
Por Setor_
Por Segmento_
Sexta-feira, sete da noite. O analista fecha o notebook corporativo na mesa do escritório e vai embora. No sábado de manhã, com o café ainda quente, abre o notebook de casa, o mesmo que os filhos usam para jogar, digita o login corporativo, acerta o segundo fator e entra no sistema financeiro.
Do lado de dentro, tudo bate. Usuário correto, senha correta, token correto. A rede abre a porta e registra um acesso legítimo.
Ninguém perguntou o que aquele notebook tem instalado, quando ele recebeu a última atualização ou se o antivírus está ativo. A credencial provou quem estava acessando. Não provou de onde.
Por muitos anos a segurança corporativa colocou quase toda a energia em validar a identidade do usuário. Fazia sentido: o colaborador ficava no escritório, usava a máquina que a empresa entregou e conectava por uma rede com fronteira física conhecida.
O ambiente mudou antes do modelo: a Verizon, no Data Breach Investigations Report de 2025, apurou que 46% dos dispositivos que registraram credenciais corporativas eram equipamentos não gerenciados, em geral máquinas pessoais ou de trabalho remoto, fora do alcance das ferramentas de detecção e resposta da empresa.
São situações comuns, e nenhuma delas envolve alguém forçando a porta:
| Situação | Por que ela abre risco |
| Notebook sem atualização de segurança | Falha conhecida e já corrigida pelo fabricante continua explorável |
| Equipamento com malware ativo | A sessão legítima vira canal de acesso para quem controla a máquina |
| Máquina sem criptografia de disco | Perda ou furto expõe dados protegidos apenas pela sorte |
| Celular pessoal em sistema corporativo | Aplicativo, rede e perfil de uso ficam fora da política da empresa |
| Dispositivo compartilhado em casa | A conta é de uma pessoa, o equipamento é de várias |
O padrão se repete: a credencial está correta e o risco está no equipamento que a usa. Incidente nascido assim demora a aparecer justamente porque o log de autenticação registra normalidade.
Device Trust é a prática de avaliar o equipamento no mesmo momento em que a identidade é verificada. A pergunta deixa de ser apenas quem está entrando e passa a incluir o que está entrando junto.
Os critérios variam conforme a política de organização, e alguns aparecem em quase todas:
A leitura desses sinais acontece antes da liberação, e é isso que muda o resultado: em vez de descobrir o problema depois do incidente, a rede decide com a informação na mão.
O conceito depende de infraestrutura, e se apoia em três camadas que trabalham juntas.
O Network Access Control faz o papel de porteiro da rede. Identifica o equipamento que tenta conectar, verifica se ele atende aos requisitos e decide o que acontece: acesso liberado, acesso restrito a uma rede segmentada, ou bloqueio com orientação para regularizar.
Um notebook desatualizado pode ser direcionado para uma rede de quarentena, com acesso apenas ao servidor de atualização, em vez de simplesmente ficar de fora do expediente.
O Cisco Identity Services Engine é onde as regras viram decisão automática. Ele cruza a identidade do usuário, as características do dispositivo e o contexto da conexão para aplicar a política correspondente, sem depender de análise manual a cada acesso.
É a diferença entre ter a política escrita no documento e ter a política sendo aplicada às três da manhã, quando ninguém está olhando.
O TEAP autentica o usuário e o equipamento dentro de uma única sessão, o que dá à rede informação mais completa no instante da decisão. É uma peça relevante e não é a estratégia inteira: sem NAC e sem política, o protocolo entrega dados que ninguém usa.
O funcionamento dele está detalhado em TEAP: por que autenticar apenas o usuário já não é suficiente?
Com identidade e dispositivo avaliados juntos, aparece uma terceira camada: o contexto do acesso.
Localização, horário, tipo de equipamento, perfil do usuário e nível de conformidade compõem um quadro que permite decisões proporcionais. O mesmo colaborador pode ter acesso completo pelo notebook corporativo em horário comercial e acesso restrito pelo celular pessoal na madrugada, sem que isso signifique desconfiança dele.
É assim que o Zero Trust sai da apresentação e vira operação. O modelo parte de uma premissa simples, a de que nenhum acesso é confiável por padrão, e precisa de sinais concretos para funcionar. Device Trust é um desses sinais, e alimenta também a segmentação da rede, que limita o alcance de um acesso comprometido.
Em ambientes híbridos, com equipamentos espalhados entre escritório, casa e cliente, essa leitura de contexto passa a ser a forma prática de manter controle sem travar a operação.
Leia também
Proteger uma rede corporativa deixou de significar apenas barrar quem não deveria entrar. Envolve assegurar que o equipamento conectado atenda ao mínimo que a organização definiu, e que essa verificação aconteça sozinha, em toda conexão.
A Teletex atua nas três frentes que sustentam esse modelo: infraestrutura de rede, identidade e segurança. A implementação de NAC, Cisco ISE e tecnologias de autenticação avançada permite validar usuário, dispositivo e contexto de forma integrada, com a política da empresa aplicada de ponta a ponta.
Uma rede deixa de depender da senha quando ela passa a olhar também para o equipamento e para o contexto, e decide sem esperar alguém acordar.
Sua empresa confia apenas no usuário ou também verifica se o dispositivo é realmente seguro? Converse com os especialistas da Teletex e descubra como fortalecer o controle de acesso da sua rede.
Em 1994, o matemático Peter Shor descreveu um algoritmo capaz de fatorar números grandes em tempo viável, desde que rodasse num computador quântico. Naquele momento, computador quântico era ideia de artigo científico, e a demonstração ficou como curiosidade teórica.
Aconteceu que a criptografia que protege quase tudo o que trafega na internet corporativa hoje se apoia justamente na dificuldade de fatorar números grandes. O algoritmo de Shor não quebrou nada em 1994 porque faltava a máquina. Trinta anos depois, a máquina virou projeto de engenharia com prazo declarado.
Enquanto ela não chega, uma estratégia paciente já está em campo: harvest now, decrypt later, colher agora e decifrar depois. O atacante copia o tráfego cifrado, não tenta abrir nada e arquiva. Ele não sabe o conteúdo, e sabe que a chave tem prazo de validade. Para prontuário, contrato, projeto de engenharia, dado bancário e documento classificado, que seguem sensíveis por décadas, a conta fecha para quem tem paciência.
É por isso que a computação quântica virou pauta de segurança da informação antes de virar produto de prateleira.
Um computador tradicional trabalha com bits, que assumem zero ou um. A computação quântica usa propriedades da mecânica quântica para representar e combinar estados de outra forma, e isso lhe dá vantagem em uma classe específica de problemas.
O ponto que costuma se perder: ela não é um computador comum mais rápido. É uma máquina boa em poucos tipos de conta, e ruim ou irrelevante no resto. Onde ela rende, o ganho é grande:
Um desses tipos de conta é justamente fatorar números grandes e resolver logaritmos discretos. Fatorar número grande é o problema que sustenta boa parte da criptografia usada hoje.
A pergunta prática não é se a tecnologia existe, e sim em que estágio ela está. O campo saiu do laboratório e tem hoje roteiro público com data:
| Quem | Onde chegou | O que promete, e quando |
| IBM | Processador Nighthawk, com 120 qubits, e arquitetura modular Quantum System Two | Vantagem quântica verificada em carga útil até o fim de 2026, e o sistema Starling tolerante a falhas em 2029, com 200 qubits lógicos |
| Chip Willow, primeiro a demonstrar correção de erro abaixo do limiar em hardware real | Cada aumento na distância do código derruba o erro lógico pela metade, que é o comportamento previsto pela teoria | |
| Microsoft e Quantinuum | 12 qubits lógicos com taxa de erro lógico menor que a do hardware físico | Operação confiável o suficiente para algoritmo real, e não só demonstração |
A distinção que importa nessa tabela é entre qubit físico e qubit lógico. O físico é frágil e erra o tempo todo; o lógico é construído a partir de muitos físicos com correção de erro, e é ele que executa conta útil. Quebrar criptografia de chave pública exige milhares de qubits lógicos estáveis, e os números acima ainda estão na casa das dezenas.
O que mudou, e explica a movimentação de governos e bancos, foi a correção de erro deixar de ser promessa. Enquanto o erro crescia junto com o tamanho da máquina, escalar não adiantava. Com erro caindo conforme o sistema cresce, a barreira passou a ser engenharia e investimento, que são obstáculos com prazo.
A criptografia assimétrica protege a maior parte do que trafega na internet corporativa: sessões TLS, VPN, assinatura digital, troca de chaves entre sistemas. A segurança dela vem de uma aposta prática, a de que resolver certos problemas matemáticos levaria tempo demais com a computação disponível.
Uma máquina quântica suficientemente capaz muda essa conta em uma parte específica do arranjo, a da criptografia de chave pública. É por isso que governos, bancos e operadores de infraestrutura crítica trataram o assunto como planejamento, e não como novidade tecnológica.
O número que ilustra bem: quebrar uma chave RSA de 2048 bits por força bruta, com computação clássica, exigiria um tempo maior que a idade do universo. Essa ordem de grandeza é o que sustenta a confiança no método. O algoritmo de Shor, rodando em máquina quântica com correção de erro suficiente, reduz esse problema a uma escala tratável.
A tabela a seguir separa o que muda e o que não muda, porque a diferença entre as duas colunas é o que evita pânico desnecessário:
| Tipo de criptografia | Onde ela aparece | Efeito de um computador quântico relevante |
| Chave pública, como RSA e curvas elípticas | Troca de chaves em TLS e VPN, assinatura digital, certificados | Quebra prática, com o algoritmo de Shor |
| Chave simétrica, como AES-256 | Cifra dos dados em repouso e do túnel depois de estabelecido | Segurança reduzida pela metade, e AES-256 continua adequado |
| Funções de hash, como SHA-256 | Integridade, assinatura, senha armazenada | Redução parecida, resolvida aumentando o tamanho da saída |
A leitura correta: o problema mora na troca de chaves e na assinatura, e não na cifra em si. Sistema que hoje usa AES-256 continua adequado; o que precisa mudar é como as duas pontas combinam a chave antes de conversar.
| Momento | O que acontece |
| 1994 | Shor descreve o algoritmo de fatoração |
| 2016 | NIST abre a competição pública de criptografia pós-quântica |
| Agosto de 2024 | Saem os três primeiros padrões finalizados |
| 2026 a 2029 | Fabricantes prometem vantagem quântica verificada e as primeiras máquinas tolerantes a falhas |
| Até 2030 | RSA-2048 e ECC P-256 entram em descontinuação |
| Até 2035 | Algoritmos vulneráveis saem dos padrões |
Uma migração criptográfica corporativa costuma levar de cinco a dez anos, entre inventário, fornecedor, certificado e sistema legado. Colocando as duas coisas lado a lado, a janela que parece distante já está em curso.
