Falhas de Autenticação em Sistemas Conectados à IA Geram Multas do GDPR, Alerta Salt Security

Uma ação regulatória de 2025 contra a Vodafone GmbH sinaliza uma mudança regulatória em expansão: falhas na governança de autenticação em sistemas empresariais não são mais tratadas como dívida técnica. Elas são passivos de conformidade com consequências financeiras imediatas, e a pressão está a acelerar para 2026.

PALO ALTO, Califórnia, 29 de junho de 2026 — Salt Security, líder em Segurança Agêntica e de API, emitiu hoje orientações para equipes de segurança e conformidade empresarial após o Comissário Federal Alemão para a Proteção de Dados e Liberdade de Informação (BfDI) ter imposto uma multa GDPR de €30 milhões (US$34 milhões) à Vodafone GmbH por falhas de segurança no processo de autenticação para clientes que utilizam seu portal online e linha direta MeinVodafone. O BfDI determinou que as vulnerabilidades de autenticação permitiram que terceiros não autorizados acessassem perfis eSIM de clientes, possibilitando ataques de troca de SIM e o potencial comprometimento da autenticação de dois fatores em serviços conectados.

A ação regulatória, noticiada por The Record from Recorded Future News, faz parte de uma multa total de €45 milhões que também incluiu uma penalidade de €15 milhões pela falha da Vodafone em monitorar adequadamente as agências parceiras terceirizadas. A Vodafone reconheceu que “os sistemas e medidas em vigor na época se mostraram, em última análise, insuficientes” e desde então revisou sua infraestrutura de autenticação.

O caso Vodafone não é um incidente isolado. Ele reflete um padrão que se estende muito além das telecomunicações. À medida que as empresas implementam agentes de IA e sistemas conectados em toda a infraestrutura voltada para o cliente, os controles de autenticação que regem o que esses sistemas podem acessar tornaram-se a linha de frente da responsabilidade regulatória. Os totais de fiscalização do GDPR ultrapassaram €5,88 bilhões desde 2018, e os reguladores estão cada vez mais focados em saber se as organizações tinham a infraestrutura de governança em vigor para prevenir incidentes, e não apenas se responderam a eles.

A direção dos próprios reguladores é clara. A Comissária do BfDI, Louisa Specht-Riemenschneider, afirmou que sua motivação é “garantir que as violações de proteção de dados não ocorram em primeiro lugar,” acrescentando que “a proteção de dados é um fator de confiança para os usuários de serviços digitais e, portanto, pode se tornar uma vantagem competitiva.” Essa abordagem, prevenção em vez de resposta, é o padrão que as empresas devem buscar agora, antes do início da fiscalização da Lei de IA da UE em agosto de 2026.

“A ação regulatória da Vodafone de 2025 é um sinal que as empresas não podem se dar ao luxo de ignorar em 2026. Os reguladores não estão esperando por uma violação para acionar a fiscalização. Eles estão examinando os controles que deveriam ter prevenido uma. À medida que as organizações implementam mais agentes de IA e serviços conectados, os controles de autenticação que regem o que esses sistemas podem acessar tornam-se um requisito regulatório, não apenas uma boa prática de segurança. A auditoria virá. A questão é se sua postura se sustentará quando isso acontecer.” Roey Eliyahu, CEO e Cofundador, Salt Security

O que os Reguladores Esperam que as Organizações Demonstrem

Com base no padrão das ações de fiscalização do GDPR envolvendo vulnerabilidades de sistemas conectados, a Salt Security identificou três capacidades que os reguladores esperam que as organizações demonstrem:

• Inventário completo de agentes e sistemas conectados: A capacidade de mostrar quais agentes de IA, sistemas conectados e serviços de integração existem no ambiente, quais requisitos de autenticação cada um possui e quando cada um foi revisado pela última vez. Os reguladores têm citado consistentemente a ausência de inventário sistemático como evidência de controles inadequados sob o Artigo 32 do GDPR.
• Monitoramento comportamental em tempo real em toda a pilha conectada: Evidência de que a atividade em agentes de IA e sistemas conectados é monitorada continuamente para comportamento anômalo, não revisada periodicamente após o ocorrido. No caso da Vodafone, as vulnerabilidades de autenticação estavam presentes antes da detecção, criando uma janela de exposição para dados de clientes antes que o problema fosse identificado e corrigido.
• Trilha de auditoria de ações e acessos do sistema: A capacidade de produzir um registro completo de quais sistemas foram acessados, por quem ou por qual agente, quando, e se esse acesso foi devidamente autenticado e autorizado. Organizações que não conseguem reconstruir essa linha do tempo quando os reguladores solicitam enfrentam responsabilidades crescentes.

A Plataforma de Segurança Agêntica da Salt Security aborda todos os três requisitos. A plataforma oferece descoberta contínua de agentes, servidores MCP e sistemas conectados em todo o Grafo de Segurança Agêntica, monitoramento comportamental que detecta padrões de acesso anômalos em relação a linhas de base estabelecidas, e o gerenciamento de postura e trilha de auditoria que as equipes de conformidade precisam antes que uma investigação seja aberta, e não depois.

“Falhas de autenticação em sistemas empresariais agênticos e conectados estão entre as lacunas de governança mais comuns e consequentes que vemos em ambientes empresariais. A ação regulatória da Vodafone é um lembrete de que encontrar essas lacunas após uma ação regulatória não é o objetivo. Construir a infraestrutura de visibilidade e governança para encontrá-las primeiro, sim.” Michael Callahan, VP de Estratégia Cibernética, Salt Security

A Direção Regulatória Geral

A multa da Vodafone segue uma ação de fiscalização de €42 milhões contra a operadora francesa Free Mobile por uma violação que expôs 24 milhões de registros de clientes, e reflete uma direção regulatória consistente: responsabilização por resultados no mundo real de sistemas conectados, e não apenas documentação de intenção. A Lei de IA da UE, com aplicação a partir de agosto de 2026, adiciona requisitos de governança especificamente para sistemas de IA que interagem com dados e serviços empresariais. Leis de governança de IA em nível estadual no Colorado, Califórnia e Texas estão estabelecendo estruturas de responsabilização semelhantes nos Estados Unidos.

Empresas que tratam a governança de autenticação em seus sistemas conectados e autônomos como uma preocupação de desenvolvimento, em vez de uma preocupação de conformidade, estão operando com uma premissa regulatória que os reguladores não estão mais fazendo.