Imagine acordar uma manhã e descobrir que seu nome, endereço residencial e número nacional de identificação podem estar nas mãos de criminosos.
Você não clicou em um link suspeito. Não compartilhou sua senha. Não cometeu um erro.
Outra pessoa tinha acesso a um sistema com seus dados pessoais, e esse acesso foi utilizado indevidamente.
Agora imagine descobrir que uma conta comprometida era apenas o começo da falha.
Em um dos incidentes, a universidade posteriormente documentou vulnerabilidades e elevação de privilégios em seu sistema de gestão de identidades.
Dois incidentes dinamarqueses divulgados em outubro de 2026 mostram por que autenticação, autorização e monitoramento precisam trabalhar juntos.
Embora a escala seja alarmante, a lição de segurança subjacente está longe de ser nova.
Há mais de vinte anos, uma empresa americana chamada ChoicePoint sofreu uma falha notavelmente semelhante. Em 2023, o ataque à MGM Resorts voltou a lembrar as consequências de comprometer as proteções de identidade e acesso.
Organizações diferentes. Tecnologias diferentes. Circunstâncias diferentes.
Mas surge uma pergunta comum:
O que acontece quando nossos sistemas se concentram em deixar alguém entrar, sem controlar suficientemente o que essa pessoa pode fazer depois?
Durante anos, o setor de cibersegurança dedicou enormes recursos a responder uma pergunta essencial:
Quem é você?
É uma pergunta importante.
Mas é apenas metade da conversa.
A outra metade pode ter consequências ainda maiores:
O que você está autorizado a fazer?
Porque uma só AUTH não basta.
A autenticação estabelece o controle de uma conta ou autenticador cadastrados. A autorização determina os recursos e ações permitidos. Nem um login bem-sucedido nem uma aprovação humana substituem permissões da aplicação, mínimo privilégio ou monitoramento.
O vazamento que não exigiu arrombar a entrada
A ChoicePoint, uma grande intermediária de dados americana, mantinha extensas coleções de informações pessoais, incluindo números de Seguro Social, datas de nascimento e registros relacionados a crédito.
Milhares de empresas recorriam à ChoicePoint para verificar informações sobre clientes e outras pessoas.
Criminosos descobriram que não precisavam necessariamente invadir seus sistemas para obter essas informações.
Em vez disso, fingiram ser empresas legítimas e solicitaram contas de cliente.
A ChoicePoint aprovou solicitações fraudulentas, concedendo acesso aos registros pessoais por seus processos comerciais normais.
Segundo a Comissão Federal de Comércio, o incidente expôs informações de pelo menos 163.000 pessoas.
A empresa tinha mecanismos para fornecer informações a clientes autorizados.
Mas seus procedimentos de verificação não distinguiram adequadamente empresas legítimas de solicitantes fraudulentos.
O resultado foi devastadoramente simples.
Os criminosos obtiveram acesso convencendo a organização de que o mereciam.
Uma vez concedido, informações sensíveis ficaram disponíveis para eles.
A ChoicePoint nos lembra que falhas de segurança nem sempre começam com ataques sofisticados.
Às vezes começam com confiança mal depositada.
Dinamarca: vinte anos depois, um problema conhecido
A DTU divulgou publicamente o ataque em 2 de outubro de 2026. Sua cronologia posterior descreve contas comprometidas, vulnerabilidades exploradas e privilégios elevados no DTUBasen.
A DTU detectou alterações inesperadas em 20 de setembro. Não conseguiu estabelecer a extensão completa do vazamento.
Por isso, tratou os dados de aproximadamente 200.000 usuários ativos e inativos como potencialmente expostos.
A administração do registro tomou conhecimento de outro incidente envolvendo o CPR em 2 de outubro; o ministério o descreveu publicamente em 5 de outubro.
O registro CPR inclui residentes vivos, pessoas que emigraram e pessoas falecidas.
