PENTESTY · ANÁLISE EDITORIAL · · 4 min de leitura
A contratação também define o perímetro: como revisar identidades e acesso remoto
Empresas precisam conectar seleção, entrega de equipamentos, autorização e desligamento. Uma proposta de avaliação que usa evidências e protege o trabalho remoto legítimo.
Por Pentesty
O anúncio oficial que motivou a análise
O Cyber Security Brazil noticiou a operação anunciada pelo DOJ em 13 de outubro. Segundo o órgão, um esquema atribuído a trabalhadores de TI norte-coreanos afetou mais de 70 empresas americanas, usando identidades falsas ou roubadas e facilitadores com computadores nos EUA. As acusações ainda precisam ser provadas. No mesmo dia, o FBI publicou orientações para empresas e alertou contra a identificação por um único indicador.
Verificar a pessoa é apenas o início do processo
Considere uma contratação fictícia aprovada para desenvolver uma funcionalidade. A função exige um repositório e um ambiente de teste, mas o cadastro corporativo concede permissões herdadas de um perfil anterior. Mesmo quando a identidade está correta, essa divergência amplia o impacto de qualquer uso indevido. A pergunta de avaliação deve partir das ações necessárias à função.
Nossa proposta é ligar o registro de contratação a um conjunto explícito de acessos. Defina quem aprova cada mudança, como a entrega de equipamento é confirmada e quais ferramentas de suporte remoto são permitidas. O controle precisa ser verificável por outra equipe, sem depender apenas da declaração da pessoa avaliada. A análise sobre ameaça interna oferece contexto para aproximar processos físicos e digitais.
Não transforme sotaque, nacionalidade ou trabalho fora do escritório em critério de culpa. Uma divergência pode ter explicação legítima e deve passar por apuração proporcional. Registre a hipótese, a evidência que a sustenta, quem pode analisá-la e como corrigir um erro. Isso melhora a qualidade da decisão e reduz conclusões baseadas em impressão.
Um teste de continuidade entre RH, TI e segurança
- Escopo da função: Crie um perfil fictício com necessidades definidas. Compare as permissões aprovadas às ações realmente disponíveis em repositórios, aplicações e nuvem. Inclua exportação e alteração de configurações relevantes. Evidência: matriz de acesso e respostas observadas.
- Entrega e responsabilidade: Simule a entrega de um equipamento de teste. Verifique se TI consegue relacionar recebimento, responsável e gestão do ativo. Documente como uma mudança de endereço ou custódia exige nova verificação. Evidência: registro de entrega e fluxo de exceção.
- Acesso remoto permitido: Liste as ferramentas autorizadas e os motivos de uso. Em laboratório, confira se a equipe identifica uma instalação fora dessa lista e investiga seu contexto antes de concluir que houve abuso. Evidência: evento detectado, análise e decisão registrada.
- Mudança de função: Mova a conta fictícia entre duas funções. Teste se as permissões anteriores saem quando deixam de ser necessárias. Confira também credenciais de serviços associadas ao trabalho, conforme a arquitetura. Evidência: comparação antes e depois e limitações.
- Desligamento e retomada: Encerre o acesso da conta de teste e verifique sessões, tokens e tarefas agendadas. Ensaie ainda o tratamento de um bloqueio equivocado, com autorização para restaurar somente o que for necessário. Evidência: revogação observada e recuperação controlada.
O relatório deve mostrar onde o processo se rompe
Uma lista de nomes suspeitos não demonstra que o ciclo de acesso funciona. Prefira achados que indiquem qual transição falhou, quem pode corrigi-la e como repetir a verificação. Nosso artigo sobre identidades e exposição em nuvem complementa os controles digitais. Se houver terceirização, o checklist de evidências para fornecedores ajuda a cobrar entregas reproduzíveis. São exercícios propostos pela Pentesty, não testes nas empresas mencionadas pelo DOJ.
Perguntas frequentes
O anúncio já significa condenação dos acusados?
Não. As acusações anunciadas dependem de prova e julgamento. O número de empregadores afetados não substitui a análise das evidências sobre cada pessoa ou organização.
Usar suporte remoto comprova fraude?
Não. Há usos legítimos. Verifique autorização, finalidade, contexto e registros, combinando os sinais disponíveis antes de tomar uma decisão sobre determinada pessoa ou atividade.
RH consegue conduzir essa revisão sozinho?
A avaliação exige participação de quem aprova identidades, entrega ativos e administra os sistemas. Defina responsabilidades e compartilhe somente as informações necessárias à análise de cada equipe.
Red Team pode incluir esse cenário?
Pode, quando objetivos, pessoas envolvidas, ambientes e limites estiverem autorizados. O exercício deve usar identidades fictícias e critérios de interrupção, com resultados revisados por especialistas.
Fontes e referências
- Cyber Security Brazil: referência editorial da notícia
- U.S. Department of Justice: comunicado sobre trabalhadores remotos de TI
- FBI IC3: orientações sobre trabalhadores de TI
Análise original da Pentesty, publicada em 15 de outubro de 2026. Os cenários propostos são orientações editoriais, com escopo e validação a definir para cada ambiente.