X-Force Threat Intelligence Index 2026

Nos últimos 2 anos, a X-Force reportou o abuso de credenciais válidas como um dos principais vetores de acesso inicial usados por adversários em diferentes setores e regiões.

O uso de credenciais legítimas para obter acesso a infraestruturas tem atraído atacantes devido à sua relativa simplicidade e alta taxa de sucesso. No entanto, em 2025 a X-Force observou uma mudança drástica nessa tendência. Testemunhamos um aumento de 44% nos incidentes causados pela invasão de aplicações voltadas para o público. Esse aumento representou 40% dos casos, enquanto o uso de credenciais válidas representou apenas 32% dos casos. As aplicações públicas estão sujeitas à invasão por meio de vulnerabilidades ou configurações incorretas associadas à implementação, configuração ou ambas.

Essa tendência foi agravada por um aumento nos ataques à cadeia de suprimentos visando cada vez mais ecossistemas de desenvolvimento e a infraestrutura confiável, o que significa que as vulnerabilidades estavam sendo exploradas mais cedo no ciclo de vida do software e em escala muito maior. Essa mudança também pode estar relacionada a pontos fracos nos ambientes dos clientes observados pela X-Force Red (descritos mais adiante neste relatório), onde configurações incorretas, autenticação fraca e código inseguro identificados pelos padrões CAPEC-180, CAPEC-49 e CAPEC‑242 proporcionaram pontos de entrada fáceis com constância. Juntas, a fragilidade sistêmica nos ecossistemas da cadeia de suprimentos e a prevalência dessas fraquezas fundamentais do CAPEC aceleraram consideravelmente a invasão de vulnerabilidades ao longo de 2025.

Além disso, observamos um aumento nos esforços de descoberta e geração de relatórios em 2025. A X-Force mantém um banco de dados que acompanha vulnerabilidades ao longo do tempo e nossos dados indicaram uma tendência crescente notável, ano após ano, de novas vulnerabilidades. Essa tendência marca a crescente complexidade dos ecossistemas de software e da superfície de ataque disponível para incluir sistemas de IA. Também é plausível que esse aumento nos relatórios de vulnerabilidades possa resultar, em parte, do fato de pesquisadores e invasores usarem ferramentas de IA e aprendizado de máquina para identificar resultados.

Além disso, as vulnerabilidades rastreadas podem ser colocadas em duas categorias determinadas pela necessidade de autenticação para a invasão. Os dados revelam que a maioria (56%) das vulnerabilidades pode ser explorada sem autenticação, aumentando consideravelmente a superfície de ataque em potencial. Essa tendência ressalta uma preocupação crítica de segurança. Os sistemas que não têm controles de autenticação são mais suscetíveis ao acesso e à invasão não autorizados, o que torna essencial que as organizações implementem mecanismos robustos de autenticação e apliquem políticas rigorosas de acesso.

Embora não seja mais o principal vetor de acesso inicial, o uso indevido de contas válidas representou quase um terço dos casos, indicando uma dependência constante de credenciais legítimas. As credenciais legítimas continuam sendo um dos pontos de entrada preferidos para invasores, porque eliminam a necessidade de explorações e permitem que os adversários se misturem sem dificuldades no processo normal de autenticação. Esse tema é claro em várias investigações do IBM X-Force.

Campanhas criadas com base no roubo de credenciais como etapa de habilitação mostram o mesmo padrão:

• A operação de 2025 da Hive0145 contra organizações alemãs entregou o Strela Stealer especificamente para coletar credenciais do Microsoft Outlook e do Mozilla Thunderbird. Uma vez obtidas, essas credenciais reais permitiram que os invasores acessassem caixas de correio e se passassem pelos usuários.
  
  
• Da mesma forma, a onda de spear phishing concentrada na França utilizou dados vazados de clientes de ISPs para induzir as vítimas a inserir suas credenciais da Amazon em uma página de login falsa, possibilitando o controle imediato da conta sem nenhuma invasão técnica.

