Um em cada dez logs de infostealer colhidos em 2025 já trazia acesso a provedor de identidade corporativa — e a projeção da própria Flare aponta para um em cada cinco ainda no terceiro trimestre de 2026. O levantamento analisou 18.7 milhões de logs de infostealer coletados entre janeiro e novembro de 2025 e identificou 2.05 milhões de registros com credenciais de plataformas como Microsoft Entra ID, Okta e AWS IAM Identity Center. Para a equipe que administra SSO, a leitura operacional é uma só: presuma que senhas e cookies de sessão de funcionários já circulam em mercados criminosos e trate revogação e monitoramento de sessões como controle de primeira linha, não como endurecimento opcional.
O que o levantamento mostra
A fatia de logs com acesso corporativo cresceu em duas frentes ao longo do estudo. Em 2024, registros desse tipo representavam, em média, 8% de toda a atividade de infostealer; ao longo de 2025, o número passou de 11%. Em novembro de 2025 a proporção chegou perto de 14%, e os dados preliminares de dezembro apontam 16%, acima do que o modelo da empresa projetava. Em termos práticos: há dois anos, uma infecção em cada dezesseis rendia acesso corporativo; no fim de 2025, era uma em cada sete. Dentro desse universo, o Microsoft Entra ID domina, presente em 79% dos logs corporativos, muito à frente de Okta, AWS IAM Identity Center e demais provedores. Mais de 18% desses registros combinavam provedores diferentes, o que amplia o raio de destruição de uma única máquina infectada. E mais de 1.17 milhão de logs uniam senhas com cookies de sessão: nesses casos, o comprador do log entra direto em uma sessão autenticada, mesmo com o segundo fator ativado.
O relatório também declara limites, e a leitura defensiva deve considerá-los: a validade das credenciais não pôde ser verificada, a cobertura não alcança canais privados de Telegram nem vendas diretas entre criminosos, e o conjunto contém logs reciclados. Em outras palavras, os números publicados subestimam a exposição real — o que reforça, em vez de enfraquecer, a decisão de agir.
Por que o SSO concentra risco
O SSO concentra valor porque transformou uma credencial em chave mestra. Quando um funcionário salva no navegador a senha do portal de VPN, do webmail ou de um sistema interno integrado ao Active Directory, o mesmo par abre dezenas de serviços federados por Entra ID ou ADFS: e-mail, storage, RH, finanças e SaaS de negócio. Um único log colhido no dia da infecção carrega um retrato completo e atual da vítima — senhas salvas, campos de autofill e sessões ativas, coletados do navegador no momento do comprometimento, e não uma lista velha e fragmentada de vazamentos antigos.
É por isso que atores que vendem acesso filtram logs por domínio corporativo antes de revendê-los: o caminho da compra do log até a intrusão encurta drasticamente. Afiliados de ransomware usam o Active Directory como primeira parada após ganhar a rede, e o mesmo conjunto de dados alimenta fraude financeira e tomada de contas. O abuso de apps OAuth após o comprometimento de um fornecedor, como no caso da Storm-0940, mostra como essa chave mestra segue rendendo acesso bem depois da invasão inicial (leia a análise).
Como o log chega ao mercado
O relatório da Flare descreve a origem desses logs: distribuição em massa via software pirata semeado com infostealer e promovido por anúncios comprometidos no Google e no Facebook. O advisory conjunto do FBI e da CISA sobre o LummaC2 detalha a rotina do lado do atacante: a vítima clica em um CAPTCHA falso, segue a instrução de abrir a janela Executar do Windows, cola o conteúdo da área de transferência e dispara um processo PowerShell codificado em Base64. O malware roda em memória, sem criar arquivos, recebe comandos em JSON do servidor de comando e controle e colhe, entre outros dados, credenciais financeiras, carteiras de criptomoeda, extensões de navegador e detalhes de MFA.
Do lado do mercado, a oferta só cresce. Entre abril e junho de 2024, estatísticas do setor privado registraram mais de 21,000 anúncios de logs do LummaC2 em fóruns criminosos, alta de 71.7% sobre o mesmo período de 2023. Os logs seguem distribuídos por canais do Telegram e mercados como o Russian Market, onde alimentam fraude, tomada de contas e a venda de acesso a redes corporativas — exatamente o elo que transforma um endpoint doméstico infectado em incidente empresarial.
Sinais a verificar no ambiente
Antes de qualquer resposta, é preciso estabelecer se há exposição. O ponto de partida é o domínio corporativo: o monitoramento de logs vazados precisa cobrir os domínios da empresa e de terceiros com acesso privilegiado. No ambiente interno, os sinais incluem:
- emissões de token novas ou incomuns nos logs de autenticação do provedor de identidade, inclusive de ASN, dispositivo ou geografia inesperada;
- trajetória impossível, como autenticação em dois países distantes em minutos;
- senhas corporativas salvas em navegadores de endpoints não gerenciados;
- instaladores piratas em uso, especialmente em máquinas de desenvolvedores e administradores;
- processos PowerShell com comando codificado disparados pela janela Executar, padrão documentado pelo FBI e pela CISA.
O caso das sessões de IA expostas em 482 grandes empresas mostra que o problema não para no SSO: qualquer sessão autenticada colhida de um navegador vira porta de entrada (veja o levantamento).
Ações priorizadas de resposta
A hierarquia abaixo resume a resposta; execute de cima para baixo.
| Prioridade | Ação | Efeito |
|---|---|---|
| P1 | Revogar sessões e reemitir credenciais de contas com senha salva em navegador gerenciado | Corta o acesso comprado no log mesmo sem identificar a máquina que infectou |
| P1 | Encurtar a vida útil de tokens e exigir dispositivo conforme nas políticas de acesso condicional | Reduz a janela de uso de cookie roubado |
| P1 | Adotar MFA resistente a phishing, como FIDO2 e passkeys, nas contas de SSO e administração | Invalida o replay de senha pura colhida no log |
| P1 | Monitorar logs vazados para os domínios da empresa em serviços dedicados | Transforma a exposição em alerta acionável em horas, não em meses |
| P2 | Bloquear por política o salvamento de senhas corporativas em navegadores | Reduz o conteúdo colhido por uma futura infecção |
| P2 | Proibir e detectar software pirata em endpoints gerenciados | Ataca o vetor de distribuição dominante |
| P2 | Exercitar detecções contra as técnicas ATT&CK descritas no advisory do FBI e da CISA | Valida se a stack enxerga a cadeia completa do ataque |
A mudança de matemática muda a prioridade. Quando a taxa de acerto era de uma infecção em dezesseis, prevenir o roubo bastava como estratégia central. Com uma em sete — e possivelmente uma em cinco — a defesa precisa operar sob a suposição de comprometimento: sessões curtas, revogação rápida, monitoramento contínuo de exposição e MFA resistente a phishing viram requisito básico de arquitetura de identidade. O custo de uma infecção deixou de ser o de uma senha trocada; passou a ser o de todo o portfólio de acesso de um funcionário.