O relatório Data Breach Investigations Report de 2025, da Verizon — que analisa mais de 22 mil incidentes de segurança em 139 países — mostrou um número alarmante: a participação de terceiros nas violações de dados dobrou, passando de 15% para 30% em um ano. Fornecedores, prestadores, consultores e parceiros agora aparecem em uma em cada três brechas confirmadas.
O problema não é novo em teoria. Empresas sabem há anos que acesso de terceiros é risco. O que mudou é a escala. Dezenas de milhares de consultores, agências, integradores e parceiros acessam sistemas críticos todos os dias — e a maioria ainda entra com senha compartilhada, sem data para sair, sem saber quem mais está usando aquela conta, sem pista de onde foi o acesso.
Em maio de 2024, uma empresa chamada Snowflake descobriu que 165 de seus clientes haviam sido invadidos. Não por falha no software. Por credenciais roubadas de funcionários — senhas capturadas por malware nos dispositivos pessoais dos próprios clientes. Como? Porque ninguém obrigava autenticação em duas etapas. Como ninguém sabia que aquele acesso estava acontecendo? Porque não havia trilha. E por quanto tempo as credenciais duraram? Alguns hackers usaram senhas roubadas 4 anos antes, nunca rotacionadas.
O terceiro que entra, cria conta e fica lá para sempre
Quando um consultor externo chega para implementar um projeto de 3 meses, o que costuma acontecer?
A empresa cria uma conta para ele — email corporativo, VPN, acesso ao banco de dados, acesso à pasta compartilhada de projetos. O consultor entra com a própria senha ou a senha é compartilhada ("aqui está a senha do time"). O projeto termina. Ninguém desliga a conta. Ele sai da empresa e a conta fica lá. Se a empresa cresce, o número de contas desse tipo cresce junto — a consultoria de 3 meses vira consultoria de 3 anos (o mesmo consultor, renovado), a integradora faz manutenção semestral, o parceiro de tecnologia tem acesso permanente para suporte.
O relatório de SecurityScorecard de 2025 encontrou que 35.5% das brechas originam-se de vetores de terceiros. Quando essas brechas começam com credencial roubada, o problema é duplo: a empresa não sabe que aquele acesso acontecia; o hacker usa a credencial como se fosse um funcionário de verdade.
O caso Snowflake tem um detalhe específico que vale para consultoria, agência e software como serviço: os 165 clientes atingidos não usavam autenticação em duas etapas. Ou seja, roubar a senha foi o bastante. E não era senha única — era a credencial de um funcionário da empresa do cliente, capturada meses ou anos antes por um programa de espionagem. O hacker nem precisava parecer estranho no acesso: entrava com a identidade de um funcionário de verdade, como se fosse ele.
O custo confirma a urgência. Segundo o relatório Cost of a Data Breach 2025, da IBM, brechas que começam em fornecedores e na cadeia de suprimentos custam em média US$ 4,91 milhões — o segundo vetor de ataque mais caro entre todos os analisados no estudo, atrás apenas de phishing. Não é um número abstrato: é o tipo de conta que aparece meses depois, quando ninguém sabia que aquele acesso de terceiro continuava ativo.
O padrão se repete em empresas brasileiras e latino-americanas que terceirizam folha de pagamento, suporte de TI ou parte da contabilidade. É comum a contabilidade terceirizada receber acesso ao sistema financeiro para o fechamento mensal e manter a mesma senha ativa meses depois, sem nenhuma tarefa pendente que justifique isso. Ninguém decide manter o acesso aberto por má-fé — só ninguém decide, em algum momento, fechá-lo.
Por que as restrições óbvias não funcionam
"Vamos criar uma política de que ninguém pode compartilhar senha" — a empresa estabelece, comunica, repete em reunião. Três meses depois, o novo projeto de integração chega, o integrador precisa acessar o banco de produção para debugar algo urgente, o gerente lhe passa a senha de um usuário que já tinha acesso. A política existe. A realidade é outra.
"Vamos obrigar troca de senha a cada 90 dias" — a empresa implementa. O problema: o consultor que usa aquela conta semanal fica feliz; o que usa uma vez ao ano esquece qual era e pede reset; ninguém sabe quantas pessoas têm aquela senha.
O terceiro ponto: sem trilha de auditoria, ninguém sabe o que o terceiro consultou. O que o consultor viu? Quanto tempo passou dentro do sistema? Que relatórios ele rodou? Se houver investigação depois de um incidente, essa informação desaparece.
