Credenciais roubadas: o alerta que também alcança PABX IP, VoIP e redes de telecomunicações

Quando o criminoso não precisa “quebrar” o sistema

Uma reportagem exibida pelo Fantástico em 30 de agosto de 2026 revelou um mercado clandestino de logins, senhas e acessos a sistemas públicos e privados. Segundo a apuração, grupos digitais ofereciam credenciais atribuídas a servidores e autoridades, além de serviços ilegais para consultar dados, adulterar registros e interferir em processos administrativos e judiciais.

O ponto técnico mais importante não está apenas na existência de vulnerabilidades de software. O caso evidencia um modelo de ataque no qual o criminoso obtém, compra ou reutiliza uma identidade aparentemente legítima. Para os controles mais básicos, a sessão pode parecer normal: houve autenticação com uma conta cadastrada e o usuário possuía permissão para executar aquela ação.

É essa característica que torna o comprometimento de credenciais especialmente perigoso. Senhas roubadas por phishing, malware, vazamentos, reutilização ou engenharia social podem converter mecanismos legítimos de administração em instrumentos de fraude. Quando a conta é privilegiada, o alcance deixa de ser apenas informacional e passa a incluir alteração de configurações, exclusão de registros e interrupção de serviços.

Por que o tema importa para STFC, VoIP e telefonia corporativa

A telefonia deixou há muito tempo de ser administrada apenas por meio de equipamentos isolados. Mesmo quando o serviço envolve telefonia fixa STFC, sua operação empresarial pode depender de portais web, interfaces de integração, ferramentas remotas, sistemas de bilhetagem, plataformas de atendimento, PABX IP, SBCs e serviços em nuvem.

Essas camadas concentram identidades com diferentes capacidades. Há contas de usuários finais, operadores de contact center, supervisores, equipes de suporte, integradores, fornecedores e administradores. Uma credencial comprometida pode permitir ações distintas conforme o privilégio concedido:

• alterar rotas, regras de encaminhamento, horários e destinos de chamadas;
• criar ramais, modificar perfis ou ativar recursos que elevem o risco de fraude telefônica;
• obter registros de chamadas, cadastros, gravações ou informações operacionais;
• mudar configurações de troncos SIP, gateways, SBCs ou elementos de borda;
• desabilitar alertas, apagar evidências ou dificultar a reconstrução do incidente;
• interromper canais de atendimento, números de negócio ou fluxos de emergência.

Nem toda credencial tem o mesmo valor, e esse é precisamente o motivo para classificar acessos por risco. Uma conta capaz apenas de consultar um relatório não deve receber os mesmos controles de uma identidade que altera o plano de numeração, provisiona um tronco, exporta gravações ou administra a infraestrutura.

O risco não se limita à senha do usuário

Em ambientes convergentes, “credencial” pode significar muito mais do que usuário e senha de um painel. O inventário deve abranger contas humanas, contas de serviço, segredos SIP, chaves de API, certificados, tokens de integração, credenciais de equipamentos, sessões administrativas e mecanismos de recuperação de acesso.

Também é necessário diferenciar autenticação humana de autenticação entre sistemas. O MFA é apropriado para acessos administrativos realizados por pessoas, mas uma integração entre plataformas precisa de controles próprios: segredos exclusivos, armazenamento protegido, rotação, escopo mínimo, restrição de origem e rastreabilidade. Tratar todos os casos como “troca periódica de senha” deixa lacunas importantes.

MFA reduz o risco, mas precisa ser bem implementado

O Conselho Nacional de Justiça determinou a adoção de autenticação multifator para sistemas judiciais sensíveis e deixou claro que a medida deve estar associada a uma cadeia de credenciais confiáveis. A lógica é aplicável a qualquer ambiente crítico: uma segunda verificação dificulta o uso de uma senha isoladamente comprometida.

Entretanto, nem todos os métodos oferecem a mesma resistência. As orientações da CISA priorizam MFA resistente a phishing para acessos administrativos e remotos, com tecnologias como FIDO ou credenciais baseadas em infraestrutura de chaves públicas. Códigos enviados por SMS ou e-mail são alternativas mais fracas e não devem ser a primeira escolha para contas de alto impacto quando houver opções mais robustas.

MFA também não elimina riscos como roubo de sessão, consentimento indevido, recuperação de conta mal protegida, dispositivo comprometido ou abuso interno. Por isso, a autenticação deve ser combinada com autorização, contexto e detecção. Um acesso realizado em horário incomum, a partir de uma origem inédita e seguido por uma mudança crítica merece validação adicional, mesmo que o login tenha passado por dois fatores.

O princípio do menor privilégio deve sair do papel

Contas administrativas permanentes ampliam o dano potencial de qualquer comprometimento. A alternativa é separar funções e conceder somente as permissões necessárias para cada atividade. Operação, suporte, faturamento, gravações, provisionamento e segurança não precisam estar reunidos no mesmo perfil.

Para ações críticas, vale adotar elevação temporária de privilégio, aprovação adicional ou dupla validação. Alterações como criação de troncos, mudança de rota, exportação em massa, exclusão de gravações e desativação de logs devem gerar eventos específicos e, quando compatível com a operação, exigir confirmação independente.

O desligamento ou a mudança de função de profissionais e fornecedores também precisa acionar a revogação imediata de acessos. Contas órfãs, credenciais compartilhadas e permissões acumuladas ao longo do tempo são problemas de governança antes de serem problemas de tecnologia.

R-Ciber coloca segurança no contexto da continuidade

No setor regulado, a Resolução nº 740/2020 da Anatel, com alterações posteriores, instituiu o Regulamento de Segurança Cibernética Aplicada ao Setor de Telecomunicações. O texto estabelece princípios como autenticidade, confidencialidade, disponibilidade, integridade e responsabilidade, além de diretrizes para identificar, proteger, diagnosticar, responder e recuperar de incidentes.

A regulamentação também relaciona segurança cibernética à continuidade dos serviços e prevê política, avaliação de vulnerabilidades e comunicação de incidentes em hipóteses definidas. A incidência concreta das obrigações varia conforme o dispositivo, o perfil da prestadora e os enquadramentos regulatórios aplicáveis. Portanto, a análise de conformidade deve considerar o texto vigente e a realidade operacional de cada empresa.

Para operadoras, provedores, integradores e clientes corporativos, a principal conclusão é prática: identidade digital não pode ser administrada separadamente da rede. Uma credencial com poder de alterar a operação deve receber proteção equivalente à criticidade do ativo que controla.

Resposta a incidentes precisa considerar a identidade

Quando há suspeita de credencial comprometida, apenas trocar a senha pode ser insuficiente. A resposta deve revogar sessões e tokens ativos, invalidar mecanismos de recuperação, verificar alterações recentes, preservar evidências, revisar contas criadas pelo invasor e procurar movimentos laterais em sistemas integrados.

Na telefonia, a investigação deve correlacionar registros de autenticação, mudanças de configuração, CDRs, tráfego, tentativas de chamada, alterações de rota e ações executadas nos portais. A equipe também precisa saber quem pode bloquear um tronco, restaurar uma configuração confiável, comunicar fornecedores e manter canais essenciais durante a contenção.

A reportagem do Fantástico expõe uma economia criminosa baseada na transformação de acessos legítimos em serviços clandestinos. A defesa mais consistente começa quando a empresa deixa de tratar credenciais como simples senhas e passa a administrá-las como ativos críticos, com ciclo de vida, proprietário, escopo, evidência e capacidade de revogação.