O que exatamente parou nos tribunais americanos
Na quinta-feira, 15 de outubro, todos os tribunais federais de falência dos Estados Unidos pararam de emitir notificação. Ninguém invadiu os tribunais. O ataque foi na BAE Systems, empresa que opera o Bankruptcy Noticing Center (BNC) em nome do Judiciário americano, o centro que produz e distribui essas notificações. Quatro endereços saíram do ar de uma vez, incluindo o serviço nacional de registro de credores, segundo o comunicado publicado no mesmo dia no portal uscourts.gov.
Notificação de falência não é burocracia decorativa. É o ato que avisa credor, devedor e advogado de que um prazo começou a correr. Com a produção parada, o prazo não para.
A BAE declarou à Recorded Future News, também em 15 de outubro, que o incidente está “isolado no sistema do BNC” e que tomou medidas imediatas. No mesmo dia, o Escritório Administrativo dos Tribunais não respondeu se houve roubo de dados. Fornecedor garantindo que está tudo contido, cliente institucional sem conseguir dizer o que vazou: essa cena é mais familiar do que deveria ser.
Não foi caso único na semana. Segundo a mesma publicação, um centro de atendimento de uma agência de segurança do Departamento de Transportes americano saiu do ar depois que um contratado foi atacado. Semanas antes, o sistema de tribunais do estado do Arizona teve dados de mais de 1,3 milhão de pessoas expostos.
Três eventos, um padrão. Em nenhum deles a instituição que responde pelo serviço foi a instituição atacada.
Mas por que isso é problema do leitor brasileiro?
Porque aqui o modelo é o mesmo, e o número já saiu da categoria de alerta.
O Data Breach Investigations Report (DBIR) da Verizon, divulgado em 19 de maio de 2026, aponta que 48% das violações analisadas envolveram um terceiro, alta de 60% sobre o levantamento anterior. Quase metade. Terceiro deixou de ser risco emergente e virou o caminho de entrada mais movimentado que existe.
E faz sentido que seja. A empresa brasileira média não opera o próprio processamento de folha, não hospeda o próprio e-mail, não escreve o próprio sistema de emissão fiscal e não mantém o próprio canal de pagamento. Cada uma dessas decisões foi correta isoladamente. Somadas, elas transferiram a operação para fora e deixaram a responsabilidade dentro.
A assimetria está aí. O atacante escolhe onde bate. O cliente escolhe a quem reclamar. E as duas escolhas raramente apontam para a mesma empresa.
E o Brasil, já passou por isso?
Passou, e no lugar mais sensível possível.
Em 1º de julho de 2025, a C&M Software foi invadida. Ela conecta instituições financeiras ao Sistema de Pagamentos Brasileiro (SPB) e ao ambiente de liquidação do Pix. Segundo reportagem da Convergência Digital publicada em 2 de julho de 2025, os atacantes usaram o acesso da prestadora para alcançar contas de reserva mantidas por instituições financeiras no Banco Central do Brasil (BACEN), e as apurações da imprensa na época falavam em ao menos R$ 400 milhões desviados. Fontes ligadas à investigação da Polícia Federal trataram o caso como o maior ataque da história do sistema financeiro brasileiro.
O que o BACEN fez na hora diz mais do que o valor. Determinou que a C&M cortasse o acesso das instituições às infraestruturas que ela operava. Em português claro: para conter o fornecedor, o regulador desligou o canal dos clientes dele.
Nenhum banco daquela lista foi invadido. Todos sentiram.
Onde fica o problema para nós do mundo real?
O problema é que a maioria das empresas ainda trata fornecedor crítico como assunto de contrato, e não como assunto de continuidade.
