(41) 99193-1264
Por Interesse_
Por Setor_
Por Segmento_
(41) 99193-1264
Por Interesse_
Por Setor_
Por Segmento_
A segurança corporativa está perdendo uma corrida de relógio, e os números dizem por quanto. Uma violação leva em média 194 dias para ser identificada e mais 64 para ser contida, segundo o Cost of a Data Breach de 2026, da IBM. O custo médio chegou a 4,99 milhões de dólares, 12% acima do ano anterior.
Do outro lado, o ataque acelerou. O mesmo levantamento aponta que uma em cada quatro violações maliciosas já usa inteligência artificial, alta de 56% em um ano, e que essas custam cerca de um milhão a mais que a média.
O detalhe que reposiciona o problema: organizações que aplicam IA e automação na operação de segurança identificaram e contiveram incidentes 108 dias mais rápido, com economia média perto de dois milhões de dólares por violação.
Segurança preditiva é o nome dessa resposta. Ela não promete adivinhar ataque: promete encurtar a distância entre o primeiro sinal e a primeira ação, que é exatamente onde os 194 dias moram.
Segurança preditiva usa dados, machine learning e análise comportamental para identificar risco antes que ele vire incidente. Ela não prevê o futuro: calcula probabilidade a partir de padrão observado, do mesmo jeito que uma operadora de cartão percebe compra atípica.
O modelo se distingue dos anteriores pelo momento em que age:
| Modelo | Quando age | Pergunta que responde |
| Reativa | Depois do incidente | O que aconteceu e como conter |
| Preventiva | Antes, com controle fixo | Como reduzir a chance de acontecer |
| Preditiva | Durante a formação do risco | O que está fugindo do padrão agora |
Os três coexistem: firewall, política de acesso e backup continuam necessários, e a camada preditiva acrescenta leitura de contexto sobre o que já está instalado. O cenário competitivo que empurrou esse movimento está em IA na cibersegurança: como antecipar ameaças antes do ataque.
A qualidade da leitura depende da variedade das fontes. Sinal isolado engana; sinal cruzado sustenta decisão:
| Camada | O que ela informa |
| Logs de acesso | Tentativas de login, horários, localização e falhas de autenticação |
| Tráfego de rede | Conexões incomuns, volume anormal e comunicação com domínios suspeitos |
| Comportamento de usuários | Acesso fora do padrão, movimentação entre sistemas, tentativa de elevação de privilégio |
| Comportamento de dispositivos | Endpoint desatualizado, atividade incomum, sinal de comprometimento |
| Eventos de aplicações e segurança | Cloud, firewall, EDR, SIEM e NAC |
| Inteligência de ameaças | IPs maliciosos, hashes suspeitos, domínios associados a campanhas ativas |
A leitura combinada é o que dá contexto. Um acesso de outro país pode ser viagem a trabalho. O mesmo acesso, com um endpoint sem atualização e uma conexão para domínio recém-registrado, é outra história.
Antes de apontar desvio, o sistema precisa saber o que é rotina naquela empresa. Esse retrato se chama linha de base, e ele se constrói observando a operação real por um período.
A linha de base responde a perguntas específicas: quais usuários acessam quais sistemas, em que horários, de quais dispositivos, com que volume de dados e a partir de quais locais. Um time financeiro que trabalha das oito às dezoito, no escritório de Curitiba, com acesso ao ERP, tem assinatura diferente do time de campo que conecta de celular, de várias cidades, o dia inteiro.
Com esse retrato pronto, o desvio ganha significado. O servidor que sempre transferiu dois gigabytes por dia e passa a transferir quarenta descreve um evento. Sem linha de base, quarenta gigabytes é só um número.
O valor aqui está em reconhecer contexto, e não evento isolado.
Passo 1: coleta observada
Durante um período de aprendizado, que costuma ir de duas a quatro semanas, o sistema registra a operação real sem julgar nada. Ele apenas anota quem fez o quê, quando e de onde.
Passo 2: agrupamento por perfil
Usuários com comportamento parecido são reunidos. O time financeiro vira um grupo, o time de campo vira outro, as contas de serviço viram um terceiro. Isso evita comparar um analista com um robô de integração.
Passo 3: cálculo das faixas
Para cada perfil, o sistema estabelece o que é comum: janela de horário, locais de origem, sistemas acessados, volume típico de dados, frequência de autenticação. O resultado não é um número único, e sim uma faixa com margem.
Passo 4: validação com a operação
A equipe revisa os grupos e corrige distorções. A janela de fechamento contábil, que roda de madrugada uma vez por mês, precisa entrar como normal, senão vira alerta todo mês.
Passo 5: recálculo contínuo
A empresa muda, e a linha de base acompanha. Contratação, novo sistema, mudança de expediente e abertura de filial deslocam o normal, e um retrato congelado passa a gerar falso positivo em série.
Um exemplo fechado: o perfil “analista financeiro” acessa o ERP, das 8h às 18h, de dois endereços da sede em Curitiba, movimentando até 300 MB por dia. Quando uma conta desse grupo autentica às 2h, de um endereço novo, e movimenta 8 GB, o desvio não está no evento, e sim na distância entre ele e a faixa aprendida.
Ataque bem executado não começa com estrondo. Começa com movimentos pequenos, feitos para parecer tráfego comum.
Os indícios que costumam aparecer nessa fase:
Isolado, quase todo item dessa lista tem explicação inocente. A análise preditiva pontua a combinação: quantos sinais apareceram, em que ordem, em quanto tempo e sobre quais ativos. O resultado é um nível de risco que serve para priorizar investigação, e não um veredito.
Um exemplo de combinação: às 3h40, uma credencial válida faz login de um endereço que nunca apareceu antes. Às 5h40, a mesma conta abre um servidor de arquivos que aquele perfil nunca acessou. Às 6h, começa uma transferência constante de dados. Isolado, cada evento tem explicação. Na mesma conta, em seis horas, a sequência descreve reconhecimento seguido de coleta.
Detecção sem ação é relatório. O valor aparece no que o ambiente faz com o sinal, e a resposta varia conforme a confiança do indício e o impacto de errar.
O sinal vira um item de fila com contexto anexado: quais ativos estão envolvidos, que sinais combinaram, qual a pontuação de risco e o que já se sabe do histórico daquela conta. A prioridade sai do impacto no negócio, e não da severidade técnica isolada, para que a fila acompanhe o que dói.
Ação reversível, aplicada quando a confiança é alta e a interrupção custa pouco. A sessão suspeita cai, e o usuário legítimo recupera o acesso em minutos, pelo procedimento padrão. É preferível esperar validação humana quando o indício aponta credencial comprometida em uso ativo.
O meio-termo mais usado. Em vez de bloquear, o sistema pede um segundo fator para aquela sessão específica. Se quem está do outro lado for o usuário real, ele confirma e segue; se for alguém com a senha roubada, o acesso para ali, sem chamado aberto.
Quando o indício aponta para a máquina, e não para a conta, o endpoint é retirado da rede e mantém apenas a conexão com a ferramenta de resposta. Isso interrompe a movimentação lateral e preserva o equipamento para análise, o que importa quando existe investigação depois.
Casos que não se resolvem por automação viram trabalho de analista, com o material já reunido. A diferença aqui é o ponto de partida: em vez de começar pela pergunta “o que aconteceu”, a investigação começa pela hipótese e pelos ativos já correlacionados.
Quando a confirmação vem, entra o procedimento formal, com comunicação, contenção, erradicação e recuperação. É a etapa em que prazo e responsabilidade precisam estar definidos antes, e não durante.
É aqui que SOC Analytics e MSS entram. A camada analítica prioriza e enriquece o sinal; a operação gerenciada valida, investiga e trata. A automação segura o que é padrão e reversível, e o que exige julgamento continua com pessoas.
IA sozinha não sustenta segurança. Ela aumenta velocidade e precisão da análise, e continua dependente de três peças ajustadas entre si:
Falta qualquer uma e o modelo desmonta. Tecnologia sem gente produz alerta que ninguém investiga. Gente sem processo produz resposta que varia conforme quem está de plantão. Processo sem tecnologia não enxerga o que precisa tratar.
É esse arranjo que uma operação moderna com MSS, SOC 24×7 e SOC Analytics coloca de pé.
Leia também
Ataques atuais são rápidos, distribuídos e começam por sinais discretos. Operação que depende apenas de reação chega sempre depois, e o custo dessa diferença aparece em indisponibilidade, dado exposto e confiança abalada.
A Teletex atua com monitoramento contínuo, SOC Analytics, MSS e tratamento de ameaças, apoiando organizações na evolução para um modelo capaz de identificar padrão, reduzir tempo de resposta e transformar dado em decisão.
Segurança preditiva vale menos como tecnologia isolada e mais como operação: inteligência, pessoas e processos trabalhando juntos, todos os dias, para proteger o negócio e as pessoas por trás dele.
Sua empresa ainda reage aos incidentes ou já consegue antecipar riscos? Fale com os especialistas da Teletex e descubra como evoluir sua estratégia com IA, SOC Analytics e monitoramento contínuo.
Em 2024, o mercado global de Data Centers movimentou US$ 319 bilhões. A projeção para 2035 é de US$ 987 bilhões, crescimento sustentado por inteligência artificial, ambientes híbridos, IoT e um volume de dados que, segundo a Cybersecurity Ventures, deve ultrapassar 200 zettabytes armazenados até 2025. Por trás desses números está uma pressão crescente sobre a infraestrutura física e lógica de qualquer organização que depende de dados para operar.
Data Centers modernos já não se parecem com o que eram há dez anos… O ambiente fechado, previsível e de perímetro definido foi substituído por uma infraestrutura distribuída, híbrida, conectada a múltiplas nuvens, acessada por dispositivos heterogêneos e operada por equipes geograficamente dispersas.
Por isso, preparar essa infraestrutura para os próximos cinco anos é uma questão de como ela será protegida, monitorada e gerenciada enquanto cresce.
O número de dispositivos IoT deve mais que dobrar, passando de 18 bilhões em 2024 para 39,6 bilhões até 2033. Um dispositivo conectado é um ponto de acesso ao ambiente. Uma integração com serviços externos é uma superfície que precisa ser gerenciada.
Em ambientes onde a infraestrutura não acompanha essa expansão com políticas de acesso e segmentação adequadas, a superfície de ataque cresce de forma silenciosa e descontrolada.
Até 2027, 90% das organizações devem adotar modelos de nuvem híbrida, combinando ambientes on-premises, nuvens privadas e múltiplos provedores públicos.
A repatriação de dados, movimento que traz de volta para ambientes privados cargas de trabalho que foram para a nuvem pública, já é tendência consolidada no Brasil, motivada por controle, custo e latência.
O Data Center corporativo voltou ao centro da estratégia de infraestrutura, mas agora precisa operar em harmonia com ambientes fora do seu perímetro físico.
A IA foi responsável por um grande impacto nos Data Centers ao longo de 2024 e essa pressão se intensifica em 2026, exigindo maior densidade de computação, refrigeração mais eficiente e redes de alta performance para sustentar workloads que consomem ordens de magnitude a mais do que aplicações convencionais.
O gargalo elétrico já é o principal limitador de expansão em Data Centers corporativos, segundo análise da Zeittec.
Os ataques DDoS aumentaram 46% no primeiro semestre de 2024 em comparação ao mesmo período de 2023. Ransomware, comprometimento de credenciais e ataques à cadeia de suprimentos de software estão cada vez mais direcionados a ambientes críticos onde downtime tem custo direto e imediato sobre a operação.
Um terço dos ataques registrados em 2024 envolveu alguma forma de ransomware ou extorsão, com criminosos usando IA para aprimorar a eficácia das invasões. Infraestrutura projetada sem segurança contínua nesse ambiente não está preparada para os próximos cinco anos.
A premissa de segurança baseada em perímetro foi construída para um mundo onde existia uma fronteira clara entre o que estava dentro e o que estava fora da rede corporativa.
