A pergunta que todo board deveria fazer e quase nenhum faz

Sua empresa investiu em firewall, antivírus e MFA. Ótimo. Mas quanto da sua superfície de ataque está, agora mesmo, dentro do ambiente de um fornecedor que você nem audita?

Essa pergunta importa mais do que parece. O Brasil registrou, em fevereiro de 2026, uma média de 3.736 ataques cibernéticos por semana por organização — alta de 37% em relação ao ano anterior — e apareceu entre os oito países mais impactados por ransomware no mundo¹. Grupos como o LockBit já direcionam ataques especificamente ao país depois de perderem força nos Estados Unidos².

O que é risco de terceiros, na prática

Risco de terceiros é a exposição que sua empresa herda por causa de fornecedores, parceiros e prestadores de serviço com acesso a sistemas, dados ou infraestrutura. Não é hipotético: ataques à cadeia de suprimentos já afetaram quase uma em cada três empresas no mundo no último ano³.

Por que “seu fornecedor tem certificado” não é a mesma coisa que “seu fornecedor é seguro”

Um certificado prova conformidade num momento específico. Não prova que a senha de um analista do fornecedor não está reutilizada em três sistemas, nem que o acesso remoto dele está protegido por autenticação multifator. A maioria das empresas brasileiras já reconhece essa lacuna: 76% delas já estão dispostas a investir na própria segurança digital dos seus fornecedores para reduzir essa exposição⁴.

Como o ransomware está explorando essa brecha em 2026

O modelo de extorsão dupla (criptografia + vazamento)

O ransomware tradicional sequestrava arquivos. A versão atual frequentemente pula essa etapa: rouba os dados e ameaça publicá-los, sem criptografar nada. Como os pagamentos de resgate caíram para apenas 28% dos casos em 2025, os grupos criminosos passaram a apostar na pressão reputacional em vez de depender só do sequestro técnico⁵.

Isso muda a lógica de defesa. Backup imutável resolve a paralisação operacional, mas não impede o vazamento nem a exposição legal que vem depois — e é exatamente aí que um fornecedor comprometido vira o elo mais fraco: ele guarda cópia dos seus dados, mas raramente tem o mesmo padrão de resposta a incidente que sua empresa.

Como o ransomware está explorando essa brecha em 2026

O modelo de extorsão dupla (criptografia + vazamento)

O ransomware tradicional sequestrava arquivos. A versão atual frequentemente pula essa etapa: rouba os dados e ameaça publicá-los, sem criptografar nada. Como os pagamentos de resgate caíram para apenas 28% dos casos em 2025, os grupos criminosos passaram a apostar na pressão reputacional em vez de depender só do sequestro técnico⁵.

Isso muda a lógica de defesa. Backup imutável resolve a paralisação operacional, mas não impede o vazamento nem a exposição legal que vem depois — e é exatamente aí que um fornecedor comprometido vira o elo mais fraco: ele guarda cópia dos seus dados, mas raramente tem o mesmo padrão de resposta a incidente que sua empresa.

Sinais de que sua cadeia de fornecedores está exposta

  • Acesso remoto sem MFA: qualquer fornecedor que acessa seus sistemas usando só usuário e senha é uma porta sem tranca reforçada, independente do que diz o contrato.
  • Ausência de cláusula de notificação de incidente: se o contrato não define prazo para o fornecedor avisar sua empresa em caso de vazamento, você pode descobrir o problema pela imprensa, não por ele.
  • Nenhuma auditoria desde a assinatura do contrato: segurança não é estado permanente — um fornecedor seguro há dois anos pode estar comprometido hoje sem que ninguém tenha verificado.
  • Dados sensíveis compartilhados sem necessidade real: quanto mais dado um terceiro guarda, maior o prêmio que ele representa para um atacante — e maior o seu risco se ele falhar.

Como mapear e reduzir esse risco sem parar a operação

Attack Surface Management aplicado a terceiros

Mapear a superfície de ataque não deveria parar nas fronteiras da sua própria rede. Um diagnóstico de Attack Surface Management pode incluir os fornecedores com acesso mais crítico, revelando exposições que nem eles sabem que têm.

Cláusulas contratuais e auditoria como parte da governança

Contrato bem redigido não substitui verificação técnica, mas cria a base jurídica para agir rápido se algo falhar — prazo de notificação, direito de auditoria e responsabilidade definida entre controlador e operador de dados.

Um pentest tradicional foca na sua própria infraestrutura. Para avaliar o risco de um fornecedor específico, o caminho costuma ser um diagnóstico de superfície de ataque direcionado a ele, combinado com auditoria contratual — não um pentest genérico.

Sim, na maioria dos casos. A lei estabelece responsabilidade solidária entre a empresa contratante (controladora) e o fornecedor (operador) quando não há cláusulas claras de proteção de dados e governança⁶. O Superior Tribunal de Justiça já rejeitou a tese de que a culpa seria “exclusivamente do terceiro” quando a empresa não comprova ter adotado as medidas de segurança esperadas⁷.

 Sim — e, muitas vezes, mais: fornecedores menores costumam ter processos de segurança menos maduros, e uma empresa pequena que atende grandes clientes pode ser o alvo preferido justamente por representar a porta de entrada mais fácil para uma cadeia maior.

Saber quais fornecedores representam risco real para sua empresa exige visibilidade que a maioria dos contratos não oferece. O Attack Surface Management da Anzemis mapeia essa exposição além dos seus próprios muros, e o Pentest valida, na prática, se os controles combinados com seus terceiros realmente seguram um ataque.

Referências:

  1. Dinamio. Ransomware no Brasil em 2026: o que mudou e como agir (dados Check Point Research). Disponível em: https://www.dinamio.com.br/blog/2026/06/09/ransomware-no-brasil-em-2026-o-que-mudou-e-como-agir/
  2. IT Forum. Brasil entra na lista dos países mais afetados por ransomware no início de 2026. Disponível em: https://itforum.com.br/ciberseguranca/brasil-paises-afetados-ransomware/
  3. Portal Information Management. Três em cada quatro empresas brasileiras estão dispostas a pagar pela segurança digital de seus fornecedores (dados Kaspersky). Disponível em: https://docmanagement.com.br/06/03/2026/tres-em-cada-quatro-empresas-brasileiras-estao-dispostas-a-pagar-pela-seguranca-digital-de-seus-fornecedores-para-evitar-ciberataques/
  4. Idem (Kaspersky/Portal Information Management, referência 3)
  5. Securelist Brazil. Análise das tendências de ataques de ransomware em 2026 (Kaspersky Security Network). Disponível em: https://securelist.com.br/state-of-ransomware-in-2026/1528/
  6. NDM Advogados. Compartilhando dados com fornecedores e parceiros: como mitigar riscos conforme a LGPD?. Disponível em: https://ndmadvogados.com.br/artigo/compartilhando-dados-com-fornecedores-e-parceiros-como-mitigar-riscos-conforme-a-lgpd/
  7. Migalhas. Responsabilidade civil por dados vazados: REsp 2.147.374/SP. Disponível em: https://www.migalhas.com.br/depeso/431249/responsabilidade-civil-por-dados-vazados-resp-2-147-374-sp