Na madrugada do último dia 2 de novembro, um ataque cibernético contra um fornecedor de equipamentos de refrigeração na França quase provocou consequências gravíssimas para o sistema de saúde do país. Criminosos conseguiram alterar remotamente os parâmetros de temperatura de câmaras frias utilizadas pelo Établissement Français du Sang (EFS), instituição responsável pela coleta e distribuição de produtos sanguíneos, colocando em risco estoques de plasma destinados a transfusões e à fabricação de medicamentos.
Leia também:
Gestão de fornecedores e LGPD: 10 maneiras para avaliar e reduzir riscos na empresa
Riscos no offboarding de terceiros são destaque no CISO Advisor
A importância da resiliência cibernética e tecnológica nas empresas
Felizmente, os sistemas de monitoramento e alarme permitiram identificar a anomalia e evitar a perda dos produtos armazenados. O episódio, contudo, expõe uma fragilidade frequentemente subestimada pelas organizações: a segurança de uma operação não depende exclusivamente dos controles implementados internamente, mas também da maturidade e da resiliência de toda a sua cadeia de fornecedores.
O caso é especialmente emblemático porque o EFS sequer foi o alvo direto do ataque. O comprometimento ocorreu em sistemas associados a um prestador de serviços, que, por sua vez, apontou uma vulnerabilidade em um componente fornecido por outra empresa. Eis o problema: em um ecossistema de dependências tecnológicas cada vez mais complexo, uma vulnerabilidade aparentemente periférica pode representar riscos absolutamente desproporcionais à criticidade do serviço comprometido.
O mundo “As a Service” pode passar a perigosa ilusão de que a nossa tutela direta sobre a segurança de certos sistemas teve seu escopo reduzido, mas isso não poderia estar mais distante da realidade.
É precisamente nesse contexto que a Gestão de Riscos de Terceiros (Third-Party Risk Management, ou TPRM) deixa de representar uma mera formalidade de compliance para assumir um papel estratégico na continuidade das operações e, em determinados setores, na própria preservação de vidas humanas.
Não basta exigir certificações, aplicar questionários de segurança ou estabelecer cláusulas contratuais de responsabilidade. Uma estratégia efetiva de TPRM pressupõe conhecer as dependências críticas da organização, avaliar os riscos associados aos fornecedores e seus subcontratados, monitorar continuamente os controles implementados e estabelecer mecanismos de contingência capazes de mitigar as consequências de um eventual comprometimento.
Naturalmente, ainda não existem elementos públicos suficientes para afirmar que o incidente decorreu de falhas na gestão de terceiros do EFS. Entretanto, a situação demonstra, de maneira bastante concreta, por que esse processo não pode ser tratado como uma atividade meramente documental.
Afinal, uma organização pode até terceirizar a execução de um serviço, mas as consequências de sua indisponibilidade ou comprometimento continuam debitando da sua conta.
O episódio francês terminou sem perdas de produtos sanguíneos ou danos sanitários identificados, mas o desfecho poderia ter sido substancialmente diferente.
A reflexão mais importante que fica para nós é que quando a continuidade de um serviço essencial depende da segurança de terceiros, a Gestão de Riscos não pode ser vista como reles questão corporativa, especialmente se, dada a natureza da sua operação, uma indisponibilidade pode se transformar numa questão de vida e morte.
Nota da edição: O incidente citado no artigo ocorreu em 2 de novembro de 2026.
