Por décadas, provedores de software e infraestrutura foram vistos majoritariamente como pontes cibernéticas. Um caminho conveniente, e muitas vezes menos vigiado, para que atacantes chegassem ao seu verdadeiro objetivo: o cliente final. Contudo, essa dinâmica do crime digital mudou drasticamente. Empresas de tecnologia deixaram de ser apenas um vetor em ataques de cadeia de suprimentos (supply chain attacks) e passaram a ser o prêmio principal das gangues de extorsão.
A lógica por trás dessa mudança de paradigma é puramente estratégica e matemática. Quando uma organização de SaaS (Software as a Service) ou um provedor de infraestrutura em nuvem sofre uma violação, o impacto não se restringe aos seus próprios servidores. O efeito cascata atinge centenas ou milhares de clientes simultaneamente, criando um cenário de extorsão de altíssima alavancagem para o cibercriminoso. Para uma empresa cujo principal ativo intangível é a confiança operacional e a percepção de segurança que vende ao mercado, o tempo de inatividade prolongado ou o vazamento de informações alheias pode ser fatal.
Neste artigo, analisamos o que o relatório de agosto realmente mostra, por que o provedor de tecnologia se tornou um alvo de alta alavancagem para a extorsão e quais controles reduzem a janela de exposição nesse tipo de operação.
O que os números de agosto de 2026 mostram
O relatório da Cohesity registrou 1.212 vítimas de ransomware no mundo em agosto, o maior volume dos últimos doze meses e um aumento de 27% sobre as 955 ocorrências de julho. Para dimensionar o salto, o menor número da série foi o de setembro de 2025, com 598 casos: em onze meses, a atividade mais que dobrou.
No recorte por setor, a manufatura liderou com 185 casos, alta de 21,7% sobre julho. Tecnologia veio logo atrás, com 161 casos e crescimento de 27,8%, o maior entre os dois primeiros colocados. A tabela resume os cinco setores mais atingidos:
Um ponto de rigor metodológico: a classificação por setor é global. O levantamento divulgado não traz o detalhamento setorial para o Brasil. O que ele informa sobre o país é que o Brasil registrou 27 casos em agosto, o maior número de 2026, o terceiro mês consecutivo de alta (julho teve 26), e manteve a sexta posição mundial, atrás de Estados Unidos (415), Alemanha (71), Itália (51), Reino Unido (50) e Canadá (31).
Segundo Gustavo Leite, vice-presidente da Cohesity para a América Latina, o dado reflete uma expansão da mira dos criminosos para além das potências ocidentais tradicionais.
De trampolim a alvo final: o que muda no cálculo de risco
Por anos, a conversa sobre risco em fornecedores de tecnologia seguiu o modelo clássico de ataque à cadeia de suprimentos: o provedor é a porta de entrada, o cliente final é o destino. O caso mais ilustrativo desse padrão ocorreu entre 8 e 18 de agosto de 2025. De acordo com o Google Threat Intelligence Group (GTIG), um grupo rastreado como UNC6395 usou tokens OAuth roubados de uma plataforma de automação de vendas para acessar instâncias de CRM de seus clientes. O GTIG informou conhecer mais de 700 organizações potencialmente afetadas. Segundo o próprio grupo de pesquisadores, um único token roubado deu acesso aos tokens de qualquer organização vinculada à plataforma, e os atacantes buscaram nos dados exportados chaves de acesso a nuvem, credenciais de data warehouse e senhas de VPN.
Esse episódio foi uma campanha de roubo de dados, e não de ransomware, mas explicita a lógica que o dado de agosto de 2026 reforça. Quando o provedor de tecnologia é comprometido, o impacto não termina nele. E quando ele próprio é a vítima listada no site de extorsão do grupo, o atacante negocia com uma empresa que carrega, além do próprio prejuízo, a responsabilidade sobre os dados de terceiros.
O custo dessa dinâmica já aparece nas estatísticas brasileiras. O relatório Cost of a Data Breach 2025, da IBM, conduzido pelo Ponemon Institute, apurou que o comprometimento de terceiros e da cadeia de suprimentos foi a causa inicial de 15% das violações no Brasil, com custo médio de R$8,98 milhões por incidente. A média nacional foi de R$7,19 milhões, e o phishing, vetor mais frequente (18% dos casos), custou R$7,18 milhões. Ou seja, incidentes que passam por um fornecedor custam cerca de 25% mais que a média do país.
Por que o provedor de tecnologia é um alvo de alta alavancagem
A extorsão funciona melhor quando o custo de dizer “não” é alto. Empresas de tecnologia reúnem três fatores que elevam esse custo.
Concentração de dados e de acessos privilegiados
Um provedor de SaaS, de software ou de infraestrutura mantém em seus ambientes bases de clientes, repositórios de código, segredos de integração e acessos administrativos a ambientes de terceiros. Uma única credencial privilegiada comprometida pode abrir caminho para muito mais do que os dados da própria empresa. O mesmo vale para chaves de API e tokens de integração, que, como mostrou o caso de 2025, têm valor equivalente ao de uma senha de administrador. Esse risco de integrações expostas é detalhado em nosso artigo sobre segurança de APIs no Open Finance.