O ministério informou que o acesso legítimo de consulta de uma empresa privada dinamarquesa foi utilizado indevidamente para obter informações de aproximadamente 8,8 milhões de pessoas registradas.
O ministério informou que interrompeu o acesso da empresa e encaminhou o incidente às autoridades competentes.
Pense no que isso significa.
O acesso legítimo de consulta havia se tornado uma rota para dados pessoais em escala extraordinária.
A declaração oficial não estabelece o mecanismo exato de comprometimento de credenciais nem de detecção.
A conta tinha uma finalidade empresarial legítima.
Mas a atividade realizada por meio dela foi muito além dessa finalidade.
O incidente mostra por que reconhecer uma conta não basta para estabelecer que todo uso de seu acesso é apropriado.
As fontes públicas não demonstram que uma autenticação mais forte, sozinha, teria evitado qualquer um dos incidentes, nem quais controles de autorização e monitoramento estavam exatamente implantados no caso CPR.
A lição de projeto é limitar consultas sensíveis por finalidade, escopo e volume e detectar uso indevido. É uma inferência arquitetônica, não uma constatação sobre cada controle ausente nos dois sistemas.
Isso nos leva à distinção central deste artigo.
Uma só AUTH não basta
Autenticação e autorização costumam ser discutidas juntas, mas desempenham funções fundamentalmente diferentes.
A autenticação pergunta: quem é você?
A autorização pergunta: o que você tem permissão para fazer?
A autenticação ajuda a estabelecer se uma pessoa, dispositivo, aplicação ou máquina é quem ou o que afirma ser.
A autorização determina quais recursos essa identidade pode acessar e quais ações pode realizar.
Nenhuma é suficiente sozinha.
Um funcionário pode ter autorização para acessar um registro específico de cliente.
Isso não significa que deva poder baixar toda a base de clientes.
Um médico pode precisar do histórico de um paciente.
Isso não justifica acesso irrestrito aos registros de todos os pacientes.
Um funcionário financeiro pode ter autoridade para iniciar um pagamento.
Isso não significa necessariamente que possa aprovar uma transferência ilimitada sem controles adicionais.
Uma empresa com permissão para verificar registros individuais não deveria receber automaticamente a capacidade de recuperar milhões de identidades.
Obter acesso não é o mesmo que merecer acesso ilimitado.
Mesmo uma autenticação forte não pode determinar de forma independente se toda ação posterior é apropriada.
Isso exige autorização eficaz.
E a autorização deve ser imposta, não apenas documentada em uma política.
Em registros sensíveis, acesso limitado à finalidade, limites de consulta, monitoramento e contenção são controles de projeto complementares. Sua eficácia depende da implementação e do modelo de ameaças.
São medidas diferentes da autenticação, mas precisam trabalhar ao lado dela.
O objetivo não é tornar toda ação legítima mais difícil.
É garantir que o acesso legítimo continue coerente com a autoridade legítima.
A autenticação abre o portão. A autorização protege o reino.
Anos atrás, ao desenvolver uma apresentação educativa sobre o Rei Arthur e a segurança de seu reino, usamos uma analogia simples para explicar uma distinção que até executivos experientes às vezes deixam passar.
A autenticação abre o portão. A autorização protege o reino.
Imagine um castelo medieval.
Na entrada, um guarda verifica a identidade de quem pede acesso.
A pessoa é reconhecida e pode atravessar o portão.
Mas o que acontece depois?
Entrar no castelo concede automaticamente permissão para acessar o tesouro real?
Os aposentos privados do rei?
O arsenal?
A sala com os planos militares mais sensíveis do reino?
É claro que não.
O guarda estabeleceu quem é o visitante.
Isso não estabelece o que ele tem direito de fazer.
O reino ainda precisa de regras sobre quais salas podem ser acessadas, quais recursos podem ser consultados e quais ações exigem aprovação adicional.
Essas regras precisam continuar sendo aplicáveis depois que o visitante entra.
