Sedenir.dev | SaaS está engolindo o mundo — e abrindo brechas na mesma velocidade

Em 2026, o mercado global de SaaS é estimado em US$ 299 bilhões, com cerca de 30.800 empresas operando nesse modelo. A organização média usa 371 aplicações SaaS e o número de apps por colaborador continua crescendo. Em paralelo, 75% das organizações sofreram um incidente de segurança em SaaS nos últimos 12 meses, segundo a AppOmni, e os ataques de terceiros (supply chain) dobraram de 15% para 30% do total de incidentes em um único ano, segundo a Verizon.

Esses dois números — adoção em alta e incidentes em alta — não são coincidência. São o mesmo gráfico.

O mercado: SaaS virou commodity

Alguns recortes que ajudam a entender o tamanho da coisa:

30.800 empresas SaaS ativas globalmente, com previsão de chegar a 72.000 em poucos anos.
A empresa média usa 371 aplicações — algumas oficiais, muitas via shadow IT.
96% das empresas já trabalham com automação SaaS de algum tipo.
O setor de IA-as-a-Service projeta CAGR de 38,4% até 2034.

Pra desenvolvedor, isso significa um mercado endereçável gigantesco e uma barreira de entrada cada vez menor — qualquer um com um stack moderno (Next.js, Postgres, Stripe) consegue subir um produto multi-tenant em semanas. Pra atacante, significa alvos baratos, plentiful e mal monitorados.

O que mudou no jogo dos ataques

Até uns 5 anos atrás, o playbook do atacante era: furar o perímetro (firewall, VPN, endpoint), mover lateralmente pela rede, dropar ransomware. Em 2026 isso virou trabalho desnecessário.

O dado que resume tudo

Segundo a CrowdStrike, 79% dos ataques em 2025 já eram "malware-free" — não usavam código malicioso. O atacante simplesmente fazia login com credenciais válidas. E 88% das brechas envolveram credenciais roubadas ou comprometidas, segundo a Verizon.

Por que se dar ao trabalho de explorar um zero-day se o Salesforce de um cliente tem a base inteira de contatos e oportunidades, o Slack tem as conversas internas sem filtro e o Workday tem a folha de pagamento — e um único token OAuth abre tudo isso?

A nova economia do crime cibernético reflete isso:

Infostealers (Lumma, Redline, Raccoon) são vendidos como serviço por cerca de US$ 50/mês.
Só no primeiro semestre de 2025, infostealers comprometeram mais de 270 mil credenciais do Slack.
O token OAuth virou o novo "single sign-on" do atacante: bypassa MFA, parece tráfego legítimo de API, e raramente é monitorado com a mesma diligência que sessões interativas.

A saga Salesforce: três atos, mesmo enredo

Os últimos 10 meses produziram a melhor demonstração possível de como ataques de cadeia de suprimentos em SaaS funcionam na prática. Três incidentes, nenhum explorando vulnerabilidade da plataforma alvo — todos atacando a integração de terceiro.

Ato I — Salesloft Drift (agosto/2025)

Entre 8 e 18 de agosto de 2025, o grupo rastreado como UNC6395 (também chamado "Icarus" em algumas análises) comprometeu tokens OAuth do Drift, integração do Salesloft com o Salesforce. O resultado: dados extraídos de mais de 700 organizações, incluindo Cloudflare, Zscaler, Palo Alto Networks, Tenable, Rubrik, CyberArk e Workday.

O playbook técnico foi enxuto:

Tokens OAuth roubados via comprometimento prévio dos repositórios GitHub do Salesloft (entre março e junho de 2025).
Autenticação via API do Salesforce como se fosse a aplicação Drift legítima — MFA bypassado porque não há sessão interativa.
Queries SOQL automatizadas em Accounts, Opportunities, Cases.
Foco em credenciais embarcadas em texto livre: chaves AWS, tokens Snowflake, senhas de VPN coladas em tickets de suporte.

A Salesforce revogou os tokens em 20/08, mas o estrago já estava feito.

Ato II — Gainsight (novembro/2025)

Mesmo padrão, mesmo grupo, novo fornecedor. A Gainsight (plataforma de customer success com integração profunda no Salesforce) teve tokens de refresh comprometidos. Mais 200+ instâncias Salesforce afetadas. O user-agent malicioso ("Salesforce-Multi-Org-Fetcher/1.0") chegou a ser publicado, mas a maioria dos clientes não tinha telemetria pra detectar.

Ato III — Klue (junho/2026)

Esta semana. Em 12 de junho de 2026, a Klue (plataforma de market intelligence) identificou atividade não autorizada em sua infraestrutura de integração. A causa raiz: uma credencial legada, criada anos atrás pra testar uma integração que nunca foi pra produção, mas que continuou ativa e com permissões.

Os atacantes:

Usaram a credencial esquecida pra entrar no ambiente da Klue.
Empurraram código no backend que coletava tokens OAuth dos clientes conforme se conectavam ao Salesforce.
Rodaram scripts Python (user-agent python-urllib) com cerca de mil queries em 15 minutos em pelo menos um ambiente, exfiltrando por mais de 6 horas.

Vítimas confirmadas até agora: Huntress, Recorded Future, Tanium, Jamf, Sprout Social, Gong, Insurity. A reivindicação veio do grupo Icarus, com a frase cínica "os dados foram emprestados, não roubados".

Note

O ponto comum dos três casos: nenhum foi vulnerabilidade do Salesforce. Foram falhas em fornecedores SaaS que tinham permissão legítima de acessar dados do Salesforce. O atacante não invade você — ele invade quem você confiou e clicou em "permitir".