Usuários acessam recursos de fora do escritório, aplicações rodam em nuvens públicas, fornecedores conectam sistemas diretamente à infraestrutura interna. O perímetro desapareceu e a segurança que dependia dele foi junto.
Zero Trust parte de uma ideia simples: nenhum acesso deve ser concedido com base em localização ou identidade presumida. Todo usuário, dispositivo e aplicação precisa ser verificado continuamente, independentemente de estar dentro ou fora do perímetro da rede.
Ou seja, um colaborador conectado à rede interna do Data Center recebe o mesmo nível de validação que um acesso remoto: identidade confirmada, dispositivo verificado, contexto analisado, acesso concedido apenas ao que é estritamente necessário para aquela função.
Assim, temos a redução drástica do movimento lateral dentro do ambiente. Se uma credencial for comprometida, o atacante herda acesso limitado ao que aquela conta podia fazer, contido dentro dos controles de verificação contínua.
Em 2026, apenas 10% das grandes empresas haviam atingido um nível maduro e mensurável de implementação de Zero Trust, segundo a Gartner, o que indica que a maioria das organizações ainda opera com modelos de confiança implícita que não resistem ao cenário atual de ameaças.
Zero Trust define a política. NAC faz a aplicação no ponto de entrada da rede. O Network Access Control avalia dispositivos antes de permitir que se conectem à infraestrutura: verifica postura de segurança, conformidade com políticas corporativas, identidade do usuário e contexto da conexão.
Um dispositivo sem as atualizações de segurança requeridas, ou conectado fora do horário esperado para aquele perfil, pode ser automaticamente redirecionado para uma rede de quarentena até que a situação seja regularizada.
No contexto de um Data Center moderno, onde dispositivos IoT, sistemas OT e equipamentos de terceiros se conectam à mesma infraestrutura que servidores críticos, o NAC é o que separa um ambiente onde qualquer coisa pode se conectar de um ambiente onde cada conexão é validada antes de ter acesso a qualquer recurso.
Aceitar que incidentes acontecem é o ponto de partida para uma arquitetura resiliente.
A proposta agora não é como evitar que um ataque entre, mas como limitar o que ele consegue fazer depois que entrou. Segmentação de rede é a resposta estrutural para essa questão.
A microsegmentação divide a rede em zonas de segurança granulares ao redor de cada carga de trabalho, independentemente da topologia física.
Diferente da segmentação tradicional baseada em VLANs e zonas amplas, a microsegmentação opera no nível de aplicação: cada workload tem sua própria política de acesso, e um comprometimento em um segmento não se propaga automaticamente para os demais.
Um atacante que consegue acesso a um sistema de monitoramento não herda caminho para os servidores de produção ou para os sistemas de autenticação.
Para um Data Center com ambientes de missão crítica, essa contenção tem valor direto: reduz o raio de impacto de qualquer incidente, facilita a conformidade regulatória ao isolar ambientes que processam dados sensíveis e simplifica auditorias ao tornar os fluxos de tráfego mensuráveis e documentáveis.
Segmentação limita o movimento. Observabilidade torna esse movimento visível. O monitoramento contínuo permite acompanhar o comportamento da infraestrutura em tempo real, identificar anomalias antes que se transformem em incidentes e agir com base em dados.
Em um Data Center moderno, observabilidade abrange múltiplas camadas: desempenho de aplicações, fluxo de tráfego de rede, comportamento de identidades e acessos, consumo de recursos e estado de dispositivos físicos.
A correlação entre essas camadas transforma dados em inteligência operacional. Uma lentidão em uma aplicação pode ser degradação de hardware, saturação de rede, ataque em andamento ou erro de configuração.
Observabilidade full-stack é o que diferencia uma equipe que responde ao sintoma de uma que identifica a causa.
Modernização não é sinônimo de substituição em massa de equipamentos. Em Data Centers corporativos, onde continuidade operacional é requisito, a evolução precisa acontecer de forma planejada, incremental e com visibilidade sobre o impacto de cada mudança na operação em curso.
Uma estratégia eficiente parte do diagnóstico real do ambiente: onde estão os pontos cegos de visibilidade, quais segmentos operam sem políticas de acesso adequadas, quais dispositivos se conectam sem validação de postura, onde o monitoramento existe mas não produz inteligência acionável.
Esse mapeamento direciona o investimento para onde o risco é mais alto, evitando a armadilha de modernizar a camada técnica sem resolver os problemas operacionais que tornam a infraestrutura vulnerável.
A integração entre infraestrutura, rede e segurança é o que sustenta essa modernização. Soluções de automação e políticas inteligentes de acesso, combinadas com gestão centralizada, permitem que o ambiente evolua sem que cada mudança exija intervenção manual em múltiplos pontos.
DCIM integrado com AIOps, automação de políticas de acesso via NAC, segmentação aplicada progressivamente por criticidade de workload: esses elementos constroem maturidade operacional sem exigir que a infraestrutura pare para se modernizar.
A Teletex carrega esse tipo de experiência em projetos como o do Sistema Ailos, onde a migração de Data Center para ambiente com Cisco ACI aconteceu com monitoramento de segurança ativo em toda a transição, sem downtime e sem comprometer a postura de segurança durante o processo.
No Banrisul, a modernização da SAN com switches Cisco MDS entregou alta performance, automação e zero downtime em um ambiente onde qualquer interrupção tem impacto direto sobre operações financeiras críticas.
Leia também:
Preparar um Data Center para os próximos cinco anos é construir uma infraestrutura capaz de evoluir continuamente, sem abrir mão da segurança, da disponibilidade e da capacidade de resposta diante de um cenário que muda mais rápido do que ciclos tradicionais de planejamento de TI conseguem acompanhar.
A Teletex atua como parceira estratégica na modernização de ambientes críticos, integrando infraestrutura, redes corporativas, segurança, controle de acesso, segmentação, observabilidade e monitoramento contínuo em projetos que respeitam a operação em curso e entregam evolução sem descontinuidade.
Com quase quatro décadas de experiência em ambientes de missão crítica, mais de 300 certificações técnicas ativas e parceria Premier com a Cisco, a Teletex desenvolve soluções que simplificam ambientes complexos, aumentam a visibilidade operacional, reduzem riscos e transformam infraestrutura em vantagem competitiva, conectando clientes a serviços modernos e eficazes que acompanham o crescimento do negócio.
Seu Data Center está preparado para acompanhar as transformações dos próximos anos? Converse com os especialistas da Teletex e descubra como modernizar sua infraestrutura com mais segurança, disponibilidade e inteligência operacional.
Um colaborador abre o notebook pessoal em casa, conecta à VPN corporativa com seu login e senha e acessa sistemas internos com as mesmas permissões que teria no escritório. Do ponto de vista do servidor de autenticação, tudo está correto: credencial válida, acesso autorizado. Do ponto de vista da segurança, há uma pergunta que ficou sem resposta.
O dispositivo que está fazendo esse acesso é gerenciado pela empresa? Tem as atualizações de segurança em dia? Está com o antivírus ativo? Nunca foi comprometido?
Autenticar o usuário responde “quem está acessando”. Mas em ambientes modernos, onde o perímetro corporativo se fragmentou entre escritórios, casas, cafés e dispositivos pessoais, essa resposta sozinha não é suficiente para tomar uma decisão segura de acesso.
Em 2024, o relatório da Verizon confirmou que 74% dos incidentes de segurança envolveram credenciais comprometidas, acessos indevidos e autenticações frágeis. A credencial estava correta. O acesso era legítimo. O risco estava no contexto que ninguém estava avaliando.
Os protocolos de autenticação que sustentam a maioria das redes corporativas hoje foram projetados para um ambiente radicalmente diferente: colaboradores no escritório, dispositivos corporativos gerenciados, rede física com fronteiras definidas. O 802.1X, framework padrão de autenticação de acesso à rede, surgiu nesse contexto e cumpriu bem seu papel por décadas.
Somado ao crescimento do BYOD (Bring Your Own Device), hoje uma mesma rede corporativa pode receber conexões de notebooks corporativos totalmente gerenciados, dispositivos pessoais com configurações desconhecidas, equipamentos de terceiros e fornecedores, e dispositivos IoT com firmwares desatualizados.
Autenticar apenas o usuário nesse cenário é validar metade da equação. A outra metade, o dispositivo que está fazendo a conexão, fica invisível para o servidor de autenticação. E dispositivos invisíveis são superfícies de ataque não gerenciadas.
O modelo tradicional de PEAP-MSCHAPv2, o método de autenticação mais comum em redes corporativas, valida credenciais dentro de um túnel TLS, mas autentica apenas o usuário.
Se a senha for roubada, o acesso é concedido sem nenhuma verificação adicional sobre a confiabilidade do equipamento que está fazendo a requisição. Em ambientes onde credenciais comprometidas respondem pela maioria dos incidentes, essa limitação tem consequências práticas diretas.
O TEAP, Tunnel Extensible Authentication Protocol, definido pelo RFC 7170 e atualizado pelo RFC 9930 em fevereiro de 2026, é um método de autenticação baseado em EAP que estabelece um túnel TLS seguro e executa múltiplos métodos de autenticação dentro desse túnel em uma única sessão.
O que diferencia o TEAP de protocolos anteriores é o suporte nativo ao EAP Chaining: a capacidade de autenticar simultaneamente o usuário e o dispositivo dentro da mesma troca de autenticação. Em vez de duas sessões separadas ou de ignorar completamente a camada do dispositivo, o TEAP encadeia as duas verificações em uma sequência protegida pelo túnel TLS.
Na prática, o fluxo funciona em duas fases:
Assim, temos uma decisão de acesso com muito mais precisão: quem está acessando e com qual dispositivo. Isso permite criar políticas de acesso significativamente mais granulares. Um usuário válido em um dispositivo corporativo gerenciado recebe acesso completo aos recursos.
O mesmo usuário em um dispositivo pessoal não gerenciado pode ser redirecionado para um segmento de rede restrito. Um dispositivo corporativo sem as atualizações de segurança requeridas pode ser colocado em quarentena automaticamente, independentemente de quem está tentando fazer login.
A granularidade não era possível com os protocolos anteriores porque faltava o dado fundamental: a identidade confiável do dispositivo, validada no mesmo momento e na mesma sessão que a identidade do usuário.
O TEAP não é um produto isolado. É uma peça de protocolo que potencializa estratégias de segurança mais amplas quando integrado ao ecossistema correto.
O TEAP operacionaliza exatamente a camada de identidade e dispositivo dentro desse modelo: ao validar simultaneamente usuário e máquina, produz os atributos que o motor de política Zero Trust precisa para tomar decisões de acesso baseadas em risco real, não em confiança presumida por localização.
Integrado a uma solução NAC, o TEAP amplia as informações disponíveis no momento da decisão de acesso.
O servidor NAC recebe não apenas a identidade do usuário, mas também a identidade verificada do dispositivo, o que permite correlacionar com políticas de postura: o dispositivo tem o certificado corporativo válido? Está com o endpoint protection ativo?
Passou pela última varredura de vulnerabilidades? Com esses dados, o NAC consegue segmentar dinamicamente o acesso, colocar dispositivos em quarentena ou negar conexões antes que qualquer tráfego de dados seja autorizado.
A combinação de TEAP com segmentação dinâmica permite que a rede responda ao contexto de cada conexão em tempo real.
Um dispositivo pessoal de um colaborador pode ser direcionado automaticamente para uma VLAN de convidados com acesso restrito à internet. Um dispositivo corporativo fora de conformidade de segurança pode ser redirecionado para uma rede de remediação.
Tudo isso sem intervenção manual, baseado nas informações que o TEAP fornece no momento da autenticação.
O 802.1X com TEAP se aplica tanto a conexões cabeadas quanto a redes Wi-Fi corporativas.
