Em julho de 2025, um desenvolvedor back-end júnior da C&M Software vendeu o próprio login e senha por R$ 15 mil. Aquela credencial abria o sistema que conecta instituições financeiras ao Banco Central, e as investigações apontaram um desvio de mais de R$ 813 milhões. Não houve malware inédito nem vulnerabilidade exótica — houve uma conta com permissão demais e controle de menos. É esse o risco que ronda a pequena e média empresa, onde quase todo mundo é administrador de alguma coisa e quase ninguém sabe dizer de quê.
O que é acesso privilegiado — e por que ele vale mais que a senha do usuário comum
Acesso privilegiado é qualquer credencial que permite mudar as regras do ambiente, não apenas trabalhar dentro delas: administrador do domínio e do Microsoft 365, senha do firewall, root do servidor, usuário sa do banco, a conta que roda o backup, o acesso do fornecedor de TI e o painel da nuvem.
Pense no prédio da sua empresa: cada funcionário tem um crachá que abre a própria sala, e o zelador tem a chave-mestra que abre todas. Ninguém pendura a chave-mestra na portaria — mas é isso que acontece quando a senha de administrador circula em planilha, em grupo de WhatsApp ou se repete em todos os computadores.
O Verizon DBIR 2026, que analisou cerca de 19.900 incidentes, mostra que o abuso de credenciais caiu como porta de entrada (de 22% para 13%, ultrapassado pela exploração de vulnerabilidades, com 31%). Mas, contando a credencial válida em qualquer ponto da cadeia do ataque, ela reaparece em 39% das violações — na frente de tudo. Ou seja: o invasor entra por uma falha técnica, e é a credencial privilegiada que transforma o incidente em desastre, permitindo escalar permissão, andar de lado pela rede e ficar meses sem ser notado.
O ponto cego: as contas que não são de gente
Quando um gestor lista os administradores, ele pensa em pessoas. Só que a maior parte das credenciais poderosas não pertence a ninguém: são contas de serviço e integrações — o agente de backup, o conector do ERP, a chave de API do sistema de vendas, o usuário que sincroniza o Active Directory com a nuvem e, cada vez mais, agentes de IA que agem sozinhos.
Levantamentos da CyberArk indicam que as identidades de máquina já superam as humanas em mais de 80 para 1, que cerca de 42% delas têm acesso privilegiado ou a dados sensíveis e que 88% das organizações ainda tratam “usuário privilegiado” como sinônimo de pessoa. São justamente as contas com senha que nunca expira, sem segundo fator e sem dono — anotadas num arquivo de texto no servidor.
Onde a PME erra com mais frequência
- Todo usuário é administrador local da própria máquina, “para não travar o trabalho”.
- A mesma senha de administrador local se repete em todos os computadores.
- A conta de administrador é usada no dia a dia, para ler e-mail e navegar — se cair num phishing, o atacante entra com poder máximo.
- Ex-funcionários e ex-fornecedores seguem com acesso ativo meses depois da saída.
- Administrador de nuvem sem MFA: o próprio DBIR 2026 apontou que 37% das organizações tinham uma conta de administrador com autenticação multifator desativada em serviço de infraestrutura como serviço.
Como proteger: PAM em cinco passos que cabem numa PME
Gestão de acesso privilegiado (PAM) tem fama de projeto caro de banco. Não precisa ser: o maior ganho vem de processo, não de software.
1. Faça o inventário de quem é administrador de quê
Liste numa única planilha todos os acessos privilegiados — domínio, M365, firewall, servidores, banco, backup, nuvem, ERP e fornecedores —, incluindo contas de serviço. Quase toda empresa se surpreende com o tamanho da lista e com algum acesso de quem já saiu.
2. Separe a conta de administrador da conta do dia a dia
Quem administra deve ter duas identidades: uma comum, para e-mail e navegação, e outra administrativa, usada só para administrar. É o que pede o controle 5.4 do CIS Controls v8, sobre contas administrativas dedicadas. Assim, um clique errado não entrega o ambiente inteiro.
3. Tire o privilégio permanente
Ninguém precisa ser administrador 24 horas por dia. Conceda a elevação sob demanda e com prazo (acesso just-in-time), com aprovação registrada. O Entra ID já faz isso nativamente nos planos corporativos; em ambientes menores, um processo formal de solicitação e revogação já reduz muito o risco.
4. Guarde as senhas privilegiadas em cofre e exija MFA
Tire as senhas das planilhas e coloque num cofre de credenciais corporativo, com rotação e registro de quem retirou o quê. Toda conta administrativa — inclusive as de nuvem e as do fornecedor — precisa de segundo fator resistente a phishing.
5. Registre, revise e reduza
Ative o log das ações administrativas e faça uma revisão trimestral de acessos: quem ainda precisa daquilo? Toda revisão deve terminar com contas removidas ou rebaixadas — privilégio que ninguém revisa só cresce.
PAM também é conformidade
Não é só boa prática: é requisito formal. O Anexo A da ISO/IEC 27001:2022 traz o controle 8.2, dedicado a direitos de acesso privilegiado, exigindo identificar, documentar, autorizar formalmente e responsabilizar quem detém esses poderes, sempre com privilégio mínimo. Some a LGPD, que cobra medidas técnicas contra acesso não autorizado, e clientes que já exigem esse controle em contrato.
O ataque não começa grande
Nenhum incidente sério começa grande. Começa com uma credencial que valia mais do que deveria — sem segundo fator, sem prazo e sem dono. No caso da C&M, R$ 15 mil compraram acesso a centenas de milhões. Na sua empresa, a conta certa nas mãos erradas custa o ERP parado, o backup apagado e a base de clientes vazada. Inventariar, separar, limitar no tempo, cofrar e revisar são cinco movimentos baratos diante disso — e nenhum exige um SOC próprio.
🔐 Você sabe dizer, hoje, quantas contas de administrador existem na sua empresa? Fale com os especialistas da Trinity TI e faça o inventário de acessos privilegiados antes que alguém faça por você.
