Sicredi confirma incidente em fornecedor de TI com credenciais internas expostas

O Sicredi confirmou, em nota ao CISO Advisor (19/10), um incidente de exposição de dados no ambiente de um fornecedor externo, que resultou na "exposição pontual de informações técnicas internas". A cooperativa afirma que não houve comprometimento dos seus sistemas nem vazamento de dados sensíveis, pessoais ou de contas de associados. O caso veio à tona em 15/10, quando um usuário de um fórum frequentado por cibercriminosos anunciou o material citando a cooperativa como proprietária. Nas três amostras publicadas havia o nome de uma prestadora de serviços de TI sediada em Carazinho (RS) — não mencionada na nota do Sicredi —, além de credenciais e dados de topologia de uma agência, de uma exportação de caixa de correio vinculada a um técnico do fornecedor (com mensagens classificadas por termos como senha, VPN, SNMP, login e admin) e de transcrições de chats entre esse técnico e possivelmente um funcionário da cooperativa.

Fonte: CISO Advisor

O que chama atenção aqui não é o volume — é o vetor. O material descrito não é o resultado de um ataque direto à instituição: aponta para o acesso de um terceiro que presta serviço e que, por definição, tem credenciais válidas, conhecimento da topologia e trânsito em canais internos. É a classe de risco mais incômoda da cadeia de fornecedores: enquanto a defesa da empresa olha para dentro, o caminho mais curto para o ambiente dela muitas vezes passa por um parceiro menor, com menos controles e o mesmo nível de acesso. E mesmo quando a instituição afirma — corretamente — que não houve vazamento de dados de cliente, o que vaza dá o mapa para escalar: credenciais, topologia de agência, caixa de correio técnica.

Esse é um padrão que se repete no setor: o incidente começa no fornecedor, não no banco. Para qualquer organização que depende de terceiros para operar, a pergunta não é "temos contrato de segurança com o fornecedor?", e sim: quais acessos de terceiros existem hoje, com que privilégio, por qual canal, e o que cada um deles abre se a credencial vazar? Sem inventário de acesso externo, sem MFA e segmentação nessas conexões e sem monitoramento de credenciais corporativas e de fornecedores em vazamentos e logs de infostealer, o mapa continua válido — do lado de quem o tem.

O caso também expõe a dependência de evidência: sem trilha de auditoria de quem acessou o quê, quando e de onde, reconstruir o alcance real de um vazamento de terceiro vira trabalho manual. Listas de acesso de fornecedores com data de revisão, testes periódicos de privilégio e retenção de logs não são burocracia — são o que permite dimensionar o dano em horas, não em semanas.

Esse episódio ilustra uma classe de risco — acesso de terceiros, credencial vazada e falta de evidência — que precisa ser testada e monitorada continuamente, não apenas declarada em política.