Em ambientes onde colaboradores alternam entre conexão física na estação de trabalho e Wi-Fi no notebook ao longo do dia, a consistência do modelo de autenticação é o que mantém a política de acesso coerente independentemente do meio de conexão utilizado.
Implementar TEAP não é apenas ativar um protocolo. É redesenhar a arquitetura de autenticação da rede: infraestrutura de certificados para dispositivos, integração com o servidor RADIUS, configuração de políticas de EAP Chaining, definição de segmentos de rede e regras de acesso por contexto, testes de compatibilidade com os supplicants dos sistemas operacionais em uso.
A Teletex apoia empresas em todo esse processo, desde o diagnóstico do ambiente de autenticação atual até a implementação completa de redes mais seguras e controláveis.
Leia também:
A segurança das redes corporativas evoluiu para além da validação de usuário e senha. Em ambientes híbridos, com dispositivos heterogêneos e múltiplos pontos de acesso, proteger a infraestrutura significa validar identidades, dispositivos e contexto de acesso de forma integrada e contínua.
O TEAP é o protocolo que torna isso possível na camada de autenticação. O Cisco ISE é a plataforma que operacionaliza as políticas. O NAC é a estrutura que aplica as decisões na borda da rede.
A Teletex é quem integra essas camadas em um projeto coerente, alinhado às necessidades reais do ambiente e da operação de cada cliente.
Com quase quatro décadas de experiência em infraestrutura de redes e segurança, mais de 300 certificações técnicas ativas e parceria Premier com a Cisco, a Teletex desenvolve soluções que simplificam a gestão de acessos, fortalecem o controle de rede e ajudam empresas a construir ambientes corporativos mais seguros e preparados para os desafios atuais.
Sua empresa sabe exatamente quem está acessando sua rede, de onde e por qual dispositivo? Converse com os especialistas da Teletex e descubra como implementar uma estratégia de autenticação e controle de acesso alinhada às necessidades da sua operação.
Em 27 de maio de 2024, um grupo chamado ShinyHunters anunciou em fóruns de crimes cibernéticos que estava vendendo 560 milhões de registros da Ticketmaster.
Nomes, endereços, dados parciais de cartões de crédito. O preço pedido era US$ 500 mil. Nos dias seguintes, vieram os dados do Santander Bank, da AT&T, da Advance Auto Parts, da Neiman Marcus.
Ao fim da campanha, 165 organizações tinham sido comprometidas, com registros de mais de 500 milhões de pessoas exfiltrados e comercializados em redes criminosas.
A pergunta óbvia foi: qual a vulnerabilidade crítica da Snowflake que os atacantes exploraram? A resposta, confirmada por investigações conjuntas da Mandiant e da CrowdStrike, foi desconfortável: nenhuma…
A plataforma Snowflake não foi comprometida, os atacantes simplesmente fizeram login com usuário e senha. As contas não tinham autenticação multifator ativa.
Em outras palavras, credenciais válidas, roubadas anos antes por malware de infostealer, estavam guardadas em dumps de dados criminosos esperando o momento certo para serem usadas. Isso foi há dois anos atrás e 165 empresas pagaram o preço por um controle de segurança que poderia ter sido ativado em minutos.
A Snowflake é uma plataforma de DataWarehousing e Analytics em nuvem usada por milhares de empresas no mundo para armazenar e processar grandes volumes de dados sensíveis, o que a tornava um alvo de alto valor para qualquer grupo com acesso a credenciais corporativas em escala.
O grupo responsável pela campanha, designado pela Mandiant como UNC5537 e operando publicamente como ShinyHunters em fóruns criminosos, tinha como método central a compra e uso de logs de infostealer malware.
Esses malwares, como Vidar, RISEPRO e LummaC2, infectam silenciosamente dispositivos corporativos e capturam credenciais armazenadas em browsers, gerenciadores de senha e arquivos locais. Os logs são então vendidos em marketplaces criminosos por valores baixos, às vezes menos de dez dólares por conjunto de credenciais.
A investigação da Mandiant identificou que boa parte das credenciais usadas nos ataques havia sido coletada por infostealers desde 2020, quatro anos antes dos ataques.
As credenciais nunca foram rotacionadas. As contas nunca foram desativadas. O MFA nunca foi habilitado. Quando o UNC5537 tentou o login, o acesso foi concedido sem fricção.
Entre abril e junho de 2024, o grupo conduziu exfiltração ativa de dados de aproximadamente 165 organizações clientes da Snowflake. A AT&T perdeu metadados de chamadas e mensagens de texto de praticamente todos os seus clientes americanos, um volume tão sensível que o Departamento de Justiça dos EUA pediu à empresa que adiasse a divulgação por motivos de segurança nacional.
A AT&T pagou US$ 370 mil de resgate tentando garantir a exclusão dos dados. A Ticketmaster teve 560 milhões de registros de clientes expostos. O Santander Bank, 30 milhões.
Por fim, a campanha gerou mais de US$ 2 milhões em extorsões diretas e dezenas de processos judiciais contra as empresas afetadas.
A narrativa conveniente seria culpar a Snowflake por não ter exigido MFA dos seus clientes. A plataforma de fato não tornava o MFA obrigatório à época, algo que a empresa reconheceu e corrigiu posteriormente, passando a exigi-lo por padrão para todas as contas criadas a partir de outubro de 2024. Mas atribuir o incidente somente a essa omissão encobre um problema estrutural mais amplo.
Credenciais roubadas por infostealer representaram 47% das intrusões no primeiro semestre de 2024, segundo o relatório Threat Horizons do Google Cloud. A Snowflake não foi um caso isolado.
Foi o mais visível de um padrão que se repete em centenas de organizações que tratam identidade como problema de TI operacional, e não como superfície de ataque estratégica.
Três falhas específicas criaram as condições para a campanha do UNC5537:
A autenticação com usuário e senha permanecia suficiente para acessar ambientes que continham centenas de milhões de registros de clientes.
Habilitar MFA poderia ter bloqueado esses ataques integralmente, segundo especialistas do NCC Group que analisaram o caso.
Senhas comprometidas anos antes permaneciam válidas porque nenhum processo de rotação periódica existia. Contas de terceiros e contratados com acesso histórico nunca foram revisadas ou desativadas.
Sem restrição de IP, qualquer acesso proveniente de qualquer localização era aceito como legítimo desde que a credencial fosse válida. Um login originado de infraestrutura criminosa na Europa passava pelos mesmos critérios que um acesso do escritório corporativo.
A Cloud Security Alliance resumiu o diagnóstico com precisão: controles de IAM insuficientes, ausência de acesso condicional e falta de rotação de credenciais foram os fatores que tornaram o ataque possível.
A sofisticação do UNC5537 estava na escala da operação, não na técnica. A técnica era login com senha. O que permitiu que funcionasse em 165 organizações foi a ausência de controles que existem há mais de uma década.
O caso Snowflake é descrito por especialistas como um dos melhores exemplos da importância de um único controle de segurança na memória recente.
MFA ativo teria bloqueado a campanha inteira, portanto a identidade precisa ser tratada como perímetro de segurança primário em ambientes cloud, onde não existe mais um firewall físico separando o que está dentro do que está fora.
Contas de serviço, credenciais de terceiros, acessos de ex-funcionários, tokens de API não rotacionados: cada uma dessas superfícies representa uma porta que um atacante com logs de infostealer pode tentar.
Os ataques do UNC5537 ocorreram entre abril e junho de 2024. A Snowflake detectou atividade potencialmente não autorizada em 23 de maio, semanas depois do início da campanha.
Nesse intervalo, dados de dezenas de organizações já tinham sido exfiltrados. O monitoramento de logs de autenticação existia. A capacidade de correlacionar comportamentos anômalos em tempo real, como logins de geolocalizações incomuns, volumes atípicos de consulta a tabelas sensíveis ou padrões de acesso fora do histórico estabelecido, não estava operando de forma contínua e integrada.
Visibilidade sem correlação é dado sem contexto algum, é a diferença entre detectar uma anomalia em minutos e descobri-la semanas depois é exatamente o que separa contenção de crise.
A campanha do UNC5537 é considerada uma das maiores intrusões baseadas em credenciais já registradas. Não foi necessário explorar nenhuma vulnerabilidade de dia zero, nenhum exploit de kernel, nenhum ataque de cadeia de suprimentos.
Credenciais válidas, ausência de MFA e falta de monitoramento contínuo foram suficientes para comprometer 165 organizações e expor registros de mais de 500 milhões de pessoas. O custo de prevenção, habilitar MFA e monitorar comportamento de autenticação, é uma fração do custo de resposta a um incidente dessa escala.
A resposta é que a expansão do uso de cloud criou uma superfície de identidade que a maioria das organizações não acompanhou com a mesma velocidade.
Todo novo serviço SaaS contratado gera novas credenciais e cada integração com terceiros cria novos pontos de acesso. Se um funcionário que sai da empresa deixa para trás contas que precisam ser desativadas e raramente são auditadas com a frequência necessária, temos o ambiente perfeito para os criminosos agirem.
Atacantes com acesso a logs de infostealer coletados ao longo de anos encontram nesse ambiente exatamente o que precisam: credenciais válidas para plataformas que a organização usa hoje, com acessos que nunca foram revisados e MFA que nunca foi habilitado.
A próxima campanha no modelo Snowflake já está provavelmente sendo preparada com dados dos mesmos dumps criminosos, usando as mesmas credenciais esquecidas, mirando organizações que ainda não fecharam essas brechas.
Equipes de segurança sobrecarregadas priorizam alertas ativos em detrimento de revisões preventivas. Ferramentas que monitoram partes do ambiente sem integração geram visibilidade fragmentada.
A proliferação de identidades digitais em ambientes multi-cloud cria uma superfície que nenhum processo manual de auditoria periódica consegue cobrir com a frequência que o cenário exige.
Um modelo de operação contínua de segurança muda a dinâmica desse problema de forma estrutural. Managed Security Services (MSS) transforma segurança em operação permanente, com monitoramento 24×7, análise contínua de eventos, correlação de dados entre ambientes e resposta ativa antes que o impacto se expanda.
No caso Snowflake, um modelo MSS estruturado teria capacidade de detectar os sinais que a campanha do UNC5537 deixou antes de a exfiltração se completar: logins de geolocalizações incomuns para aquelas contas, horários de acesso fora do padrão histórico, volumes de consulta a tabelas sensíveis inconsistentes com o comportamento anterior do usuário, acesso proveniente de ASNs suspeitos.
Individualmente, cada um desses eventos pode parecer ruído. Correlacionados pelo SOC Analytics em tempo real, constroem um padrão de comprometimento identificável antes que os dados saiam.
MSS também opera na camada preventiva: gestão de acessos privilegiados com revisão periódica, detecção de credenciais comprometidas circulando em marketplaces criminosos antes que sejam usadas, monitoramento de contas de serviço e de terceiros que costumam ficar fora do radar das auditorias internas.
A combinação de visibilidade contínua com resposta estruturada é o que transforma monitoramento em proteção real.
Leia também:
A Teletex atua há quatro décadas em ambientes onde o custo de um gap de visibilidade se mede em dados de clientes, continuidade operacional e reputação.
O SOC 24×7 mantém monitoramento permanente com analistas dedicados e o SOC Analytics correlacionando eventos de rede, endpoints, cloud e aplicações em tempo real, construindo inteligência comportamental sobre o ambiente e identificando desvios antes que se consolidem em comprometimentos.
Já o Cybercare, sustentado pela metodologia SafeX, mapeia as vulnerabilidades reais do ambiente antes de qualquer implantação, incluindo contas sem MFA, acessos privilegiados não revisados e integrações de terceiros sem controle adequado. Quando uma ameaça é confirmada, os playbooks de resposta do time de CSIRT permitem contenção ativa antes que o raio de impacto se expanda.
O caso Snowflake deixa uma lição que vale para qualquer organização com dados em nuvem: falhas simples na gestão de identidades podem gerar impactos em escala de centenas de milhões de registros.
