Caso MGM: identidade e governança de acessos

Em setembro de 2023, a MGM Resorts detectou um problema de cibersegurança em alguns sistemas. Dias depois, em Las Vegas havia áreas de cassino fechadas e hóspedes cujas chaves de quarto não abriam. Em 5 de outubro, a empresa informou à Comissão de Valores Mobiliários dos Estados Unidos (SEC) um impacto negativo de cerca de 100 milhões de dólares em um indicador-chave dos resultados de setembro da empresa [1]. A MGM não descreveu o vetor de entrada no 8-K. Segundo a imprensa, o ataque começou em uma central de ajuda; a MGM não o confirmou [4]. Este artigo se concentra nos controles de governança aplicáveis.

O texto foi escrito para quem assina: direção-geral, finanças, operações, sistemas. Não traz uma lista de ferramentas. Traz o que o caso ensina em linguagem de negócio, três perguntas para o próximo comitê e uma ideia que vale levar: hoje, a identidade dos funcionários é o perímetro da empresa.

Um esclarecimento antes de começar: a Hábil não participou deste caso. Contamos o que a empresa informou à SEC, o que as autoridades dos Estados Unidos publicaram e o que a imprensa séria reportou, cada coisa com a fonte correspondente. Quando algo é uma afirmação dos atacantes ou de uma fonte anônima, dizemos.

Primeiro, um termo

Para que todos na mesa entendam a mesma coisa:

• Provedor de identidade: o sistema que decide quem é cada pessoa quando entra no e-mail, no ERP ou na folha de pagamento. Exemplos conhecidos: Microsoft Entra ID, Okta, Google Workspace, Keycloak. A administração desse sistema exige controles reforçados.

Dez dias de setembro

Antes: um alerta que quase ninguém leu como próprio

Um guia da Okta de agosto de 2023 recomenda proteger especialmente as contas privilegiadas [3]. Esse guia não atribui o incidente da MGM.

As fontes públicas não permitem determinar o vetor da MGM. As atribuições jornalísticas e de atacantes não confirmadas não são usadas aqui para reconstruí-lo.

O que os hóspedes viram

A MGM informou depois à SEC que, assim que detectou o problema, desligou os sistemas para proteger as informações dos clientes, e que isso provocou interrupções em algumas propriedades [1]. É uma decisão com custo: cortar a luz para que o fogo não chegue ao depósito.

De fora, viu-se assim. A NBC News reportou, em 15 de setembro, áreas de cassino fechadas, hóspedes que não conseguiam entrar no quarto com a chave eletrônica e funcionários sem acesso ao e-mail corporativo [5]. A empresa, enquanto isso, dizia que a grande maioria dos serviços continuava operando, e depois confirmou à SEC as interrupções em algumas propriedades [1].

Ao lado, outra casa

A Caesars Entertainment, a outra grande operadora de Las Vegas, apresentou um relatório próprio à SEC em 14 de setembro [8]. Ali disse algo que convém ler devagar: detectou atividade suspeita na rede da empresa como resultado de um ataque de engenharia social a um fornecedor externo de suporte de TI que a empresa utilizava. O intruso levou uma cópia da base de dados do programa de fidelidade, com números de carteira de motorista ou de seguro social de uma quantidade importante de membros. A operação voltada ao cliente não foi interrompida [8]. (Engenharia social é o nome técnico de enganar uma pessoa para que ela entregue um acesso.)

Duas empresas, o mesmo mês, a mesma cidade. O caso Caesars é diferente e não permite inferir o vetor da MGM.

A conta

Em 5 de outubro de 2023, a MGM apresentou um Form 8-K, o relatório que as empresas de capital aberto nos Estados Unidos entregam quando acontece algo relevante [1]. O que ele diz, em linguagem de negócio:

• Cerca de 100 milhões de dólares de impacto negativo em setembro sobre o EBITDAR ajustado por propriedade, o indicador com o qual a empresa mede a operação dos resorts, somando Las Vegas e as operações regionais.
• Menos de 10 milhões em despesas pontuais com consultoria tecnológica, advogados e outros assessores.
• A ocupação de setembro foi de 88 %, contra 93 % do ano anterior, pela queda nas reservas no site e nos aplicativos da empresa.
• Os atacantes obtiveram dados pessoais de alguns clientes que fizeram transações antes de março de 2019: nome, contato, data de nascimento, número de carteira de motorista e, para um número limitado, número de seguro social ou de passaporte.
• A empresa disse que não acreditava que tivessem sido obtidas senhas de clientes, contas bancárias nem dados de cartões, e que esperava que o seguro de cibersegurança fosse suficiente, embora o alcance completo do custo não estivesse determinado. As duas eram avaliações preliminares em 5 de outubro de 2023.

