---
url: 'https://www.corbado.com/pt/blog/riscos-seguranca-aplicativos'
title: '7 riscos de segurança de aplicativos que poderiam ser evitados'
description: 'Uma análise detalhada de 7 riscos de segurança de aplicativos com exemplos reais de violações e como evitá-los usando autenticação e segurança modernas.'
lang: 'pt'
author: 'Muhammad Aqeel'
date: '2026-05-27T10:53:53.154Z'
lastModified: '2026-05-27T10:54:55.237Z'
keywords: 'riscos de segurança de aplicativos, controle de acesso quebrado, configuração incorreta na nuvem, exposição de dados sensíveis'
category: 'Authentication'
---

# 7 riscos de segurança de aplicativos que poderiam ser evitados

## Key Facts

- Violações na MGM, Uber, CircleCI e Ticketmaster entre 2022 e 2024 expuseram os dados pessoais de mais de **600 milhões de usuários** e causaram perdas superiores a centenas de milhões.
- A **violação da MGM Resorts** de 2023 começou com uma chamada de vishing para o suporte técnico de TI, permitindo a redefinição de credenciais e a implantação de ransomware que causou sete dias de interrupção do sistema.
- A **violação da Snowflake** comprometeu 165 organizações, incluindo a Ticketmaster (560 milhões de registros de clientes) e a AT&T por meio de credenciais roubadas por um malware infostealer que atacou contas sem MFA.
- As **Device Bound Session Credentials (DBSC)** evitam o roubo de cookies de sessão ao vincular criptograficamente as sessões a dispositivos específicos, inutilizando os cookies roubados em outras máquinas.
- Todas as organizações envolvidas nas violações relatadas tinham acesso para implantar chaves de acesso antes que seus sistemas fossem comprometidos: as chaves de acesso eram uma tecnologia disponível e madura em todo o período de 2022-2024.

## 1. Introdução

Grandes corporações, incluindo Uber, MGM Resorts, CircleCI, Ticketmaster e várias outras empresas, enfrentaram violações de segurança de setembro de 2022 a maio de 2024, depois que os invasores obtiveram acesso não autorizado aos seus sistemas de contas de usuários. Os ataques causaram mais de centenas de milhões de dólares em danos e expuseram os dados pessoais de mais de 600 milhões de usuários, e os sistemas de autenticação desatualizados daquela época poderiam ter evitado essas violações de segurança.

A história não mostra evidências de dias zero sofisticados ou de invasores de segurança cibernética que usam vulnerabilidades desconhecidas para conduzir seus ataques. Essas instâncias revelam como as organizações falharam em evitar violações de segurança. A maioria estava ciente dos ataques de fadiga de MFA, mas falhou em se proteger contra eles, e reconhecia as vulnerabilidades do sistema baseadas em senha, mas continuou a usá-las.

## 2. Falhas da autenticação legada

A autenticação fraca ou legada é um ponto de entrada comum para invasores. A maioria das violações de segurança começa com invasores obtendo senhas roubadas ou usadas anteriormente, embora as organizações tenham acesso a sistemas de autenticação de chaves de acesso estabelecidos, que fornecem proteção contra phishing. [A violação da MGM Resorts em 2023](https://www.forbes.com/sites/steveweisman/2025/03/12/mgm-ransomware--attack-update/) começou quando os invasores usaram vishing para obter suporte técnico de TI, o que lhes permitiu redefinir as credenciais, implantar ransomware e causar sete dias de interrupção do sistema.

Os sistemas de segurança da MGM e de outras organizações usavam senhas junto com autenticação de dois fatores baseada em SMS, o que falhou em proteger contra ataques de engenharia social e roubo de credenciais. A organização não conseguiu estabelecer sistemas de autenticação melhores porque eles entendiam as ameaças à segurança, mas seus sistemas e processos de trabalho atuais os impediam de fazer mudanças.

