Ataque à cadeia de suprimentos: quando a porta de entrada é o seu fornecedor

O que é um ataque à cadeia de suprimentos

Em vez de atacar a sua empresa diretamente, o criminoso compromete alguém em quem você confia e que já tem algum tipo de acesso: o prestador de TI que administra a rede, o aplicativo integrado ao seu CRM, o provedor que processa pagamentos ou a folha. A partir dali, o ataque chega com credencial válida, por um caminho autorizado.

Para o criminoso, a conta é simples: invadir um fornecedor pode abrir a porta de dezenas — às vezes centenas — de clientes de uma só vez.

As três portas mais usadas

1. Quem acessa a sua rede: prestadores de TI

Em 15 de outubro de 2026, criminosos usaram uma credencial do aplicativo de backup em nuvem da ConnectWise — serviço que prestadores de TI usam para fazer backup do Microsoft 365 dos seus clientes — para entrar em 173 ambientes Microsoft 365 de prestadores e clientes, segundo a Huntress. O aplicativo tinha acesso amplo a e-mails, arquivos e diretório. A ConnectWise suspendeu o acesso do aplicativo até segunda ordem, enquanto investiga.

2. Quem se conecta aos seus sistemas: aplicativos e integrações

Em junho de 2026, um aplicativo comprometido da Klue, plataforma de inteligência de mercado, foi usado para obter os tokens que a conectavam ao Salesforce dos clientes. Resultado: dados de CRM roubados de mais de uma dezena de empresas confirmadas — e potencialmente de centenas —, entre elas empresas de segurança como LastPass, Recorded Future e Tanium. Os invasores não precisaram da senha de nenhum cliente: bastaram uma credencial comprometida da própria Klue e a integração que os clientes haviam autorizado.

3. Quem opera um processo crítico por você

É o caso da C&M — e da Sinqia, dois meses depois. Em 29 de agosto de 2025, criminosos usaram credenciais de fornecedores de TI da própria Sinqia para realizar, no ambiente Pix da empresa, transações não autorizadas que somaram R$ 710 milhões, segundo a controladora Evertec. Em ambos os casos, as credenciais eram válidas: para o sistema, as operações pareciam legítimas.

Por que isso é um problema de governança — e não só de TI

Antivírus, firewall e filtro de e-mail protegem contra quem tenta entrar sem permissão. No ataque à cadeia de suprimentos, o invasor entra com permissão. O que falha são decisões: quem recebeu acesso, a quê, com quais limites, quem verifica, o que o contrato exige e quem percebe quando algo foge do padrão.

O Banco Central chegou à mesma conclusão. Depois dos ataques de 2025, a Resolução BCB nº 498/2025 e as normas seguintes criaram regras de credenciamento e governança para os provedores de tecnologia que conectam instituições ao sistema financeiro — com controle de acessos, rastreabilidade das transações, relatório de auditoria independente e capital mínimo de R$ 15 milhões.

E há a LGPD. Quando um fornecedor trata dados pessoais em nome da sua empresa, ele é operador: deve seguir as suas instruções (art. 39) e responde solidariamente pelos danos se descumprir a lei ou essas instruções lícitas (art. 42, § 1º, I). Mas comunicar à ANPD e aos titulares um incidente que possa gerar risco ou dano relevante continua sendo obrigação do controlador — a sua empresa (art. 48). O vazamento pode ser do fornecedor; o problema é seu.

Seis controles de GRC que fecham a porta dos fundos

Nada disso exige uma equipe grande. Exige método — o mesmo que a ISO/IEC 27001:2022 organiza nos controles de relacionamento com fornecedores do Anexo A e que o NIST CSF 2.0 reúne na categoria GV.SC, de gestão de riscos da cadeia de suprimentos.

1. Inventário com criticidade

A pergunta que responde: Quem são os fornecedores que acessam nossos sistemas, nossos dados ou nosso dinheiro?

Liste os fornecedores e os aplicativos conectados ao e-mail, ao CRM e ao ERP. Classifique cada um como crítico, importante ou comum. Sem essa lista, nenhum dos outros controles tem por onde começar.

2. Avaliação proporcional antes de contratar

A pergunta que responde: Este fornecedor merece a confiança que vamos dar a ele?

Para os críticos, um questionário curto e evidências: certificação ISO 27001 com escopo que cubra o serviço, relatório de auditoria, política de acessos. Para os comuns, o básico. Avaliar todos com o mesmo rigor esgota a equipe e não protege mais.

3. Contrato com cláusulas de segurança

A pergunta que responde: O que o fornecedor é obrigado a fazer — e a nos contar?

Prazo para avisar incidentes, direito de pedir evidências, regras para subcontratar, instruções para o tratamento de dados pessoais e devolução ou eliminação dos dados no fim do contrato.

4. Acesso mínimo, nominal e monitorado

A pergunta que responde: Se a credencial do fornecedor vazar amanhã, até onde o invasor chega?

Conta própria para cada pessoa do fornecedor, autenticação em dois fatores, acesso só ao necessário — de preferência liberado por período —, sessões remotas registradas e integrações com o mínimo de permissões. Revise tudo a cada trimestre.

5. Monitoramento e resposta conjunta

A pergunta que responde: Em quanto tempo percebemos — e quem corta o acesso?

Alertas para acessos fora do padrão, revisão periódica das integrações autorizadas e um plano de resposta que inclua os fornecedores críticos, com contatos e o passo a passo para revogar credenciais em minutos. No caso da ConnectWise, segundo a Todyl, encerrar as sessões dos usuários não bastava: era preciso desativar o aplicativo no próprio ambiente — e só a ConnectWise podia trocar a credencial dele. Esse tipo de detalhe precisa estar no plano antes do incidente.

6. Saída organizada

A pergunta que responde: Quando o contrato acaba, o acesso acaba junto?

Revogar contas, chaves, tokens e integrações; confirmar a devolução ou a eliminação dos dados. Acesso esquecido de ex-fornecedor é porta aberta.

E quando a sua empresa é o fornecedor

O mesmo movimento chega pelo outro lado. Grandes empresas, bancos e órgãos públicos estão apertando o controle sobre os próprios fornecedores — e a PME recebe questionários de segurança, cláusulas contratuais e pedidos de evidência. Quem responde com segurança e rapidez continua no cadastro; quem não responde passa a ser visto como risco.

Aqui a GRC deixa de ser custo e vira argumento comercial. Políticas aprovadas, registro de riscos, controle de acessos e plano de resposta a incidentes são exatamente o que esses questionários perguntam. Se a sua empresa recebeu um questionário de um cliente e não sabe por onde começar, uma conversa inicial é um bom ponto de partida.

Por onde começar: um plano de 30 dias

1. Semana 1: liste os dez fornecedores com mais acesso a sistemas, dados ou dinheiro — incluindo os aplicativos conectados ao e-mail e ao CRM.
2. Semana 2: revogue acessos e integrações que ninguém usa e exija autenticação em dois fatores dos que ficam.
3. Semana 3: revise os contratos dos cinco mais críticos. Há prazo para avisar incidentes? Há instruções para o tratamento de dados?
4. Semana 4: inclua os fornecedores críticos no plano de resposta a incidentes, com nomes, telefones e o passo a passo para cortar o acesso de cada um.