Um fornecedor de backup comprometido abriu centenas de ambientes sem quebrar senha alguma. Veja o risco jurídico e como mapear sua cadeia de terceiros.

O processo silencioso que ninguém vê

Toda organização tem um fornecedor em quem confia tanto que já nem lembra que ele está lá. É o serviço de backup em nuvem que roda de madrugada, a ferramenta de gestão remota que o time de TI instalou há três anos, o aplicativo que recebeu permissão administrativa no ambiente de e-mail “só para funcionar direito”. Ninguém revisa esse acesso porque ele nunca deu problema.

Foi exatamente por um fornecedor desse tipo que o ataque mais comentado de outubro aconteceu. Em 21 de outubro de 2026, a Microsoft atribuiu a um grupo alinhado ao Estado chinês, que ela rastreia como Storm-0940, o comprometimento do ConnectWise Cloud Backup, serviço de backup para ambientes Microsoft 365. Segundo a Reuters, o grupo usou o ARTEX, um framework aberto de testes de intrusão que pode rodar com qualquer modelo de IA e ser configurado para reconhecimento e exfiltração autônomos. A campanha mirou centenas de organizações em 16 setores, do financeiro ao jurídico.

O detalhe técnico é o que deveria tirar o sono de qualquer controlador. Os atacantes não quebraram a senha de ninguém: usaram credenciais de serviço do próprio aplicativo de backup e se autenticaram como ele dentro dos ambientes dos clientes. Como o acesso era em nível de aplicação, a autenticação multifator simplesmente não entrou em cena. Em cerca de 50 ambientes, segundo a apuração publicada pelo BornCity, os invasores ainda atribuíram a si mesmos papéis administrativos.

Ou seja: a porta não foi arrombada. Ela foi aberta com a chave que a própria empresa entregou ao fornecedor.

O risco invisível: por que isso é mais grave do que parece

A primeira reação de muitos gestores é pensar que o problema é do fornecedor. A LGPD não deixa essa saída tão confortável. O controlador é quem decide sobre o tratamento e quem responde por ele; o operador trata os dados em nome do controlador e, conforme o art. 39 da Lei 13.709/2018, deve fazê-lo segundo as instruções que recebe. Quando o operador descumpre a lei ou essas instruções, o art. 42, § 1º, inciso I, o coloca em responsabilidade solidária pelos danos. Solidariedade, porém, não apaga a responsabilidade de quem escolheu o fornecedor, concedeu o acesso e nunca verificou como ele protegia as credenciais.

O art. 46 exige que os agentes de tratamento adotem medidas de segurança, técnicas e administrativas, aptas a proteger os dados pessoais de acessos não autorizados. O art. 47 estende o dever de garantir a segurança a qualquer pessoa que intervenha em uma das fases do tratamento. E o art. 6º, inciso X, consagra o princípio da responsabilização e prestação de contas: não basta ter adotado medidas, é preciso conseguir demonstrar que elas existem e são eficazes.

Agora some a Resolução CD/ANPD nº 15/2024, o Regulamento de Comunicação de Incidente de Segurança. Ela fixa o prazo de três dias úteis, contados da ciência do incidente pelo controlador, para comunicar a ANPD e os titulares quando houver risco ou dano relevante. E inclui, entre os critérios que caracterizam esse risco, justamente os dados de autenticação em sistemas. Um incidente com tokens e credenciais de acesso não é um detalhe de TI: é, em muitos cenários, um incidente comunicável.

A pergunta que a fiscalização fará é simples e cruel: quais fornecedores tinham acesso a esse ambiente, com que permissões, avaliados quando e com base em quê? Se a resposta está espalhada em contratos assinados em anos diferentes, questionários em planilhas e e-mails com o jurídico, a organização terá de reconstruir sua própria cadeia de terceiros em três dias úteis, no meio da crise.