O ataque de colheita da abertura explica a urgência. Ele não depende de a máquina existir hoje: depende apenas de o dado continuar valioso quando ela existir. Informação com dez, quinze ou vinte anos de vida útil já está exposta a esse cálculo.
Vale a proporção: isso não significa que a criptografia atual falhou, nem que dado protegido hoje está aberto. Significa que o prazo de validade dela passou a ser conhecido.
Duas estratégias respondem ao mesmo problema por caminhos diferentes, e a confusão entre elas é comum.
A criptografia pós-quântica, ou PQC, é um conjunto de algoritmos matemáticos projetados para resistir a ataque de computador quântico, rodando no hardware e nos protocolos que já existem. Em agosto de 2024 o NIST publicou os três primeiros padrões finalizados:
| Padrão | Algoritmo | Para que serve |
| FIPS 203 | ML-KEM | Encapsulamento de chave, substitui a troca de chaves de TLS e VPN |
| FIPS 204 | ML-DSA | Assinatura digital, o padrão principal de verificação de identidade |
| FIPS 205 | SLH-DSA | Assinatura digital baseada em hash, alternativa de segurança independente |
A criptografia quântica é outra coisa: o exemplo mais conhecido é o QKD, Quantum Key Distribution, que usa propriedades físicas das partículas para distribuir chaves: qualquer tentativa de interceptação altera o estado observado e denuncia a escuta. Ela exige infraestrutura própria, como fibra dedicada ou enlace óptico específico, e por isso aparece primeiro em cenários de altíssima criticidade.
As duas convivem, a PQC é o caminho de migração para a infraestrutura instalada, e o QKD atende a casos onde o custo de infraestrutura se justifica.
A transição não acontece com uma atualização de software. Ela atravessa certificados, bibliotecas, firmware de equipamento de rede, integrações com terceiros e sistemas legados que ninguém quer tocar.
Os prazos já estão publicados, o NIST indica a descontinuação de RSA-2048 e ECC P-256 até 2030, com a remoção dos algoritmos vulneráveis dos padrões até 2035. Para infraestrutura corporativa, uma janela de dez anos é curta.
O trabalho começa em quatro frentes, e nenhuma delas exige comprar tecnologia nova:
A empresa que fizer o inventário agora chega em 2030 com um projeto. Quem deixar para depois chega com um inventário.
Leia também
Acompanhar a evolução tecnológica faz parte da estratégia de quem mantém infraestrutura crítica no ar. A transição criptográfica entra nessa conta como projeto de longo prazo, com etapas que começam por conhecer o próprio ambiente.
A Teletex acompanha esse movimento e apoia organizações na avaliação de infraestrutura, redes corporativas e proteção de dados, conectando o que existe hoje ao que precisará mudar. Inventário criptográfico, arquitetura preparada para troca de algoritmo e modernização gradual pertencem ao mesmo trabalho de resiliência digital que sustenta a operação atual.
Investir hoje em uma estratégia preparada para o futuro reduz risco e evita migração feita sob pressão.
Sua empresa está preparada para os desafios que a computação quântica trará para a segurança da informação? Converse com os especialistas da Teletex e descubra como construir uma estratégia tecnológica preparada para proteger seus dados hoje e no futuro.
A segurança corporativa está perdendo uma corrida de relógio, e os números dizem por quanto. Uma violação leva em média 194 dias para ser identificada e mais 64 para ser contida, segundo o Cost of a Data Breach de 2026, da IBM. O custo médio chegou a 4,99 milhões de dólares, 12% acima do ano anterior.
Do outro lado, o ataque acelerou. O mesmo levantamento aponta que uma em cada quatro violações maliciosas já usa inteligência artificial, alta de 56% em um ano, e que essas custam cerca de um milhão a mais que a média.
O detalhe que reposiciona o problema: organizações que aplicam IA e automação na operação de segurança identificaram e contiveram incidentes 108 dias mais rápido, com economia média perto de dois milhões de dólares por violação.
Segurança preditiva é o nome dessa resposta. Ela não promete adivinhar ataque: promete encurtar a distância entre o primeiro sinal e a primeira ação, que é exatamente onde os 194 dias moram.
Segurança preditiva usa dados, machine learning e análise comportamental para identificar risco antes que ele vire incidente. Ela não prevê o futuro: calcula probabilidade a partir de padrão observado, do mesmo jeito que uma operadora de cartão percebe compra atípica.
O modelo se distingue dos anteriores pelo momento em que age:
| Modelo | Quando age | Pergunta que responde |
| Reativa | Depois do incidente | O que aconteceu e como conter |
| Preventiva | Antes, com controle fixo | Como reduzir a chance de acontecer |
| Preditiva | Durante a formação do risco | O que está fugindo do padrão agora |
Os três coexistem: firewall, política de acesso e backup continuam necessários, e a camada preditiva acrescenta leitura de contexto sobre o que já está instalado. O cenário competitivo que empurrou esse movimento está em IA na cibersegurança: como antecipar ameaças antes do ataque.
A qualidade da leitura depende da variedade das fontes. Sinal isolado engana; sinal cruzado sustenta decisão:
| Camada | O que ela informa |
| Logs de acesso | Tentativas de login, horários, localização e falhas de autenticação |
| Tráfego de rede | Conexões incomuns, volume anormal e comunicação com domínios suspeitos |
| Comportamento de usuários | Acesso fora do padrão, movimentação entre sistemas, tentativa de elevação de privilégio |
| Comportamento de dispositivos | Endpoint desatualizado, atividade incomum, sinal de comprometimento |
| Eventos de aplicações e segurança | Cloud, firewall, EDR, SIEM e NAC |
| Inteligência de ameaças | IPs maliciosos, hashes suspeitos, domínios associados a campanhas ativas |
A leitura combinada é o que dá contexto. Um acesso de outro país pode ser viagem a trabalho. O mesmo acesso, com um endpoint sem atualização e uma conexão para domínio recém-registrado, é outra história.
Antes de apontar desvio, o sistema precisa saber o que é rotina naquela empresa. Esse retrato se chama linha de base, e ele se constrói observando a operação real por um período.
A linha de base responde a perguntas específicas: quais usuários acessam quais sistemas, em que horários, de quais dispositivos, com que volume de dados e a partir de quais locais. Um time financeiro que trabalha das oito às dezoito, no escritório de Curitiba, com acesso ao ERP, tem assinatura diferente do time de campo que conecta de celular, de várias cidades, o dia inteiro.
Com esse retrato pronto, o desvio ganha significado. O servidor que sempre transferiu dois gigabytes por dia e passa a transferir quarenta descreve um evento. Sem linha de base, quarenta gigabytes é só um número.
O valor aqui está em reconhecer contexto, e não evento isolado.
Passo 1: coleta observada
Durante um período de aprendizado, que costuma ir de duas a quatro semanas, o sistema registra a operação real sem julgar nada. Ele apenas anota quem fez o quê, quando e de onde.
Passo 2: agrupamento por perfil
Usuários com comportamento parecido são reunidos. O time financeiro vira um grupo, o time de campo vira outro, as contas de serviço viram um terceiro. Isso evita comparar um analista com um robô de integração.
Passo 3: cálculo das faixas
Para cada perfil, o sistema estabelece o que é comum: janela de horário, locais de origem, sistemas acessados, volume típico de dados, frequência de autenticação. O resultado não é um número único, e sim uma faixa com margem.
Passo 4: validação com a operação
A equipe revisa os grupos e corrige distorções. A janela de fechamento contábil, que roda de madrugada uma vez por mês, precisa entrar como normal, senão vira alerta todo mês.
Passo 5: recálculo contínuo
A empresa muda, e a linha de base acompanha. Contratação, novo sistema, mudança de expediente e abertura de filial deslocam o normal, e um retrato congelado passa a gerar falso positivo em série.
Um exemplo fechado: o perfil “analista financeiro” acessa o ERP, das 8h às 18h, de dois endereços da sede em Curitiba, movimentando até 300 MB por dia. Quando uma conta desse grupo autentica às 2h, de um endereço novo, e movimenta 8 GB, o desvio não está no evento, e sim na distância entre ele e a faixa aprendida.
Ataque bem executado não começa com estrondo. Começa com movimentos pequenos, feitos para parecer tráfego comum.
Os indícios que costumam aparecer nessa fase:
Isolado, quase todo item dessa lista tem explicação inocente. A análise preditiva pontua a combinação: quantos sinais apareceram, em que ordem, em quanto tempo e sobre quais ativos. O resultado é um nível de risco que serve para priorizar investigação, e não um veredito.
Um exemplo de combinação: às 3h40, uma credencial válida faz login de um endereço que nunca apareceu antes. Às 5h40, a mesma conta abre um servidor de arquivos que aquele perfil nunca acessou. Às 6h, começa uma transferência constante de dados. Isolado, cada evento tem explicação. Na mesma conta, em seis horas, a sequência descreve reconhecimento seguido de coleta.
Detecção sem ação é relatório. O valor aparece no que o ambiente faz com o sinal, e a resposta varia conforme a confiança do indício e o impacto de errar.
O sinal vira um item de fila com contexto anexado: quais ativos estão envolvidos, que sinais combinaram, qual a pontuação de risco e o que já se sabe do histórico daquela conta. A prioridade sai do impacto no negócio, e não da severidade técnica isolada, para que a fila acompanhe o que dói.
Ação reversível, aplicada quando a confiança é alta e a interrupção custa pouco. A sessão suspeita cai, e o usuário legítimo recupera o acesso em minutos, pelo procedimento padrão. É preferível esperar validação humana quando o indício aponta credencial comprometida em uso ativo.
O meio-termo mais usado. Em vez de bloquear, o sistema pede um segundo fator para aquela sessão específica. Se quem está do outro lado for o usuário real, ele confirma e segue; se for alguém com a senha roubada, o acesso para ali, sem chamado aberto.
Quando o indício aponta para a máquina, e não para a conta, o endpoint é retirado da rede e mantém apenas a conexão com a ferramenta de resposta. Isso interrompe a movimentação lateral e preserva o equipamento para análise, o que importa quando existe investigação depois.
Casos que não se resolvem por automação viram trabalho de analista, com o material já reunido. A diferença aqui é o ponto de partida: em vez de começar pela pergunta “o que aconteceu”, a investigação começa pela hipótese e pelos ativos já correlacionados.
Quando a confirmação vem, entra o procedimento formal, com comunicação, contenção, erradicação e recuperação. É a etapa em que prazo e responsabilidade precisam estar definidos antes, e não durante.
É aqui que SOC Analytics e MSS entram. A camada analítica prioriza e enriquece o sinal; a operação gerenciada valida, investiga e trata. A automação segura o que é padrão e reversível, e o que exige julgamento continua com pessoas.