Segurança contínua e integrada com visibilidade sobre identidades e acessos deixou de ser diferencial e passou a ser o requisito mínimo para operar em ambientes cloud com responsabilidade.
Quer mapear como sua empresa está exposta em identidades e acessos e estruturar uma operação de segurança contínua? Fale com um especialista da Teletex e descubra como o Cybercare entrega visibilidade e controle de ponta a ponta.
A maioria das empresas associa ataques cibernéticos a invasões altamente técnicas: firewalls derrubados, código malicioso injetado, vulnerabilidades exploradas em sequência. Os ataques mais devastadores de 2025 seguiram um caminho completamente diferente. Alguém ligou para o helpdesk. Se passou por um funcionário. Pediu a redefinição de uma senha. E entrou.
Em 12 de junho de 2025, a Aflac, maior provedora de seguros suplementares dos Estados Unidos com mais de 50 milhões de segurados no mundo, identificou atividade suspeita em sua rede e acionou imediatamente seus protocolos de resposta a incidentes, contendo a intrusão em poucas horas.
Nenhum ransomware foi implantado e as operações continuaram normalmente. Mas os dados já tinham saído. A investigação completa, concluída em dezembro de 2025, confirmou que informações pessoais e de saúde de 22,65 milhões de pessoas foram comprometidas, incluindo nomes, endereços, números de Seguro Social, dados de carteira de motorista, passaportes, informações de sinistros e apólices de clientes, funcionários, agentes e beneficiários.
Ou seja, o ataque não explorou nenhuma vulnerabilidade técnica sofisticada. Explorou o lado humano e é exatamente isso que torna o caso Aflac um dos mais relevantes estudos de segurança corporativa dos últimos anos.
O ataque é atribuído ao Scattered Spider, também conhecido como UNC3944 ou Octo Tempest, um coletivo de hackers de língua inglesa especializado em engenharia social.
Entre 7 e 12 de junho de 2025, o grupo atacou três grandes seguradoras americanas em sequência: Erie Insurance em 7 de junho, Philadelphia Insurance Companies em 9 de junho e a Aflac em 12 de junho, numa campanha coordenada contra o setor de seguros.
O mecanismo utilizado foi engenharia social direcionada: os atacantes usaram táticas de engano focadas em pessoas para contornar controles de segurança tradicionais. Essa abordagem permitiu que bypassassem ferramentas de MFA baseadas em aprovação de aplicativo e notificações push, camadas cada vez mais vulneráveis a phishing e relay de credenciais.
A Aflac detectou o ataque em 12 de junho por meio de seu sistema interno de monitoramento, que disparou uma resposta e investigação imediatas. Essa rapidez permitiu que as equipes contivessem a intrusão em poucas horas, limitando o impacto e o escopo do incidente. O intervalo entre a entrada dos atacantes e a detecção foi suficiente para a exfiltração de dados de quase 23 milhões de pessoas. T
O caso se encaixa em uma tendência mais ampla: grupos de ameaça cibernética estão migrando cada vez mais para setores onde grandes repositórios de dados pessoais podem ser acessados por engenharia social ou comprometimento de credenciais, em vez de exploits técnicos ou ransomware.
Reconstruir a sequência do ataque é o que transforma o caso Aflac de notícia em aprendizado. Cada etapa expõe uma decisão que qualquer organização pode tomar agora para fechar a mesma brecha.
Antes de ligar para qualquer helpdesk, o Scattered Spider faz a lição de casa. O grupo vasculha LinkedIn, sites corporativos e redes sociais para mapear nomes de funcionários, cargos, estrutura de times e fornecedores de tecnologia.
Com essas informações, a impersonação fica convincente: o atacante sabe o nome do gerente de TI, conhece o sistema de tickets interno e menciona projetos reais da empresa.
Com o mapa montado, o atacante liga para o helpdesk se passando por um funcionário legítimo. O script é simples: urgência, tom familiar, referências internas críveis.
A solicitação mais comum é redefinição de senha ou desbloqueio de conta, procedimentos rotineiros que qualquer atendente executa dezenas de vezes por dia. A equipe de helpdesk, treinada para ser ágil, atende sem questionar o suficiente.
Com a senha redefinida, o próximo obstáculo é o MFA. O Scattered Spider contorna autenticação multifator de duas formas principais: MFA fatigue, que consiste em bombardear o usuário real com notificações push até que ele aprove por exasperação, e SIM swapping, que transfere o número de celular da vítima para um chip controlado pelo atacante, redirecionando os códigos SMS.
Dentro da rede com credenciais legítimas, o atacante se move como um funcionário comum. A partir do acesso inicial, o grupo escala privilégios, explora sistemas e exfiltra dados, às vezes implantando ransomware em etapas posteriores.
No caso da Aflac, o ransomware não foi usado, mas a exfiltração de dados de 22,65 milhões de pessoas já tinha acontecido antes da detecção.
Os dados saem em volumes que, sem correlação de eventos, parecem tráfego normal. A revisão arquivo por arquivo para determinar exatamente o que foi acessado levou seis meses, o que explica o intervalo entre a detecção em junho e a divulgação completa em dezembro de 2025.
O sistema de monitoramento interno da Aflac detectou a atividade suspeita e disparou os protocolos de resposta.
A intrusão foi contida em horas. A velocidade de resposta foi o fator que impediu um dano ainda maior. Mas a janela entre os passos 2 e 6 foi suficiente para um dos maiores vazamentos do setor de seguros da história recente.
O Scattered Spider não é um grupo de especialistas técnicos que passa semanas encontrando falhas em código.
Sua especialidade é manipulação e impersonação: ligar para helpdesks se passando por funcionários para solicitar redefinição de senhas ou obter credenciais de acesso. Essa técnica contorna firewalls sofisticados e sistemas de autenticação multifator que não conseguem se defender contra um atacante que recebe acesso legítimo.
O ponto que mais desconforta os líderes de segurança é esse: a tecnologia funcionou como esperado. O firewall não foi derrubado. O sistema de MFA estava ativo. Os controles de acesso existiam. Um ser humano, seguindo procedimentos normais do dia a dia, concedeu acesso a quem não deveria ter.
Phishing, pretexting e baiting continuam sendo os vetores mais explorados. No pretexting, o atacante inventa uma história plausível para obter a informação, como se passar por alguém do time de TI ou de um fornecedor confiável.
No baiting, a vítima é atraída por uma oferta ou ação que parece legítima. Em todos os casos, o alvo é a confiança de quem opera o sistema.
A pergunta que o caso Aflac coloca para qualquer organização é: com toda a tecnologia de segurança implantada, o que acontece quando um colaborador entrega o acesso ao invasor sem perceber?
Credenciais continuam sendo o ativo mais valioso para grupos como o Scattered Spider, porque credenciais legítimas não disparam alertas.
O comprometimento de contas através de engenharia social expôs uma arquitetura de identidade com lacunas: MFA baseado em push notification pode ser contornado por atacantes que convencem o colaborador a aprovar uma solicitação falsa ou que usam técnicas de relay para interceptar o código em tempo real.
A proteção de identidade eficaz vai além de ativar o MFA. Exige autenticação resistente a phishing, como chaves de segurança físicas ou FIDO2, políticas de acesso com menor privilégio, revisão periódica de contas com permissões elevadas e monitoramento de comportamento de autenticação em tempo real.
O helpdesk precisa ter protocolos específicos de validação de identidade que não sejam contornáveis por uma ligação convincente.
A Aflac detectou o ataque através de seu sistema de monitoramento interno, o que permitiu acionar a resposta em horas. O dado que fica é o outro lado: nesse intervalo, dados de quase 23 milhões de pessoas foram exfiltrados.
O monitoramento existia. A janela de exposição, mesmo curta em tempo absoluto, foi suficiente para um dos maiores vazamentos do setor de seguros da história recente.
Visibilidade contínua com correlação de eventos, como a entregue pelo SOC Analytics, transforma monitoramento em detecção proativa.
Um login em horário atípico, uma solicitação de redefinição de credencial seguida de acesso a sistemas sensíveis, um volume incomum de consultas a registros de clientes: correlacionados em tempo real, são sinais de comprometimento em andamento.
Treinar regularmente os colaboradores sobre como identificar e combater técnicas como phishing, pretexting e baiting deve acontecer ao longo de todo o ano, com frequência e contexto suficientes para criar reflexos reais. TI Safe
O colaborador que atendeu a ligação do Scattered Spider provavelmente não tinha recebido treinamento recente sobre como validar a identidade de quem solicita acesso por telefone.
Cultura de segurança se constrói com repetição, contexto e prática, não com um PDF anual de políticas.
O caso Aflac é parte de um padrão. Além das três seguradoras atacadas em junho de 2025, a Allianz Life Insurance sofreu uma violação em julho do mesmo ano, afetando 1,4 milhão de clientes americanos quando atacantes acessaram um sistema CRM baseado em nuvem via engenharia social. O vetor se repete porque as condições estruturais que o viabilizam persistem na maioria das organizações.
Ambientes cada vez mais distribuídos com acesso remoto por múltiplos dispositivos, crescimento do trabalho híbrido onde a validação de identidade é mais difícil, proliferação de identidades digitais com permissões espalhadas por dezenas de sistemas, excesso de acessos privilegiados que nunca foram revisados, helpdesks treinados para priorizar velocidade de atendimento em detrimento de verificação rigorosa de identidade. Cada um desses fatores amplia a superfície de ataque humano de forma silenciosa.
Tratar segurança como checklist de conformidade significa perder os problemas estruturais que permitem que incidentes dessa magnitude aconteçam. A fragmentação da visibilidade de segurança, ferramentas que monitoram partes do ambiente sem correlação e processos de verificação que não acompanharam a sofisticação dos ataques, cria exatamente o tipo de gap que o Scattered Spider sabe explorar.
Proteção de identidade com MFA resistente a phishing: substituir MFA baseado em push notification por autenticação FIDO2 ou chaves físicas elimina o vetor de relay que o Scattered Spider explorou em múltiplos ataques.
Monitoramento contínuo com análise comportamental: detectar anomalias de autenticação, movimentação lateral e acesso atípico a dados sensíveis em tempo real. O SOC 24×7 da Teletex opera com cobertura permanente e correlação de eventos que transforma sinais fracos em alertas acionáveis antes que o dano se consolide.
Treinamento contínuo e contextualizado: simulações de phishing por múltiplos canais, cenários de vishing e engenharia social por telefone, microlearning semanal por área de risco. O CyberX, iniciativa imersiva do Cybercare da Teletex, coloca colaboradores em ambientes que simulam crises digitais reais, criando memória de comportamento que treinamentos convencionais não constroem.
Protocolos de verificação de identidade para helpdesk: scripts de validação que não possam ser contornados por uma história convincente, canais alternativos de confirmação e critérios claros para escalação de solicitações suspeitas.
Gestão de acessos com menor privilégio e revisão periódica: eliminar contas com permissões desnecessárias, revisar acessos privilegiados regularmente e monitorar contas de serviço com permissões elevadas mas uso infrequente.
Leia também:
O caso Aflac evidencia algo que equipes de segurança já sabem, mas que muitas lideranças ainda resistem em internalizar: ataques modernos prescindem de sofisticação técnica para causar danos na escala de 22 milhões de registros. Precisam apenas encontrar uma pessoa despreparada no momento certo.
A Teletex atua exatamente essa frente: o MSS estruturado integra monitoramento 24×7, SOC Analytics com correlação de eventos em tempo real, tratamento ativo de ameaças e o Cybercare para conscientização e cultura de segurança.
A metodologia SafeX mapeia as vulnerabilidades reais do ambiente antes de qualquer implantação, identificando onde estão os pontos cegos de identidade, acesso e monitoramento. Quando uma ameaça é confirmada, os playbooks de resposta do time de CSIRT permitem contenção antes que o raio de impacto se expanda
A Teletex é uma referência em tecnologia de cibersegurança e TI que simplifica ambientes complexos, inova na proteção digital, agiliza a resposta a incidentes e transforma segurança em vantagem competitiva, conectando clientes a serviços modernos e eficazes.
