Em julho de 2025, criminosos desviaram R$ 541 milhões de instituições financeiras brasileiras sem explorar uma única falha de software. O caminho foi mais simples: um técnico da C&M Software, empresa que conecta bancos ao sistema do Banco Central, vendeu o próprio login e senha por R$ 15 mil, e com essas credenciais legítimas os invasores executaram 166 operações de transferência. A própria C&M atribuiu o caso a engenharia social para compartilhamento indevido de credenciais, não a falha de sistema. É aí que mora o problema das pequenas e médias empresas: se a rede confia em quem já está dentro, basta uma senha vazada — de um funcionário ou de um fornecedor — para que o atacante circule livremente. E na PME, quase sempre, todo mundo está “dentro”.
O que é Zero Trust — e o que não é
Zero Trust é um modelo de segurança que parte de uma premissa desconfortável: a rede interna não é confiável. Nenhum usuário, dispositivo ou aplicação recebe acesso só porque está conectado ao Wi-Fi do escritório ou à VPN. Cada tentativa de acesso é verificada de novo, com base no usuário, no dispositivo, na origem e no que se pretende fazer. O resumo cabe em quatro palavras: nunca confie, sempre verifique.
Vale dizer o que Zero Trust não é: não é um produto que se compra e instala — quem vende “uma caixa de Zero Trust” está vendendo firewall com nome novo. A norma de referência, NIST SP 800-207, descreve Zero Trust como sete princípios e uma arquitetura lógica, não como tecnologia específica. É uma forma de reorganizar controles que a empresa já tem.
Por que o perímetro deixou de existir
O modelo antigo funcionava como um condomínio com portaria única: o porteiro confere quem entra no prédio e, depois disso, a pessoa circula por todos os andares. Fazia sentido quando os sistemas ficavam no servidor da sala dos fundos e ninguém trabalhava de casa. Hoje os dados estão no Microsoft 365, o ERP é SaaS e o contador terceirizado tem login no seu sistema. Não existe mais um portão para guardar.
Zero Trust troca a portaria única pelo crachá que abre só o andar certo, só no horário certo — e que é conferido em cada porta, não apenas na entrada. Se o crachá for roubado, o prejuízo fica contido a um andar.
Os cinco pilares que organizam o trabalho
O modelo de maturidade da CISA divide a jornada em cinco pilares — útil porque impede a empresa de tentar tudo ao mesmo tempo:
- Identidade — quem é o usuário, comprovado por autenticação forte.
- Dispositivos — o equipamento é conhecido, atualizado e monitorado.
- Redes — segmentação, para que um ponto comprometido não alcance tudo.
- Aplicações — acesso por aplicação, não por “estar na rede”.
- Dados — classificação, criptografia e controle de para onde a informação vai.
Como proteger sua empresa na prática
1. Comece pela identidade, com MFA em tudo
Se você fizer uma única coisa, faça esta: MFA obrigatório em e-mail, VPN, ERP, acesso remoto e painéis administrativos — sem exceção para diretoria ou TI. O relatório Cost of a Data Breach 2025 da IBM aponta o phishing como a causa mais comum de violações, presente em 16% dos casos. Phishing entrega senha; MFA transforma senha roubada em senha inútil. Prefira aplicativo autenticador ou chave de segurança a código por SMS.
2. Aplique privilégio mínimo e revise trimestralmente
Ninguém precisa de acesso a tudo. Mapeie quem acessa o quê e corte o excedente — contas de ex-funcionários, contas de serviço antigas e o hábito de trabalhar como administrador local. Uma revisão de permissões por trimestre é uma reunião de uma hora que fecha portas que ninguém sabia estarem abertas.
3. Trate fornecedores como usuários de risco
O caso da C&M é um caso de terceiro. Contador, desenvolvedor, suporte de sistema: cada um com acesso nominal (nunca conta compartilhada), limitado ao que usa, com MFA e prazo de validade. Acesso de fornecedor que não expira vira porta permanente.
4. Segmente a rede
Separe em redes distintas os servidores, as estações de trabalho, o Wi-Fi de visitantes e os dispositivos que ninguém atualiza — câmeras, impressoras, relógio de ponto. Segmentação não impede a invasão, mas impede o movimento lateral, que é como um incidente pequeno se torna uma parada total.
5. Verifique o dispositivo, não só a pessoa
Credencial correta em notebook desatualizado e sem antivírus ainda é risco. Para acessar dados sensíveis, exija equipamento com sistema atualizado, disco criptografado e EDR ativo. Notebook pessoal sem controle não deveria abrir o ERP.
6. Monitore e responda
Zero Trust gera sinais: login em horário estranho, acesso de outro país, tentativa de escalar privilégio. Sem alguém acompanhando, o sinal só é lido no post-mortem. A IBM mediu um ciclo médio de 241 dias entre violação e contenção — o menor em nove anos, e ainda assim oito meses de invasor dentro de casa.
Onde as empresas brasileiras realmente estão
O Brazilian CyberSecurity Index 2026, da BugHunt, mostra que 49% das empresas brasileiras planejam adotar arquitetura Zero Trust nos próximos dois anos. A execução é outra história: o Gartner projeta que apenas 10% das grandes organizações terão um programa Zero Trust maduro e mensurável até 2026, partindo de menos de 1%. E faz o alerta honesto de que mais da metade dos ciberataques mirará áreas que os controles de Zero Trust não cobrem. Ou seja: Zero Trust reduz drasticamente o alcance de uma credencial roubada, mas não substitui backup imutável, atualização de software nem treinamento de equipe.
Um projeto de meses, não de anos
A boa notícia para a PME é que o caminho é incremental e barato no começo: MFA, revisão de permissões e controle de acesso de fornecedores usam recursos que já vêm no Microsoft 365 ou no Google Workspace que a empresa paga. Não existe “ligar o Zero Trust” — existe escolher o primeiro pilar, fechar as portas mais óbvias e avançar. Quem espera o projeto perfeito segue com a portaria única.
🔐 Se uma senha da sua equipe vazar hoje, o que o invasor alcança? Fale com os especialistas da Trinity TI e faça um diagnóstico de acessos e identidade da sua empresa — o primeiro passo do Zero Trust é saber quem pode o quê.