IA sozinha não sustenta segurança. Ela aumenta velocidade e precisão da análise, e continua dependente de três peças ajustadas entre si:
Falta qualquer uma e o modelo desmonta. Tecnologia sem gente produz alerta que ninguém investiga. Gente sem processo produz resposta que varia conforme quem está de plantão. Processo sem tecnologia não enxerga o que precisa tratar.
É esse arranjo que uma operação moderna com MSS, SOC 24×7 e SOC Analytics coloca de pé.
Leia também
Ataques atuais são rápidos, distribuídos e começam por sinais discretos. Operação que depende apenas de reação chega sempre depois, e o custo dessa diferença aparece em indisponibilidade, dado exposto e confiança abalada.
A Teletex atua com monitoramento contínuo, SOC Analytics, MSS e tratamento de ameaças, apoiando organizações na evolução para um modelo capaz de identificar padrão, reduzir tempo de resposta e transformar dado em decisão.
Segurança preditiva vale menos como tecnologia isolada e mais como operação: inteligência, pessoas e processos trabalhando juntos, todos os dias, para proteger o negócio e as pessoas por trás dele.
Sua empresa ainda reage aos incidentes ou já consegue antecipar riscos? Fale com os especialistas da Teletex e descubra como evoluir sua estratégia com IA, SOC Analytics e monitoramento contínuo.
Existe um número que resume o custo de demorar para enxergar: 194 dias. É o tempo médio que uma organização leva para identificar uma violação de dados, segundo o Cost of a Data Breach de 2026, da IBM. Somados os 64 dias médios de contenção, a conta chega a mais de oito meses entre o problema começar e terminar.
O mesmo relatório aponta o outro lado. Organizações que aplicam IA e automação nas operações identificaram e contiveram incidentes 108 dias mais rápido que as demais, com economia média próxima de dois milhões de dólares por violação.
Esses números são de segurança, e a lógica atravessa a operação inteira de TI. Ambiente híbrido, multi-cloud, aplicações distribuídas e integrações produzem volume de sinal que nenhuma equipe lê em tempo real. O gargalo saiu da coleta e foi para a interpretação, e é sobre isso que a observabilidade com inteligência artificial trata.
A observabilidade nasceu apoiada em três fontes: métricas, que dizem o que está acontecendo, logs, que registram o que o sistema fez, e traces, que mostram o caminho de uma requisição entre serviços.
Coletar as três resolveu o problema de visibilidade e criou outro, o de interpretação. Um ambiente com nuvem pública, rede corporativa, aplicações distribuídas e integrações gera volume que nenhuma equipe acompanha em tempo real.
A camada de inteligência artificial atua exatamente aí, e o mercado chama esse movimento de AIOps. Na prática, ela aplica quatro técnicas sobre o mesmo dado que a operação já coleta:
| Técnica | O que ela faz | O que resolve na rotina |
| Detecção de anomalia | Compara o valor atual com a faixa aprendida para aquele horário e dia | Limiar fixo que dispara em pico normal de terça e ignora degradação lenta |
| Correlação temporal e topológica | Agrupa eventos próximos no tempo e ligados pelo mapa de dependências | Cem alertas de um mesmo incidente chegando como cem incidentes |
| Análise de causa provável | Ordena os componentes por probabilidade de origem, usando a topologia | A investigação começar pelo serviço que reclamou, e não pelo que falhou |
| Previsão de saturação | Projeta a curva de consumo e estima quando o recurso acaba | Descobrir que o disco encheu quando ele já encheu |
O ganho operacional aparece em três perguntas que a equipe deixa de responder no braço: o que mudou no ambiente pouco antes da degradação, quais serviços de negócio dependem do componente suspeito e qual evento merece a próxima hora de trabalho.
A equipe continua decidindo. O que muda é o tempo entre o sintoma e a hipótese, que sai de horas de investigação manual para minutos de validação, e o custo de errar essa hipótese, que cai porque a sugestão vem com o caminho que a levou até ali.
Um ambiente médio gera milhares de notificações por dia. A maior parte descreve variação normal, outra parte descreve o mesmo incidente visto de ângulos diferentes, e uma fração pequena exige ação imediata.
Quando tudo chega com a mesma urgência, o resultado prático é conhecido: o analista passa a filtrar por intuição, e a chance de o alerta relevante ser tratado como ruído cresce.
A correlação muda esse jogo ao agrupar o que pertence ao mesmo evento. Os cem alertas viram um incidente, com o nó identificado como origem e a lista de serviços afetados anexada.
Muda também a ordem de atendimento. Sem correlação, a fila anda por ordem de chegada, e o alerta que apareceu primeiro é tratado primeiro. Com ela, a fila anda por impacto no serviço de negócio, e o analista gasta o turno decidindo o que fazer em vez de decidindo o que ignorar.
Dois indicadores medem esse ciclo, e vale separar bem o que cada um mede:
MTTI, tempo médio até identificar: conta do momento em que a falha começa até o momento em que a operação sabe que ela existe e onde. Calcula-se somando o intervalo de todos os incidentes do período e dividindo pelo número de incidentes. É o indicador que a maioria das equipes não mede, e costuma ser o maior pedaço do relógio, porque inclui o tempo em que ninguém sabia que havia problema.
MTTR, tempo médio até restabelecer: conta do reconhecimento até o serviço voltar ao normal, pela mesma média. É o indicador que aparece no contrato de SLA, e ele só melhora de verdade quando o MTTI melhora junto: corrigir rápido um problema descoberto tarde continua sendo resposta tardia.
A IA age no primeiro e, por consequência, no segundo. A investigação manual gasta a maior parte do tempo numa pergunta anterior à solução, que é onde procurar. A correlação automática encurta essa etapa ao apontar o que mudou no ambiente pouco antes da degradação, quais dependências passam pelo componente suspeito e quais serviços sentiram o efeito.
Três efeitos práticos dessa redução:
O valor aparece longe do time técnico. Um minuto de indisponibilidade em sistema de vendas, de atendimento ou de operação logística tem preço conhecido pela área de negócio, e é essa conta que o MTTI e o MTTR movimentam.
Vale a ressalva: a IA acelera a análise e não substitui a equipe. Ela apresenta hipótese ordenada por probabilidade, e a validação continua sendo trabalho de quem conhece o ambiente.
Em uma infraestrutura distribuída entre Data Center próprio, nuvens públicas, aplicações SaaS e links de operadoras, os dados operacionais nascem separados por origem, formato e fuso.
A pergunta de negócio, porém, atravessa tudo: por que o pedido do cliente demorou. A resposta pode estar na latência de um link, na fila de uma aplicação em nuvem, na consulta de um banco no Data Center ou na integração com um parceiro externo.
Três estratégias resolvem esse problema, e elas se somam em vez de competir:
Sem convenção comum de nome de serviço, identificador de transação e marcação de ambiente, a correlação não tem por onde ligar um lado ao outro. Padrões abertos de instrumentação existem justamente para isso, e essa etapa costuma ser a mais adiada e a que mais devolve.
O mapa é o que transforma alerta em diagnóstico, porque ele responde quem depende de quem. Em ambiente que muda toda semana, mapa desenhado à mão nasce desatualizado: ele precisa ser descoberto a partir do tráfego real.
Latência de API vira informação acionável quando está amarrada à taxa de conversão, ao pedido não faturado ou ao atendimento na fila. É esse vínculo que permite priorizar pelo impacto, e não pela severidade que a ferramenta atribuiu sozinha.
Com as três de pé, a operação passa a enxergar a cadeia inteira de uma transação atravessando fornecedores diferentes, a reconhecer degradação antes da queda e a decidir pelo impacto real.
É aqui que a Teletex faz a diferença: a empresa opera as camadas que precisam conversar nesse desenho, rede, nuvem, Data Center e segurança, e implanta observabilidade full-stack com IA e machine learning sobre elas, com apoio de fabricantes como Gigamon, Splunk, AppDynamics, ThousandEyes e SolarWinds.
O trabalho combina a instrumentação, o mapa de dependências e a conexão com métrica de negócio, com operação assistida pelos serviços gerenciados quando a equipe interna não quer assumir o plantão.
Leia também:
Observabilidade moderna vale menos como monitoramento avançado e mais como base de decisão. Ela sustenta operação estável, resposta rápida e ambiente previsível, que é o que a área de negócio enxerga.
A Teletex integra as camadas que produzem esse resultado: infraestrutura, redes, nuvem, Data Center e segurança, com observabilidade full-stack apoiada em IA e machine learning para conectar desempenho técnico a métrica de negócio.
Dado correlacionado só vira decisão quando existe alguém sabendo o que perguntar a ele, e é essa combinação que separa painel bonito de operação previsível.
Quer transformar dados operacionais em decisões mais rápidas? Fale com os especialistas da Teletex e descubra como evoluir sua operação de TI com observabilidade, IA e tecnologia integrada.
Em 2024, o mercado global de Data Centers movimentou US$ 319 bilhões. A projeção para 2035 é de US$ 987 bilhões, crescimento sustentado por inteligência artificial, ambientes híbridos, IoT e um volume de dados que, segundo a Cybersecurity Ventures, deve ultrapassar 200 zettabytes armazenados até 2025. Por trás desses números está uma pressão crescente sobre a infraestrutura física e lógica de qualquer organização que depende de dados para operar.
Data Centers modernos já não se parecem com o que eram há dez anos… O ambiente fechado, previsível e de perímetro definido foi substituído por uma infraestrutura distribuída, híbrida, conectada a múltiplas nuvens, acessada por dispositivos heterogêneos e operada por equipes geograficamente dispersas.
Por isso, preparar essa infraestrutura para os próximos cinco anos é uma questão de como ela será protegida, monitorada e gerenciada enquanto cresce.
O número de dispositivos IoT deve mais que dobrar, passando de 18 bilhões em 2024 para 39,6 bilhões até 2033. Um dispositivo conectado é um ponto de acesso ao ambiente. Uma integração com serviços externos é uma superfície que precisa ser gerenciada.
Em ambientes onde a infraestrutura não acompanha essa expansão com políticas de acesso e segmentação adequadas, a superfície de ataque cresce de forma silenciosa e descontrolada.
Até 2027, 90% das organizações devem adotar modelos de nuvem híbrida, combinando ambientes on-premises, nuvens privadas e múltiplos provedores públicos.
A repatriação de dados, movimento que traz de volta para ambientes privados cargas de trabalho que foram para a nuvem pública, já é tendência consolidada no Brasil, motivada por controle, custo e latência.
O Data Center corporativo voltou ao centro da estratégia de infraestrutura, mas agora precisa operar em harmonia com ambientes fora do seu perímetro físico.
A IA foi responsável por um grande impacto nos Data Centers ao longo de 2024 e essa pressão se intensifica em 2026, exigindo maior densidade de computação, refrigeração mais eficiente e redes de alta performance para sustentar workloads que consomem ordens de magnitude a mais do que aplicações convencionais.