A analogia pode ter séculos, mas a lição de segurança é inteiramente atual.
Um usuário autenticado com sucesso não deveria herdar automaticamente autoridade irrestrita em todo o ambiente digital de uma organização.
Mesmo assim, algumas arquiteturas enfatizam enormemente o portão e dão atenção insuficiente ao que acontece além dele.
Celebramos a autenticação bem-sucedida.
Medimos a segurança do login.
Implantamos tecnologias de identidade cada vez mais sofisticadas.
Todos são investimentos importantes.
Mas, se permissões são excessivas, transações sensíveis não têm aprovação adequada ou atividades suspeitas continuam sem controle, o reino permanece vulnerável.
Um portão mais forte não compensa um tesouro desprotegido.
O castelo precisa dos dois.
A empresa moderna também.
MGM Resorts: quando os processos de identidade se tornam o elo fraco
O ataque à MGM Resorts em 2023 demonstrou outra dimensão desse problema.
A divulgação da própria MGM confirma um incidente de cibersegurança e a interrupção de operações. Sozinha, ela não estabelece toda a cadeia de acesso inicial.
Devemos distinguir esse registro confirmado de relatos que atribuem o acesso inicial à engenharia social.
As consequências foram substanciais, com interrupções em hotéis e cassinos e impactos financeiros e operacionais significativos.
O incidente destaca por que verificação de identidade e recuperação de contas devem ser tratadas como controles críticos de segurança.
Mas também levanta uma pergunta arquitetônica igualmente importante.
Depois que uma conta ou processo de identidade é comprometido, quanto dano o atacante pode causar?
Quais sistemas essa identidade consegue alcançar?
Quais privilégios pode exercer?
Esses privilégios podem ser restringidos?
A atividade suspeita pode ser detectada e contida antes que as consequências se espalhem?
Seria incorreto concluir dos relatos públicos que a MGM simplesmente não tinha controles de autorização. O incidente envolveu múltiplos fatores de segurança e operação.
Ainda assim, a lição mais ampla é clara.
A verificação forte de identidade ajuda a evitar entrada não autorizada. Autorização eficaz e mínimo privilégio ajudam a limitar o que acontece se a entrada ocorrer.
O monitoramento contínuo ajuda a reconhecer quando uma atividade deixa de merecer confiança.
Autenticação, autorização e avaliação contínua não são abordagens concorrentes.
São defesas complementares.
Retire qualquer uma delas e toda a arquitetura se torna menos confiável.
Quando saber seu número de identificação é confundido com ser você
Os incidentes dinamarqueses também expõem outra fragilidade persistente da identidade digital.
O Registro Central de Pessoas da Dinamarca atribui um número CPR de dez dígitos, utilizado em serviços públicos, saúde, bancos e outras atividades essenciais.
Esses identificadores são valiosos para fins administrativos.
Mas um identificador não deve ser confundido com um autenticador.
Um nome identifica alguém.
Um endereço ajuda a distinguir uma pessoa de outra.
Um número nacional de identificação pode ajudar a localizar um registro específico.
Nenhum desses fatos, isolado ou em conjunto, prova necessariamente que quem os apresenta é o legítimo titular da identidade.
Mesmo assim, algumas organizações usam exatamente essas informações para confiar em quem liga, compra ou se candidata.
Quando dados pessoais se tornam amplamente disponíveis, criminosos podem usá-los para tornar a personificação mais convincente.
Alguém que conhece seu nome, endereço, data de nascimento e número de identificação pode parecer legítimo ao telefone.
Mas familiaridade com informações pessoais não é prova de identidade.
Uma identidade convincente não é necessariamente verificada.
Felizmente, sistemas de identidade digital mais fortes podem ajudar a reduzir esse risco.
A exposição do CPR não estabelece, por si só, o comprometimento de um serviço separado de autenticação como o MitID.
Mas a lição mais ampla se aplica globalmente.
