Quantas aplicações de terceiros têm, neste exato instante, uma chave ativa do seu CRM, do seu e-mail corporativo ou do seu ambiente de nuvem? Quem aprovou cada uma delas, quem revisa o que elas podem acessar e quem revoga esse acesso quando o contrato acaba? Se você travou em alguma dessas perguntas, respire fundo: o seu perímetro já foi terceirizado, e você não estava na sala quando isso aconteceu. É por essa fresta que passa o incidente mais silencioso do ano. Sem invasão, sem malware, sem alarme. Alguém apenas usou uma credencial que a sua própria empresa entregou e esqueceu de vigiar.
Não é alarmismo, é tendência mapeada. Os analistas do Gartner projetaram que, até 2025, 45% das organizações no mundo teriam sofrido ataques à sua cadeia de suprimentos de software, um salto de três vezes em relação a 2021, e colocam a resiliência do ecossistema digital como um dos eixos centrais da defesa madura no relatório Top Trends in Cybersecurity. No mesmo material, a leitura de identidade em primeiro lugar (identity-first) ganha peso justamente porque a maior parte das credenciais que circulam num ambiente corporativo já não pertence a pessoas: pertence a serviços, integrações e, agora, agentes autônomos. O token que um aplicativo de terceiro guarda em nome da sua empresa é uma dessas identidades, e quase sempre é a menos vigiada de todas.
Aqui vale separar dois riscos que costumam ser tratados como um só. O primeiro é o fornecedor invadido: o terceiro sofre a brecha e o cliente herda o estrago. Já discuti isso aqui na coluna quando falei do vazamento em um fornecedor central da administração pública brasileira, e a lição foi que a confiança na cadeia precisa ser auditada, não presumida. O segundo risco é mais sorrateiro e é o assunto de hoje: a integração de confiança abusada. As campanhas de 2026 mostraram o roteiro na prática. Nos ataques ligados à integração Salesloft Drift e ao aplicativo Klue conectado ao Salesforce, o invasor não tocou no Salesforce nem no cliente final. Ele comprometeu a integração de terceiro, gerou tokens OAuth perfeitamente legítimos e extraiu grandes volumes de registros pela API, em janelas de poucas horas, sem disparar o alarme de uma invasão tradicional. O token tinha escopo amplo, não pedia MFA, não expirava e ninguém o havia inventariado.
O que vejo no mercado brasileiro confirma o tamanho do ponto cego. Levantamentos de gestão de risco de terceiros apontam que mais de 30% das empresas já tiveram prejuízo financeiro ou de reputação nos últimos três anos por vulnerabilidade ligada a fornecedores, e cerca de 55% admitem não ter visibilidade suficiente sobre o ambiente de nuvem usado pelos seus próprios terceiros. Ou seja: metade das empresas não sabe onde estão as chaves que distribuiu. Amadurecer a cadeia é sair do questionário anual de fornecedor, que vira papel na gaveta, e passar a operar quatro disciplinas simples e contínuas. Inventariar todas as integrações e aplicativos conectados aos seus sistemas críticos. Aplicar mínimo privilégio no escopo de cada token, porque quase nenhum app precisa de acesso total. Exigir expiração e rotação, para que uma chave esquecida deixe de ser eterna. E monitorar o comportamento das conexões entre plataformas, porque uma extração de milhares de registros em quinze minutos é um grito, desde que alguém esteja ouvindo. No fundo, todo token de integração é uma credencial de máquina, e como tal precisa de dono, ciclo de vida e vigilância.
A verdade incômoda é que a sua próxima invasão pode não parecer uma invasão. Se um aplicativo de terceiro começasse a puxar a sua base de clientes agora, usando um acesso que você mesmo autorizou meses atrás, quanto tempo levaria até alguém na sua operação perceber? Agradeço por acompanhar mais um artigo do Café com Bytes. Se esse tema fizer sentido para alguém da sua rede, compartilhe e deixe seu comentário.
Rodrigo Rocha
Co-fundador e Head de Soluções de Cibersegurança da Gruppen it Security
Fontes
- Gartner, Top Trends in Cybersecurity (relatório licenciado, sem link)
- Gartner, Build Adaptive Cyber Resilience to Thrive Amid Volatility (relatório licenciado, sem link)
- Salesloft Drift OAuth Token Breach, campanha UNC6395 Icarus (Rescana)
- Salesforce desativa app Klue após abuso de token OAuth (The Hacker News)
- Defending SaaS-based applications against ShinyHunters OAuth abuse (Microsoft Security)
- TPRM 2026: cenário e tendências de gestão de risco de terceiros no Brasil (Decripte)
Riscos de fornecedores causam prejuízos financeiros e de reputação (Site PD)