O gargalo elétrico já é o principal limitador de expansão em Data Centers corporativos, segundo análise da Zeittec.
Os ataques DDoS aumentaram 46% no primeiro semestre de 2024 em comparação ao mesmo período de 2023. Ransomware, comprometimento de credenciais e ataques à cadeia de suprimentos de software estão cada vez mais direcionados a ambientes críticos onde downtime tem custo direto e imediato sobre a operação.
Um terço dos ataques registrados em 2024 envolveu alguma forma de ransomware ou extorsão, com criminosos usando IA para aprimorar a eficácia das invasões. Infraestrutura projetada sem segurança contínua nesse ambiente não está preparada para os próximos cinco anos.
A premissa de segurança baseada em perímetro foi construída para um mundo onde existia uma fronteira clara entre o que estava dentro e o que estava fora da rede corporativa.
Usuários acessam recursos de fora do escritório, aplicações rodam em nuvens públicas, fornecedores conectam sistemas diretamente à infraestrutura interna. O perímetro desapareceu e a segurança que dependia dele foi junto.
Zero Trust parte de uma ideia simples: nenhum acesso deve ser concedido com base em localização ou identidade presumida. Todo usuário, dispositivo e aplicação precisa ser verificado continuamente, independentemente de estar dentro ou fora do perímetro da rede.
Ou seja, um colaborador conectado à rede interna do Data Center recebe o mesmo nível de validação que um acesso remoto: identidade confirmada, dispositivo verificado, contexto analisado, acesso concedido apenas ao que é estritamente necessário para aquela função.
Assim, temos a redução drástica do movimento lateral dentro do ambiente. Se uma credencial for comprometida, o atacante herda acesso limitado ao que aquela conta podia fazer, contido dentro dos controles de verificação contínua.
Em 2026, apenas 10% das grandes empresas haviam atingido um nível maduro e mensurável de implementação de Zero Trust, segundo a Gartner, o que indica que a maioria das organizações ainda opera com modelos de confiança implícita que não resistem ao cenário atual de ameaças.
Zero Trust define a política. NAC faz a aplicação no ponto de entrada da rede. O Network Access Control avalia dispositivos antes de permitir que se conectem à infraestrutura: verifica postura de segurança, conformidade com políticas corporativas, identidade do usuário e contexto da conexão.
Um dispositivo sem as atualizações de segurança requeridas, ou conectado fora do horário esperado para aquele perfil, pode ser automaticamente redirecionado para uma rede de quarentena até que a situação seja regularizada.
No contexto de um Data Center moderno, onde dispositivos IoT, sistemas OT e equipamentos de terceiros se conectam à mesma infraestrutura que servidores críticos, o NAC é o que separa um ambiente onde qualquer coisa pode se conectar de um ambiente onde cada conexão é validada antes de ter acesso a qualquer recurso.
Aceitar que incidentes acontecem é o ponto de partida para uma arquitetura resiliente.
A proposta agora não é como evitar que um ataque entre, mas como limitar o que ele consegue fazer depois que entrou. Segmentação de rede é a resposta estrutural para essa questão.
A microsegmentação divide a rede em zonas de segurança granulares ao redor de cada carga de trabalho, independentemente da topologia física.
Diferente da segmentação tradicional baseada em VLANs e zonas amplas, a microsegmentação opera no nível de aplicação: cada workload tem sua própria política de acesso, e um comprometimento em um segmento não se propaga automaticamente para os demais.
Um atacante que consegue acesso a um sistema de monitoramento não herda caminho para os servidores de produção ou para os sistemas de autenticação.
Para um Data Center com ambientes de missão crítica, essa contenção tem valor direto: reduz o raio de impacto de qualquer incidente, facilita a conformidade regulatória ao isolar ambientes que processam dados sensíveis e simplifica auditorias ao tornar os fluxos de tráfego mensuráveis e documentáveis.
Segmentação limita o movimento. Observabilidade torna esse movimento visível. O monitoramento contínuo permite acompanhar o comportamento da infraestrutura em tempo real, identificar anomalias antes que se transformem em incidentes e agir com base em dados.
Em um Data Center moderno, observabilidade abrange múltiplas camadas: desempenho de aplicações, fluxo de tráfego de rede, comportamento de identidades e acessos, consumo de recursos e estado de dispositivos físicos.
A correlação entre essas camadas transforma dados em inteligência operacional. Uma lentidão em uma aplicação pode ser degradação de hardware, saturação de rede, ataque em andamento ou erro de configuração.
Observabilidade full-stack é o que diferencia uma equipe que responde ao sintoma de uma que identifica a causa.
Modernização não é sinônimo de substituição em massa de equipamentos. Em Data Centers corporativos, onde continuidade operacional é requisito, a evolução precisa acontecer de forma planejada, incremental e com visibilidade sobre o impacto de cada mudança na operação em curso.
Uma estratégia eficiente parte do diagnóstico real do ambiente: onde estão os pontos cegos de visibilidade, quais segmentos operam sem políticas de acesso adequadas, quais dispositivos se conectam sem validação de postura, onde o monitoramento existe mas não produz inteligência acionável.
Esse mapeamento direciona o investimento para onde o risco é mais alto, evitando a armadilha de modernizar a camada técnica sem resolver os problemas operacionais que tornam a infraestrutura vulnerável.
A integração entre infraestrutura, rede e segurança é o que sustenta essa modernização. Soluções de automação e políticas inteligentes de acesso, combinadas com gestão centralizada, permitem que o ambiente evolua sem que cada mudança exija intervenção manual em múltiplos pontos.
DCIM integrado com AIOps, automação de políticas de acesso via NAC, segmentação aplicada progressivamente por criticidade de workload: esses elementos constroem maturidade operacional sem exigir que a infraestrutura pare para se modernizar.
A Teletex carrega esse tipo de experiência em projetos como o do Sistema Ailos, onde a migração de Data Center para ambiente com Cisco ACI aconteceu com monitoramento de segurança ativo em toda a transição, sem downtime e sem comprometer a postura de segurança durante o processo.
No Banrisul, a modernização da SAN com switches Cisco MDS entregou alta performance, automação e zero downtime em um ambiente onde qualquer interrupção tem impacto direto sobre operações financeiras críticas.
Leia também:
Preparar um Data Center para os próximos cinco anos é construir uma infraestrutura capaz de evoluir continuamente, sem abrir mão da segurança, da disponibilidade e da capacidade de resposta diante de um cenário que muda mais rápido do que ciclos tradicionais de planejamento de TI conseguem acompanhar.
A Teletex atua como parceira estratégica na modernização de ambientes críticos, integrando infraestrutura, redes corporativas, segurança, controle de acesso, segmentação, observabilidade e monitoramento contínuo em projetos que respeitam a operação em curso e entregam evolução sem descontinuidade.
Com quase quatro décadas de experiência em ambientes de missão crítica, mais de 300 certificações técnicas ativas e parceria Premier com a Cisco, a Teletex desenvolve soluções que simplificam ambientes complexos, aumentam a visibilidade operacional, reduzem riscos e transformam infraestrutura em vantagem competitiva, conectando clientes a serviços modernos e eficazes que acompanham o crescimento do negócio.
Seu Data Center está preparado para acompanhar as transformações dos próximos anos? Converse com os especialistas da Teletex e descubra como modernizar sua infraestrutura com mais segurança, disponibilidade e inteligência operacional.
Um colaborador abre o notebook pessoal em casa, conecta à VPN corporativa com seu login e senha e acessa sistemas internos com as mesmas permissões que teria no escritório. Do ponto de vista do servidor de autenticação, tudo está correto: credencial válida, acesso autorizado. Do ponto de vista da segurança, há uma pergunta que ficou sem resposta.
O dispositivo que está fazendo esse acesso é gerenciado pela empresa? Tem as atualizações de segurança em dia? Está com o antivírus ativo? Nunca foi comprometido?
Autenticar o usuário responde “quem está acessando”. Mas em ambientes modernos, onde o perímetro corporativo se fragmentou entre escritórios, casas, cafés e dispositivos pessoais, essa resposta sozinha não é suficiente para tomar uma decisão segura de acesso.
Em 2024, o relatório da Verizon confirmou que 74% dos incidentes de segurança envolveram credenciais comprometidas, acessos indevidos e autenticações frágeis. A credencial estava correta. O acesso era legítimo. O risco estava no contexto que ninguém estava avaliando.
Os protocolos de autenticação que sustentam a maioria das redes corporativas hoje foram projetados para um ambiente radicalmente diferente: colaboradores no escritório, dispositivos corporativos gerenciados, rede física com fronteiras definidas. O 802.1X, framework padrão de autenticação de acesso à rede, surgiu nesse contexto e cumpriu bem seu papel por décadas.
Somado ao crescimento do BYOD (Bring Your Own Device), hoje uma mesma rede corporativa pode receber conexões de notebooks corporativos totalmente gerenciados, dispositivos pessoais com configurações desconhecidas, equipamentos de terceiros e fornecedores, e dispositivos IoT com firmwares desatualizados.
Autenticar apenas o usuário nesse cenário é validar metade da equação. A outra metade, o dispositivo que está fazendo a conexão, fica invisível para o servidor de autenticação. E dispositivos invisíveis são superfícies de ataque não gerenciadas.
O modelo tradicional de PEAP-MSCHAPv2, o método de autenticação mais comum em redes corporativas, valida credenciais dentro de um túnel TLS, mas autentica apenas o usuário.
Se a senha for roubada, o acesso é concedido sem nenhuma verificação adicional sobre a confiabilidade do equipamento que está fazendo a requisição. Em ambientes onde credenciais comprometidas respondem pela maioria dos incidentes, essa limitação tem consequências práticas diretas.
O TEAP, Tunnel Extensible Authentication Protocol, definido pelo RFC 7170 e atualizado pelo RFC 9930 em fevereiro de 2026, é um método de autenticação baseado em EAP que estabelece um túnel TLS seguro e executa múltiplos métodos de autenticação dentro desse túnel em uma única sessão.
O que diferencia o TEAP de protocolos anteriores é o suporte nativo ao EAP Chaining: a capacidade de autenticar simultaneamente o usuário e o dispositivo dentro da mesma troca de autenticação. Em vez de duas sessões separadas ou de ignorar completamente a camada do dispositivo, o TEAP encadeia as duas verificações em uma sequência protegida pelo túnel TLS.
Na prática, o fluxo funciona em duas fases:
Assim, temos uma decisão de acesso com muito mais precisão: quem está acessando e com qual dispositivo. Isso permite criar políticas de acesso significativamente mais granulares. Um usuário válido em um dispositivo corporativo gerenciado recebe acesso completo aos recursos.
