Sua empresa tem firewall, EDR, MFA para todos os colaboradores e um time atento. Seu fornecedor de ERP tem uma VPN aberta desde 2022, com uma senha que três técnicos compartilham. Para o atacante, a segunda informação vale mais que a primeira, é esse o risco de terceiros.
E esse caminho deixou de ser exceção. Segundo o Data Breach Investigations Report 2026, da Verizon, 48% das violações analisadas envolveram um terceiro, contra 30% na edição anterior.
Neste artigo, você vai entender por onde esses ataques entram, o que aprender com o maior incidente já registrado no ecossistema Pix e como estruturar a gestão de riscos de terceiros em seis passos.
O que é risco de terceiros em cibersegurança
Risco de terceiros é a possibilidade de um fornecedor, parceiro ou prestador de serviço com acesso aos seus sistemas, dados ou software ser usado como porta de entrada para um ataque à sua empresa.
O conceito inclui o ataque à cadeia de suprimentos (supply chain attack), em que o invasor compromete um fornecedor para atingir os clientes dele de uma vez só. Um único MSP, software ou plataforma SaaS invadido pode abrir dezenas de empresas.
A lógica do atacante é econômica: em vez de quebrar a defesa de cada alvo, ele procura o ponto em comum entre eles.
Os 3 caminhos de um ataque à cadeia de suprimentos
O DBIR 2026 divide a exposição a terceiros em três tipos de fornecedor. Na prática, as violações mais graves combinam dois ou três deles.
Fornecedor no seu software (ERP, bibliotecas, extensões, atualizações)
- Como o ataque acontece: Código malicioso chega embutido numa atualização legítima
- Controle principal: Inventário de software, validação de integridade, EDR
Fornecedor que hospeda seus dados (SaaS, CRM, nuvem, backup terceirizado)
- Como o ataque acontece: O fornecedor é invadido e seus dados saem junto
- Controle principal: Avaliação de segurança, cláusulas contratuais, criptografia
Fornecedor conectado ao seu ambiente (MSP, suporte remoto, integrações via API e OAuth)
- Como o ataque acontece: Credencial ou token do fornecedor dá acesso direto à sua rede
- Controle principal: PAM, MFA, acesso temporário, monitoramento
Um exemplo citado pelo relatório é a campanha contra o Salesloft Drift: os atacantes roubaram tokens OAuth da integração e usaram esses tokens para extrair dados de clientes direto do Salesforce. Um vetor, dois fornecedores, uma violação.
O caso C&M Software: meio bilhão de reais por uma credencial de fornecedor
Em julho de 2025, o Brasil viu na prática o tamanho do risco de terceiros. A C&M Software conecta instituições financeiras menores ao Pix e ao sistema de pagamentos do Banco Central.
Na madrugada de 30 de junho para 1º de julho, criminosos usaram credenciais legítimas no sistema da C&M para disparar transferências a partir das contas reserva de instituições clientes. A Polícia Civil de São Paulo estimou o desvio em R$ 541 milhões, e um funcionário da própria fornecedora foi preso após admitir ter cedido seu acesso.
Três lições para qualquer empresa, não só bancos:
- O ataque não explorou uma falha técnica do cliente, ele usou um acesso válido de um fornecedor confiável.
- A contenção derrubou a operação de quem não foi invadido. O Banco Central desligou as conexões da C&M, e clientes de várias instituições ficaram temporariamente sem Pix.
- Credencial privilegiada sem controle adicional é risco concentrado, um único acesso movimentou valores dessa ordem.
Gestão de riscos de terceiros em 6 passos
Não é preciso um programa corporativo de grande porte para começar. Estes seis passos cobrem a maior parte da exposição de uma empresa média.
1. Faça o inventário e classifique por criticidade
Você não protege o que não sabe que existe. Liste todo fornecedor que tem acesso a sistemas, dados ou rede, incluindo integrações SaaS conectadas por OAuth.
Classifique cada um em três níveis: crítico (acesso privilegiado ou dados sensíveis), relevante (acesso limitado) e baixo (sem acesso). O esforço dos próximos passos segue essa classificação.