Ou seja: mesmo com uma resposta rápida —desligar a tempo, proteger o mais sensível, ter um seguro—, o incidente se traduziu em clientes afetados, interrupções e um impacto estimado no indicador informado à SEC.

O epílogo

Em julho de 2024, a polícia britânica, em coordenação com o FBI e a Agência Nacional contra o Crime do Reino Unido, deteve um jovem de 17 anos como parte de uma investigação global sobre uma comunidade de hackers que havia atacado várias empresas grandes, entre elas a MGM [9]. A investigação continuou. O aviso da CISA e do FBI foi atualizado em 2025 porque o grupo que ele descreve continuava mudando de método [2].

O que um diretor deve levar

1. A identidade é o perímetro

Durante anos, a segurança foi pensada como uma muralha: o que está dentro é confiável, o que está fora não. Essa muralha foi se diluindo. Os funcionários entram de casa, do telefone e da nuvem de um terceiro; os fornecedores entram nos sistemas da empresa; os sistemas conversam entre si. A rede, os equipamentos e os backups continuam importando, mas cada vez mais, o que separa um intruso da operação é a pergunta «quem é essa pessoa?» e o quão bem a empresa a responde.

Na MGM, o vetor não foi detalhado publicamente no 8-K; o caso não permite atribuí-lo a uma ligação nem a um procedimento concreto.

2. O ponto fraco é o processo de exceção, não o de todos os dias

Os processos excepcionais de acesso exigem autorização, evidência e controles proporcionais ao privilégio. Convém revisar se o desenho deles não depende de uma única decisão difícil de verificar.

3. O suporte terceirizado exige governança

O 8-K da Caesars confirma um caso distinto em um fornecedor [8]. Se o suporte foi terceirizado, revise o contrato, o procedimento e a evidência sem inferir o vetor da MGM.

4. Desligar a tempo custa, mas não saber quem entrou custa mais

A MGM desligou e, ainda assim, estimou um impacto negativo de cerca de 100 milhões de dólares em um indicador-chave de um único mês [1]. Agora imagine o cenário contrário: não saber quais contas foram usadas, o que acessaram e desde quando. Um rastro suficiente de contas, acessos e horários ajuda a delimitar um incidente e a responder a auditoria, reguladores e clientes. A evidência de quem entrou em quê não é apenas um requisito de auditoria: é o que ajuda a saber quando parar de desligar.

5. O número que importa não é o do ataque

Ninguém pode prometer que a empresa não será atacada. O que se pode governar é quanto dano faz um incidente. Três alavancas de governança: controles reforçados para exceções privilegiadas, acesso mínimo e registros consultáveis de acessos e mudanças de permissões.

Nenhuma das três é um produto que se compra e se instala. As três são decisões de desenho que alguém com autoridade precisa tomar e sustentar.

O que este caso não diz

Para não tirar conclusões demais:

• Não diz que o provedor de identidade tenha falhado. O 8-K da MGM não permite concluir que um provedor de identidade tenha falhado nem identificar o procedimento de acesso.
• Não diz que o treinamento seja inútil. A CISA e o FBI continuam recomendando-o [2]. Diz que não basta: um procedimento que depende de uma única pessoa detectar uma mentira bem contada, sob pressão, concentra o risco; por isso convém somar controles que possam ser comprovados.
• Não diz que uma empresa menor está a salvo. As empresas de qualquer tamanho devem governar as exceções de acesso.