O mesmo usuário em um dispositivo pessoal não gerenciado pode ser redirecionado para um segmento de rede restrito. Um dispositivo corporativo sem as atualizações de segurança requeridas pode ser colocado em quarentena automaticamente, independentemente de quem está tentando fazer login.
A granularidade não era possível com os protocolos anteriores porque faltava o dado fundamental: a identidade confiável do dispositivo, validada no mesmo momento e na mesma sessão que a identidade do usuário.
O TEAP não é um produto isolado. É uma peça de protocolo que potencializa estratégias de segurança mais amplas quando integrado ao ecossistema correto.
O TEAP operacionaliza exatamente a camada de identidade e dispositivo dentro desse modelo: ao validar simultaneamente usuário e máquina, produz os atributos que o motor de política Zero Trust precisa para tomar decisões de acesso baseadas em risco real, não em confiança presumida por localização.
Integrado a uma solução NAC, o TEAP amplia as informações disponíveis no momento da decisão de acesso.
O servidor NAC recebe não apenas a identidade do usuário, mas também a identidade verificada do dispositivo, o que permite correlacionar com políticas de postura: o dispositivo tem o certificado corporativo válido? Está com o endpoint protection ativo?
Passou pela última varredura de vulnerabilidades? Com esses dados, o NAC consegue segmentar dinamicamente o acesso, colocar dispositivos em quarentena ou negar conexões antes que qualquer tráfego de dados seja autorizado.
A combinação de TEAP com segmentação dinâmica permite que a rede responda ao contexto de cada conexão em tempo real.
Um dispositivo pessoal de um colaborador pode ser direcionado automaticamente para uma VLAN de convidados com acesso restrito à internet. Um dispositivo corporativo fora de conformidade de segurança pode ser redirecionado para uma rede de remediação.
Tudo isso sem intervenção manual, baseado nas informações que o TEAP fornece no momento da autenticação.
O 802.1X com TEAP se aplica tanto a conexões cabeadas quanto a redes Wi-Fi corporativas.
Em ambientes onde colaboradores alternam entre conexão física na estação de trabalho e Wi-Fi no notebook ao longo do dia, a consistência do modelo de autenticação é o que mantém a política de acesso coerente independentemente do meio de conexão utilizado.
Implementar TEAP não é apenas ativar um protocolo. É redesenhar a arquitetura de autenticação da rede: infraestrutura de certificados para dispositivos, integração com o servidor RADIUS, configuração de políticas de EAP Chaining, definição de segmentos de rede e regras de acesso por contexto, testes de compatibilidade com os supplicants dos sistemas operacionais em uso.
A Teletex apoia empresas em todo esse processo, desde o diagnóstico do ambiente de autenticação atual até a implementação completa de redes mais seguras e controláveis.
Leia também:
A segurança das redes corporativas evoluiu para além da validação de usuário e senha. Em ambientes híbridos, com dispositivos heterogêneos e múltiplos pontos de acesso, proteger a infraestrutura significa validar identidades, dispositivos e contexto de acesso de forma integrada e contínua.
O TEAP é o protocolo que torna isso possível na camada de autenticação. O Cisco ISE é a plataforma que operacionaliza as políticas. O NAC é a estrutura que aplica as decisões na borda da rede.
A Teletex é quem integra essas camadas em um projeto coerente, alinhado às necessidades reais do ambiente e da operação de cada cliente.
Com quase quatro décadas de experiência em infraestrutura de redes e segurança, mais de 300 certificações técnicas ativas e parceria Premier com a Cisco, a Teletex desenvolve soluções que simplificam a gestão de acessos, fortalecem o controle de rede e ajudam empresas a construir ambientes corporativos mais seguros e preparados para os desafios atuais.
Sua empresa sabe exatamente quem está acessando sua rede, de onde e por qual dispositivo? Converse com os especialistas da Teletex e descubra como implementar uma estratégia de autenticação e controle de acesso alinhada às necessidades da sua operação.
Em 27 de maio de 2024, um grupo chamado ShinyHunters anunciou em fóruns de crimes cibernéticos que estava vendendo 560 milhões de registros da Ticketmaster.
Nomes, endereços, dados parciais de cartões de crédito. O preço pedido era US$ 500 mil. Nos dias seguintes, vieram os dados do Santander Bank, da AT&T, da Advance Auto Parts, da Neiman Marcus.
Ao fim da campanha, 165 organizações tinham sido comprometidas, com registros de mais de 500 milhões de pessoas exfiltrados e comercializados em redes criminosas.
A pergunta óbvia foi: qual a vulnerabilidade crítica da Snowflake que os atacantes exploraram? A resposta, confirmada por investigações conjuntas da Mandiant e da CrowdStrike, foi desconfortável: nenhuma…
A plataforma Snowflake não foi comprometida, os atacantes simplesmente fizeram login com usuário e senha. As contas não tinham autenticação multifator ativa.
Em outras palavras, credenciais válidas, roubadas anos antes por malware de infostealer, estavam guardadas em dumps de dados criminosos esperando o momento certo para serem usadas. Isso foi há dois anos atrás e 165 empresas pagaram o preço por um controle de segurança que poderia ter sido ativado em minutos.
A Snowflake é uma plataforma de DataWarehousing e Analytics em nuvem usada por milhares de empresas no mundo para armazenar e processar grandes volumes de dados sensíveis, o que a tornava um alvo de alto valor para qualquer grupo com acesso a credenciais corporativas em escala.
O grupo responsável pela campanha, designado pela Mandiant como UNC5537 e operando publicamente como ShinyHunters em fóruns criminosos, tinha como método central a compra e uso de logs de infostealer malware.
Esses malwares, como Vidar, RISEPRO e LummaC2, infectam silenciosamente dispositivos corporativos e capturam credenciais armazenadas em browsers, gerenciadores de senha e arquivos locais. Os logs são então vendidos em marketplaces criminosos por valores baixos, às vezes menos de dez dólares por conjunto de credenciais.
A investigação da Mandiant identificou que boa parte das credenciais usadas nos ataques havia sido coletada por infostealers desde 2020, quatro anos antes dos ataques.
As credenciais nunca foram rotacionadas. As contas nunca foram desativadas. O MFA nunca foi habilitado. Quando o UNC5537 tentou o login, o acesso foi concedido sem fricção.
Entre abril e junho de 2024, o grupo conduziu exfiltração ativa de dados de aproximadamente 165 organizações clientes da Snowflake. A AT&T perdeu metadados de chamadas e mensagens de texto de praticamente todos os seus clientes americanos, um volume tão sensível que o Departamento de Justiça dos EUA pediu à empresa que adiasse a divulgação por motivos de segurança nacional.
A AT&T pagou US$ 370 mil de resgate tentando garantir a exclusão dos dados. A Ticketmaster teve 560 milhões de registros de clientes expostos. O Santander Bank, 30 milhões.
Por fim, a campanha gerou mais de US$ 2 milhões em extorsões diretas e dezenas de processos judiciais contra as empresas afetadas.
A narrativa conveniente seria culpar a Snowflake por não ter exigido MFA dos seus clientes. A plataforma de fato não tornava o MFA obrigatório à época, algo que a empresa reconheceu e corrigiu posteriormente, passando a exigi-lo por padrão para todas as contas criadas a partir de outubro de 2024. Mas atribuir o incidente somente a essa omissão encobre um problema estrutural mais amplo.
Credenciais roubadas por infostealer representaram 47% das intrusões no primeiro semestre de 2024, segundo o relatório Threat Horizons do Google Cloud. A Snowflake não foi um caso isolado.
Foi o mais visível de um padrão que se repete em centenas de organizações que tratam identidade como problema de TI operacional, e não como superfície de ataque estratégica.
Três falhas específicas criaram as condições para a campanha do UNC5537:
A autenticação com usuário e senha permanecia suficiente para acessar ambientes que continham centenas de milhões de registros de clientes.
Habilitar MFA poderia ter bloqueado esses ataques integralmente, segundo especialistas do NCC Group que analisaram o caso.
Senhas comprometidas anos antes permaneciam válidas porque nenhum processo de rotação periódica existia. Contas de terceiros e contratados com acesso histórico nunca foram revisadas ou desativadas.
Sem restrição de IP, qualquer acesso proveniente de qualquer localização era aceito como legítimo desde que a credencial fosse válida. Um login originado de infraestrutura criminosa na Europa passava pelos mesmos critérios que um acesso do escritório corporativo.
A Cloud Security Alliance resumiu o diagnóstico com precisão: controles de IAM insuficientes, ausência de acesso condicional e falta de rotação de credenciais foram os fatores que tornaram o ataque possível.
A sofisticação do UNC5537 estava na escala da operação, não na técnica. A técnica era login com senha. O que permitiu que funcionasse em 165 organizações foi a ausência de controles que existem há mais de uma década.
O caso Snowflake é descrito por especialistas como um dos melhores exemplos da importância de um único controle de segurança na memória recente.
MFA ativo teria bloqueado a campanha inteira, portanto a identidade precisa ser tratada como perímetro de segurança primário em ambientes cloud, onde não existe mais um firewall físico separando o que está dentro do que está fora.
Contas de serviço, credenciais de terceiros, acessos de ex-funcionários, tokens de API não rotacionados: cada uma dessas superfícies representa uma porta que um atacante com logs de infostealer pode tentar.
Os ataques do UNC5537 ocorreram entre abril e junho de 2024. A Snowflake detectou atividade potencialmente não autorizada em 23 de maio, semanas depois do início da campanha.
Nesse intervalo, dados de dezenas de organizações já tinham sido exfiltrados. O monitoramento de logs de autenticação existia. A capacidade de correlacionar comportamentos anômalos em tempo real, como logins de geolocalizações incomuns, volumes atípicos de consulta a tabelas sensíveis ou padrões de acesso fora do histórico estabelecido, não estava operando de forma contínua e integrada.
Visibilidade sem correlação é dado sem contexto algum, é a diferença entre detectar uma anomalia em minutos e descobri-la semanas depois é exatamente o que separa contenção de crise.
A campanha do UNC5537 é considerada uma das maiores intrusões baseadas em credenciais já registradas. Não foi necessário explorar nenhuma vulnerabilidade de dia zero, nenhum exploit de kernel, nenhum ataque de cadeia de suprimentos.
Credenciais válidas, ausência de MFA e falta de monitoramento contínuo foram suficientes para comprometer 165 organizações e expor registros de mais de 500 milhões de pessoas. O custo de prevenção, habilitar MFA e monitorar comportamento de autenticação, é uma fração do custo de resposta a um incidente dessa escala.
A resposta é que a expansão do uso de cloud criou uma superfície de identidade que a maioria das organizações não acompanhou com a mesma velocidade.
Todo novo serviço SaaS contratado gera novas credenciais e cada integração com terceiros cria novos pontos de acesso. Se um funcionário que sai da empresa deixa para trás contas que precisam ser desativadas e raramente são auditadas com a frequência necessária, temos o ambiente perfeito para os criminosos agirem.