Quer estruturar uma operação de segurança capaz de detectar e responder a ataques como o do caso Aflac antes que causem impacto? Fale com um especialista da Teletex e descubra como o Cybercare combina monitoramento contínuo, inteligência aplicada e cultura de segurança em um ecossistema integrado.
Em 2021, uma empresa tinha em média quase um ano entre a descoberta de uma vulnerabilidade e sua exploração por um atacante. Tempo suficiente para acionar o time de TI, priorizar o patch, testar em ambiente controlado e implantar a correção sem pressão excessiva. Esse tempo acabou.
O Zero-Day Clock, projeto criado por Sergej Epp da Sysdig com apoio das principais empresas de tecnologia e cibersegurança do mundo, mostra que o tempo médio entre a descoberta de uma vulnerabilidade e sua exploração caiu de quase um ano, em 2021, para pouco mais de um dia em 2026.
A projeção para 2027 é ainda mais crítica: uma hora e um minuto.
O fator que acelerou essa compressão tem nome: inteligência artificial. Ferramentas de IA permitem que atacantes identifiquem padrões em código, automatizem a descoberta de falhas e escalem tentativas de exploração em velocidade que nenhum processo manual consegue acompanhar.
A percentagem de ataques zero-day, quando os atacantes já estão explorando a falha antes do anúncio oficial, subiu de 31% há cinco anos para 73,2% atualmente. E passadas seis semanas da divulgação de uma vulnerabilidade, nenhuma falha permanece por explorar.
Uma vulnerabilidade zero-day é uma falha de segurança desconhecida pelo fabricante do software ou para a qual ainda não existe patch disponível no momento da exploração. O nome vem exatamente disso: zero dias de proteção. Quando o atacante a descobre e ag
e, a vítima não tem correção para aplicar, não tem assinatura para bloquear e muitas vezes não tem nem visibilidade para detectar.
O que torna esse tipo de falha particularmente destrutivo não é apenas a ausência de patch. É a janela de invisibilidade que ela cria. Um atacante que explora um zero-day opera em terreno onde as defesas convencionais são cegas: o firewall não tem regra para aquele tráfego, o antivírus não reconhece aquela assinatura, o SIEM não tem correlação para aquele padrão. A exploração acontece em silêncio, e o dano se acumula antes de qualquer alerta disparar.
Segundo o Google Threat Intelligence Group, 90 vulnerabilidades zero-day foram exploradas ativamente em 2025, aumento de 15% em relação a 2024, e quase metade delas teve como alvo tecnologias usadas em ambientes corporativos.
Entre os fornecedores mais impactados estão Microsoft, Google, Apple e Cisco. Não são sistemas obscuros ou legados. São as ferramentas que qualquer empresa usa no dia a dia.
No modelo atual, a exposição só se torna visível depois do comprometimento. A falha existia. A empresa simplesmente não sabia.
Por décadas, a descoberta e exploração de vulnerabilidades exigiram conhecimento técnico avançado, tempo e esforço manual. Um pesquisador, ou um atacante, precisava analisar código linha por linha, identificar padrões de comportamento anômalo e construir um exploit funcional. Esse processo levava dias, semanas, às vezes meses.
A IA eliminou boa parte desse atrito. Modelos treinados em grandes bases de código conseguem identificar classes de vulnerabilidades em segundos, gerar variantes de exploits automaticamente e testar múltiplos vetores de ataque em paralelo, sem fadiga e sem limite de escala.
Segundo a Check Point Research, agentes mal-intencionados já utilizam IA para gerar phishings personalizados e malwares adaptativos, enquanto grupos menores conseguem lançar ataques em larga escala sem conhecimentos técnicos avançados, democratizando o cibercrime. O que antes exigia uma equipe especializada agora está ao alcance de qualquer ator com acesso às ferramentas certas.
O impacto prático disso é que os ataques deixaram de ser eventos pontuais e passaram a ser operações industrializadas.
Uma falha identificada de manhã pode ter exploits funcionais circulando até o final do mesmo dia. Uma vulnerabilidade publicada num boletim de segurança pode estar sendo ativamente explorada antes que o time de TI termine a reunião de priorização.
Com IA operando do lado ofensivo, o tempo de preparação que as empresas tinham virou dado histórico.
Muitas organizações ainda operam com uma lógica construída para um cenário que não existe mais. O ciclo funciona assim: um sistema gera um alerta, um analista analisa o evento, a equipe decide como responder e uma ação é tomada.
Em cada etapa, há latência. E latência, no contexto de um zero-day explorado por IA, é o que separa um incidente contido de um comprometimento em expansão.
Ferramentas existem. O gap está em como a segurança é operada sobre elas:
Quanto mais rápido o ataque, menor a margem de reação nesse modelo. E a margem está desaparecendo.
A mudança de paradigma que o cenário exige não é adicionar mais uma ferramenta ao stack. É mudar o modelo de operação, de ciclos periódicos de análise para monitoramento e resposta contínuos.
Managed Security Services (MSS) é o modelo que transforma segurança em operação permanente. Em vez de reagir a alertas quando alguém está disponível para analisá-los, o MSS mantém monitoramento ativo 24 horas por dia, correlaciona eventos em tempo real e executa resposta antes que o incidente escale. A operação não para quando o analista vai dormir. E o atacante sabe disso.
O SOC Analytics é a camada de inteligência que viabiliza a antecipação. Ao correlacionar dados de rede, endpoints, aplicações e identidade, identifica padrões que precedem exploração antes que o exploit seja executado.
Um comportamento de varredura incomum em um segmento de rede, uma sequência de autenticações em contas de serviço fora do padrão histórico, um processo iniciando conexões externas que normalmente permanece inativo: individualmente, são ruídos. Correlacionados, são sinais de reconhecimento ou exploração em estágio inicial.
Empresas que já operam nesse modelo não eliminam o risco de zero-day. Mas comprimem drasticamente o tempo entre a exploração e a detecção, que é o único indicador que impacta de forma real o custo e o alcance de um incidente.
O zero-day acelerado por IA é uma decisão de modelo de operação que pertence à liderança. As implicações práticas são diretas:
| Dimensão | O que muda na prática |
| Visibilidade contínua | Saber o que está acontecendo no ambiente em tempo real, com correlação entre camadas, é a condição mínima para reagir dentro de uma janela de horas. Visibilidade periódica não cobre mais esse requisito |
| Integração entre ferramentas e dados | Ferramentas isoladas produzem alertas. Ferramentas integradas com análise especializada produzem decisões. Esse gap é o que separa detecção tardia de contenção eficiente |
| Tempo de resposta medido e gerenciado | MTTR não é métrica técnica. É indicador de risco. Quanto mais alto, mais tempo o atacante tem para operar. Reduzi-lo exige processo, não apenas ferramenta |
| Capacidade de agir antes do escalonamento | Playbooks testados, analistas com contexto do ambiente e automação de contenção precisam estar prontos antes do incidente. Construí-los em resposta a uma crise é tarde demais |
Leia também:
A Teletex opera há quase quatro décadas em ambientes onde a janela de tolerância a falhas é zero: bancos, hospitais, aeroportos e infraestrutura pública. Esse histórico moldou uma capacidade técnica orientada para o que o cenário atual exige: antecipação, não reação.
O SOC 24×7 da Teletex mantém monitoramento ininterrupto com analistas dedicados e o SOC Analytics correlacionando eventos em tempo real, construindo inteligência sobre o comportamento do ambiente e identificando desvios antes que se consolidem em comprometimentos.
O Cybercare, sustentado pela metodologia SafeX, integra fabricantes como Cisco, Splunk, Gigamon, Palo Alto e Tenable numa arquitetura sem sobreposição, construída a partir do diagnóstico real das vulnerabilidades de cada ambiente. Quando uma ameaça é confirmada, a experiência em CSIRT e os playbooks de resposta permitem contenção ativa, antes que o raio de impacto se expanda.
A Teletex é uma referência em tecnologia de cibersegurança e TI que simplifica ambientes complexos, inova na proteção digital, agiliza a resposta a incidentes e transforma segurança em vantagem competitiva, conectando clientes a serviços modernos e eficazes que evoluem na mesma velocidade das ameaças.
Sua empresa está preparada para um cenário onde não há tempo para reagir? Fale com os especialistas da Teletex e descubra como estruturar uma operação de segurança contínua, capaz de antecipar ameaças antes que elas impactem o seu negócio.
A empresa tinha firewall de última geração, EDR em todos os endpoints e um SIEM recém-implantado. O investimento em segurança tinha dobrado em dois anos. Mesmo assim, o ataque funcionou…
Um colaborador do financeiro recebeu uma mensagem no WhatsApp de alguém se passando pelo diretor, pedindo uma transferência urgente antes do fechamento do balanço. Tudo era idêntico e habitual. Ele transferiu. A tecnologia não viu nada de errado, porque tecnicamente não havia nada de errado: um usuário autenticado, numa rede legítima, realizando uma operação comum.
O Fórum Econômico Mundial apontou em seu relatório Global Cybersecurity Outlook que 95% das falhas de cibersegurança são causadas por erro humano. Ferramentas avançadas não mudam esse número sozinhas.
A ilusão que persiste em muitas organizações é a de que a segurança é um problema técnico com solução técnica. Investe-se muito em camadas de proteção, adiciona-se mais uma ferramenta ao stack, renova-se a certificação do time de TI. Em 2024, o custo médio de uma violação de dados no Brasil chegou a R$ 1,36 milhão, e o número de incidentes registrados pelo CTIR Gov em apenas sete meses de 2025 já superou os totais de 2023, 2022 e 2021 somados.
O problema não é a qualidade das ferramentas. Elas de fato são exigentes e necessárias. Mas..É que ataques modernos exploram três dimensões ao mesmo tempo: sistemas, pessoas e processos. Proteger apenas uma delas é deixar as outras duas portas abertas.
A inteligência artificial mudou a natureza da segurança digital em um ponto preciso: a velocidade de identificação.
Agora, onde analistas humanos levam horas para correlacionar eventos de múltiplas fontes, modelos treinados fazem isso em segundos. Onde varreduras periódicas revelam vulnerabilidades com dias de atraso, IA integrada ao monitoramento contínuo detecta anomalias no momento em que surgem.
Na prática, IA aplicada à cibersegurança opera em camadas que equipes humanas sozinhas não conseguem cobrir em escala:
O limite da IA está exatamente onde sua força termina: ela processa padrões, mas não toma decisões de negócio. Ela detecta o desvio, mas não sabe se aquele acesso anômalo era um estagiário curioso ou um atacante com credenciais roubadas.
Contexto, julgamento e resposta coordenada ainda dependem de pessoas e processos funcionando em conjunto.
Phishing, engenharia social, voz clonada, deepfake, credenciais reutilizadas, cliques em anexos de e-mails que parecem internos. 68% das violações envolveram um elemento humano em 2024, segundo a Verizon, e 88% das violações de cibersegurança são causadas por erro humano, de acordo com pesquisa de Stanford. Esses números não diminuem com mais tecnologia, porém diminuem com cultura.
O colaborador que transferiu o dinheiro no exemplo da introdução não errou por incompetência. Errou porque nunca havia passado por uma simulação de engenharia social, porque a empresa não tinha protocolo de verificação para transferências urgentes e porque ninguém havia explicado, de forma prática e memorável, como esse tipo de golpe funciona. Ou mesmo porque ele só estava cansado neste dia. Por isso, treinamento anual em PDF não cria reflexo. Cria obrigação cumprida.
Conscientização eficaz precisa ser contínua, contextualizada para o cargo e o perfil de risco de quem recebe, e prática o suficiente para criar memória de comportamento. É aqui que o Cybercare entra como componente da estratégia da Teletex.
