Honeytoken.

Um honeytoken é um artefacto de engano embutido em sistemas reais, de modo que qualquer uso dele é, por design, malicioso ou anómalo. O termo foi cunhado por Augusto Paes de Barros numa troca em lista de correio de fevereiro de 2003 com Lance Spitzner, do Honeynet Project, estendendo a ideia do honeypot de sistemas inteiros para elementos de dados individuais. Os exemplos incluem contas de utilizador plantadas, linhas de base de dados falsas, chaves de acesso de nuvem chamariz, documentos com marca de água e registos DNS que emitem um sinal quando resolvidos.

flowchart LR
  P[Plantar honeytoken<br/>em repo / partilha / BD] --> W[Esperar: sem uso legítimo]
  W --> X((O atacante<br/>encontra e usa))
  X --> T[O uso dispara<br/>alerta de alta fidelidade]
  T --> IR[IR: identificar origem,<br/>delimitar a brecha]

Como os honeytokens são inertes e nunca tocados por processos legítimos, produzem quase zero falsos positivos e dão um sinal precoce e de alta fidelidade de roubo de credenciais, preparação de dados ou abuso interno. Um padrão prático é a chave canary da AWS: uma chave IAM plantada cujo uso é captado pelo CloudTrail; a Thinkst Canarytokens popularizou versões gratuitas e auto-hospedáveis (tokens de URL, documento e chave AWS). Os honeytokens estendem a visibilidade a locais com poucos registos — SaaS de terceiros, repositórios de código e backups — e mapeiam para as técnicas defensivas Decoy do ATT&CK. Ressalvas: o token deve ser plausível, mas nunca alcançável por fluxos normais, e scanners de credenciais vazadas ou pipelines de CI descuidados podem acioná-lo, pelo que cada alerta ainda precisa de triagem face à sua localização plantada.