Chaves de acesso, que usam criptografia de chave pública e identificação biométrica, teriam reduzido significativamente o risco de sucesso desses ataques. As chaves de acesso são mais seguras do que as senhas porque os usuários não podem redefini-las por meio de acesso remoto ou suporte técnico compartilhando códigos de redefinição, o que protege contra ataques de engenharia social. A segurança das chaves de acesso permanece vulnerável a métodos de ataque específicos, que ocorrem quando os processos de recuperação de contas não são devidamente protegidos e quando os dispositivos são infectados com malware.

## 3. Ataques baseados em sessões e cookies

Os invasores se concentram na obtenção de cookies, pois eles ajudarão a obter acesso ao sistema e contornar todos os procedimentos de autenticação. [A violação da CircleCI em 2022](https://thehackernews.com/2023/01/malware-attack-on-circleci-engineers.html) ressalta isso, mostrando como um malware infostealer no laptop de um funcionário pode roubar facilmente cookies de sessão ativos. Com isso, os invasores contornaram a autenticação de dois fatores e obtiveram acesso aos sistemas de produção.

Os cookies de sessão servem como um meio de contornar os controles de acesso com seus tokens de portador, facilitando a exposição de dados sensíveis. Para evitar tais percalços, as organizações podem implementar as Device Bound Session Credentials (DBSC), que protegem os usuários do roubo de sessões usando métodos criptográficos para vincular sessões a dispositivos específicos. Isso torna impossível o uso de cookies roubados de outros computadores. O sistema DBSC oferece proteção eficaz contra malwares infostealer executados em vários dispositivos, mas não pode interromper os ataques quando o malware infecta o dispositivo inicialmente registrado.

## 4. Autorização quebrada

Quando os invasores quebram o controle de acesso no aplicativo, eles podem se mover lateralmente independentemente de suas permissões. O risco de segurança de vulnerabilidades de autorização continua sendo alto porque os invasores usaram com sucesso controles de acesso insuficientes para navegar entre os componentes do sistema durante várias violações de rede.

Para identificar as vulnerabilidades IDOR (Insecure Direct Object Reference), os desenvolvedores de aplicativos devem usar a modelagem de ameaças baseada em conceitos para detectar as estruturas básicas de gerenciamento de acesso e implementar processos de revisão de código para validar as permissões das contas de serviço.

A escolha de atribuições de funções e gerenciamento de permissões complexos em vez de um modelo de privilégio mínimo pode deixar as organizações vulneráveis a problemas de autorização. Atribuições de funções complexas podem levar a acessos não autorizados a informações e funções confidenciais em aplicativos voltados para o cliente. Organizações sem um modelo de autorização seguro não podem proteger seus dados de acessos e operações não autorizados.

Com o aumento dos problemas de segurança B2C, uma única conta comprometida pode causar danos significativos a várias contas de usuários. Ao implementar o gerenciamento de acesso privilegiado, as organizações podem fornecer a seus funcionários e clientes apenas o acesso mínimo necessário para realizar seu trabalho. Além disso, modelagens de ameaças baseadas em conceitos e revisões de código regulares podem ajudar a detectar riscos e vulnerabilidades com facilidade.

## 5. Integrações de IA inseguras

A rápida integração de GenAI e LLMs em aplicativos superou a capacidade dos controles tradicionais de detectar essas mudanças, o que resulta em um risco de segurança invisível. [A violação da Snowflake de 2024](https://en.wikipedia.org/wiki/Snowflake_data_breach) demonstra como os atores de ameaças usaram credenciais roubadas de ataques de malwares infostealer para entrar nos ambientes de clientes da Snowflake, que não implementaram autenticação multifator. O ataque comprometeu mais de 165 organizações, que incluíram Ticketmaster com 560 milhões de registros de clientes, além da AT&T e do Banco Santander.

As organizações geralmente falham em reconhecer a IA como parte central do ambiente de TI, deixando recursos de IA como modelos, armazenamentos de dados vetorizados e pipelines de IA vulneráveis a erros de configuração e riscos de ataques cibernéticos. A maioria das organizações acha difícil monitorar sistemas de IA com eficácia devido à "shadow AI", na qual indivíduos não autorizados podem realizar ataques baseados em credenciais sem detecção interna.

