{"id":34637,"date":"2026-10-07T13:37:41","date_gmt":"2026-10-07T13:37:41","guid":{"rendered":"https:\/\/blog.lacnic.net\/?p=34637"},"modified":"2026-10-07T13:40:02","modified_gmt":"2026-10-07T13:40:02","slug":"canary-tokens","status":"publish","type":"post","link":"https:\/\/blog.lacnic.net\/pt-br\/canary-tokens\/","title":{"rendered":"Canary tokens: alerta precoce contra acessos n\u00e3o autorizados"},"content":{"rendered":"\n

Por Guillermo Pereyra<\/a><\/p>\n\n\n\n

Antigamente, os mineradores levavam um can\u00e1rio em uma gaiola para dentro dos t\u00faneis. Se o passarinho parasse de cantar, significava que havia g\u00e1s no ar e que era hora de fugir daquele lugar.<\/p>\n\n\n\n

Temos um problema semelhante em seguran\u00e7a. Muitas intrus\u00f5es s\u00e3o descobertas semanas ou meses depois, quando o invasor j\u00e1 percorreu a rede, copiou o que queria e foi embora. Os canary tokens<\/em> prop\u00f5em algo muito simples: deixar pequenas armadilhas em locais tentadores e esperar que algu\u00e9m as pise.<\/p>\n\n\n\n

Neste artigo, veremos o que s\u00e3o, como funcionam, como implant\u00e1-los em poucos minutos e em quais casos eles podem nos ajudar.<\/p>\n\n\n\n

<\/a>O que \u00e9 um canary token<\/em>?<\/h2>\n\n\n\n

Um canary token<\/em> \u00e9 um recurso isca: pode ser um arquivo, uma credencial, uma URL ou um nome de dom\u00ednio que n\u00e3o possui nenhum uso leg\u00edtimo. Ningu\u00e9m deveria abri-lo ou us\u00e1-lo. Por isso, quando algu\u00e9m o faz, o token<\/em> dispara um alerta que nos fornece evid\u00eancias do acesso, com pouqu\u00edssima margem de d\u00favida.<\/p>\n\n\n\n

\u00c9 a mesma ideia de um honeypot<\/em>, mas muito mais leve. N\u00e3o \u00e9 necess\u00e1rio configurar um servidor complexo ou simular um servi\u00e7o. Basta colocar a isca onde um atacante procuraria e configurar o destino do alerta.<\/p>\n\n\n\n

<\/a>Como funciona?<\/h2>\n\n\n\n

Cada token<\/em> possui um identificador \u00fanico que executa uma a\u00e7\u00e3o quando ativado. Essa chamada pode ser uma consulta DNS, uma solicita\u00e7\u00e3o HTTP ou o uso de uma credencial em um servi\u00e7o na nuvem.<\/p>\n\n\n\n

Por exemplo, um documento do Word pode incluir uma refer\u00eancia a um recurso remoto hospedado em uma URL \u00fanica. Ao abri-lo no Microsoft Office, o programa tenta carregar esse recurso e o servidor do token<\/em> registra o IP, a data, a hora e o agente de usu\u00e1rio. Segundos depois, o alerta chega por e-mail ou webhook.<\/p>\n\n\n\n

O token<\/em> DNS funciona inclusive em redes que bloqueiam o acesso \u00e0 Internet, porque a consulta viaja atrav\u00e9s do resolvedor recursivo at\u00e9 o servidor autoritativo do dom\u00ednio do token<\/em>.<\/p>\n\n\n\n

<\/a>Como implant\u00e1-los<\/h2>\n\n\n\n

A ferramenta mais conhecida \u00e9 Canarytokens, desenvolvida pela empresa Thinkst. Pode ser usado gratuitamente em canarytokens.org, sem necessidade de cadastro, e, como seu c\u00f3digo \u00e9 aberto, qualquer organiza\u00e7\u00e3o pode subir sua pr\u00f3pria inst\u00e2ncia usando Docker.<\/p>\n\n\n\n

Criar um token<\/em> leva apenas alguns minutos:<\/p>\n\n\n\n

    \n
  1. Basta escolher o tipo: documentos do Office ou PDF, URL, DNS, c\u00f3digos QR, chaves de API (como AWS ou SendGrid), bancos de dados SQL Server, execut\u00e1veis de isca ou p\u00e1ginas de login falsas, entre outros.<\/li>\n\n\n\n
  2. Definir para onde o alerta \u00e9 enviado, seja um e-mail ou um webhook que a encaminhe para o Slack, Teams ou SIEM.<\/li>\n\n\n\n
  3. Escrever um lembrete descritivo, no estilo \u201cfolha de pagamento no servidor de arquivos do RR. HH.”. Quando o alerta chegar, esse texto indicar\u00e1 precisamente o que foi tocado e onde.<\/li>\n\n\n\n
  4. Baixar o token e posicion\u00e1-lo onde um invasor realmente procuraria: reposit\u00f3rios de c\u00f3digo, arquivos de configura\u00e7\u00e3o, pastas compartilhadas ou vari\u00e1veis de ambiente dos pipelines de CI\/CD.<\/li>\n<\/ol>\n\n\n\n

    Algumas boas pr\u00e1ticas fazem toda a diferen\u00e7a. \u00c9 recomend\u00e1vel usar um token<\/em> diferente para cada local, pois assim, quando um deles for ativado, saberemos por onde o atacante entrou. Tamb\u00e9m ajuda dar nomes cr\u00edveis (AWS_CREDENCIAIS suscita menos suspeitas do que CANARY_AWS) e test\u00e1-los uma vez instalados para confirmar que o alerta chega. Se um token<\/em> for acionado, o ideal \u00e9 preserv\u00e1-lo para an\u00e1lise forense e substitu\u00ed-lo por um novo.<\/p>\n\n\n\n

    A t\u00e9cnica funciona no mundo real: em 2025, o Grafana Labs detectou uma intrus\u00e3o quando um atacante que havia roubado segredos de seus reposit\u00f3rios do GitHub tentou validar uma chave de AWS que era, na verdade, um canary token<\/em>. O alerta chegou instantaneamente e o incidente foi contido em minutos.<\/p>\n\n\n\n

    \"\"<\/figure>\n\n\n\n

    <\/a>Casos de uso<\/h2>\n\n\n\n