Atacantes com acesso a logs de infostealer coletados ao longo de anos encontram nesse ambiente exatamente o que precisam: credenciais válidas para plataformas que a organização usa hoje, com acessos que nunca foram revisados e MFA que nunca foi habilitado.
A próxima campanha no modelo Snowflake já está provavelmente sendo preparada com dados dos mesmos dumps criminosos, usando as mesmas credenciais esquecidas, mirando organizações que ainda não fecharam essas brechas.
Equipes de segurança sobrecarregadas priorizam alertas ativos em detrimento de revisões preventivas. Ferramentas que monitoram partes do ambiente sem integração geram visibilidade fragmentada.
A proliferação de identidades digitais em ambientes multi-cloud cria uma superfície que nenhum processo manual de auditoria periódica consegue cobrir com a frequência que o cenário exige.
Um modelo de operação contínua de segurança muda a dinâmica desse problema de forma estrutural. Managed Security Services (MSS) transforma segurança em operação permanente, com monitoramento 24×7, análise contínua de eventos, correlação de dados entre ambientes e resposta ativa antes que o impacto se expanda.
No caso Snowflake, um modelo MSS estruturado teria capacidade de detectar os sinais que a campanha do UNC5537 deixou antes de a exfiltração se completar: logins de geolocalizações incomuns para aquelas contas, horários de acesso fora do padrão histórico, volumes de consulta a tabelas sensíveis inconsistentes com o comportamento anterior do usuário, acesso proveniente de ASNs suspeitos.
Individualmente, cada um desses eventos pode parecer ruído. Correlacionados pelo SOC Analytics em tempo real, constroem um padrão de comprometimento identificável antes que os dados saiam.
MSS também opera na camada preventiva: gestão de acessos privilegiados com revisão periódica, detecção de credenciais comprometidas circulando em marketplaces criminosos antes que sejam usadas, monitoramento de contas de serviço e de terceiros que costumam ficar fora do radar das auditorias internas.
A combinação de visibilidade contínua com resposta estruturada é o que transforma monitoramento em proteção real.
Leia também:
A Teletex atua há quatro décadas em ambientes onde o custo de um gap de visibilidade se mede em dados de clientes, continuidade operacional e reputação.
O SOC 24×7 mantém monitoramento permanente com analistas dedicados e o SOC Analytics correlacionando eventos de rede, endpoints, cloud e aplicações em tempo real, construindo inteligência comportamental sobre o ambiente e identificando desvios antes que se consolidem em comprometimentos.
Já o Cybercare, sustentado pela metodologia SafeX, mapeia as vulnerabilidades reais do ambiente antes de qualquer implantação, incluindo contas sem MFA, acessos privilegiados não revisados e integrações de terceiros sem controle adequado. Quando uma ameaça é confirmada, os playbooks de resposta do time de CSIRT permitem contenção ativa antes que o raio de impacto se expanda.
O caso Snowflake deixa uma lição que vale para qualquer organização com dados em nuvem: falhas simples na gestão de identidades podem gerar impactos em escala de centenas de milhões de registros.
Segurança contínua e integrada com visibilidade sobre identidades e acessos deixou de ser diferencial e passou a ser o requisito mínimo para operar em ambientes cloud com responsabilidade.
Quer mapear como sua empresa está exposta em identidades e acessos e estruturar uma operação de segurança contínua? Fale com um especialista da Teletex e descubra como o Cybercare entrega visibilidade e controle de ponta a ponta.
A maioria das empresas associa ataques cibernéticos a invasões altamente técnicas: firewalls derrubados, código malicioso injetado, vulnerabilidades exploradas em sequência. Os ataques mais devastadores de 2025 seguiram um caminho completamente diferente. Alguém ligou para o helpdesk. Se passou por um funcionário. Pediu a redefinição de uma senha. E entrou.
Em 12 de junho de 2025, a Aflac, maior provedora de seguros suplementares dos Estados Unidos com mais de 50 milhões de segurados no mundo, identificou atividade suspeita em sua rede e acionou imediatamente seus protocolos de resposta a incidentes, contendo a intrusão em poucas horas.
Nenhum ransomware foi implantado e as operações continuaram normalmente. Mas os dados já tinham saído. A investigação completa, concluída em dezembro de 2025, confirmou que informações pessoais e de saúde de 22,65 milhões de pessoas foram comprometidas, incluindo nomes, endereços, números de Seguro Social, dados de carteira de motorista, passaportes, informações de sinistros e apólices de clientes, funcionários, agentes e beneficiários.
Ou seja, o ataque não explorou nenhuma vulnerabilidade técnica sofisticada. Explorou o lado humano e é exatamente isso que torna o caso Aflac um dos mais relevantes estudos de segurança corporativa dos últimos anos.
O ataque é atribuído ao Scattered Spider, também conhecido como UNC3944 ou Octo Tempest, um coletivo de hackers de língua inglesa especializado em engenharia social.
Entre 7 e 12 de junho de 2025, o grupo atacou três grandes seguradoras americanas em sequência: Erie Insurance em 7 de junho, Philadelphia Insurance Companies em 9 de junho e a Aflac em 12 de junho, numa campanha coordenada contra o setor de seguros.
O mecanismo utilizado foi engenharia social direcionada: os atacantes usaram táticas de engano focadas em pessoas para contornar controles de segurança tradicionais. Essa abordagem permitiu que bypassassem ferramentas de MFA baseadas em aprovação de aplicativo e notificações push, camadas cada vez mais vulneráveis a phishing e relay de credenciais.
A Aflac detectou o ataque em 12 de junho por meio de seu sistema interno de monitoramento, que disparou uma resposta e investigação imediatas. Essa rapidez permitiu que as equipes contivessem a intrusão em poucas horas, limitando o impacto e o escopo do incidente. O intervalo entre a entrada dos atacantes e a detecção foi suficiente para a exfiltração de dados de quase 23 milhões de pessoas. T
O caso se encaixa em uma tendência mais ampla: grupos de ameaça cibernética estão migrando cada vez mais para setores onde grandes repositórios de dados pessoais podem ser acessados por engenharia social ou comprometimento de credenciais, em vez de exploits técnicos ou ransomware.
Reconstruir a sequência do ataque é o que transforma o caso Aflac de notícia em aprendizado. Cada etapa expõe uma decisão que qualquer organização pode tomar agora para fechar a mesma brecha.
Antes de ligar para qualquer helpdesk, o Scattered Spider faz a lição de casa. O grupo vasculha LinkedIn, sites corporativos e redes sociais para mapear nomes de funcionários, cargos, estrutura de times e fornecedores de tecnologia.
Com essas informações, a impersonação fica convincente: o atacante sabe o nome do gerente de TI, conhece o sistema de tickets interno e menciona projetos reais da empresa.
Com o mapa montado, o atacante liga para o helpdesk se passando por um funcionário legítimo. O script é simples: urgência, tom familiar, referências internas críveis.
A solicitação mais comum é redefinição de senha ou desbloqueio de conta, procedimentos rotineiros que qualquer atendente executa dezenas de vezes por dia. A equipe de helpdesk, treinada para ser ágil, atende sem questionar o suficiente.
Com a senha redefinida, o próximo obstáculo é o MFA. O Scattered Spider contorna autenticação multifator de duas formas principais: MFA fatigue, que consiste em bombardear o usuário real com notificações push até que ele aprove por exasperação, e SIM swapping, que transfere o número de celular da vítima para um chip controlado pelo atacante, redirecionando os códigos SMS.
Dentro da rede com credenciais legítimas, o atacante se move como um funcionário comum. A partir do acesso inicial, o grupo escala privilégios, explora sistemas e exfiltra dados, às vezes implantando ransomware em etapas posteriores.
No caso da Aflac, o ransomware não foi usado, mas a exfiltração de dados de 22,65 milhões de pessoas já tinha acontecido antes da detecção.
Os dados saem em volumes que, sem correlação de eventos, parecem tráfego normal. A revisão arquivo por arquivo para determinar exatamente o que foi acessado levou seis meses, o que explica o intervalo entre a detecção em junho e a divulgação completa em dezembro de 2025.
O sistema de monitoramento interno da Aflac detectou a atividade suspeita e disparou os protocolos de resposta.
A intrusão foi contida em horas. A velocidade de resposta foi o fator que impediu um dano ainda maior. Mas a janela entre os passos 2 e 6 foi suficiente para um dos maiores vazamentos do setor de seguros da história recente.
O Scattered Spider não é um grupo de especialistas técnicos que passa semanas encontrando falhas em código.
Sua especialidade é manipulação e impersonação: ligar para helpdesks se passando por funcionários para solicitar redefinição de senhas ou obter credenciais de acesso. Essa técnica contorna firewalls sofisticados e sistemas de autenticação multifator que não conseguem se defender contra um atacante que recebe acesso legítimo.
O ponto que mais desconforta os líderes de segurança é esse: a tecnologia funcionou como esperado. O firewall não foi derrubado. O sistema de MFA estava ativo. Os controles de acesso existiam. Um ser humano, seguindo procedimentos normais do dia a dia, concedeu acesso a quem não deveria ter.
Phishing, pretexting e baiting continuam sendo os vetores mais explorados. No pretexting, o atacante inventa uma história plausível para obter a informação, como se passar por alguém do time de TI ou de um fornecedor confiável.
No baiting, a vítima é atraída por uma oferta ou ação que parece legítima. Em todos os casos, o alvo é a confiança de quem opera o sistema.
A pergunta que o caso Aflac coloca para qualquer organização é: com toda a tecnologia de segurança implantada, o que acontece quando um colaborador entrega o acesso ao invasor sem perceber?
Credenciais continuam sendo o ativo mais valioso para grupos como o Scattered Spider, porque credenciais legítimas não disparam alertas.
O comprometimento de contas através de engenharia social expôs uma arquitetura de identidade com lacunas: MFA baseado em push notification pode ser contornado por atacantes que convencem o colaborador a aprovar uma solicitação falsa ou que usam técnicas de relay para interceptar o código em tempo real.
A proteção de identidade eficaz vai além de ativar o MFA. Exige autenticação resistente a phishing, como chaves de segurança físicas ou FIDO2, políticas de acesso com menor privilégio, revisão periódica de contas com permissões elevadas e monitoramento de comportamento de autenticação em tempo real.
O helpdesk precisa ter protocolos específicos de validação de identidade que não sejam contornáveis por uma ligação convincente.
A Aflac detectou o ataque através de seu sistema de monitoramento interno, o que permitiu acionar a resposta em horas. O dado que fica é o outro lado: nesse intervalo, dados de quase 23 milhões de pessoas foram exfiltrados.