Se as organizações aplicassem controles básicos como validação de entrada, isolamento e monitoramento contínuo aos seus sistemas de IA como fazem em outras infraestruturas de TI, esses incidentes de segurança poderiam ter sido evitados. As organizações podem automatizar a identificação e a correção de erros de configuração usando [ferramentas de segurança de IA](https://www.wiz.io/academy/ai-security-solutions), que fornecem um inventário completo de todos os recursos de IA.

## 6. Configurações incorretas de ambiente de nuvem e tempo de execução

Configurações incorretas na nuvem, incluindo buckets de armazenamento expostos, grupos de segurança excessivamente permissivos e contêineres expostos, podem resultar em incidentes de segurança. A [violação da ePallet](https://www.websiteplanet.com/blog/epallet-leak-report/) de 2022 mostrou que um bucket do Amazon S3 mal configurado pode expor dados confidenciais de clientes de outras empresas que usam a ferramenta. Os invasores usaram dois vetores principais para acessar informações confidenciais: buckets de armazenamento desprotegidos e grupos de segurança com controles de acesso ineficazes.

A Verificação de Conformidade Básica mostra que esses ataques se originam de duas fontes principais, ou seja, armazenamento acessível publicamente com dados específicos do usuário e portas de gerenciamento virtuais expostas. As organizações podem ver essas configurações incorretas como correções de curto prazo para conformidade, mas a maioria se torna pontos de violação de segurança.

A identificação e a correção de configurações incorretas devem ser contínuas por meio do gerenciamento da postura de segurança na nuvem ou de verificações de segurança em tempo de execução, o que reduz significativamente o risco de invasores explorarem as vulnerabilidades. As organizações podem usar ferramentas de verificação e monitoramento automatizadas para localizar configurações incorretas, e a plataforma de monitoramento pode então corrigi-las.

## 7. Falta de segurança no SDLC

Vulnerabilidades entram no processo de produção quando as funções de segurança não são devidamente integradas ao processo de desenvolvimento de software. Uma [ação do GitHub configurada incorretamente no pipeline de CI/CD](https://infosecwriteups.com/day-16-the-ci-cd-betrayal-how-a-tiny-github-action-misconfiguration-led-to-a-800-cloud-breach-05a229c0684d) de uma startup de criptografia estava silenciosamente compartilhando credenciais da AWS, ajudando os invasores a minerarem US$ 800 em criptomoedas.

SAST/DAST, revisão segura de código e verificação de dependência podem identificar vulnerabilidades comuns de segurança. Elas podem variar de ataques de injeção a desserialização insegura e referências diretas de objetos inseguros, mas esses problemas persistem quando a segurança não recebe atenção.

A integração de segurança no ciclo de vida de desenvolvimento de software (SDLC) permite aos desenvolvedores identificar e resolver as vulnerabilidades de segurança, as quais podem implementar em seus aplicativos da web antes da implantação na produção. A prevenção desses problemas exige que as organizações implementem três práticas de segurança fundamentais, que incluem verificação automatizada, gerenciamento de dependência e revisões seguras de código.

## 8. Processos de monitoramento e correção insuficientes

As organizações continuam a sofrer violações de segurança em grande parte porque não conseguem reconhecer indicadores de alerta e carecem de processos de remediação definidos para anormalidades do sistema. Elas devem monitorar consistentemente seus sistemas de computador e estabelecer um procedimento de resposta claro para violações de segurança, seguindo os padrões atuais do setor à luz da [violação do Uber em 2022](https://www.researchgate.net/publication/383425090_Dissecting_The_Uber_Security_Breach_Root_Cause_Analysis_and_Mitigation_Strategies). Sem registros abrangentes de eventos de segurança, as organizações lutam para monitorar preenchimento de credenciais, tentativas incomuns de acesso a dispositivos ou transações de token anormais.

As organizações acham desafiador detectar tentativas de autenticação e login ou registrar eventos de registro de usuários porque as informações que coletam carecem de detalhes suficientes para a identificação precoce do abuso dos direitos de segurança.

