Um estudo da NordVPN publicado em agosto de 2026 identificou 52,4 bilhões de cookies de sessão roubados em fóruns da dark web e canais no Telegram, ao longo de doze meses de coleta. O Brasil aparece na segunda posição do ranking mundial, com 2,83 bilhões de registros, atrás apenas da Índia. O dado incomoda porque não fala de senhas fracas nem de funcionários que clicam em links suspeitos. Fala de sessões já autenticadas, sequestradas depois que o usuário legítimo fez login corretamente, com senha forte e autenticação multifator ativa.
É um vetor que reduz o valor de boa parte do investimento em autenticação que as empresas fizeram nos últimos anos. Este artigo trata do que esse dado revela sobre o ponto em que a maioria dos programas de segurança corporativa para de olhar: o momento logo depois do login, quando a sessão já está aberta e ninguém está mais checando quem, de fato, está do outro lado dela.
Uma sessão aberta vale mais que uma senha roubada
Nos últimos anos, boa parte do investimento corporativo em segurança de identidade se concentrou em dois pontos: senhas mais fortes e autenticação multifator (MFA). Ambos reduzem, de fato, o roubo de credenciais no momento do login. O dado da NordVPN mostra onde o esforço dos atacantes se deslocou: cookies de sessão apareceram nos registros analisados 4,6 vezes mais do que senhas, arquivos e dados de cartão de pagamento somados. O cookie de sessão funciona como comprovante de que o login já aconteceu. Quem obtém esse comprovante não precisa mais provar identidade nenhuma: reutiliza a sessão em outro dispositivo, com a mesma permissão que o usuário legítimo tinha um minuto antes.
Talvez o dado mais desconfortável do estudo seja outro: mais de 96% dos dispositivos infectados analisados tinham software de segurança ativo no momento da infecção. O antivírus corporativo segue cumprindo sua função: ele protege o dispositivo contra malware conhecido. O ponto cego aparece no momento seguinte, quando um infostealer já roubou o cookie de sessão em silêncio e o invasor passa a usar essa sessão em outro lugar, minutos ou horas depois.
O alvo, além disso, não é um sistema periférico. Google, Microsoft e Facebook lideram a lista de plataformas mais visadas nos registros analisados, exatamente as ferramentas que sustentam o dia a dia de qualquer empresa: e-mail corporativo, suíte de produtividade, painel de anúncios, sistemas conectados por login único. Quando esse tipo de sessão é sequestrada, o invasor não invade nada no sentido tradicional. Ele simplesmente continua de onde o usuário parou.
O que a posição do Brasil no ranking revela
A posição do Brasil no levantamento (2º lugar global, atrás só da Índia, à frente de Estados Unidos, Indonésia e Filipinas) não decorre de um único fator isolado. Ajustado por população, o estudo aponta Uruguai, Peru e Chile com a maior concentração de cookies roubados por habitante na América Latina, o que sugere um padrão regional de exposição. Para o gestor brasileiro, a exposição pode não depender de a empresa ter sido alvo direto de um ataque. Um dispositivo de colaborador, fornecedor ou parceiro comprometido em qualquer ponto da cadeia pode ter tido sua sessão corporativa incluída no mesmo lote vendido.
O impacto financeiro médio de um vazamento de dados no Brasil chegou a R$ 7,19 milhões em 2025, uma alta de 6,5% em relação ao ano anterior. Esse número ajuda a dimensionar por que o sequestro de sessão não deveria ser tratado como uma nota de rodapé técnica: é um dos caminhos de entrada para os incidentes que geram esse custo, e é um caminho que evita, por natureza, os controles desenhados para detectar tentativas de login malsucedidas ou senhas erradas.
Da TI para a mesa de decisão
Um cookie de sessão corporativo sequestrado abre caminho direto para dados de clientes, informações financeiras e sistemas conectados por login único, sem deixar o rastro de uma tentativa de acesso malsucedida. Para o board, isso tem três desdobramentos concretos. O primeiro é regulatório: sob a LGPD, um acesso indevido a dados pessoais por sessão sequestrada é incidente reportável como qualquer outro, e a dificuldade de detectar esse tipo de acesso tende a alongar o tempo entre a violação e a notificação, exatamente o tipo de atraso que a ANPD tem penalizado com mais rigor. O segundo é reputacional: cliente e parceiro não distinguem entre senha roubada e sessão sequestrada, distinguem apenas entre protegido e exposto. O terceiro é operacional: a continuidade do negócio depende de a empresa conseguir revogar acessos comprometidos rapidamente, e isso só é possível quando existe visibilidade sobre quais sessões estão ativas, de onde e há quanto tempo.
Onde a maturidade de segurança realmente aparece
Empresas maduras em segurança tratam o MFA como o início de um programa de identidade. A etapa seguinte é monitorar o que acontece depois da autenticação: sessões abertas, credenciais e cookies corporativos que aparecem em vazamentos e mercados de dados roubados, comportamento anômalo de acesso, como o mesmo login ativo em dois lugares distantes ao mesmo tempo. Essa vigilância contínua é o que separa uma organização que descobre um sequestro de sessão em minutos de uma que só descobre quando o dano já apareceu em outro lugar: no extrato bancário, num vazamento público ou numa notificação da ANPD. A pergunta que fica para quem lidera segurança e tecnologia é simples: a empresa sabe, agora, quais das suas sessões corporativas ativas realmente pertencem a quem deveria estar do outro lado?
O que fica
O estudo da NordVPN não descreve uma ameaça futura. Descreve um mercado já estabelecido, com 52,4 bilhões de cookies de sessão circulando em fóruns de compra e venda, e o Brasil entre os países mais representados nesse volume. A resposta a esse cenário não está em mais uma camada de senha. Está em tratar a sessão autenticada como um ativo que precisa ser monitorado com a mesma disciplina aplicada à senha que a originou. A Piersec acompanha esse tipo de exposição para empresas que já entenderam que autenticação forte e visibilidade contínua são duas etapas complementares do mesmo processo de proteção de identidade.
