Edição de 30/09: recuperar uma conta não basta para encerrar as sessões

Qual é a decisão de regresso ao serviço?

Esta edição dirige-se ao responsável de incidente, identidade e donos das aplicações. A pergunta não é apenas se foi possível voltar a entrar, mas se os acessos anteriores deixaram de servir e se o novo acesso foi recuperado por um caminho aprovado. Não relata um incidente ocorrido em 30 de setembro nem apresenta uma intervenção interna da Velqory.

A ficha final e o abstract do NIST SP 800-61 Rev. 3, publicado em abril de 2025, enquadram resposta a incidentes no risco de cibersegurança e no CSF 2.0. Foram lidos esses metadados e resumo, não o PDF. O procedimento detalhado desta edição é proposta original não testada; não é um runbook certificado pelo NIST.

Um protocolo não promete logout global

O RFC 7009 trata revogação de tokens OAuth. Na secção 2.2, HTTP 200 pode significar revogação bem-sucedida ou submissão de token inválido. A secção 5 adverte que, sem suporte de revogação de access tokens, revogar o refresh token não os invalida imediatamente. Uma resposta positiva não deve ser traduzida em «todos os acessos encerrados».

O texto admite diferenças de implementação e propagação. A recomendação Velqory é pedir ao dono de cada serviço a documentação sobre sessões próprias, tokens e concessões relacionados. Não assumir que redefinir uma palavra-passe, sair de um portal ou revogar um token produz o mesmo efeito em todas as aplicações.

Mapear antes de reativar

Proposta operacional: criar uma linha por aplicação e tipo de acesso relevante, com dono, ação disponível e limitação conhecida. Incluir sessão do navegador, sessão da aplicação, refresh token, access token e concessões persistentes quando existam. Não registar valores secretos no dossiê; usar identificadores protegidos e horas.

O responsável de incidente decide a contenção autorizada e a sequência compatível com preservação de evidência e continuidade. Uma aplicação cuja semântica não está confirmada deve permanecer explicitamente em aberto. Não repetir tentativas com credenciais suspeitas nem usar a conta de um atacante para fabricar uma prova de fecho.

Aceitação por domínio de controlo

A matriz é uma proposta não testada. Os ensaios devem usar contas autorizadas e respeitar a documentação. O verificador regista a condição anterior e a observação posterior, sem guardar cookies ou tokens em relatórios partilhados. Ausência de resultado não equivale a rejeição observada.

A aplicação continua aberta noutro dispositivo

Cenário hipotético: o portal de identidade confirma uma ação de recuperação, mas uma aplicação permanece utilizável num segundo dispositivo. A equipa não deve concluir que a recuperação falhou em todos os serviços nem que o incidente acabou. Deve localizar o domínio de controlo que mantém o acesso e obter a sua regra documentada.

O exercício passa se consegue explicar e tratar essa sessão no âmbito autorizado, com observação posterior e limites explícitos. Falha se a evidência é apenas um ecrã do portal. Se existir uma janela residual que não pode ser eliminada imediatamente, o dono do incidente deve decidir contenção e condição de retorno, não apagar a pendência.

Não reconstruir o mesmo caminho frágil

A CISA distingue métodos MFA resistentes a phishing de alternativas vulneráveis e discute obstáculos de migração. Isso não prova que uma recuperação específica seja segura. A proposta Velqory é rever o novo vínculo de autenticação e os meios de recuperação antes de autorizar uso normal, com pessoa responsável e verificação independente quando possível.

Preserve decisões, limitações de cada serviço e observações que suportam o retorno. Encerrar este trabalho significa aceitar um âmbito demonstrado, não afirmar que toda a persistência possível foi eliminada. O resultado útil é alguém conseguir explicar o que perdeu acesso, o que foi recuperado e que sinal obriga a reabrir a resposta.