Em julho de 2025, criminosos não precisaram invadir nenhum banco brasileiro para desviar centenas de milhões de reais. Compraram, de um funcionário terceirizado, as credenciais da C&M Software — a empresa que conecta instituições financeiras menores ao sistema do Banco Central — e com esse login chegaram às contas reserva de 22 instituições. As estimativas de desvio vão de R$ 400 milhões a R$ 1 bilhão, além do vazamento de cerca de 392 GB de dados internos. Nenhum banco afetado tinha falha própria: o ataque entrou pela porta do fornecedor. É esse o padrão que hoje ameaça a pequena e média empresa, que terceiriza sistema fiscal, folha, ERP e suporte e raramente sabe quantas dessas empresas têm acesso permanente à sua rede.
O que é risco de terceiros — e por que ele explodiu
Risco de terceiros é a exposição que sua empresa herda de quem trabalha para ela: fornecedores de software, prestadores de serviço, integradores, contabilidade, provedor de TI. Segundo o Data Breach Investigations Report 2026, da Verizon, violações envolvendo um terceiro passaram a responder por 48% do total — alta de cerca de 60% em um ano. Quase metade dos incidentes começa fora do ambiente que a empresa controla.
O motivo é econômico: invadir um fornecedor que atende 300 empresas dá acesso a 300 alvos com o mesmo esforço. Os ataques à cadeia de suprimentos digital dobraram em 2025 e já custam cerca de US$ 53,2 bilhões por ano no mundo. No Brasil, 36% das grandes corporações já sofreram esse tipo de incidente, com custo médio estimado em R$ 14,2 milhões por evento. A Kaspersky classifica o vetor como abuso de relação de confiança e o aponta em 16% das invasões que investiga globalmente.
A chave reserva que você entregou e esqueceu
Pense no seu apartamento: fechadura reforçada, câmera e porteiro — mas uma cópia da chave com a empresa de limpeza, outra com o técnico do ar-condicionado e uma terceira com a administradora. Se a gaveta de chaves da administradora for arrombada, sua fechadura não vale nada. Em TI é igual, com um agravante: chave digital não some quando é copiada, e ninguém percebe o uso a menos que alguém esteja olhando o log.
Por onde o terceiro vira porta de entrada
- Acesso remoto permanente: contas de suporte de fornecedor que ficam ativas 24/7, muitas vezes com permissão de administrador e sem prazo de validade.
- Integrações e chaves de API: ERP, CRM e sistema fiscal conversam por tokens que quase nunca são rotacionados e seguem válidos depois do fim do contrato.
- Credencial vazada do lado de lá: senha de funcionário do fornecedor roubada por infostealer ou comprada em fórum — o caso da C&M.
- Atualização comprometida: o pacote do fabricante chega assinado, mas já contaminado na origem.
- Ex-fornecedor: contrato encerrado, acesso não. É a falha mais comum e a mais barata de corrigir.
O detalhe incômodo: a sua PME é o terceiro de alguém
Se a sua empresa atende clientes maiores, você já está do outro lado dessa conta. Grandes contratantes brasileiros passaram a exigir evidência de segurança dos fornecedores — política de acesso, comprovação de MFA e de backup — e 76% deles se dispõem a pagar pela segurança do fornecedor quando ela vira condição de contrato. Segurança virou requisito comercial: quem não responde ao questionário perde o contrato para quem responde.
Como proteger sua empresa do risco que vem de fora
1. Faça o inventário de quem tem acesso
Liste todo fornecedor com acesso à rede, a sistemas ou a dados — incluindo contabilidade e o próprio provedor de TI. Para cada um: qual conta usa, que permissão tem, desde quando e quem aprovou. É o Controle 15 (Gestão de Provedores de Serviço) do CIS Controls v8, e a maioria das PMEs descobre aqui acessos que ninguém sabia que existiam.
2. Corte o acesso permanente
Acesso de fornecedor deve ser sob demanda e com prazo: aberto quando o chamado começa, fechado quando termina. Aplique menor privilégio — o técnico do sistema fiscal não precisa de administrador de domínio — e exija MFA em toda conta externa. O DBIR 2026 explica a urgência: apenas 23% das organizações terceiras corrigiram integralmente falhas de MFA em contas de nuvem.
3. Escreva a segurança no contrato
Inclua cláusulas de notificação de incidente em prazo definido (48 ou 72 horas), de responsabilidade sobre dados e de direito a evidências. A LGPD torna isso prático: controlador e operador respondem solidariamente por danos, e “o problema foi no meu fornecedor” não é defesa. A ISO/IEC 27001:2022 trata o tema nos controles A.5.19 a A.5.22, sobre segurança nas relações com fornecedores.
4. Monitore o que o terceiro faz lá dentro
Registre e revise sessões de acesso externo: quem entrou, de onde e o que acessou. Acesso de fornecedor às 3h de domingo tem que gerar alerta — não relatório no fim do mês. É aqui que EDR e monitoramento contínuo pagam a conta.
5. Ensaie a saída
Crie um procedimento de offboarding: desativar contas, revogar chaves de API, remover VPN e trocar senhas compartilhadas no mesmo dia do encerramento. E mantenha backup imutável testado — se o incidente vier do fornecedor, é o backup que decide entre um susto e uma parada de semanas.
Como cobrar isso de quem cuida da sua TI
Um provedor de TI sério aceita ser auditado pelo cliente. Pergunte: as contas usadas para atender minha empresa têm MFA? O acesso é nominal ou compartilhado entre técnicos? Existe registro de sessão que eu possa consultar? Como sou avisado se vocês forem atacados? Quem responde com naturalidade está do lado certo da conta — quem se irrita já respondeu outra.
A conclusão é desconfortável: você pode blindar todo o seu perímetro e ainda ser invadido pela conta de um técnico que trabalha em outra empresa. Reduzir esse risco não exige orçamento de banco — exige saber quem tem a chave, por quanto tempo e com qual permissão. Comece pelo inventário; ele quase sempre entrega o problema antes do incidente.
🔐 Quantos fornecedores têm acesso à sua rede agora — e quando isso foi revisado pela última vez? Fale com os especialistas da Trinity TI e faça o inventário de acessos de terceiros da sua empresa.
