Roubo de credenciais corporativas: como os infostealers viraram a principal porta de entrada do cibercrime

Enquanto muitas empresas continuam investindo na proteção contra invasões sofisticadas, os criminosos estão adotando um caminho muito mais simples: utilizar credenciais legítimas roubadas.

Um levantamento da Vision Cybersecurity identificou um crescimento de 59% no volume de credenciais corporativas comprometidas entre janeiro e maio de 2026, na comparação com o mesmo período do ano anterior. No mesmo intervalo, o total de credenciais expostas cresceu 56%, e as detecções relacionadas a infostealers, malwares especializados no roubo de informações sensíveis, aumentaram 54%.

Ao todo, foram identificadas mais de 5 milhões de credenciais de usuários domésticos comprometidas na América Latina, além de quase 100 mil credenciais corporativas expostas na região.

Os números não descrevem um problema isolado de senhas fracas. Descrevem uma mudança de estratégia. O roubo de credenciais corporativas deixou de ser um efeito colateral de outros ataques e passou a ser, ele mesmo, o vetor de entrada preferido do cibercrime moderno.

Cada credencial exposta é uma janela de tempo em aberto entre o comprometimento e a exploração e, quanto maior o volume circulando fora do perímetro, maior o número dessas janelas abertas simultaneamente.

O risco não está só no volume, mas na velocidade com que ele cresce mês a mês, mais rápido do que a maioria das operações consegue expandir sua capacidade de monitoramento.

O que mudou no cenário de ameaças?

Por anos, a lógica da segurança corporativa girou em torno de uma pergunta: como impedir que um invasor explore uma vulnerabilidade técnica? Firewalls, patches, testes de intrusão. Todo o investimento foi desenhado para essa frente.

O problema é que, cada vez mais, o invasor não precisa explorar nada. Ele simplesmente entra pela porta da frente, com um login e uma senha válidos.

Acesso legítimo gera menos alertas. Uma sessão autenticada, vinda de uma credencial real, não aciona os mesmos sinais que uma tentativa de exploração técnica. Isso torna esse tipo de ataque mais difícil de detectar e mais barato de executar.

Por trás dessa mudança está uma engrenagem que já opera em escala industrial: os infostealers. Hoje, esse tipo de malware abastece praticamente todo o ecossistema criminoso, desde fraudes financeiras pontuais até operações completas de ransomware.

O que é um infostealer, o que ele coleta e por que isso muda o modelo de resposta?

Um infostealer é desenhado para capturar tudo o que um dispositivo comprometido guarda sobre a identidade digital do usuário: logins, senhas, cookies de sessão, tokens de autenticação e dados de autofill.

O resultado dessa coleta é compilado em um stealer log, um pacote de dados prontos para uso ou revenda, sem que o criminoso precise executar nenhuma etapa adicional de exploração.

Isso muda o modelo de resposta em dois pontos:

1. Primeiro, porque um cookie de sessão ou token capturado pode conceder acesso mesmo depois de uma troca de senha. A rotação de credencial, sozinha, nem sempre encerra a exposição.
2. Segundo, porque não há sinal de ruptura no momento da infecção: sem criptografia de arquivos, sem mensagem de resgate, sem indicador óbvio para o usuário ou para o SOC.

O impacto aparece depois, quando o stealer log já foi vendido ou repassado a um initial access broker, e a credencial vira porta de entrada para outro grupo.

Entre o roubo e a exploração, existe uma janela de tempo, e é exatamente nessa janela que a maioria das operações de segurança ainda não tem visibilidade.

O roubo de senhas deixou de ser o objetivo final

Uma credencial comprometida raramente é o fim de um ataque. Na realidade, é apenas o começo. A partir de um único login válido, um invasor pode alcançar:

• ambientes de colaboração corporativa, como Microsoft 365;
• redes VPN;
• sistemas de gestão empresarial (ERP);
• ferramentas de relacionamento com clientes (CRM);
• ambientes cloud.

A partir desse ponto de entrada, o caminho se abre para movimentação lateral dentro da rede, comprometimento de contas corporativas, fraudes financeiras e, em muitos casos, a implantação de ransomware, com valores de resgate que podem chegar à casa dos milhões.

É por isso que tratar credenciais comprometidas como um “problema de TI” é subestimar o risco, pois é, na realidade, um problema de continuidade de negócio.

O cibercrime virou uma indústria

O avanço dos infostealers evidencia uma transformação mais ampla: o cibercrime está passando pela mesma curva de profissionalização que o mercado legítimo de software já viveu.