As organizações precisam parar de tratar informações sobre alguém como evidência suficiente de que a pessoa está presente ou autorizou uma ação.
A distinção se torna ainda mais importante à medida que a inteligência artificial torna a personificação mais convincente.
A inteligência artificial torna as duas AUTHs mais importantes
Considere agora o que acontece quando agentes autônomos de IA entram nessa equação.
Um agente pode ter uma identidade digital válida.
Pode se autenticar com sucesso.
Pode operar no ambiente corporativo com credenciais legítimas.
Nenhum desses fatos estabelece automaticamente que toda ação tentada é apropriada.
Suponha que um agente possa recuperar informações de clientes para responder a consultas de atendimento.
Isso significa que deveria poder exportar toda a base de clientes?
Suponha que possa preparar uma transação financeira.
Deveria também poder aprová-la e executá-la sem controles adequados?
Suponha que receba acesso a várias aplicações corporativas.
O que acontece se suas instruções forem manipuladas, suas credenciais comprometidas ou suas ações ultrapassarem as responsabilidades previstas?
Esses não são apenas problemas de autenticação.
São problemas de autorização, governança e confiança contínua.
A IA introduz outro desafio: escala.
Um atacante humano pode precisar de horas para recuperar e processar grandes volumes de informações.
Um sistema automatizado pode potencialmente executar enormes quantidades de ações em uma fração desse tempo.
Se a autoridade for excessiva, a automação pode ampliar as consequências da confiança mal depositada.
Por isso, o futuro da segurança de identidades precisa ir além de um login bem-sucedido.
Acredito que as organizações precisam avaliar cada vez mais cinco elementos interligados:
- Identidade. Quem ou o que está tentando agir?
- Intenção. O que está sendo solicitado e com qual finalidade?
- Autoridade. Essa identidade tem permissão para realizar essa ação específica?
- Verificação. A identidade pertinente e, quando apropriado, a aprovação específica podem ser estabelecidas de forma independente?
- Confiança contínua. A atividade permanece coerente com as permissões, a finalidade e os limites de risco definidos para a interação?
Isso não é um argumento para complicar toda interação digital.
É um argumento para tornar a segurança mais inteligente.
O nível adequado de verificação e autorização deve refletir a sensibilidade e as consequências da ação.
Uma solicitação rotineira de baixo risco não deveria exigir as mesmas salvaguardas de uma transferência de milhões de dólares ou da exportação de registros sensíveis de pacientes.
Mas a segunda situação tampouco deveria ser permitida só porque alguém se autenticou corretamente mais cedo naquele dia.
A confiança deve ser adequada à ação, não apenas herdada do login.
Autenticação mais forte é essencial. Mas não é toda a resposta.
Na Identité, nosso trabalho com autenticação sem senha, identidade verificável e Full Duplex Authentication® patenteada reflete o compromisso de fortalecer a verificação de identidade e a autenticação mútua, reduzindo atritos desnecessários.
Acreditamos que estabelecer identidade com confiança é fundamental para a confiança digital.
Mas seria um erro sugerir que mesmo a tecnologia de autenticação mais forte pode resolver sozinha todos os problemas de segurança.
A autenticação não impõe, por si só, acesso com mínimo privilégio.
Não determina automaticamente se um usuário autenticado deve poder exportar informações sensíveis.
Não estabelece sozinha se um agente de IA tem autoridade para iniciar uma transação específica.
E não substitui monitoramento comportamental, controles de acesso a dados ou governança eficaz.
Essas capacidades exigem sistemas e políticas complementares trabalhando juntos.
Essa distinção importa.
O objetivo nunca deve ser exagerar o que uma tecnologia consegue fazer.
O objetivo é construir arquiteturas nas quais as proteções necessárias se reforcem.
A autenticação estabelece identidade. A autorização estabelece limites. A avaliação contínua ajuda a determinar se a confiança deve persistir.