O setor financeiro brasileiro já saiu desse lugar, e vale olhar como. Em 5 de setembro de 2025, o BACEN publicou um pacote de resoluções, as de número 494 a 498, conforme análise do escritório Demarest. A Resolução BCB nº 498 passou a exigir credenciamento dos Provedores de Serviços de Tecnologia da Informação (PSTI) que acessam a Rede do Sistema Financeiro Nacional (RSFN). A Resolução BCB nº 547, de 30 de janeiro de 2026, apertou mais e passou a tratar esses provedores como infraestrutura crítica.
Olhe a lista, mesmo que a sua empresa não seja banco. Capital e patrimônio líquido mínimos de R$ 15 milhões. Diretores designados, com nome, para segurança da informação, risco e gestão de crise. Comitê de crise. Seguro de responsabilidade e de risco operacional. Auditoria externa independente anual. Plano de continuidade de negócios com teste periódico e reporte anual ao regulador. E o item que quase ninguém escreve em contrato privado: plano de saída ordenada, com aviso prévio de trinta dias, desenhado para limitar o impacto nos clientes.
Repare no que o regulador não fez. Não proibiu terceirizar. Nomeou quem responde, exigiu que o plano de parada existisse antes da parada, e colocou prazo na saída.
Fora do setor financeiro, a régua brasileira é mais simples e menos conhecida. O artigo 42 da Lei Geral de Proteção de Dados Pessoais (LGPD) responsabiliza o operador que descumpre a lei junto com o controlador, e a Resolução CD/ANPD nº 15, de 24 de abril de 2024, fixou o dever de comunicar incidente de segurança à Autoridade Nacional de Proteção de Dados (ANPD) e aos titulares afetados. Quem comunica é a empresa que coletou o dado. Não o fornecedor que o perdeu.
O que a sua empresa consegue responder hoje?
Quatro perguntas, e nenhuma delas é técnica.
Quais fornecedores, se pararem amanhã, param um processo que o seu cliente percebe no mesmo dia?
Quanto tempo a sua operação aguenta sem cada um deles, medido em horas, não em adjetivo?
Quando o incidente for no fornecedor, em quanto tempo ele é obrigado por contrato a avisar, e quem na sua empresa recebe esse aviso num domingo?
E se ele sair do mercado, você tem plano de saída com dado exportável e prazo, ou tem uma cláusula genérica de rescisão?
(E sim, isso inclui o fornecedor que você herdou de uma gestão anterior e nunca reavaliou. Normalmente é justamente ele.)
Quem não tem as quatro respostas escritas não tem gestão de terceiros. Tem confiança, que é uma coisa simpática e não é um controle.
E não, nada disso é argumento para trazer tudo de volta para dentro. Internalizar o que você opera pior apenas troca o risco de concentração pelo risco de incompetência. Dependência declarada e testada dá para administrar. Dependência descoberta no escuro, não.
O que esperar daqui para frente?
A regra tende a viajar. Começou no sistema financeiro, onde o dano é imediato e mensurável, e já existe movimento parecido em outros setores regulados. Quem opera saúde, energia, telecomunicações ou serviço público no Brasil provavelmente verá chegar alguma versão do mesmo requisito, com outro nome, nos próximos ciclos de norma.
Até lá, a vantagem é de quem antecipar. Não por elegância de governança, mas por preço: exigência de plano de continuidade e de saída ordenada é barata de negociar na assinatura do contrato, caríssima na renovação, e impossível durante o incidente.
E ninguém precisa esperar norma para montar essa lista. Precisa de uma tarde, e de alguém disposto a ouvir a primeira resposta.
Até o próximo Café com Bytes, com ceticismo saudável e café bem passado.
Ricardo Brasil | Especialista em IA Responsável e Diretor de TI na GWS Engenharia — Colunista Café com Bytes | Tecnologia | Inteligência Artificial
Sobre o Autor
Ricardo Brasil é Diretor de TI e Gestão Corporativa da GWS Engenharia, especialista em IA Responsável, transformação digital e governança de TI. É colunista da série Café com Bytes, onde escreve semanalmente sobre tecnologia, inteligência artificial e seus impactos no ambiente corporativo brasileiro.