A reputação de “segura” é parte do produto
Para uma empresa que vende software corporativo, a confiança do cliente é um ativo comercial tão relevante quanto a funcionalidade. Um incidente com exposição de dados de clientes afeta renovações e contratos em negociação, e costuma ser seguido de auditorias conduzidas pela própria base. O grupo de ransomware sabe disso e precifica a extorsão com base nesse efeito.
O efeito cascata em ambientes multi-tenant
Em arquiteturas multi-tenant, em que múltiplos clientes compartilham a mesma infraestrutura lógica, falhas de isolamento, credenciais de serviço comprometidas ou acessos administrativos indevidos podem alcançar vários tenants em uma só operação. Há ainda a dimensão regulatória: pela LGPD, o controlador deve comunicar à ANPD incidentes que possam acarretar risco relevante aos titulares, e o provedor, na posição de operador, costuma ser o ponto de partida dessa notificação em cadeia.
O que a defesa de uma empresa de tecnologia precisa cobrir
Diante desse cenário, três frentes merecem atenção prioritária do CISO.
A primeira é a identidade. Credenciais legítimas, inclusive as de contas de serviço e de integrações, são o caminho de menor resistência. Como analisamos no artigo sobre infostealers e o ransomware no varejo brasileiro, um acesso com credencial válida não gera assinatura de malware nem alerta tradicional, e por isso exige monitoramento do comportamento da identidade. Governança contínua sobre quem acessa o quê, como a descrita em nosso conteúdo sobre governança de identidades com SailPoint, reduz o raio de impacto quando uma credencial vaza.
A segunda é a detecção por comportamento. Em ambientes de nuvem e containers, onde a infraestrutura é efêmera e os processos legítimos mudam o tempo todo, detectar apenas por assinatura significa perceber o ataque tarde. O que denuncia a intrusão é o desvio: um acesso fora do padrão, uma consulta em volume incomum, um processo que nunca executou determinada ação.
A terceira é o tempo de resposta. Na análise do relatório de agosto, o executivo da Cohesity ressaltou a necessidade de planos de resposta e de recuperação testados. Para uma empresa de tecnologia, a janela entre a primeira atividade anômala e a contenção define quantos clientes serão afetados e quanto da reputação do produto será comprometida. Esse princípio dialoga com a abordagem de Zero Trust: presumir que o comprometimento pode ocorrer e projetar o ambiente para limitar o alcance e acelerar a contenção.
Cada setor é pressionado por um motivo diferente. Na indústria, é a convergência entre TI e OT; na tecnologia, a concentração de dados e acessos de terceiros.
Como a Asper estrutura a resposta para empresas de tecnologia
A Asper organiza sua atuação para esse perfil em torno de duas capacidades integradas, operadas de forma contínua pelo Cyber Fusion Center (CFC).
Detecção comportamental com CrowdStrike Falcon Complete
O CrowdStrike Falcon Complete combina prevenção de nova geração, detecção e resposta em endpoints (EDR), proteção de identidade e proteção de workloads em nuvem, com cobertura nativa para AWS, Azure e GCP e proteção de containers em tempo de execução. Para operações com arquitetura multi-tenant, essa combinação é relevante porque traz visibilidade sobre o comportamento de processos e identidades onde o ataque realmente se desenrola, e não apenas sobre o perímetro. A caça ativa a ameaças, conduzida pelo Falcon OverWatch, complementa a detecção automática ao buscar sinais de intrusão que ainda não dispararam alertas.
Em termos de velocidade, a operação com a Asper trabalha com tempo médio de resposta inferior a 10 minutos e com remediação remota, sem necessidade de re-imagem, em menos de 60 minutos. Para um provedor cujo produto depende de disponibilidade e de confiança, a diferença entre minutos e horas é a diferença entre um incidente contido e uma crise de relacionamento com a carteira de clientes.
Resposta rápida e orquestrada com o Cyber Fusion Center
Ferramenta sem operação não protege. O CFC da Asper opera 24×7, correlaciona alertas de endpoint, identidade e exposição, e traduz o evento técnico em recomendações acionáveis para o time do cliente. Isso importa para empresas cuja reputação de segura faz parte do que vendem: o objetivo não é apenas conter a ameaça, mas reduzir ao mínimo o tempo em que ela permanece ativa no ambiente. Como lembramos com frequência, os ataques tendem a ocorrer quando o expediente terminou e os painéis estão todos verdes. A operação contínua e consultiva do CFC existe para que esse intervalo não vire janela de exposição.
O que os números de agosto exigem do setor de tecnologia
A leitura central do relatório não é que o setor de tecnologia passou a ser atacado. É que ele deixou de ser apenas o caminho para chegar a outros e passou a aparecer, em volume crescente, como vítima direta nos sites de extorsão. Com 161 casos e alta de 27,8% em um único mês, o recado é de que o provedor que armazena dados de terceiros precisa aplicar a si mesmo o rigor que recomenda aos seus clientes.
Isso significa tratar identidades e integrações como superfície crítica, adotar detecção por comportamento em nuvem e endpoint, e medir a segurança pelo tempo de resposta, não pela quantidade de ferramentas instaladas. Seus clientes confiam a você dados e acessos. A pergunta é se a sua capacidade de detectar e conter um incidente é compatível com essa confiança.
Quer entender como o Cyber Fusion Center da Asper pode reduzir a janela de exposição da sua empresa de tecnologia? Fale com nosso time de especialistas.