Quando essas capacidades trabalham juntas, as organizações ficam mais bem posicionadas para proteger seus sistemas e as pessoas que dependem deles.
O custo humano de errar
Quando profissionais de cibersegurança discutem vazamentos, naturalmente se voltam aos detalhes técnicos.
Credenciais comprometidas.
Permissões de acesso.
Exfiltração de dados.
Gestão de identidades.
Resposta a incidentes.
Mas considere a experiência humana por trás desses termos.
Um universitário descobre que os dados pessoais confiados a uma instituição de ensino podem ter sido expostos.
Uma pessoa aposentada recebe uma ligação suspeita de alguém que conhece seu endereço e número de identificação.
Um cliente bancário começa a questionar se uma comunicação aparentemente legítima é autêntica.
Uma família se preocupa com possíveis tentativas de uso indevido de seus dados pessoais.
A autoridade dinamarquesa de proteção de dados publicou orientações para pessoas preocupadas com possível uso indevido de suas informações após o incidente CPR.
A exposição não estabelece que todas as pessoas afetadas sofreram roubo de identidade.
A preocupação com uso indevido já é motivo para que as instituições ofereçam apoio claro e prático.
As consequências não se limitam a servidores, bancos de dados ou demonstrações financeiras.
Elas acompanham as pessoas no cotidiano.
Uma ligação inesperada se torna suspeita.
Uma transação financeira rotineira causa inquietação.
Um pedido comum de informação gera incerteza.
O custo não é medido apenas pelas informações levadas. Também é medido pela confiança que as pessoas perdem.
Reconstruir essa confiança costuma ser muito mais difícil do que redefinir uma senha.
O futuro da confiança digital exige as duas
O escândalo da ChoicePoint mostrou o que acontece quando uma organização não verifica adequadamente quem merece acesso a informações sensíveis.
Os incidentes dinamarqueses mostram por que acesso a contas, vulnerabilidades de aplicações e limites do uso de dados precisam ser examinados juntos.
O incidente da MGM Resorts lembra que um evento importante pode ter consequências operacionais graves, mesmo sem sua cadeia técnica completa ser publicamente estabelecida.
Agentes autônomos de IA introduzem uma nova geração de perguntas sobre identidade, autoridade e responsabilização.
Esses incidentes não são idênticos.
Suas causas, tecnologias e circunstâncias diferem.
Mas juntos reforçam uma lição que o setor de cibersegurança não pode mais ignorar.
A autenticação é essencial. A autorização é igualmente essencial.
Nenhuma deve ser tratada como uma decisão única que elimina a necessidade de avaliações posteriores.
O futuro dependerá de verificar identidades, impor autoridade adequada, avaliar ações com consequências e reconhecer continuamente quando a confiança deve ser limitada ou retirada.
Tudo isso sem colocar obstáculos desnecessários no caminho de usuários legítimos.
Porque as pessoas não querem mais procedimentos de segurança.
Querem confiança.
Querem saber que suas informações estão protegidas, suas transações são legítimas e as instituições das quais dependem merecem sua confiança.
Esse é o resultado humano ao qual nossa tecnologia deve servir.
E isso nos leva de volta a uma lição do reino do Rei Arthur, hoje mais relevante do que nunca:
A autenticação abre o portão. A autorização protege o reino.
Precisamos das duas.
Porque uma só AUTH não basta.
Quando esquecemos essa distinção, não arriscamos apenas outro incidente de segurança.
Arriscamos a confiança das pessoas que nossos sistemas deveriam proteger.
A identidade verificável é a pedra angular da confiança digital. A autorização garante que essa confiança seja exercida dentro de limites apropriados.
A tecnologia deve servir silenciosamente à humanidade.
Continue a avaliação
Explore o acesso de clientes com PasswordFree®, o acesso corporativo com NoPass™ e a aprovação de ações sensíveis. Escolha um fluxo real e estabeleça qual sistema é responsável por cadastro, autoridade, recuperação e execução.