Por que isso importa agora para quem lidera uma empresa

Sua empresa pode ter o firewall mais robusto do mercado, autenticação multifator em toda a operação e uma equipe de TI capacitada — e ainda assim ser comprometida por um fornecedor que você nem lembra que tem acesso ao seu ambiente. Não é hipótese. É o padrão por trás do maior roubo cibernético já registrado contra o sistema financeiro brasileiro, e ele se repete em qualquer setor que dependa de fornecedores tecnológicos — ou seja, todos.

O elo que sua área de TI não enxerga

O problema não é falta de ferramenta. É que firewall, antivírus e MFA protegem o perímetro que você controla diretamente — servidores, endpoints, rede interna. Eles não enxergam o que acontece do lado de fora desse perímetro: as credenciais que um fornecedor guarda, as integrações que uma API expõe, os acessos que um prestador de serviço mantém ativos meses depois do contrato ter acabado.

Esse é o padrão que temos visto se repetir nos ambientes que analisamos: o ponto de entrada raramente é a falha técnica mais sofisticada. Na maioria dos casos, é um acesso legítimo — de um fornecedor, um prestador, um parceiro — que ninguém revisou há tempo suficiente para saber se ainda deveria existir.

O caso C&M: um ataque bilionário que entrou pela porta de um terceiro

Em julho de 2025, a C&M Software — provedora de conectividade entre instituições financeiras e o Banco Central — foi alvo do que se tornou o maior ataque já registrado contra o sistema financeiro brasileiro. O vetor não foi uma falha técnica sofisticada. Foi um funcionário terceirizado que repassou suas próprias credenciais de acesso a criminosos.

O resultado: desvio estimado entre R$ 400 milhões e R$ 1 bilhão, movimentado via Pix em questão de horas, atingindo múltiplas instituições financeiras conectadas àquele mesmo fornecedor. O Banco Central precisou determinar a desconexão emergencial da C&M do ambiente Pix para conter o dano. Meses depois, o episódio motivou a Resolução BCB nº 538, elevando as exigências regulatórias para prestadores de serviço tecnológico conectados ao sistema financeiro.

O que o ASM teria colocado sob o radar antes do incidente

Um programa de Attack Surface Management não previne o fator humano — ninguém previne por completo. Mas ele muda o que você sabe antes do ataque acontecer: quais fornecedores têm acesso ativo ao seu ambiente, quais credenciais de terceiros nunca foram revogadas, quais integrações seguem abertas sem necessidade de negócio. No caso C&M, o vetor de entrada era um acesso legítimo mal gerenciado — exatamente o tipo de exposição que um ASM contínuo é desenhado para identificar antes que vire manchete.

Proteger o que você controla não é mais suficiente

A lógica tradicional de segurança corporativa nasceu para proteger um perímetro fechado: minha rede, meus servidores, meus funcionários. Essa lógica não desapareceu — continua necessária. Mas deixou de ser suficiente sozinha.

Hoje, o perímetro real da sua empresa inclui cada fornecedor com acesso a dados ou sistemas, cada integração via API, cada credencial compartilhada com um prestador externo. Cada um desses pontos é, na prática, uma extensão da sua superfície de ataque — mesmo que nunca apareça em um inventário de ativos internos.

Como o Attack Surface Management identifica esse risco antes do ataque acontecer

ASM é o processo de mapear continuamente tudo que compõe essa superfície estendida — não só os ativos que a TI cadastrou, mas os que ninguém lembrou de cadastrar. Na prática, isso envolve:

  • Descoberta contínua de ativos expostos: subdomínios, serviços em nuvem e integrações que ficaram esquecidos ou nunca foram formalmente documentados, mas seguem acessíveis externamente.
  • Mapeamento de conexões com terceiros: quais fornecedores têm acesso ativo ao seu ambiente hoje, e se esse nível de acesso ainda corresponde a uma necessidade de negócio real.
  • Priorização por risco real, não por volume: nem toda exposição tem o mesmo peso — o ASM ajuda a direcionar esforço para o que de fato abre uma porta de entrada.

Por onde começar

Mapear risco de terceiros não exige reconstruir toda a operação de segurança. Alguns passos práticos:

  • Liste todos os fornecedores com acesso técnico ativo: não só os “grandes”, mas qualquer prestador com credencial, API key ou conexão de rede válida hoje.
  • Revise prazos de acesso concedidos a terceiros: acesso que devia ter expirado com o fim de um contrato é uma das exposições mais comuns e mais evitáveis.
  • Formalize revisão periódica, não pontual: um levantamento único fica desatualizado em semanas — o valor do ASM está na continuidade.

Nenhuma dessas ações elimina o risco por completo. Mas cada uma reduz a distância entre “não sabíamos que esse acesso existia” e “identificamos isso antes que fosse tarde”.

O caso C&M mostrou que o elo mais fraco raramente está dentro do seu próprio perímetro. A pergunta que fica é simples: você sabe, hoje, quais fornecedores têm as chaves da sua operação? Um programa de Attack Surface Management é o primeiro passo para responder isso com dados, não com suposição — e, combinado a um Pentest direcionado, valida o quão explorável cada exposição realmente é.

Ferramentas de detecção existem, mas nenhuma é infalível. Pequenas falhas — pausas artificiais, respostas genéricas a perguntas pessoais imprevistas — ainda são os sinais mais confiáveis, ao lado do protocolo de verificação fora de banda.

Pentest simula um ataque real contra um alvo definido, em um momento específico, pra testar a resistência de defesas já conhecidas. ASM mapeia continuamente tudo que compõe sua superfície de exposição — incluindo o que a empresa nem sabia que tinha. Um mostra o que existe e está em risco; o outro valida o quão explorável isso é na prática.

Não existe um número único — depende do volume de fornecedores e da criticidade dos sistemas envolvidos. Mas revisão pontual (uma vez por ano, por exemplo) deixa uma janela grande de exposição, como mostrou o caso C&M: acesso que deveria ter sido revogado meses antes seguiu ativo até virar vetor de ataque. O ideal é mapeamento contínuo, não um checklist anual.