← Artigos e guias sobre fraudes, cibersegurança, LGPD e lavagem

Cadeia de suprimentos: de SolarWinds e MOVEit aos ataques de 2026

Terceiros já aparecem em 30% das violações. Veja os casos SolarWinds, MOVEit, Salesloft Drift, Shai-Hulud e 2026, e como gerenciar o risco de fornecedores.

2026-10-04

Atacar uma empresa de cada vez dá trabalho. Atacar o fornecedor de software, a ferramenta de integração ou a biblioteca de código usada por milhares de empresas é muito mais eficiente. Essa é a lógica dos ataques à cadeia de suprimentos, que passaram de exceção a padrão na última meia década.

O relatório DBIR 2025 da Verizon mostra a dimensão: a participação de terceiros apareceu em 30% das violações analisadas, o dobro dos 15% do ano anterior (Help Net Security).

Para quem decide, o desafio é que a confiança depositada num fornecedor vira, de uma hora para outra, a porta de entrada do invasor. Uma atualização legítima, um token de integração com permissão ampla ou uma biblioteca de código aberto baixada automaticamente podem carregar o ataque para dentro da rede sem acionar os controles tradicionais.

Os casos que definiram o problema

SolarWinds (2020)

Espiões russos inseriram uma porta dos fundos no software de monitoramento Orion, da SolarWinds. Cerca de 18 mil organizações baixaram a atualização contaminada e aproximadamente 100 foram efetivamente invadidas pelo grupo conhecido como Cozy Bear, segundo o The Register. O caso teve também um capítulo jurídico: a SEC processou a empresa e seu CISO por falhas de divulgação, um juiz rejeitou a maior parte das acusações em julho de 2024 e, em 20 de novembro de 2025, a SEC pediu o arquivamento da ação.

MOVEit (2023)

O grupo Cl0p explorou uma falha no software de transferência de arquivos MOVEit e extraiu dados em massa. A contagem da Emsisoft chegou a 2.773 organizações e mais de 95,7 milhões de pessoas afetadas, com 78,9% das vítimas conhecidas nos EUA; educação (39,1%) e saúde (20,1%) foram os setores mais atingidos (Emsisoft).

2025: tokens, integrações e pacotes de código

Salesloft Drift

Em 2025, invasores entraram na conta GitHub da Salesloft entre março e junho, chegaram ao ambiente AWS da Drift e roubaram tokens OAuth das integrações de clientes. Com eles, acessaram instâncias Salesforce de várias empresas. A Cloudflare estimou "centenas" de companhias comprometidas; entre as vítimas citadas estão Google, Zscaler, Cloudflare, Palo Alto Networks, CyberArk e Elastic (The Register). O Google atribuiu os ataques ao grupo UNC6395. O caso mostrou que um único conector de SaaS, com permissões amplas e sem expiração curta, pode abrir o acesso a dados de centenas de clientes de uma vez.

Shai-Hulud no npm

Em setembro de 2025, a CISA alertou para um worm autorreplicante chamado Shai-Hulud que comprometeu mais de 500 pacotes no npm, o maior repositório de JavaScript. O malware buscava tokens do GitHub e chaves de nuvem (AWS, Google Cloud, Azure) e se espalhava publicando versões contaminadas em nome dos desenvolvedores invadidos (CISA). As credenciais roubadas eram enviadas a um servidor dos atacantes e expostas em um repositório público. A agência recomendou fixar dependências em versões anteriores a 16 de setembro de 2025, trocar imediatamente todas as credenciais de desenvolvedores e exigir MFA resistente a phishing nas contas de GitHub e npm.

2026: a mesma tática, em escala

Levantamento da CM-Alliance publicado em junho de 2026 lista alguns dos maiores casos do ano:

TanStack ("Mini Shai-Hulud"): pacotes populares adulterados para roubar credenciais do GitHub, segredos de nuvem e tokens de CI/CD; a OpenAI relatou dois dispositivos de funcionários afetados e a Grafana recusou um pedido de extorsão. Atribuído ao grupo TeamPCP;
Campanha "Megalodon": commits maliciosos disfarçados de contribuições automáticas infectaram mais de 5.500 repositórios no GitHub em maio de 2026;
Vimeo–Anodot: tokens de um fornecedor de análise de dados expuseram cerca de 119 mil usuários do Vimeo;
Trellix: vazamento de código-fonte divulgado em maio de 2026, ligado à mesma atividade do TeamPCP.

Caso	Ano	Vetor	Alcance
SolarWinds	2020	Atualização de software adulterada	~18 mil baixaram; ~100 invadidas
MOVEit	2023	Falha em transferência de arquivos	2.773 organizações
Salesloft Drift	2025	Tokens OAuth de integração	"Centenas" de empresas
Shai-Hulud	2025	Pacotes npm	500+ pacotes
Megalodon	2026	Commits maliciosos no GitHub	5.500+ repositórios

O padrão se repete: os alvos passaram a ser o ambiente do desenvolvedor, o pipeline de integração contínua e os tokens de acesso, e não mais apenas o produto final.

O que os reguladores já cobram

Na Europa, a NIS2 inclui a segurança da cadeia de suprimentos entre as medidas mínimas, com diligência sobre fornecedores e exigências contratuais (McCann FitzGerald). No setor financeiro, o primeiro relatório do DORA mostrou que quase um terço dos incidentes graves de TIC em 2025 veio de falhas de terceiros (Ropes & Gray).

Como gerenciar o risco de terceiros

Inventário: saiba quais fornecedores, integrações SaaS e bibliotecas de código acessam seus dados e sistemas.
Classificação: priorize os que têm acesso privilegiado ou guardam dados sensíveis.
Tokens e integrações: revise permissões OAuth, revogue as que não são usadas e defina validade curta.
Dependências de código: fixe versões, revise arquivos de lock e monitore pacotes, como recomendou a CISA.
Credenciais de desenvolvedores: exija MFA resistente a phishing no GitHub e no npm e troque segredos após qualquer alerta.
Contratos: inclua prazos de notificação de incidentes, direito de auditoria e plano de saída.
Resposta: tenha um roteiro para quando o fornecedor for o invadido.