O monitoramento existia. A janela de exposição, mesmo curta em tempo absoluto, foi suficiente para um dos maiores vazamentos do setor de seguros da história recente.
Visibilidade contínua com correlação de eventos, como a entregue pelo SOC Analytics, transforma monitoramento em detecção proativa.
Um login em horário atípico, uma solicitação de redefinição de credencial seguida de acesso a sistemas sensíveis, um volume incomum de consultas a registros de clientes: correlacionados em tempo real, são sinais de comprometimento em andamento.
Treinar regularmente os colaboradores sobre como identificar e combater técnicas como phishing, pretexting e baiting deve acontecer ao longo de todo o ano, com frequência e contexto suficientes para criar reflexos reais. TI Safe
O colaborador que atendeu a ligação do Scattered Spider provavelmente não tinha recebido treinamento recente sobre como validar a identidade de quem solicita acesso por telefone.
Cultura de segurança se constrói com repetição, contexto e prática, não com um PDF anual de políticas.
O caso Aflac é parte de um padrão. Além das três seguradoras atacadas em junho de 2025, a Allianz Life Insurance sofreu uma violação em julho do mesmo ano, afetando 1,4 milhão de clientes americanos quando atacantes acessaram um sistema CRM baseado em nuvem via engenharia social. O vetor se repete porque as condições estruturais que o viabilizam persistem na maioria das organizações.
Ambientes cada vez mais distribuídos com acesso remoto por múltiplos dispositivos, crescimento do trabalho híbrido onde a validação de identidade é mais difícil, proliferação de identidades digitais com permissões espalhadas por dezenas de sistemas, excesso de acessos privilegiados que nunca foram revisados, helpdesks treinados para priorizar velocidade de atendimento em detrimento de verificação rigorosa de identidade. Cada um desses fatores amplia a superfície de ataque humano de forma silenciosa.
Tratar segurança como checklist de conformidade significa perder os problemas estruturais que permitem que incidentes dessa magnitude aconteçam. A fragmentação da visibilidade de segurança, ferramentas que monitoram partes do ambiente sem correlação e processos de verificação que não acompanharam a sofisticação dos ataques, cria exatamente o tipo de gap que o Scattered Spider sabe explorar.
Proteção de identidade com MFA resistente a phishing: substituir MFA baseado em push notification por autenticação FIDO2 ou chaves físicas elimina o vetor de relay que o Scattered Spider explorou em múltiplos ataques.
Monitoramento contínuo com análise comportamental: detectar anomalias de autenticação, movimentação lateral e acesso atípico a dados sensíveis em tempo real. O SOC 24×7 da Teletex opera com cobertura permanente e correlação de eventos que transforma sinais fracos em alertas acionáveis antes que o dano se consolide.
Treinamento contínuo e contextualizado: simulações de phishing por múltiplos canais, cenários de vishing e engenharia social por telefone, microlearning semanal por área de risco. O CyberX, iniciativa imersiva do Cybercare da Teletex, coloca colaboradores em ambientes que simulam crises digitais reais, criando memória de comportamento que treinamentos convencionais não constroem.
Protocolos de verificação de identidade para helpdesk: scripts de validação que não possam ser contornados por uma história convincente, canais alternativos de confirmação e critérios claros para escalação de solicitações suspeitas.
Gestão de acessos com menor privilégio e revisão periódica: eliminar contas com permissões desnecessárias, revisar acessos privilegiados regularmente e monitorar contas de serviço com permissões elevadas mas uso infrequente.
Leia também:
O caso Aflac evidencia algo que equipes de segurança já sabem, mas que muitas lideranças ainda resistem em internalizar: ataques modernos prescindem de sofisticação técnica para causar danos na escala de 22 milhões de registros. Precisam apenas encontrar uma pessoa despreparada no momento certo.
A Teletex atua exatamente essa frente: o MSS estruturado integra monitoramento 24×7, SOC Analytics com correlação de eventos em tempo real, tratamento ativo de ameaças e o Cybercare para conscientização e cultura de segurança.
A metodologia SafeX mapeia as vulnerabilidades reais do ambiente antes de qualquer implantação, identificando onde estão os pontos cegos de identidade, acesso e monitoramento. Quando uma ameaça é confirmada, os playbooks de resposta do time de CSIRT permitem contenção antes que o raio de impacto se expanda
A Teletex é uma referência em tecnologia de cibersegurança e TI que simplifica ambientes complexos, inova na proteção digital, agiliza a resposta a incidentes e transforma segurança em vantagem competitiva, conectando clientes a serviços modernos e eficazes.
Quer estruturar uma operação de segurança capaz de detectar e responder a ataques como o do caso Aflac antes que causem impacto? Fale com um especialista da Teletex e descubra como o Cybercare combina monitoramento contínuo, inteligência aplicada e cultura de segurança em um ecossistema integrado.
Em 2021, uma empresa tinha em média quase um ano entre a descoberta de uma vulnerabilidade e sua exploração por um atacante. Tempo suficiente para acionar o time de TI, priorizar o patch, testar em ambiente controlado e implantar a correção sem pressão excessiva. Esse tempo acabou.
O Zero-Day Clock, projeto criado por Sergej Epp da Sysdig com apoio das principais empresas de tecnologia e cibersegurança do mundo, mostra que o tempo médio entre a descoberta de uma vulnerabilidade e sua exploração caiu de quase um ano, em 2021, para pouco mais de um dia em 2026.
A projeção para 2027 é ainda mais crítica: uma hora e um minuto.
O fator que acelerou essa compressão tem nome: inteligência artificial. Ferramentas de IA permitem que atacantes identifiquem padrões em código, automatizem a descoberta de falhas e escalem tentativas de exploração em velocidade que nenhum processo manual consegue acompanhar.
A percentagem de ataques zero-day, quando os atacantes já estão explorando a falha antes do anúncio oficial, subiu de 31% há cinco anos para 73,2% atualmente. E passadas seis semanas da divulgação de uma vulnerabilidade, nenhuma falha permanece por explorar.
Uma vulnerabilidade zero-day é uma falha de segurança desconhecida pelo fabricante do software ou para a qual ainda não existe patch disponível no momento da exploração. O nome vem exatamente disso: zero dias de proteção. Quando o atacante a descobre e ag
e, a vítima não tem correção para aplicar, não tem assinatura para bloquear e muitas vezes não tem nem visibilidade para detectar.
O que torna esse tipo de falha particularmente destrutivo não é apenas a ausência de patch. É a janela de invisibilidade que ela cria. Um atacante que explora um zero-day opera em terreno onde as defesas convencionais são cegas: o firewall não tem regra para aquele tráfego, o antivírus não reconhece aquela assinatura, o SIEM não tem correlação para aquele padrão. A exploração acontece em silêncio, e o dano se acumula antes de qualquer alerta disparar.
Segundo o Google Threat Intelligence Group, 90 vulnerabilidades zero-day foram exploradas ativamente em 2025, aumento de 15% em relação a 2024, e quase metade delas teve como alvo tecnologias usadas em ambientes corporativos.
Entre os fornecedores mais impactados estão Microsoft, Google, Apple e Cisco. Não são sistemas obscuros ou legados. São as ferramentas que qualquer empresa usa no dia a dia.
No modelo atual, a exposição só se torna visível depois do comprometimento. A falha existia. A empresa simplesmente não sabia.
Por décadas, a descoberta e exploração de vulnerabilidades exigiram conhecimento técnico avançado, tempo e esforço manual. Um pesquisador, ou um atacante, precisava analisar código linha por linha, identificar padrões de comportamento anômalo e construir um exploit funcional. Esse processo levava dias, semanas, às vezes meses.
A IA eliminou boa parte desse atrito. Modelos treinados em grandes bases de código conseguem identificar classes de vulnerabilidades em segundos, gerar variantes de exploits automaticamente e testar múltiplos vetores de ataque em paralelo, sem fadiga e sem limite de escala.
Segundo a Check Point Research, agentes mal-intencionados já utilizam IA para gerar phishings personalizados e malwares adaptativos, enquanto grupos menores conseguem lançar ataques em larga escala sem conhecimentos técnicos avançados, democratizando o cibercrime. O que antes exigia uma equipe especializada agora está ao alcance de qualquer ator com acesso às ferramentas certas.
O impacto prático disso é que os ataques deixaram de ser eventos pontuais e passaram a ser operações industrializadas.
Uma falha identificada de manhã pode ter exploits funcionais circulando até o final do mesmo dia. Uma vulnerabilidade publicada num boletim de segurança pode estar sendo ativamente explorada antes que o time de TI termine a reunião de priorização.
Com IA operando do lado ofensivo, o tempo de preparação que as empresas tinham virou dado histórico.
Muitas organizações ainda operam com uma lógica construída para um cenário que não existe mais. O ciclo funciona assim: um sistema gera um alerta, um analista analisa o evento, a equipe decide como responder e uma ação é tomada.
Em cada etapa, há latência. E latência, no contexto de um zero-day explorado por IA, é o que separa um incidente contido de um comprometimento em expansão.
Ferramentas existem. O gap está em como a segurança é operada sobre elas:
Quanto mais rápido o ataque, menor a margem de reação nesse modelo. E a margem está desaparecendo.
A mudança de paradigma que o cenário exige não é adicionar mais uma ferramenta ao stack. É mudar o modelo de operação, de ciclos periódicos de análise para monitoramento e resposta contínuos.
Managed Security Services (MSS) é o modelo que transforma segurança em operação permanente. Em vez de reagir a alertas quando alguém está disponível para analisá-los, o MSS mantém monitoramento ativo 24 horas por dia, correlaciona eventos em tempo real e executa resposta antes que o incidente escale. A operação não para quando o analista vai dormir. E o atacante sabe disso.
O SOC Analytics é a camada de inteligência que viabiliza a antecipação. Ao correlacionar dados de rede, endpoints, aplicações e identidade, identifica padrões que precedem exploração antes que o exploit seja executado.
Um comportamento de varredura incomum em um segmento de rede, uma sequência de autenticações em contas de serviço fora do padrão histórico, um processo iniciando conexões externas que normalmente permanece inativo: individualmente, são ruídos. Correlacionados, são sinais de reconhecimento ou exploração em estágio inicial.
Empresas que já operam nesse modelo não eliminam o risco de zero-day. Mas comprimem drasticamente o tempo entre a exploração e a detecção, que é o único indicador que impacta de forma real o custo e o alcance de um incidente.