O CyberX, iniciativa imersiva do Cybercare, coloca colaboradores em ambientes cenográficos que simulam crises digitais reais, com luzes, sons e vídeos que reproduzem ataques em andamento. O objetivo não é transmitir conhecimento técnico.
É gerar impacto emocional suficiente para que a próxima vez que alguém receber um pedido urgente de transferência, o reflexo de verificar em canal alternativo seja automático, não uma reflexão tardia.
Simulações de phishing por múltiplos canais, trilhas adaptativas por área de risco, microlearning semanal: esses elementos reduzem o vetor humano de forma mensurável, transformando o elo mais fraco da cadeia em uma camada adicional de defesa.
Vamos combinar, tecnologia sem processo é ferramenta ociosa. Pessoas sem processo são boas intenções sem direção. Processos são o elo que transforma capacidade instalada em operação funcional.
No panorama da segurança da informação, processos estruturados cobrem dimensões que nenhum produto resolve sozinho:
Políticas e fluxos de autorização: quem pode acessar o quê, sob quais condições, com qual nível de autenticação. Sem isso, credenciais válidas em mãos erradas transitam pelo ambiente sem fricção. A lógica da ISO 27001 é baseada em gestão de riscos: cada empresa identifica suas vulnerabilidades específicas e implementa controles personalizados, em vez de seguir uma lista genérica de medidas, justamente porque riscos distintos exigem respostas distintas. Yahoo Finance
Gestão de vulnerabilidades com ciclos definidos: identificar falhas é o primeiro passo. O segundo, corrigir antes que sejam exploradas, depende de um processo com responsáveis, prazos e critérios de priorização claros. Sem esse processo, vulnerabilidades conhecidas ficam abertas por semanas enquanto as equipes atendem outras demandas.
Resposta a incidentes com playbooks testados: quando um incidente ocorre, o custo do improviso é alto. Quem notifica? Qual sistema isola primeiro? Quando aciona o jurídico? Quando comunica ao cliente? Respostas a essas perguntas precisam existir antes do incidente, não durante. Processos de resposta bem documentados e regularmente simulados comprimem o MTTR e limitam o raio de impacto.
Padronização de ações entre equipes: segurança não é responsabilidade exclusiva do time de TI. Financeiro, RH, jurídico e operações precisam saber como agir diante de incidentes que envolvem suas áreas.
O framework NIST promove uma cultura de segurança integrada onde todos os colaboradores entendem seu papel na proteção dos ativos digitais da empresa, criando o vocabulário comum que evita que cada incidente seja tratado como situação inédita.
Sem processos, a melhor ferramenta do mercado vira dado sem dono. A pessoa mais bem treinada age sem saber o próximo passo. E o incidente que poderia ter sido contido em horas se expande por dias.
Managed Security Services (MSS) é o modelo que operacionaliza a segurança integrada. Em vez de deixar que tecnologia, pessoas e processos funcionem em silos, o MSS cria a estrutura operacional que os conecta, com monitoramento 24×7, análise especializada, correlação de eventos entre ambientes e resposta ativa a incidentes.
O SOC Analytics é a camada de inteligência dentro dessa operação. Correlaciona eventos de rede, endpoints, aplicações e cloud para construir uma visão comportamental do ambiente, identificando padrões que assinaturas estáticas não capturam.
Mais do que gerar alertas, transforma volume de dados em inteligência executiva: relatórios que traduzem o estado de segurança em métricas de negócio compreensíveis para CIOs e conselhos, mostrando onde está a exposição real, quais áreas evoluíram e o que ainda exige atenção.
A integração entre os três pilares acontece exatamente nessa operação: IA processa o volume e detecta anomalias. Analistas especializados interpretam o contexto e tomam decisões. Processos estruturados definem como a resposta se desdobra. Nenhum dos três funciona sem os outros dois, e o MSS é a estrutura que os mantém funcionando em conjunto de forma contínua.
Leia também:
A Teletex opera há quatro décadas em ambientes onde a falha não é opção. Bancos, hospitais, cooperativas de crédito, aeroportos, infraestrutura pública. Esse histórico construiu algo que tecnologia isolada não entrega: a capacidade de integrar os três pilares da segurança moderna em uma operação coesa e auditável.
O SOC 24×7 da Teletex sustenta o monitoramento permanente, com analistas dedicados e o SOC Analytics correlacionando eventos em tempo real. O Cybercare, sustentado pela metodologia SafeX, integra fabricantes como Cisco, Splunk, Gigamon, Palo Alto, Tenable e Lumu numa arquitetura sem sobreposição, construída a partir do diagnóstico real de vulnerabilidades do ambiente do cliente.
O CyberX e os programas de conscientização contínua fortalecem o fator humano com experiências que criam reflexos, não apenas conhecimento. E o MSS estruturado conecta tudo isso em processos com responsáveis, métricas e ciclos de melhoria contínua.
Como vimos, segurança isolada não funciona. Tecnologia sem pessoas não resolve. Pessoas sem processo geram risco. A cibersegurança moderna exige que os três pilares operem juntos, de forma contínua e integrada, e é exatamente esse modelo que a Teletex entrega.
Uma referência em tecnologia de cibersegurança e TI que simplifica ambientes complexos, inova na proteção digital, agiliza a resposta a incidentes e transforma segurança em vantagem competitiva, conectando clientes a serviços modernos e eficazes.
Quer estruturar uma abordagem integrada de cibersegurança para sua empresa? Fale com um especialista da Teletex e descubra como o Cybercare conecta IA, pessoas e processos em uma operação contínua.
Em abril de 2026, a Anthropic anunciou o Project Glasswing. Em menos de 48 horas, a notícia circulou em veículos de tecnologia e segurança do mundo inteiro, não pela novidade do nome, mas pelo que o projeto revelou sobre o estado atual da cibersegurança.
Usando um modelo de IA não disponível ao público, a iniciativa já identificou milhares de vulnerabilidades críticas de zero-day em todos os principais sistemas operacionais e navegadores, incluindo um bug de 27 anos no OpenBSD e uma falha de 16 anos no FFmpeg que ferramentas de teste automatizadas não detectaram mesmo após executar o código afetado cinco milhões de vezes.
O que chamou atenção foi a velocidade. E foi o aviso implícito: se IA consegue encontrar essas falhas do lado defensivo, pois do lado ofensivo a corrida já começou.
O panorama que o Glasswing expõe é o mesmo que equipes de segurança enfrentam toda semana, sem modelo de IA experimental e sem US$ 100 milhões em créditos de computação. O tempo médio para exploração de falhas caiu de mais de quatro dias para um intervalo entre 24 e 48 horas, com casos em que ataques ocorrem poucas horas após a divulgação de uma vulnerabilidade.
Em 2024, foram registradas 40.287 vulnerabilidades, mais de 100 novas falhas por dia. A pergunta que as empresas precisam responder não é mais “como nos protegemos quando formos atacados?” É: “como chegamos antes do atacante?”
Durante décadas, a cibersegurança operou sobre a ideia de detectar, investigar e corrigir. Um incidente acontecia, a equipe respondia, o sistema era restaurado e uma nova regra era adicionada ao firewall para que o mesmo vetor não funcionasse uma segunda vez. Era um modelo de aprendizado por dor, e funcionava num tempo em que ataques eram eventos, não operações industrializadas.
Como vimos, esse tempo acabou: a IA está colapsando a janela entre descoberta de vulnerabilidade e exploração, forçando equipes de segurança a operar em timelines quase em tempo real, em vez de ciclos periódicos de varredura e remediação. O que antes levava semanas para ser explorado agora pode ser automatizado em horas. E o mesmo vale para o lado defensivo.
Especialistas alertam que se trata de uma janela estreita para que defensores se preparem: organizações com acesso antecipado a esse tipo de capacidade conseguem identificar vulnerabilidades mais cedo, validar exposições com mais velocidade e, em alguns casos, gerar correções antes que capacidades similares se tornem amplamente disponíveis para atacantes.
A resposta instintiva de muitas empresas ao crescimento das ameaças foi acumular ferramentas. Mais um SIEM, mais um EDR, mais uma solução de threat intelligence.
A consequência, contudo, na maioria dos ambientes, foi o oposto do pretendido, explicada em três frentes:
Cada solução enxerga seu recorte do ambiente. Um alerta de autenticação anômala no Azure, um scan de porta incomum na rede, uma chamada de API fora do padrão numa aplicação crítica: três eventos em três consoles diferentes, sem correlação, sem narrativa. Juntos, descrevem um ataque em andamento. Separadas, geram ruído.
Um ambiente corporativo moderno gera milhares de alertas por dia. A consequência inevitável é o alert fatigue: analistas que aprendem a ignorar notificações porque a maioria é falso positivo, até que uma ameaça real se perde no volume.
Sistemas tradicionais de detecção falham diante do ritmo vertiginoso dos atacantes modernos, que comprimiram o ciclo entre descoberta e exploração de vulnerabilidades de forma consistente ao longo dos últimos anos.
Sem correlação e sem operação contínua, o tempo entre o início do ataque e a detecção pode ser medido em semanas.
Nesse intervalo, o atacante mapeia o ambiente, escala privilégios, movimenta-se lateralmente e estabelece persistência. Quando o alerta chega, o trabalho mais difícil, a contenção, já começa em desvantagem.
O problema é a ausência de uma camada operacional que a faça funcionar de forma integrada, contínua e inteligente.
A discussão sobre IA na cibersegurança ainda soa abstrata para muitas organizações. Na prática, ela já está operando, tanto nas mãos de atacantes quanto nas de defensores, e o equilíbrio entre os dois lados é o que vai determinar quem sai na frente:
| Capacidade | Como atacantes usam | Como defensores usam |
| Geração de phishing | E-mails sem erros gramaticais, personalizados com dados públicos da vítima, em escala automatizada e em qualquer idioma | Simulações realistas para treinamento, identificação de padrões de phishing antes da entrega na caixa de entrada |
| Descoberta de vulnerabilidades | Varredura automatizada de sistemas expostos logo após a publicação de CVEs, explorando janelas de 24 a 48 horas antes do patch | Identificação proativa de falhas no próprio ambiente antes que sejam publicadas ou exploradas, como demonstrado pelo Project Glasswing |
| Movimentação lateral | Uso de credenciais legítimas para se mover entre sistemas de forma silenciosa, imitando comportamento de usuário real | Detecção de anomalias comportamentais que assinaturas estáticas não capturam, como acessos fora do padrão histórico |
| Engenharia social | Clonagem de voz e deepfake para simular executivos em ligações e videoconferências, validando transferências e acessos | Análise de metadados e padrões de comunicação para identificar tentativas de impersonação antes da ação |
| Automação de ataques | Ransomware-as-a-service com IA integrada para adaptar o ataque ao ambiente específico da vítima em tempo real | Correlação de eventos em múltiplas fontes para detectar comportamento de ransomware em estágio inicial, antes da cifragem |
| Evasão de detecção | Técnicas de ofuscação geradas por IA para contornar assinaturas conhecidas de antivírus e EDR | Modelos comportamentais que detectam intenção maliciosa independentemente da assinatura, com base no padrão de ação |
O que essa tabela mostra não é empate, no entanto. É assimetria. Atacantes precisam ter sucesso uma vez. Defensores precisam acertar sempre.
A IA não resolve essa assimetria, mas muda a escala em que os defensores conseguem operar, transformando monitoramento pontual em inteligência contínua e resposta manual em processo automatizado.
Managed Security Services (MSS) é o modelo que transforma segurança em operação contínua, com monitoramento 24×7, análise especializada, correlação de eventos entre ambientes e resposta ativa a incidentes. Não é uma ferramenta. É a estrutura operacional que faz as ferramentas trabalharem juntas.