2. Avalie a segurança antes de assinar
Para fornecedores críticos, questionário sem evidência não basta. Peça certificações (ISO/IEC 27001, SOC 2), resultado de pentest recente, política de MFA e histórico de incidentes.
Pergunte também quem, do lado do fornecedor, terá acesso ao seu ambiente e como esse acesso é revogado quando a pessoa sai da empresa.
3. Coloque segurança no contrato
O contrato é o único lugar onde a segurança do fornecedor vira obrigação. Inclua, no mínimo:
- Prazo para o fornecedor comunicar incidentes (em horas, não "assim que possível").
- Direito de auditoria ou de solicitar evidências de controles.
- Papéis de controlador e operador definidos, conforme a LGPD.
- Requisitos mínimos: MFA, criptografia, gestão de vulnerabilidades e descarte de dados ao fim do contrato.
4. Controle o acesso remoto de fornecedores
É aqui que a maioria dos ataques via terceiros acontece. Substitua VPNs permanentes e senhas compartilhadas por acesso via PAM: credencial individual, MFA obrigatório, acesso liberado só na janela do chamado e sessão gravada.
O DBIR 2026 mostra por que isso importa: apenas 23% das organizações terceiras corrigem por completo falhas de MFA ausente ou mal configurado em suas contas de nuvem.
5. Monitore continuamente, não só na contratação
A avaliação feita na assinatura do contrato envelhece rápido. Um SOC deve tratar acessos de fornecedores como fonte de alerta: login fora do horário combinado, origem geográfica nova, volume de dados atípico ou token OAuth com permissões além do necessário.
Reavalie fornecedores críticos ao menos uma vez por ano e sempre que houver incidente público envolvendo eles.
6. Inclua o fornecedor no plano de resposta a incidentes
Se o ataque vier pelo fornecedor, você precisa saber em minutos como cortar o acesso dele. O plano de resposta a incidentes deve listar, por fornecedor crítico, o contato de segurança, como revogar credenciais e tokens e qual processo manual assume se a integração cair.
Risco de terceiros e LGPD: a responsabilidade não se terceiriza
Quando um fornecedor trata dados pessoais em seu nome, ele é operador; sua empresa continua sendo a controladora e segue responsável perante a ANPD e os titulares.
O art. 42 da LGPD prevê que o operador responde solidariamente pelos danos quando descumpre a lei ou as instruções lícitas do controlador. Isso divide a conta, mas não tira sua empresa dela.
Na prática, se o vazamento acontecer no fornecedor, a comunicação do incidente à ANPD continua sendo dever do controlador, no prazo de 3 dias úteis previsto na Resolução CD/ANPD nº 15/2024. Sem cláusula que obrigue o fornecedor a avisar rápido, esse prazo pode vencer antes de você saber do incidente.
Perguntas frequentes sobre risco de terceiros
O que é risco de terceiros em segurança da informação? É a chance de um fornecedor ou parceiro com acesso aos seus sistemas, dados ou software ser usado como porta de entrada para um ataque cibernético à sua empresa.
- O que é um ataque à cadeia de suprimentos? É quando o invasor compromete um fornecedor, como um software ou prestador de serviços de TI, para atingir vários clientes dele de uma só vez.
- Se o fornecedor vazar dados, minha empresa responde pela LGPD? Sim. Como controladora, sua empresa segue responsável perante a ANPD e os titulares; o fornecedor, como operador, pode responder solidariamente se descumprir a lei ou suas instruções.
- Como avaliar a segurança de um fornecedor de TI? Peça evidências, não só respostas: certificações como ISO/IEC 27001 ou SOC 2, pentest recente, política de MFA, processo de revogação de acessos e histórico de incidentes.
- Qual a forma mais segura de dar acesso remoto a fornecedores? Acesso individual via PAM, com MFA, liberado apenas durante o atendimento, com sessão gravada e revogação automática ao final.
Conclusão: seu perímetro inclui seus fornecedores
Com quase metade das violações envolvendo terceiros, avaliar fornecedores deixou de ser tarefa de compras e virou parte da estratégia de segurança. A pergunta não é se seus parceiros são confiáveis, e sim o que acontece se a credencial de um deles cair na mão errada.
Comece pelo inventário, feche o acesso remoto com PAM e coloque os fornecedores críticos dentro do monitoramento.