O zero-day acelerado por IA é uma decisão de modelo de operação que pertence à liderança. As implicações práticas são diretas:
| Dimensão | O que muda na prática |
| Visibilidade contínua | Saber o que está acontecendo no ambiente em tempo real, com correlação entre camadas, é a condição mínima para reagir dentro de uma janela de horas. Visibilidade periódica não cobre mais esse requisito |
| Integração entre ferramentas e dados | Ferramentas isoladas produzem alertas. Ferramentas integradas com análise especializada produzem decisões. Esse gap é o que separa detecção tardia de contenção eficiente |
| Tempo de resposta medido e gerenciado | MTTR não é métrica técnica. É indicador de risco. Quanto mais alto, mais tempo o atacante tem para operar. Reduzi-lo exige processo, não apenas ferramenta |
| Capacidade de agir antes do escalonamento | Playbooks testados, analistas com contexto do ambiente e automação de contenção precisam estar prontos antes do incidente. Construí-los em resposta a uma crise é tarde demais |
Leia também:
A Teletex opera há quase quatro décadas em ambientes onde a janela de tolerância a falhas é zero: bancos, hospitais, aeroportos e infraestrutura pública. Esse histórico moldou uma capacidade técnica orientada para o que o cenário atual exige: antecipação, não reação.
O SOC 24×7 da Teletex mantém monitoramento ininterrupto com analistas dedicados e o SOC Analytics correlacionando eventos em tempo real, construindo inteligência sobre o comportamento do ambiente e identificando desvios antes que se consolidem em comprometimentos.
O Cybercare, sustentado pela metodologia SafeX, integra fabricantes como Cisco, Splunk, Gigamon, Palo Alto e Tenable numa arquitetura sem sobreposição, construída a partir do diagnóstico real das vulnerabilidades de cada ambiente. Quando uma ameaça é confirmada, a experiência em CSIRT e os playbooks de resposta permitem contenção ativa, antes que o raio de impacto se expanda.
A Teletex é uma referência em tecnologia de cibersegurança e TI que simplifica ambientes complexos, inova na proteção digital, agiliza a resposta a incidentes e transforma segurança em vantagem competitiva, conectando clientes a serviços modernos e eficazes que evoluem na mesma velocidade das ameaças.
Sua empresa está preparada para um cenário onde não há tempo para reagir? Fale com os especialistas da Teletex e descubra como estruturar uma operação de segurança contínua, capaz de antecipar ameaças antes que elas impactem o seu negócio.
A empresa tinha firewall de última geração, EDR em todos os endpoints e um SIEM recém-implantado. O investimento em segurança tinha dobrado em dois anos. Mesmo assim, o ataque funcionou…
Um colaborador do financeiro recebeu uma mensagem no WhatsApp de alguém se passando pelo diretor, pedindo uma transferência urgente antes do fechamento do balanço. Tudo era idêntico e habitual. Ele transferiu. A tecnologia não viu nada de errado, porque tecnicamente não havia nada de errado: um usuário autenticado, numa rede legítima, realizando uma operação comum.
O Fórum Econômico Mundial apontou em seu relatório Global Cybersecurity Outlook que 95% das falhas de cibersegurança são causadas por erro humano. Ferramentas avançadas não mudam esse número sozinhas.
A ilusão que persiste em muitas organizações é a de que a segurança é um problema técnico com solução técnica. Investe-se muito em camadas de proteção, adiciona-se mais uma ferramenta ao stack, renova-se a certificação do time de TI. Em 2024, o custo médio de uma violação de dados no Brasil chegou a R$ 1,36 milhão, e o número de incidentes registrados pelo CTIR Gov em apenas sete meses de 2025 já superou os totais de 2023, 2022 e 2021 somados.
O problema não é a qualidade das ferramentas. Elas de fato são exigentes e necessárias. Mas..É que ataques modernos exploram três dimensões ao mesmo tempo: sistemas, pessoas e processos. Proteger apenas uma delas é deixar as outras duas portas abertas.
A inteligência artificial mudou a natureza da segurança digital em um ponto preciso: a velocidade de identificação.
Agora, onde analistas humanos levam horas para correlacionar eventos de múltiplas fontes, modelos treinados fazem isso em segundos. Onde varreduras periódicas revelam vulnerabilidades com dias de atraso, IA integrada ao monitoramento contínuo detecta anomalias no momento em que surgem.
Na prática, IA aplicada à cibersegurança opera em camadas que equipes humanas sozinhas não conseguem cobrir em escala:
O limite da IA está exatamente onde sua força termina: ela processa padrões, mas não toma decisões de negócio. Ela detecta o desvio, mas não sabe se aquele acesso anômalo era um estagiário curioso ou um atacante com credenciais roubadas.
Contexto, julgamento e resposta coordenada ainda dependem de pessoas e processos funcionando em conjunto.
Phishing, engenharia social, voz clonada, deepfake, credenciais reutilizadas, cliques em anexos de e-mails que parecem internos. 68% das violações envolveram um elemento humano em 2024, segundo a Verizon, e 88% das violações de cibersegurança são causadas por erro humano, de acordo com pesquisa de Stanford. Esses números não diminuem com mais tecnologia, porém diminuem com cultura.
O colaborador que transferiu o dinheiro no exemplo da introdução não errou por incompetência. Errou porque nunca havia passado por uma simulação de engenharia social, porque a empresa não tinha protocolo de verificação para transferências urgentes e porque ninguém havia explicado, de forma prática e memorável, como esse tipo de golpe funciona. Ou mesmo porque ele só estava cansado neste dia. Por isso, treinamento anual em PDF não cria reflexo. Cria obrigação cumprida.
Conscientização eficaz precisa ser contínua, contextualizada para o cargo e o perfil de risco de quem recebe, e prática o suficiente para criar memória de comportamento. É aqui que o Cybercare entra como componente da estratégia da Teletex.
O CyberX, iniciativa imersiva do Cybercare, coloca colaboradores em ambientes cenográficos que simulam crises digitais reais, com luzes, sons e vídeos que reproduzem ataques em andamento. O objetivo não é transmitir conhecimento técnico.
É gerar impacto emocional suficiente para que a próxima vez que alguém receber um pedido urgente de transferência, o reflexo de verificar em canal alternativo seja automático, não uma reflexão tardia.
Simulações de phishing por múltiplos canais, trilhas adaptativas por área de risco, microlearning semanal: esses elementos reduzem o vetor humano de forma mensurável, transformando o elo mais fraco da cadeia em uma camada adicional de defesa.
Vamos combinar, tecnologia sem processo é ferramenta ociosa. Pessoas sem processo são boas intenções sem direção. Processos são o elo que transforma capacidade instalada em operação funcional.
No panorama da segurança da informação, processos estruturados cobrem dimensões que nenhum produto resolve sozinho:
Políticas e fluxos de autorização: quem pode acessar o quê, sob quais condições, com qual nível de autenticação. Sem isso, credenciais válidas em mãos erradas transitam pelo ambiente sem fricção. A lógica da ISO 27001 é baseada em gestão de riscos: cada empresa identifica suas vulnerabilidades específicas e implementa controles personalizados, em vez de seguir uma lista genérica de medidas, justamente porque riscos distintos exigem respostas distintas. Yahoo Finance
Gestão de vulnerabilidades com ciclos definidos: identificar falhas é o primeiro passo. O segundo, corrigir antes que sejam exploradas, depende de um processo com responsáveis, prazos e critérios de priorização claros. Sem esse processo, vulnerabilidades conhecidas ficam abertas por semanas enquanto as equipes atendem outras demandas.
Resposta a incidentes com playbooks testados: quando um incidente ocorre, o custo do improviso é alto. Quem notifica? Qual sistema isola primeiro? Quando aciona o jurídico? Quando comunica ao cliente? Respostas a essas perguntas precisam existir antes do incidente, não durante. Processos de resposta bem documentados e regularmente simulados comprimem o MTTR e limitam o raio de impacto.
Padronização de ações entre equipes: segurança não é responsabilidade exclusiva do time de TI. Financeiro, RH, jurídico e operações precisam saber como agir diante de incidentes que envolvem suas áreas.
O framework NIST promove uma cultura de segurança integrada onde todos os colaboradores entendem seu papel na proteção dos ativos digitais da empresa, criando o vocabulário comum que evita que cada incidente seja tratado como situação inédita.
Sem processos, a melhor ferramenta do mercado vira dado sem dono. A pessoa mais bem treinada age sem saber o próximo passo. E o incidente que poderia ter sido contido em horas se expande por dias.
Managed Security Services (MSS) é o modelo que operacionaliza a segurança integrada. Em vez de deixar que tecnologia, pessoas e processos funcionem em silos, o MSS cria a estrutura operacional que os conecta, com monitoramento 24×7, análise especializada, correlação de eventos entre ambientes e resposta ativa a incidentes.
O SOC Analytics é a camada de inteligência dentro dessa operação. Correlaciona eventos de rede, endpoints, aplicações e cloud para construir uma visão comportamental do ambiente, identificando padrões que assinaturas estáticas não capturam.
Mais do que gerar alertas, transforma volume de dados em inteligência executiva: relatórios que traduzem o estado de segurança em métricas de negócio compreensíveis para CIOs e conselhos, mostrando onde está a exposição real, quais áreas evoluíram e o que ainda exige atenção.
A integração entre os três pilares acontece exatamente nessa operação: IA processa o volume e detecta anomalias. Analistas especializados interpretam o contexto e tomam decisões. Processos estruturados definem como a resposta se desdobra. Nenhum dos três funciona sem os outros dois, e o MSS é a estrutura que os mantém funcionando em conjunto de forma contínua.
Leia também:
A Teletex opera há quatro décadas em ambientes onde a falha não é opção. Bancos, hospitais, cooperativas de crédito, aeroportos, infraestrutura pública. Esse histórico construiu algo que tecnologia isolada não entrega: a capacidade de integrar os três pilares da segurança moderna em uma operação coesa e auditável.
O SOC 24×7 da Teletex sustenta o monitoramento permanente, com analistas dedicados e o SOC Analytics correlacionando eventos em tempo real. O Cybercare, sustentado pela metodologia SafeX, integra fabricantes como Cisco, Splunk, Gigamon, Palo Alto, Tenable e Lumu numa arquitetura sem sobreposição, construída a partir do diagnóstico real de vulnerabilidades do ambiente do cliente.
O CyberX e os programas de conscientização contínua fortalecem o fator humano com experiências que criam reflexos, não apenas conhecimento. E o MSS estruturado conecta tudo isso em processos com responsáveis, métricas e ciclos de melhoria contínua.
Como vimos, segurança isolada não funciona. Tecnologia sem pessoas não resolve. Pessoas sem processo geram risco. A cibersegurança moderna exige que os três pilares operem juntos, de forma contínua e integrada, e é exatamente esse modelo que a Teletex entrega.
Uma referência em tecnologia de cibersegurança e TI que simplifica ambientes complexos, inova na proteção digital, agiliza a resposta a incidentes e transforma segurança em vantagem competitiva, conectando clientes a serviços modernos e eficazes.
Quer estruturar uma abordagem integrada de cibersegurança para sua empresa? Fale com um especialista da Teletex e descubra como o Cybercare conecta IA, pessoas e processos em uma operação contínua.