A segurança preditiva não existe sem essa infraestrutura: identificar padrões antes que se tornem ameaças exige dados em tempo real, capacidade de correlacionar eventos de múltiplas fontes e analistas com contexto suficiente para distinguir comportamento legítimo de movimento adversarial. Nenhum desses elementos funciona isolado.
O SOC Analytics é a camada que fecha esse ciclo: enquanto o monitoramento coleta, o SOC Analytics interpreta. Correlaciona eventos de rede, endpoints, cloud e aplicações para construir uma visão comportamental do ambiente, identificando anomalias que assinaturas estáticas jamais capturariam.
Um usuário que nunca acessou determinado servidor às 3h da manhã. Uma aplicação que começou a consumir banda fora do padrão histórico. Uma sequência de logins em contas de serviço que normalmente ficam inativas. Individualmente, nada. Em conjunto, um padrão de comprometimento em estágio inicial.
Com IA integrada a essa camada, o SOC Analytics deixa de ser reativo e passa a ser preditivo: aprende com o histórico do ambiente, detecta desvios antes que se consolidem e prioriza o que exige atenção imediata, reduzindo o ruído sem perder sinal.
Sem operação contínua, não existe segurança preditiva. E sem SOC Analytics, operação contínua produz volume sem inteligência.
A IA melhora a detecção, ela não elimina o fator humano. E o fator humano continua sendo o vetor de entrada mais explorado pelos atacantes.
Phishing, engenharia social, voz clonada, deepfake, erro operacional em sistemas críticos. O Relatório de Investigações de Violação de Dados de 2024 da Verizon aponta que 68% das violações envolveram um elemento humano não malicioso, o que significa que a maioria dos ataques bem-sucedidos passou por alguém que clicou, transferiu, autorizou ou ignorou algo que não deveria. Tecnologia de ponta não resolve esse problema. Cultura de segurança resolve.
É aqui que o Cybercare entra como componente essencial da estratégia. Dentro da abordagem da Teletex, o Cybercare não é apenas uma plataforma de proteção técnica. É um ecossistema que combina tecnologia, operação e conscientização em camadas que se complementam.
O CyberX, iniciativa imersiva do Cybercare, leva essa conscientização para além do treinamento convencional. Participantes vivenciam simulações de ataques em ambientes cenográficos com luzes, sons e vídeos que reproduzem crises digitais reais, seguidas de atividades gamificadas que consolidam reflexos de segurança.
O objetivo é criar memória emocional, o tipo de aprendizado que faz um colaborador pausar antes de clicar, verificar antes de transferir, questionar antes de autorizar.
Conscientização contínua, simulações de phishing por múltiplos canais, trilhas adaptativas por área de risco: esses elementos reduzem o vetor humano de forma mensurável, criando uma camada de defesa que complementa a operação técnica.
Leia também:
A Teletex opera há quase quatro décadas em ambientes onde a segurança não é opção. Bancos, hospitais, aeroportos, cooperativas de crédito, infraestrutura pública.
Esse histórico construiu uma capacidade técnica específica: transformar ambientes complexos em operações de segurança estruturadas, contínuas e inteligentes.
O SOC 24×7 da Teletex monitora ambientes de forma ininterrupta, com analistas dedicados e o SOC Analytics correlacionando eventos em tempo real para construir inteligência sobre o comportamento do ambiente. Quando uma ameaça é confirmada, a experiência em CSIRT e os playbooks de resposta permitem contenção ativa antes que o dano se expanda.
O Cybercare fecha o ciclo integrando fabricantes como Cisco, Splunk, Gigamon, Palo Alto, Tenable e Lumu numa arquitetura coerente, sustentada pela metodologia SafeX, que mapeia vulnerabilidades reais do ambiente antes de qualquer implantação.
Quer estruturar uma operação de segurança preditiva para sua empresa? Fale com um especialista da Teletex e descubra como o Cybercare combina IA, operação contínua e cultura de segurança em um ecossistema completo.
Há dez anos, uma empresa com infraestrutura em dois provedores de nuvem era considerada avançada. Hoje, isso é praticamente o mínimo. 81% das empresas já adotam estratégias de múltiplas nuvens e 67% da infraestrutura corporativa está baseada nesse modelo, segundo dados de 2024. AWS para cargas de produção críticas, Azure para o ambiente Microsoft, Google Cloud para analytics e machine learning, nuvem privada para dados regulados.
Se cada escolha faz sentido individualmente, o problema aparece quando você tenta enxergar tudo ao mesmo tempo. O que as organizações ganharam em escalabilidade e flexibilidade pagaram em complexidade operacional.
Cerca de 70% das organizações afirmam que a proliferação de ferramentas e a falta de visibilidade unificada são hoje os maiores obstáculos para uma segurança em nuvem eficaz, segundo relatório de segurança em nuvem de 2026. E à medida que o volume de dados distribuídos cresce, a superfície de ataque cresce na mesma proporção.
Ambientes que armazenam dados em múltiplos provedores registram o maior custo médio de violação entre todas as configurações, chegando a US$ 5,05 milhões por incidente, segundo o relatório IBM Cost of a Data Breach 202. Distribuir workloads virou estratégia. Distribuir responsabilidade de segurança virou risco.
O multi-cloud não criou um problema novo, mas ampliou um problema antigo: a dificuldade de enxergar tudo o que está acontecendo no ambiente. Em infraestruturas concentradas, essa visibilidade era difícil.
Em ambientes distribuídos entre três, quatro ou cinco provedores diferentes, ela se torna estruturalmente fragmentada.
AWS trabalha com IAM, Security Hub e GuardDuty. Azure usa Microsoft Defender e Entra ID. Google Cloud tem Security Command Center e Chronicle. Cada um gera logs em formatos diferentes, com nomenclaturas distintas, em consoles separados.
Nenhum deles foi projetado para conversar nativo com os outros.
Uma credencial criada no Azure não existe no AWS. Uma regra de firewall aplicada em um ambiente não replica para o outro. À medida que a equipe cria recursos em diferentes plataformas, surgem inconsistências: políticas desatualizadas, permissões excessivas esquecidas, configurações que funcionavam bem em um ambiente e criaram brechas em outro.
As misconfigurações representaram 18,9% das falhas críticas de 2024, associadas a portas abertas desnecessárias, senhas hardcoded e erros de configuração de acesso, segundo análise da Inside Pentesting.
Um dado nasce no sistema de CRM hospedado em Azure, passa por uma API rodando no Google Cloud, é processado por uma aplicação no AWS e arquivado em storage privado. Em qual desses pontos houve um acesso anômalo? Qual ferramenta capturou? Qual time foi alertado? Sem uma arquitetura de visibilidade que acompanhe esse fluxo de ponta a ponta, a resposta honesta é: ninguém sabe.
O problema, portanto, não é tecnologia. É fragmentação. E fragmentação, quando falamos em segurança, significa pontos cegos. Pontos cegos significam tempo para o atacante operar sem ser detectado.
A resposta instintiva de muitos times de segurança diante da complexidade multi-cloud é adicionar ferramentas. Uma para monitorar o AWS, outra para o Azure, uma terceira para tráfego de rede, mais um SIEM para agregar tudo. Na teoria, a cobertura aumenta. Na prática, o problema se aprofunda.
Cada ferramenta enxerga apenas o seu recorte: o CSPM do AWS identifica uma configuração incorreta em um bucket S3. O Microsoft Defender detecta um login suspeito no Azure AD. O NGFW registra uma tentativa de conexão incomum na rede. São três alertas em três consoles diferentes, disparados em sequência, que juntos descrevem um ataque em andamento. Separados, parecem incidentes menores que qualquer analista sobrecarregado pode ignorar ou postergar.
A falta de correlação é onde os ataques prosperam: atacantes modernos raramente executam ações barulhentas e imediatas. Eles mapeiam o ambiente devagar, movem-se lateralmente com credenciais válidas e constroem presença em múltiplos pontos antes de agir. Ataques baseados em identidade e credenciais lideram os vetores de comprometimento em cloud, respondendo por 70% dos casos, segundo a SentinelOne. Uma ferramenta que monitora apenas a autenticação não captura o movimento lateral subsequente. Uma que monitora rede não enxerga o exfiltration via API autenticada.
À medida que o uso de cloud cresce, novas ferramentas de segurança são adicionadas sem uma estratégia clara de integração. O resultado são controles inconsistentes, múltiplos painéis e baixa correlação de eventos
Mais ferramentas sem integração não é mais segurança. É mais ruído, mais custo operacional e menos capacidade de resposta quando o que importa está acontecendo.
Managed Security Services (MSS) é um modelo de operação contínua da segurança, em que um provedor especializado assume a responsabilidade de monitorar, analisar, correlacionar e responder a ameaças no ambiente do cliente, de forma ininterrupta. MSS não é uma ferramenta. É uma operação.
A distinção importa porque o problema do multi-cloud não é falta de tecnologia. É falta de operação integrada sobre ela. E é exatamente essa operação que o MSS provê.
Em um modelo bem estruturado, o MSS atua em camadas:
| Camada | Como funciona | O que entrega |
| Monitoramento 24×7 de todos os ambientes | Eventos de AWS, Azure, Google Cloud, nuvem privada e rede corporativa são ingeridos em um ponto único de análise | Observador permanente sobre logs, métricas, alertas e fluxos de tráfego, sem buracos noturnos, fins de semana ou feriados |
| Correlação de dados entre ambientes | O que isolado parece ruído, correlacionado revela padrão. Um login fora do horário no Azure que precede uma chamada de API incomum no AWS e um download volumoso no Google Cloud deixa de ser três eventos separados | Uma sequência de comprometimento identificável em tempo real, antes que o dano se consolide |
| Análise especializada e contextualizada | Automação processa volume. Especialistas interpretam o contexto. Plataformas correlacionam eventos em escala enquanto analistas reconhecem padrões adversariais e distinguem falsos positivos de ameaças reais | Priorização inteligente do que exige ação imediata, eliminando o ruído que paralisa equipes sobrecarregadas |
| Tratamento ativo de incidentes | Quando uma ameaça confirmada é identificada, o provedor executa playbooks de contenção: bloqueia acesso, isola segmentos e suspende credenciais comprometidas | Remediação antes que o dano se expanda, sem depender de aprovação manual em cada etapa |
O resultado prático é a conversão de um ambiente fragmentado em uma visão operacional unificada. MSS transforma dados dispersos em inteligência, alertas desconectados em decisões e complexidade técnica em controle gerenciável.
A Teletex opera há quatro décadas em ambientes de infraestrutura crítica, com casos como Banrisul, Sistema Ailos, Brink’s e Real Hospital Português, onde a operação contínua sem margem para gaps de visibilidade não é preferência, é requisito.
O histórico moldou uma capacidade técnica específica para ambientes distribuídos.
O Security Operations Center da Teletex opera em ciclo ininterrupto, ingerindo eventos de múltiplos provedores de nuvem, rede corporativa e aplicações em uma estrutura unificada de monitoramento. A equipe dedicada analisa atividades suspeitas em tempo real, com capacidade de atuar antes que uma sequência de eventos isolados evolua para incidente confirmado.
No caso do Sistema Ailos, a migração de data center para ambiente multi-cloud com Cisco ACI e Cisco Umbrella foi realizada com monitoramento de segurança ativo em toda a transição, sem downtime e sem comprometer a postura de segurança durante o processo de mudança.
O SOC Analytics é a camada que transforma volume de dados em inteligência. Ao correlacionar eventos de rede, endpoints, cloud e aplicações, ele constrói uma visão contextualizada do ambiente, identificando padrões de comportamento anômalo que ferramentas isoladas não capturam.
Mais que gerar alertas, o SOC Analytics produz inteligência executiva: relatórios periódicos que traduzem o estado de segurança do ambiente em métricas compreensíveis para CIOs e conselhos, mostrando exposição real, tendências de risco e evolução da postura ao longo do tempo.
