Resumo executivo
A Okta Threat Intelligence (OTI) atingiu recentemente um marco significativo: enviamos nossa 10.000ª notificação de domínio suspeito para um cliente.
Quis marcar o momento explicando como e por que fazemos este trabalho importante.
Gostaria também de compartilhar uma pesquisa que realizamos para comprovar o quão únicas são essas notificações. A grande maioria (mais de 80%) dos indicadores de comprometimento que identificamos e compartilhamos nessas notificações aos clientes não foram sinalizados como suspeitos por outros provedores de serviços na época.
Por que nos esforçamos ao máximo
A visão da Okta é permitir que todas as pessoas usem qualquer tecnologia de forma segura, e o OTI desempenha um papel ativo no avanço desse objetivo. A Okta é a maior provedor de identidade independente do mundo e levamos muito a sério as obrigações que acompanham essa posição.
A OTI é uma equipe multidisciplinar de profissionais de segurança dedicada a pesquisar, rastrear e mitigar ameaças. Oferecemos insights, aconselhamento especializado e suporte aos nossos clientes e à comunidade em geral.
A cada minuto de cada dia, agentes de ameaça em todo o mundo procuram atacar Organizações em setores de alto risco. Seus motivos variam enormemente, desde ganho financeiro até espionagem patrocinada pelo Estado. Como provedor de identidade preferida por algumas das organizações mais seguras e sensíveis do mundo, a Okta está bem posicionada para detectar, rastrear e mitigar ameaças centradas na identidade.
Nossas investigações normalmente começam rastreando a infraestrutura de internet que os agentes de ameaça criam como parte de campanhas mais amplas para manipular socialmente os usuários. Também obtemos informações e dicas de nossos clientes e Organizações com ideias semelhantes, compartilhando e recebendo Threat Intelligence para construir um entendimento coletivo das ameaças. Nenhuma organização consegue fazer isso sozinha. Cada um de nós possui uma parte do panorama geral de como os agentes de ameaças operam, e compartilhar essa informação é de vital importância.
Nossas investigações publicadas sobre novos painéis de phishing controlados por operadores, como o Work Panel, e plataformas de phishing AitM, como o VoidProxy, são dois exemplos que me vêm à mente, nos quais nosso trabalho não apenas enumerou a infraestrutura dos atacantes, mas também ajudou a explicar ao mundo como essas ameaças funcionam.
Notificações de segurança
As nossas notificações de atividades suspeitas mais comuns dizem respeito a atividades suspeitas em domínios e a atividades suspeitas em contas de usuários.
Atividade suspeita no domínio
Enviamos notificações de atividades suspeitas de domínio quando identificamos inscrições de domínio ou configurações de infraestrutura que, em nossa avaliação, indicam com segurança a intenção de atacar uma organização protegida pela Okta. Monitoramos diversas fontes de inteligência, tanto públicas quanto comerciais, juntamente com a telemetria da nossa própria plataforma, para rastrear novas infraestruturas à medida que os agentes de ameaças se preparam para iniciar campanhas. Quando tudo se alinha, conseguimos avisar os clientes com antecedência antes do início de uma campanha.
Às vezes, a ligação entre um domínio ou subdomínio é explícita. Em outros casos, a ligação à organização do cliente é mais sutil, como conteúdo visível no site ou contido no DOM da página de phishing. Sempre que possível, fornecemos links para os resultados do URLScan de uma página, para que a equipe de segurança do cliente possa analisar o site por conta própria.
Atividade suspeita na conta
Enviamos uma notificação separada se o Okta Threat Intelligence identificar interação do usuário com infraestrutura que associamos a agentes de ameaças. O uso da palavra “suspeito” é muito intencional: nossa visibilidade sobre o que é considerado suspeito no ambiente de um cliente é limitada. Dito isso, o feedback dos clientes ao longo de vários anos tem demonstrado que essas notificações fazem uma diferença real, seja como o alerta inicial que inicia uma investigação ou como um sinal adicional que informa uma resposta em andamento a um incidente. Os clientes costumam nos dizer que nosso alerta antecipado permitiu que eles agissem antes que um agente de ameaça pudesse causar danos. Não há nada que nossa equipe goste mais de ouvir!
Essas notificações chegam aos clientes por meio de seus Contatos de Segurança Primários, uma função que os clientes podem definir na Central de Suporte da Okta. Esses e-mails fornecem informações práticas, indicadores de comprometimento (IoCs) e conselhos para que uma equipe de segurança ou de identidade possa agir para se proteger e investigar atividades suspeitas. Quando disponíveis, incluímos links para avisos de ameaças com mais detalhes sobre o agente de ameaça, a campanha ou as TTPs envolvidos.
Uma fonte única de inteligência
Uma pergunta frequente é por que acreditamos que os indicadores que identificamos são maliciosos, visto que os domínio e endereços IP geralmente não são classificados como maliciosos no VirusTotal, uma plataforma confiável de Threat Intelligence que utiliza uma ampla gama de fornecedores de segurança e Threat Intelligence.
Todos os indicadores identificados e monitorados pela OTI são identificados no decorrer de nossas próprias investigações e pesquisas sobre ameaças. Realizamos essa análise continuamente, identificando e rastreando agrupamentos de atividades de ameaça à medida que surgem. O resultado é um fluxo distinto de Threat Intelligence centrado na identidade.
Recentemente, realizamos uma análise sobre a singularidade de nossos IoCs em comparação com os dados disponíveis sobre eles no VirusTotal. Queríamos saber qual porcentagem dos indicadores que identificamos já estavam sinalizados como maliciosos no VirusTotal no momento em que notificamos os clientes.
Os resultados foram impressionantes: 83% dos indicadores que confirmamos como maliciosos não foram detectados anteriormente em nenhum outro lugar. Dos restantes, 14% tinham apenas de uma a quatro fontes, e apenas 3% tinham mais de quatro.
Os indicadores identificados por nossos pesquisadores são integrados ao Okta Identity Threat Protection (ITP), oferecendo aos clientes da Okta a oportunidade de configurar remediações em tempo real (abrir tíquetes no SOC, redefinir senhas, revogar sessões etc.) para interações de usuários com infraestrutura maliciosa conhecida.
Mas não paramos por aí. A segurança de cada cliente da Okta é importante para nós. Notificamos os principais contatos de segurança de qualquer cliente da Okta que identificarmos como alvo de ataques, ou que tenhamos motivos para acreditar que agentes de ameaças estejam se preparando para atacar, independentemente do produto da Okta que eles adquiram. Enviamos 736 dessas notificações somente em julho de 2026.
Estamos aqui para ajudar
Assim como muitos dos maiores provedores de plataforma do mundo, a Okta articula um modelo de responsabilidade compartilhada para comunicar claramente a linha divisória entre nossas responsabilidades de segurança e as de nossos clientes. Somos responsáveis pela segurança da Okta Platform, enquanto nossos clientes são responsáveis pela segurança de suas organizações (locatários).
Nossas notificações proativas ultrapassam um pouco essa linha, mas não sentimos que a ultrapassamos completamente. Essas detecções têm uma alta taxa de verdadeiros positivos e levaram diretamente à mitigação de ameaças contra um grande número de clientes ao longo de cinco anos, algo de que continuamos imensamente orgulhosos.
Embora nem sempre possamos divulgar a metodologia que utilizamos para rastrear esses agentes de ameaça, saiba que, se você receber uma de nossas notificações de atividade suspeita, isso se deve ao trabalho diligente de uma equipe de pessoas dedicadas a proteger o que é mais importante para a Okta: nossos clientes.
Daniel Lopez contribuiu para esta pesquisa.