Além das campanhas de phishing para roubo de credenciais, os atacantes também visam sistemas que armazenam ou gerenciam credenciais de alto valor. Nossa equipe X-Force Red Adversary Services publicou uma pesquisa sobre a descriptografia de credenciais do SCCM (System Center Configuration Manager da Microsoft). Os analistas demonstraram que uma vez que um invasor obtém acesso a um servidor do Configuration Manager, ele é capaz de extrair e descriptografar as senhas das contas de serviço armazenadas no banco de dados do SCCM. Eles podem então usar essas credenciais válidas para transitar pelo ambiente com a mesma confiança e alcance que a própria infraestrutura de gerenciamento da organização. Nessa fase, o atacante não precisa de uma exploração, basta que ele faça login com contas do SCCM que automatizam a implementação de software e possuem amplas permissões de rede, transformando um único servidor comprometido em acesso a toda a empresa.

O uso de credenciais legítimas (seja por phishing ou roubadas) pode permitir que os invasores passem de estranhos a usuários autorizados, ignorando controles e obtendo acesso persistente e de baixa visibilidade.

Conhecendo o valor das credenciais para os cibercriminosos, não é surpreendente que essas sejam algumas das credenciais mais procuradas nos mercados de cibercriminosos. Nossa análise descobriu que a coleta de credenciais liderou a lista de impactos sofridos pelas organizações que foram vítimas em 2025.

A proliferação de chatbots e inteligência artificial nas operações comerciais criou um novo vetor de ataque para cibercriminosos que utilizam malware de roubo de informações. Com as organizações integrando cada vez mais tecnologias de chatbot IA em seus fluxos de trabalho, surgiu o risco de sistemas infectados com credenciais armazenadas para essas plataformas. Além disso, o roubo de credenciais de chatbots de IA que permitem acesso a outros sistemas, ilustrado pelo incidente Salesloft/Drift, onde atacantes roubaram tokens de Drift OAuth e os utilizaram para invadir múltiplos ambientes do Salesforce, mostra que o acesso baseado em tokens de chatbot a outros sistemas já está acontecendo e pode estar ocorrendo de forma mais ampla.

As cinco principais plataformas — ChatGPT (OpenAI), Microsoft Copilot, Google Gemini, Perplexity e Claude AI (Anthropic) — foram avaliadas quanto a contas à venda na dark web contendo credenciais para essas plataformas.  A visibilidade varia consideravelmente de plataforma para plataforma incluída no conjunto de dados. Aquelas que usam provedores de terceiros, como SSO, Apple, Google ou Microsoft, não têm credenciais específicas da plataforma armazenadas e não podem ser identificadas nos dados de credenciais. Em 2025 foram observadas à venda mais de 300 mil credenciais do ChatGPT.

Além disso, em fevereiro de 2025 um agente de ameaça publicou um exemplo de credencial do ChatGPT no BreachForums e alegou ter roubado mais de 20 milhões de contas.  Embora nenhum dos exemplos de credenciais postados ainda fosse válido, as credenciais correspondiam sempre a infecções por malware de roubo de informações e coleções de credenciais vazadas observadas em 2024 e anteriormente. Isso ilustra como o roubo de credenciais em larga escala, resultante de atividades passadas de ladrões de informações, pode ressurgir como uma nova oportunidade criminosa, transformando dados previamente comprometidos em novas oportunidades de invasão.

Embora 2025 tenha testemunhado desmantelamentos consideráveis de infraestruturas de malware de roubo de informações, como o Lumma e o Rhadamanthys, a utilização desse tipo malware continua sendo um método fácil para agentes de ameaça conseguirem acesso.

Tal como acontece com a adoção de outras novas tecnologias, as empresas devem primeiro avaliar as políticas e a adoção de chatbot IA dentro de sua organização.  Em seguida devem priorizar a educação da conscientização sobre cibersegurança e as melhorias na proteção de credenciais, como o uso de autenticação multifator e chaves de acesso, detecção de padrões de login anormais e monitoramento da exposição de credenciais.