Como o módulo Diagnóstico de Terceiros do PROTEGON resolve

O Diagnóstico de Terceiros (Avaliação de Fornecedor) foi desenhado para transformar a gestão de fornecedores em um processo contínuo e documentado, e não em um esforço de última hora. Na prática, o módulo permite:

• Due diligence por link externo: o fornecedor responde ao diagnóstico por um link, sem precisar de acesso ao sistema, o que elimina a troca de planilhas por e-mail e o “questionário perdido”.
• Acompanhamento em tempo real: o encarregado e a equipe de compliance acompanham as respostas à medida que chegam e sabem exatamente quem ainda não respondeu.
• Visão de toda a cadeia de fornecedores: a avaliação cobre o conjunto de operadores e terceiros, permitindo enxergar quais deles concentram acesso privilegiado ou dados críticos.
• Avaliação com critérios próprios: a partir de um banco de questões cadastrado, a organização mede a maturidade do fornecedor segundo os riscos que importam para ela, como gestão de credenciais, controle de acessos e resposta a incidentes.
• Relatório de due diligence de operadores: o entregável principal é a evidência documental de que o controlador avaliou seus terceiros antes e durante a relação, exatamente o que o princípio da prestação de contas exige.
• Integração com outros módulos: riscos identificados seguem para a Gestão de Riscos, e fornecedores que operam fora do país se conectam ao módulo de transferência internacional.

Quando o contrato específico exige aprofundamento, o módulo AIT: Impacto do Terceiro mede o impacto concreto daquela relação sobre os dados da organização, com avaliação proporcional ao risco de cada contrato. E, se o pior acontecer, a Gestão de Incidentes organiza registro, classificação, parecer, evidências e a emissão do comunicado no formato exigido pela ANPD, consultando o mapeamento de dados para identificar atividades e titulares afetados.

Do caos para a previsibilidade

Imagine o mesmo alerta chegando em duas organizações diferentes.

Na primeira, o time de TI descobre o comprometimento pela imprensa. O encarregado pergunta quem contratou o serviço de backup; ninguém sabe ao certo. O contrato está em uma pasta compartilhada, sem cláusula clara sobre notificação de incidentes. O questionário de segurança, se existiu, foi respondido em 2023. Enquanto isso, o relógio dos três dias úteis corre e a decisão sobre comunicar ou não a ANPD é tomada sem base documental.

Na segunda, o encarregado abre o painel e, em minutos, identifica que o fornecedor foi avaliado, com quais respostas, qual nível de maturidade declarou e quais riscos já estavam registrados. Sabe quais atividades de tratamento dependem dele e quais categorias de titulares podem ter sido afetadas. A conversa com a diretoria deixa de ser “o que aconteceu?” e passa a ser “o que já sabemos e o que vamos fazer”.

A diferença entre as duas não é sorte, nem o tamanho do orçamento de segurança. É ter tratado a cadeia de fornecedores como parte do programa de governança, com evidência registrada. Organizações que estruturam a due diligence de terceiros costumam reduzir de forma expressiva o tempo de resposta a incidentes envolvendo operadores, porque a informação crítica já está organizada antes da crise. E chegam à fiscalização com o que a ANPD mais valoriza: prova de diligência, não apenas boas intenções.

Há ainda um ganho menos visível. O fornecedor que sabe que será avaliado de forma recorrente tende a responder com mais cuidado e a corrigir lacunas antes de ser cobrado. A due diligence deixa de ser um ritual de contratação e passa a ser um instrumento de melhoria contínua da cadeia.

Próximo passo

O caso ConnectWise mostra que a superfície de ataque de uma organização não termina no seu firewall: ela se estende a cada fornecedor que recebeu uma credencial, uma permissão ou uma integração. Atacantes com IA automatizam o reconhecimento dessa cadeia; quem defende precisa, no mínimo, conhecê-la melhor do que eles.

Se amanhã a ANPD perguntasse quais operadores têm acesso privilegiado aos seus ambientes e quando cada um foi avaliado, sua organização responderia com um relatório ou com uma força-tarefa? Conheça o módulo Diagnóstico de Terceiros e veja, em um teste de 30 dias sem custo e com acompanhamento do time PROTEGON, como transformar sua cadeia de fornecedores em evidência de conformidade.