A Ilusão do Perímetro: Por Que Sua Segurança Falha Se o Fornecedor For o Alvo
Em 1º de julho de 2025, cibercriminosos não precisaram enfrentar o firewall de nenhum grande banco. Eles comprometeram uma empresa de software intermediária responsável por conectar dezenas de instituições financeiras ao Sistema de Pagamentos Brasileiro. O resultado: um prejuízo estimado entre R$ 800 milhões e R$ 1 bilhão, ao menos seis bancos afetados e o Banco Central forçado a suspender temporariamente o acesso da empresa ao SPB. Nenhum sistema bancário central foi atacado diretamente. A porta de entrada foi um elo da cadeia, e esse elo foi suficiente. À medida que organizações Enterprise se tornam mais interconectadas com centenas de fornecedores, parceiros, integrações em nuvem e APIs de terceiros, a superfície de ataque ultrapassa qualquer perímetro que um CISO possa controlar de forma direta. O modelo de segurança baseado em muros internos, firewalls, antivírus, políticas de acesso rígidas para o ambiente próprio, já não reflete a realidade do ambiente digital corporativo. O atacante sofisticado de 2026 não força a entrada pela frente. Ele entra pela lateral, usando a confiança que sua empresa já depositou em um terceiro. O que são Supply Chain Attacks e por que eles crescem Um ataque à cadeia de suprimentos digital, ou Supply Chain Attack, explora o relacionamento de confiança entre uma organização-alvo e seus fornecedores, parceiros ou prestadores de serviço. Em vez de atacar diretamente a empresa com maior maturidade de segurança, o adversário compromete um elo mais vulnerável da rede: uma biblioteca open source usada por um parceiro, um token de integração sem rotação periódica, um pipeline de CI/CD de um integrador ou, as credenciais de um funcionário terceirizado com acesso privilegiado ao sistema. Segundo estudo da Kaspersky publicado em abril de 2026 e divulgado pelo Portal CIMM, 36% das grandes corporações brasileiras já sofreram algum tipo de ataque à cadeia de suprimentos, número alinhado à média global de 31% registrada entre empresas de todos os portes. O dado reflete algo estrutural: organizações de maior porte trabalham, em média, com cerca de 100 fornecedores e podem superar 130 terceiros com acesso direto aos seus sistemas. Cada um desses pontos de contato é uma superfície de risco que raramente passa por avaliação contínua. O Fórum Econômico Mundial reforça a gravidade do cenário: 65% das grandes empresas identificam vulnerabilidades em fornecedores e cadeias de suprimentos como o principal obstáculo para alcançar resiliência em cibersegurança. E ainda assim, conforme o mesmo estudo da Kaspersky, apenas 9% das empresas globalmente listam ataques na cadeia de suprimentos como sua principal preocupação. Há uma distância perigosa entre o risco percebido e o risco real. Essa desconexão não é acidental. Líderes tendem a priorizar ameaças com maior visibilidade: ransomware, APTs, violações diretas, enquanto os vetores que chegam por vias legítimas permanecem no ponto cego. E é exatamente nesse ponto cego que o atacante opera. Os vetores mais comuns no contexto brasileiro O mercado brasileiro apresenta características que ampliam a exposição a esse tipo de ameaça. A rápida digitalização do sistema financeiro, liderada por plataformas como o Pix, criou um ecossistema de centenas de integradores, fintechs e provedores de infraestrutura com acessos privilegiados ao núcleo do sistema bancário nacional. A maioria dessas empresas intermediárias opera com maturidade de segurança muito inferior à das grandes instituições que conectam. Os vetores de ataque mais recorrentes nesse contexto incluem SaaS sem auditoria contínua de segurança, terceiros com acesso privilegiado e sem gestão rigorosa de credenciais, APIs bancárias com tokens de longa duração ou sem rotação automatizada, e pipelines de desenvolvimento de parceiros com dependências open source não rastreadas. Cada um desses pontos representa, na prática, uma extensão do seu perímetro que você não controla, mas da qual você é igualmente responsável. A confiança implícita como vetor de ataque O conceito que estrutura esses ataques tem um nome técnico: trust relationship exploitation – a exploração de relacionamentos de confiança. Quando sua organização concede a um fornecedor acesso ao ambiente interno, seja via VPN, integração de API ou acesso a sistemas de gerenciamento, ela está, na prática, estendendo seu perímetro de segurança para além de qualquer controle direto. Segundo o estudo da Kaspersky citado pelo Portal CIMM, ataques que aproveitam esses relacionamentos de confiança estiveram entre as cinco maiores ameaças comuns no último ano, afetando 25% das empresas globalmente. O mecanismo é simples na sua lógica: em vez de escalar um sistema protegido, o atacante usa um acesso legítimo já existente para se mover dentro da rede da empresa-alvo sem disparar alertas. O tráfego pode aparentar legitimidade porque utiliza credenciais válidas, canais autorizados e padrões operacionais já esperados pelo ambiente. No caso da empresa de software, conforme análise publicada pelo portal TI Inside, Segundo informações publicamente divulgadas e análises preliminares do caso, há indícios de comprometimento de credenciais associadas a terceiros com acesso privilegiado. O acesso era legítimo. O comportamento não era. E essa distinção entre credencial válida e comportamento anômalo é exatamente onde a maioria dos modelos de segurança tradicionais falha. Em muitos cenários modernos, o alvo sequer é uma credencial humana, mas identidades não humanas, como tokens OAuth, chaves de API, service accounts e segredos utilizados em pipelines automatizados. Por que o modelo de auditoria pontual não é suficiente A resposta convencional das organizações a esse risco tem sido a auditoria periódica de fornecedores: questionários de segurança, avaliações anuais, exigências contratuais de compliance. Essa abordagem foi eficaz quando as integrações eram simples e o número de fornecedores era pequeno. Ela não acompanha a realidade atual. Uma auditoria realizada em janeiro não captura uma vulnerabilidade introduzida em março. Um questionário respondido pelo time de segurança do fornecedor não reflete o comportamento real dos acessos que esse fornecedor mantém no seu ambiente. E um contrato com cláusulas de segurança não impede que um funcionário terceirizado aceite suborno para vazar credenciais. O que as organizações precisam não é de mais auditorias pontuais. É de visibilidade contínua sobre o comportamento de todos os acessos, sejam eles originados de usuários internos ou de terceiros. Essa visibilidade exige uma abordagem estruturada de gerenciamento de risco da cadeia de suprimentos, o