O Brasil não está fora dessa

Enquanto a imprensa estrangeira foca em Salesforce, o Brasil produziu seus próprios capítulos:

Dígitro Tecnologia (abril/2026) — fornecedora de sistemas de interceptação para mais de 150 órgãos governamentais teve código-fonte e bancos de dados vazados. O CTIR Gov classificou como crítico. Ataque de supply chain governamental no sentido mais literal.
Defesa Civil Alerta (junho/2026) — sistema de Cell Broadcast invadido e usado pra disparar alertas falsos "extremos" em sete estados (escrevi sobre o caso aqui).
Suposto vazamento MORGUE (abril/2026) — oferta na dark web de 251 milhões de registros de CPFs atribuídos ao Gov.br por US$ 500. O Ministério da Gestão negou invasão; analistas avaliam como recombinação de bases antigas. Mesmo assim, expõe o problema: ninguém consegue confirmar de imediato se vazou ou não, porque a visibilidade é zero.

O custo médio de uma violação no Brasil chegou a R$ 7,19 milhões em 2025 (IBM Cost of a Data Breach). Em saúde, R$ 11,43 milhões. Em finanças, R$ 8,92 milhões.

Por que o ataque a SaaS é estruturalmente diferente

A maioria das equipes de segurança ainda está montada pra defender perímetro. SIEM, EDR, IDS, firewall — tudo focado em rede e endpoint. SaaS quebra essa pilha em três pontos:

1. A identidade virou o perímetro

Token OAuth é, na prática, um SSO permanente. Quando o atacante apresenta o token, a plataforma alvo vê uma chamada de API legítima da aplicação autorizada — não há sessão de usuário, não há prompt de MFA, não há comportamento "anômalo" no sentido tradicional. Ele é a integração.

2. As integrações não são auditadas

Empresa média conecta mais de 200 aplicações via OAuth/API. Cada integração pede permissões amplas no momento da instalação, alguém clica em "Allow All", e a permissão fica viva até alguém manualmente revogar — coisa que raramente acontece. 85% dos usuários SaaS têm mais privilégios do que precisam, segundo dados de mercado.

3. Logs SaaS são opacos

Slack só guarda eventos de segurança detalhados no plano Enterprise Grid.
Workday enterra logs em configurações de tenancy que poucos times tocam.
SIEMs tradicionais não têm detecções pré-prontas pra "grant OAuth anômalo" ou "query SOQL suspeita".

Resultado: o tempo médio pra identificar e conter uma violação ainda é de 241 dias (IBM 2025). Em SaaS, isso pode significar a base inteira de clientes exfiltrada antes de alguém perceber.

O que isso significa pra quem constrói SaaS

Como alguém construindo um SaaS multi-tenant (projeto, no meu caso), olhar esses incidentes não é exercício acadêmico — é manual de sobrevivência. Algumas coisas que estou tratando como inegociáveis:

Checklist mínimo pra SaaS multi-tenant em 2026

MFA obrigatório pra todos os usuários, sem exceção pra "conta de teste" ou "conta de serviço".
Credenciais com expiração curta e rotação automática — a credencial da Klue ficou viva por anos sem ninguém perceber.
Tokens OAuth com escopo mínimo e TTL curto. Refresh tokens com revogação ativa, não passiva.
Logs imutáveis de quem disparou o quê e quando — fora do banco principal, fora do alcance do mesmo atacante.
Row-Level Security real no Postgres, não confiança em filtros de aplicação.
Inventário das integrações: você sabe quem tem acesso à sua base via API neste exato momento? Se não sabe, é igual a quem foi vítima da Klue.
Princípio do menor privilégio aplicado a contas de serviço, não só a humanos.

E talvez o ponto mais importante, que aparece em todos os incidentes acima: a credencial que mata você é a que você esqueceu que existia. Aquela conta de teste de 2022, aquele token "temporário" do POC, aquele integration user que ninguém sabe mais pra que serve. Faça uma auditoria. Hoje, se possível.

Onde isso vai parar

O Cyber Defense Magazine chamou 2026 de "o ano das brechas de SaaS" no início do ano. Seis meses depois, com Klue acontecendo enquanto este post é escrito, parece previsão conservadora. A Cyber Defense Magazine cita o número como tendência se tornando epidemia — e os dados batem.

Três tendências que valem acompanhar nos próximos meses:

Regulação vai apertar. SEC nos EUA, GDPR na Europa, ANPD no Brasil — todos vão começar a perguntar por que sua organização não tinha visibilidade sobre integrações OAuth. A LGPD já trata vazamento como evento de notificação obrigatória; falta jurisprudência sobre o que conta como "negligência razoável" na escolha de fornecedores SaaS.
SSPM (SaaS Security Posture Management) vai virar categoria estabelecida, do mesmo jeito que CSPM virou pra cloud em 2020-2022.
Identidades não-humanas (service accounts, integration users, tokens de aplicação) vão virar o foco principal — e a maioria das empresas vai descobrir que tem 10x mais identidades não-humanas do que humanas, e zero governança sobre elas.

A indústria está construindo SaaS mais rápido do que consegue defendê-lo. Pra quem desenvolve, isso é simultaneamente uma oportunidade gigante e uma responsabilidade que, em 2026, virou impossível de delegar pra "o time de segurança que a gente vai contratar quando crescer".

A próxima Klue pode ser sua aplicação. A pergunta é se você vai descobrir antes ou depois do Icarus.