Três perguntas para o próximo comitê

1. Como se autorizam, documentam e revisam as exceções de acesso, especialmente as de maior privilégio e as realizadas por terceiros?
2. O nosso fornecedor de suporte segue o mesmo procedimento que exigiríamos da nossa equipe, e como comprovamos isso?
3. Se hoje suspeitássemos que uma conta foi roubada, quanto tempo levaríamos para saber o que ela acessou e desde quando? Horas, dias ou semanas?

Se alguma resposta for «não sei» ou «depende de quem responder», o comitê já tem um tema a atribuir: um responsável, uma data de revisão e a evidência que espera ver.

Por onde começar esta semana

Peça à área de sistemas o procedimento escrito de exceções de acesso, aquele que realmente se usa, não o do manual. Verifique se o procedimento tem um responsável, autorização reforçada para privilégios e evidência revisável. Depois peça a lista de contas com privilégios de administrador no provedor de identidade. Se a lista for mais longa do que se esperava, já existe o primeiro achado.

O que a Hábil faz

A Hábil é uma consultoria mexicana de engenharia, fundada em 2006, que conecta os sistemas da empresa a uma única identidade corporativa, com as permissões de cada pessoa e um rastro de cada acesso. Trabalhamos com o provedor de identidade que a empresa já tem —Microsoft Entra ID, Okta, Google ou Keycloak, entre outros— e o conectamos um sistema de cada vez, começando pelo de maior risco, para não interromper quem já está trabalhando.

No que este caso ensina, isso se traduz em três coisas: controles reforçados para exceções de acesso, sobretudo para as contas com mais poder; acesso mínimo para cada pessoa, parceiro e fornecedor; e um registro consultável de quem entrou em quê e de cada mudança de permissões, para Segurança e Auditoria. Veja a página Controlar quem entra.

Em uma primeira conversa, a Diretoria, Sistemas e Segurança podem sair com quatro coisas claras: quais processos de acesso exigem mais controle, quais contas precisam de um tratamento reforçado, que evidência falta para responder à Auditoria e qual seria um próximo passo delimitado.

Peça a primeira conversa, sem custo. A empresa sai com essa revisão de acessos. Escreva para nós pelo WhatsApp.

Perguntas frequentes

O que aconteceu na MGM Resorts em setembro de 2023?

A MGM detectou um problema de cibersegurança em alguns sistemas nos Estados Unidos e os desligou para proteger as informações dos clientes, o que interrompeu parte da operação. O 8-K não detalha o mecanismo de entrada. A empresa informou à SEC um impacto negativo de cerca de 100 milhões de dólares no EBITDAR ajustado por propriedade de setembro [1].

Que impacto financeiro a MGM informou?

Segundo o Form 8-K de 5 de outubro de 2023: cerca de 100 milhões de dólares de impacto negativo em setembro sobre o EBITDAR ajustado por propriedade, mais menos de 10 milhões em despesas pontuais com consultoria, advogados e assessores. Não é uma perda líquida nem um custo total, embora a imprensa o tenha resumido como um golpe de 100 milhões [7]. A empresa esperava que o seguro fosse suficiente, sem ter determinado ainda o custo total [1].

Quem é o Scattered Spider?

É o nome com que a indústria e as autoridades dos Estados Unidos identificam um grupo criminoso que, segundo o aviso conjunto da CISA e do FBI, ataca grandes empresas fazendo-se passar por funcionários ou por pessoal de TI [2]. O 8-K da MGM não atribui o incidente a esse grupo.

Um segundo fator não evitaria isso?

Os controles de identidade devem incluir um processo de exceção governado; o 8-K da MGM não permite concluir que controle faltou.

Isso se aplica a uma empresa mexicana que não tem capital aberto?

A obrigação de reportar pode variar; a necessidade de governar exceções de acesso vale também fora das empresas de capital aberto. As perguntas para o comitê deste artigo servem igualmente para uma empresa de capital aberto e para uma que não seja.

A Hábil participou do caso MGM?

Não. Este artigo se baseia apenas em fontes públicas: os relatórios da MGM e da Caesars à SEC, os avisos da CISA, do FBI e da Okta, e a imprensa citada nas referências.

Fontes consultadas em 20 de outubro de 2026. As citações foram traduzidas do inglês. As afirmações dos atacantes e de fontes anônimas são indicadas como tais no texto.