O modelo conhecido como Malware-as-a-Service (MaaS) permite que ferramentas maliciosas sejam comercializadas ou alugadas por outros criminosos, sem exigir conhecimento técnico para desenvolvê-las. Isso reduziu drasticamente a barreira de entrada para novos grupos criminosos e ampliou proporcionalmente o volume de ataques.

O levantamento da Vision mapeou como algumas famílias de infostealers já atuam em escala industrial na América Latina:

• RedLine — cerca de 50% das detecções. É o infostealer mais presente na região atualmente. É distribuído principalmente por campanhas de phishing, softwares piratas, keygens e downloads falsos, e é capaz de coletar credenciais, cookies, dados de preenchimento automático e até carteiras de criptomoedas.
• Lumma — cerca de 15% das ocorrências. Uma das famílias que mais crescem na região. Se destaca pela capacidade de evasão, pela distribuição via loaders especializados e pelo foco específico em credenciais corporativas e sessões autenticadas.
• Raccoon — cerca de 10% das detecções. Exemplifica o amadurecimento do modelo MaaS: comercializado em fóruns clandestinos, permite que criminosos sem grande conhecimento técnico realizem campanhas de roubo de credenciais em larga escala.

À medida que os malwares se tornam mais acessíveis e fáceis de compartilhar, as operações se tornam mais escaláveis, capazes de gerar milhões de credenciais comprometidas que alimentam desde fraudes financeiras até ataques de ransomware.

Por que o Brasil merece atenção

O Brasil representa a maior superfície corporativa digital da América Latina. Isso não é uma vulnerabilidade em si, mas é exatamente o tipo de característica que aumenta o interesse de grupos criminosos especializados em roubo e comercialização de acessos empresariais.

Quanto maior o volume de sistemas, aplicações e identidades digitais em operação, maior a superfície disponível para um infostealer explorar.

E, como já vimos, o interesse do cibercrime hoje está menos em vulnerabilidades técnicas raras, e mais em identidades comuns, mal monitoradas.

Como reduzir esse risco em sua empresa

Não existe uma única ferramenta capaz de eliminar o risco de roubo de credenciais. Existe, sim, uma combinação de práticas que reduz drasticamente a chance de uma credencial comprometida se transformar em um incidente real.

• A autenticação multifator (MFA) continua sendo uma das barreiras mais eficazes: mesmo que uma senha seja roubada, ela sozinha deixa de ser suficiente para o acesso.
• O monitoramento contínuo de credenciais expostas, incluindo Dark Web e mercados clandestinos, permite identificar um comprometimento antes que ele seja explorado, em vez de descobri-lo apenas depois do incidente.
• Soluções de detecção e resposta a ameaças (EDR/XDR) ajudam a identificar a execução de um infostealer no ambiente, muitas vezes antes que a exfiltração de dados se complete.

Complementam esse conjunto o treinamento contínuo contra phishing (ainda o principal vetor de distribuição desses malwares) a gestão adequada de senhas, sem reutilização, com uso de password manager, e uma estratégia de Threat Intelligence voltada à identificação precoce de credenciais comprometidas antes que virem acesso.

Nenhuma dessas medidas, isoladamente, resolve o problema. Juntas, formam a diferença entre uma credencial exposta e um incidente e é justamente essa combinação, entre tecnologia própria e soluções globais de mercado, que orienta como a Vision Cybersecurity estrutura o monitoramento contínuo de identidade digital para seus clientes.

O desafio não é mais só proteger senhas

O problema deixou de ser apenas proteger senhas. O desafio é acompanhar continuamente a exposição da identidade digital da organização: colaborador por colaborador, sistema por sistema, credencial por credencial.

Os dados mostram um ecossistema de infostealers que já opera com escala e profissionalismo de indústria: malware comercializado como serviço, famílias especializadas por tipo de alvo, e milhões de credenciais circulando em mercados clandestinos.

Enquanto isso, muitas empresas ainda concentram esforço e orçamento apenas na defesa perimetral, deixando a identidade digital de seus colaboradores como o elo mais frágil da cadeia.

Reduzir esse risco exige combinar tecnologia, inteligência e monitoramento contínuo, para impedir que uma credencial roubada se transforme em um incidente real antes mesmo de a empresa perceber que ela foi comprometida.

Converse com os especialistas da Vision Cybersecurity e entenda como reduzir a janela entre uma credencial exposta e um incidente real com Threat Intelligence, monitoramento contínuo de credenciais e Digital Risk Protection.