Os sistemas da organização identificam e gerenciam eventos anormais por meio de telemetria focada em privacidade e procedimentos de resposta algorítmicos e automatizados. Os recursos de detecção e resposta da IA ajudarão as organizações a identificar as relações entre os eventos de segurança e interromper as ocorrências de violações.

## 9. Conclusão

A parte mais frustrante de estudar as violações da MGM, Snowflake, Uber e CircleCI é entender que esses incidentes poderiam ter sido evitados. O incidente tornou-se inevitável porque a tecnologia atual não possuía os recursos necessários que as empresas focadas em segurança já usavam para seus sistemas de autenticação.

Todas as organizações neste relatório tinham acesso à implantação de chaves de acesso antes que seus sistemas fossem invadidos. Embora as chaves de acesso fossem tecnologias disponíveis e maduras no período de 2022-2024, as Device Bound Session Credentials (DBSC) não estiveram amplamente disponíveis até 2024. O sistema incluiu vários controles de segurança em nuvem, como imposição de MFA, listas de permissões de rede, IAM de privilégio mínimo e monitoramento. No entanto, esses controles precisavam de configuração manual para proteção total.

As equipes de segurança de algumas organizações deram suporte a esses controles, mas não conseguiram derrotar a resistência à mudança em toda a empresa. O resultado levou à exposição de dados pessoais de mais de 600 milhões de pessoas, investigações regulatórias e perdas totais que excederam centenas de milhões.

As organizações conduziram pesquisas que demonstram que os ataques baseados em credenciais aumentarão a uma taxa acelerada, de modo que precisam lidar com essa ameaça crítica à segurança imediatamente. Sua organização precisa determinar se adotará sistemas de autenticação modernos antes ou depois que outras organizações usem sua falha de segurança como exemplo em suas investigações de violação.

Existem ferramentas de segurança de aplicativos, que operam automaticamente por meio de um processo simples que não requer nenhum procedimento de instalação complexo. O ROI é mensurável. Falta à comunidade de segurança um senso de urgência, o que lhe permitiria reconhecer a modernização da autenticação como um controle de segurança essencial. A organização precisa agir imediatamente porque a próxima ligação do suporte técnico, e-mail de phishing e carga de infostealer se transformarão em um incidente de cem milhões de dólares.

## Perguntas frequentes

### Como a violação da CircleCI contornou a autenticação de dois fatores?

Na violação da CircleCI em 2022, um malware infostealer no laptop de um funcionário roubou os cookies de sessão ativos diretamente. Como os cookies de sessão atuam como tokens de portador que concedem acesso imediato, os invasores os usaram para contornar totalmente a autenticação de dois fatores e acessar os sistemas de produção.

### Qual é a diferença entre DBSC e cookies de sessão padrão para a segurança?

Os cookies de sessão padrão podem ser roubados por malwares infostealer e reutilizados em qualquer dispositivo, contornando os controles de autenticação. As Device Bound Session Credentials (DBSC) usam métodos criptográficos para vincular uma sessão ao dispositivo específico que a criou, de forma que os cookies roubados não podem ser reproduzidos a partir de máquinas controladas por invasores.

### Por que o controle de acesso quebrado causou danos tão generalizados na violação da Snowflake?

A violação da Snowflake comprometeu mais de 165 organizações de clientes porque os ambientes de locatários individuais não tinham imposição de MFA, o que significa que um conjunto de credenciais roubadas poderia desbloquear armazenamentos inteiros de dados de clientes. Apenas a Ticketmaster teve 560 milhões de registros de clientes expostos como resultado dessa falha de controle única.

### Qual falha de segurança do SDLC levou ao incidente de mineração de criptomoedas no GitHub Actions?

Um fluxo de trabalho do GitHub Actions configurado incorretamente no pipeline de CI/CD de uma startup de criptografia estava vazando silenciosamente credenciais da AWS para os invasores, que as usaram para minerar US$ 800 em criptomoedas. O artigo identifica a verificação automatizada de SAST/DAST, o gerenciamento de dependências e as revisões seguras de código como as três práticas que teriam detectado essa configuração incorreta antes da implantação na produção.