O tamanho do problema aparece numa pesquisa recente: um estudo da Imprivata, publicado em 2025, encontrou que 47% das organizações sofreram uma violação de dados ou ataque cibernético nos últimos 12 meses envolvendo acesso de terceiros à rede — quase metade, não uma minoria isolada. O mesmo estudo explica por que revisão manual não resolve: equipes de TI e segurança gastam, em média, 134 horas por semana analisando e investigando a segurança desses acessos, o equivalente a três pessoas em tempo integral só olhando planilha de quem ainda tem senha ativa. Mesmo com esse esforço, a maioria das empresas pesquisadas não tem um inventário completo de quem acessa o quê.
O que precisa existir na prática
Identidade pessoal para cada terceiro. Nunca login compartilhado. Cada pessoa — funcionário ou terceiro — acessa com sua própria identidade, nunca compartilhada com outros. Se a credencial de alguém vaza, basta desligar aquela conta para bloquear o acesso — sem afetar quem mais usa o sistema. Auditar fica viável: quando alguém passa muito tempo dentro do sistema, dá para saber exatamente quem foi.
Acesso conforme o projeto e o papel. O consultor de implementação do sistema X não precisa ver bases de dados de RH nem relatórios de vendas. Se a ferramenta tem 50 funcionalidades, ele recebe as 3 que precisa — não a ferramenta inteira "porque é mais fácil de dar".
Validade definida, com expiração automática. O acesso do terceiro dura enquanto o projeto dura, não mais. Um integrador contratado para 3 meses recebe acesso de 3 meses — depois de 90 dias, a credencial expira automaticamente sem que ninguém precise lembrar de desligar a conta. Se o projeto se estender, o gestor renova; se terminar, o acesso é história.
Aprovação prévia conforme o risco. Alguém do time precisa autorizar que aquele terceiro tenha aquele acesso àquele banco. Criar conta de terceiro não é tarefa de TI automática — é decisão documentada de quem é responsável por aquele projeto.
Trilha completa de auditoria. Quem acessou, quando, por quanto tempo, que dados consultou. Não em relatório genérico no fim do mês: em log consultável quando precisa.
É assim que a Skyller foi desenhada: cada pessoa tem sua identidade pessoal, acesso conforme o papel, aprovação e registro automático de tudo — gerando a auditoria que falta na maioria das integrações.
O ganho é triplo
A segurança é o ganho óbvio. Credencial roubada fica inútil assim que o prazo de acesso expira. Sem login compartilhado, o roubo de uma senha afeta uma pessoa. Com trilha completa, você descobre em dias — não em meses — que algo estranho aconteceu.
Mas há um ganho que costuma decidir a conversa: conformidade. LGPD exige que dados sensíveis sejam acessíveis apenas a quem tem "necessidade de conhecer". Qualquer regulador pergunta: quem tem acesso? Por quanto tempo? Tem auditoria? Se a resposta for "senhas compartilhadas e não sabemos", a multa é questão de tempo. Com identidade pessoal, validade e trilha, a resposta é pronta.
O terceiro ganho é operacional. Quando entra um novo consultor, você não perde 2 dias criando contas manualmente ou esperando que ele receba 4 emails diferentes. Com provisionamento automático, em minutos ele entra no sistema, já com o acesso que precisa — e já com data de saída marcada.
Esse tempo recuperado importa mais do que parece. Se o setor gasta, em média, 134 horas semanais revisando manualmente acesso de terceiros — segundo a mesma pesquisa da Imprivata —, automatizar validade e permissão devolve parte dessas horas para decisões que realmente exigem julgamento humano, não para conferir planilha de quem ainda está com a senha ativa.
Três perguntas para levar à próxima reunião
-
Se um consultor for desligado hoje, em quantas ferramentas ele ainda consegue entrar amanhã? Se a resposta depender de alguém lembrar de revogar acesso, o risco está lá. Com data de expiração, você não depende de memória.
-
Quando um terceiro acessa dados sensíveis, vocês conseguem dizer, dias depois, exatamente que dados ele consultou e por quanto tempo? Se não houver trilha, a resposta é não. Sem trilha, não há conformidade.
-
Quantas contas de terceiros vocês têm ativo hoje sem saber exatamente por quê? A maioria das empresas não sabe. Esse é o número que deve preocupar.