A Teletex trabalha com o ecossistema completo do Cybercare, que integra fabricantes como Cisco, Splunk, Gigamon, Palo Alto, Tenable e Lumu em uma arquitetura coerente, sem sobreposição. A metodologia SafeX mapeia o ambiente do cliente antes da implantação, identificando onde estão os pontos cegos, quais integrações são necessárias e como estruturar a visibilidade de ponta a ponta em cada camada: rede, identidade, dados e workloads em nuvem.
Quando uma ameaça é confirmada, a Teletex não apenas notifica. A experiência em CSIRT e os playbooks de resposta estruturados permitem contenção ativa: isolamento de recursos comprometidos, suspensão de credenciais, bloqueio de tráfego malicioso e coordenação de remediação com a equipe do cliente. Isso reduz o MTTR de forma consistente e limita o raio de impacto de incidentes que, em ambientes sem operação contínua, se expandiriam por horas ou dias.
Leia também:
O multi-cloud é uma realidade consolidada e irreversível. Segundo a Gartner, até 2027, 90% das empresas adotarão uma abordagem de nuvem híbrida, e os gastos globais com serviços de nuvem pública já superam US$ 723 bilhões em 2025. Crescimento sem estratégia de segurança proporcional é expansão de superfície de ataque. E superfície de ataque sem visibilidade é risco que se acumula silenciosamente até se tornar incidente.
Visibilidade é a base. Sem ela, qualquer ferramenta opera no escuro, qualquer alerta chega tarde e qualquer resposta é reativa. Controle depende de integração, porque ambientes fragmentados produzem decisões fragmentadas. Resposta eficiente depende de operação contínua, porque ameaças não respeitam horário comercial.
A Teletex entrega os três pilares em conjunto, como uma referência em tecnologia de cibersegurança e TI que simplifica ambientes complexos, inova na forma de operar segurança, agiliza a resposta a incidentes e transforma a relação das organizações com o risco digital, conectando clientes a serviços modernos e eficazes.
Quer mapear como sua empresa está exposta em ambientes multi-cloud e estruturar uma operação de segurança centralizada? Fale com um especialista da Teletex e descubra como o Cybercare entrega visibilidade e controle de ponta a ponta.
O e-mail chegou com o logo correto, a assinatura certa e o tom que o CEO sempre usa. Pedia uma transferência urgente, confidencial, antes do fechamento do dia. O colaborador do financeiro não hesitou. Fez o que faz toda semana: seguiu a instrução de um superior. Só que o CEO nunca enviou nada.
A mensagem era uma armadilha construída com IA, personalizada com dados da empresa coletados em redes sociais, e o colaborador não tinha treinamento para reconhecê-la. O prejuízo foi real. A tecnologia de defesa, impotente.
Porque firewall não treina pessoas. Nenhum sistema de monitoramento muda o comportamento de quem clica sem pensar, de quem responde por impulso, de quem não sabe que uma ligação pode ser voz clonada.
O Relatório de Investigações de Violação de Dados de 2024 da Verizon aponta que 68% das violações envolveram um elemento humano não malicioso, como ser vítima de ataques de engenharia social e fraudes envolvendo deepfakes cresceram 126% no Brasil em 2025, segundo relatório da Sumsub.
A ameaça evoluiu. O treinamento precisa acompanhar.
Durante anos, o modelo padrão de educação em cibersegurança nas empresas seguiu um roteiro previsível: uma palestra anual sobre senhas, um PDF com as políticas de segurança da informação, talvez um vídeo de 40 minutos que ninguém assistia até o fim. O colaborador clicava em “concluído” e seguia com o dia. O assunto voltava no ano seguinte.
Esse modelo não funcionou antes e funciona menos ainda agora. O problema não é só pedagógico. O cenário de ameaças mudou de forma estrutural, e o gap entre a sofisticação dos ataques e o preparo das equipes nunca foi tão largo.
Veja o que era antes e o que é agora:
E-mail de phishing em 2018: mensagem com erros de português, remetente suspeito e logotipo torto. Qualquer usuário minimamente atento conseguia identificar.
E-mail de phishing em 2026: gerado por IA generativa, sem erros gramaticais, com nome e cargo da vítima corretos, referência a projetos internos reais, remetente idêntico ao legítimo com diferença de um caractere. O relatório X-Force Threat Intelligence Index 2025 da IBM indica que invasores passaram a utilizar IA generativa como assistente para escrever e-mails de phishing com linguagem tecnicamente perfeita, em diversos idiomas, ocultando os sinais clássicos que treinamentos antigos ensinavam a reconhecer..
O mesmo vale para a engenharia social: antes, um golpista ligava com script genérico e sotaque suspeito. Hoje, fraudes habilitadas por deepfake aumentaram 3.000% desde 2023, com ataques impulsionados por IA ocorrendo a cada cinco minutos no mundo. Executivos têm suas vozes clonadas a partir de podcasts públicos. Videoconferências inteiras são falsificadas com rostos e falas sintéticas de alta fidelidade.
O treinamento tradicional falha por razões concretas:
Logo, se o ataque ficou mais sofisticado, o preparo das pessoas precisa ser proporcional.
Treinamentos gamificados com IA para cibersegurança são programas de educação digital que aplicam mecânicas de jogos, como pontuação, missões, níveis e recompensas, combinados com inteligência artificial para personalizar a jornada de aprendizagem de cada colaborador, aumentar o engajamento e mudar comportamentos de forma mensurável.
A constatação é que as pessoas aprendem quando estão engajadas, retêm quando praticam e mudam de comportamento quando o aprendizado é repetido com frequência e relevância. A gamificação cuida do engajamento. A IA cuida da personalização e da adaptação.
Na prática, um programa bem estruturado funciona assim:
Missões curtas e desafios progressivos substituem os vídeos longos. Em vez de assistir 40 minutos de uma vez, o colaborador completa módulos de 3 a 5 minutos com frequência semanal. O conteúdo é absorvido em partes, consolidado ao longo do tempo.
Feedback imediato é o que diferencia a simulação de punição. Quando alguém clica em um link de phishing simulado, não recebe uma reprimenda, mas uma explicação contextualizada: “este era um phishing porque… veja os sinais”. O momento de aprendizagem é mais poderoso do que qualquer palestra.
Trilhas adaptativas por área e perfil de risco são onde a IA entra com mais força. O sistema identifica quais erros o colaborador comete, em quais tipos de cenário ele é mais vulnerável, e ajusta a dificuldade e o conteúdo automaticamente. O analista financeiro treina cenários de BEC e solicitação de pagamento fraudulento. O time de RH pratica resposta a pedidos falsos de dados de colaboradores. Quem já domina o básico avança para cenários mais complexos.
Rankings e reconhecimento coletivo criam senso de progressão e competição saudável entre equipes, sem expor individualmente quem errou. Uma pesquisa da McAfee entrevistou mais de 500 empresas que usaram gamificação em cibersegurança, e 96% delas relataram benefícios com a metodologia
O resultado dessa equação visa uma mudança de comportamento sustentada, que é o único indicador que importa quando o objetivo é reduzir risco humano.
O phishing não chega mais só por e-mail: vem por SMS, WhatsApp, mensagens em ferramentas corporativas como Teams e Slack. Plataformas modernas de treinamento simulam ataques por todos esses canais, com mensagens contextualizadas para o cargo e a rotina do colaborador.
Após o clique, uma lição curta explica o que tornava aquela mensagem suspeita e como agir corretamente. A repetição ao longo do tempo reduz a taxa de clique de forma consistente.
Pedidos urgentes de pagamento, solicitações de acesso a sistemas feitas por telefone, mensagens de “fornecedores” pedindo atualização de dados bancários. Tais cenários são reproduzidos em ambiente controlado para que o colaborador desenvolva reflexos de verificação antes de agir. O objetivo é tornar a pergunta “como confirmo que isso é legítimo?” um hábito automático, não uma reflexão tardia.
Esse talvez é o ponto mais crítico e menos coberto pelos treinamentos tradicionais. 78% dos consumidores brasileiros já foram vítimas de golpes viabilizados por IA e deepfakes, segundo o Índice de Fraude 2025 da Veriff.
Treinar para deepfake significa ensinar protocolos concretos: validação por canal alternativo antes de qualquer autorização financeira, código de confirmação combinado previamente com executivos, critérios para encerrar e religar uma chamada suspeita.
A regra mais simples e mais poderosa é também a menos praticada: nunca autorizar transferências por um único canal, independentemente de quem parece estar pedindo.
Pílulas de conteúdo de 3 a 5 minutos, entregues com frequência semanal, têm retenção significativamente superior a blocos de uma hora aplicados uma vez ao ano. O modelo respeita a atenção real das pessoas e cria presença contínua do tema na rotina da equipe, que é o que constrói cultura de verdade.
Financeiro, RH, atendimento, comercial e TI têm perfis de risco completamente distintos. Um programa eficaz mapeia os vetores de ataque mais prováveis para cada função e desenvolve conteúdo específico.
Quem lida com aprovações financeiras treina BEC. Quem faz onboarding de fornecedores pratica verificação de identidade. Quem atende o cliente aprende a identificar tentativas de engenharia social por telefone.
Nenhum módulo online substitui o impacto de sentir o ataque: é com essa metodologia em mente que a Teletex criou o Cyber X, uma experiência imersiva de conscientização em cibersegurança que vai além do conteúdo e provoca uma mudança de percepção difícil de alcançar por outros meios.
A experiência é estruturada em duas salas com ambiências completamente diferentes. Na sala vermelha, os participantes são confrontados com simulações de ataques cibernéticos reais: vazamento de dados, roubo de credenciais, fraudes digitais em andamento.
Luzes piscantes, sirenes e vídeos de impacto reproduzem a tensão de uma crise digital ativa, deixando claro que esses cenários não são hipotéticos. Na sala azul, o ambiente muda por completo. O caos cede lugar à estrutura, e a apresentação das soluções da Teletex, incluindo o monitoramento contínuo do SOC 24×7, mostra como a proteção real se parece na prática.
Após a imersão sensorial, especialistas da Teletex conduzem uma mini palestra e atividades gamificadas com quizzes interativos e premiações, consolidando o aprendizado de forma prática e memorável.
O objetivo é criar impacto emocional e consciência coletiva sobre o que está em jogo quando um colaborador clica sem pensar ou autoriza uma transferência sem verificar.
Treinamento sem mensuração é custo sem retorno. A forma de saber se um programa de educação em cibersegurança está funcionando é acompanhar indicadores concretos, não apenas a presença nas sessões.
Os principais indicadores a monitorar são:
Os dados, quando integrados à visão do SOC, criam um mapa de risco humano que vai muito além do RH. Mostram onde a organização é mais vulnerável, quais padrões se repetem e como o investimento em educação se revela em redução de incidentes.
Leia também:
Treinamento não deveria ser uma iniciativa isolada de RH ou compliance. A educação digital é mais eficaz quando está integrada ao ecossistema de segurança da organização, porque é esse ecossistema que detecta as ameaças que passam pela camada humana, mesmo após o melhor programa de conscientização.
A Teletex apoia empresas a construir exatamente essa integração: o SOC 24×7 monitora o ambiente em tempo real e identifica tentativas de ataque que chegam aos colaboradores. O SOC Analytics transforma esses dados em visibilidade estratégica, mostrando quais padrões de fraude são mais recorrentes, quais áreas estão sendo mais visadas e como os vetores de ataque evoluem ao longo do tempo.
Assim, o conhecimento retroalimenta o treinamento e o conteúdo se atualiza conforme o cenário real de ameaças da própria organização, não de um template genérico. A Teletex também apoia a criação de protocolos internos antifraude, como validação de pagamentos por canal alternativo, implementação de MFA e gestão de acessos, criando camadas de proteção que funcionam mesmo quando um colaborador erra.Quer estruturar um programa de educação em cibersegurança integrado à operação de segurança da sua empresa? Fale com um especialista da Teletex e descubra como o Cybercare conecta conscientização, monitoramento e resposta em um único ecossistema.