Banco francês perdeu R$ 750 mi por golpe via fornecedor: o que isso ensina para o seu negócio

Um banco francês de grande porte descobriu, da pior forma possível, que a segurança de uma empresa depende não só do que ela faz internamente, mas também de quem ela contrata. O caso é recente, real e tem lição direta para qualquer negócio — inclusive o seu.

O que aconteceu

O banco Crédit Mutuel Arkéa, da França, confirmou que sofreu um golpe em que criminosos conseguiram fazer transferências bancárias usando a própria conta da instituição. O prejuízo estimado foi de cerca de 133 milhões de dólares — algo em torno de R$ 750 milhões na cotação atual. A porta de entrada? Um fornecedor terceirizado cujo nome não foi divulgado, segundo The Record.

Em outras palavras: os criminosos não invadiram o banco diretamente. Eles entraram pela empresa parceira que tinha acesso aos sistemas do banco e, a partir daí, executaram as transferências como se fossem movimentações legítimas.

Por que um fornecedor vira porta de entrada

Quando uma empresa contrata um parceiro para prestar serviço — seja de tecnologia, contabilidade, logística ou atendimento — é comum dar a esse parceiro acesso a sistemas, dados ou contas. Isso é necessário para o trabalho funcionar. O problema é que esse acesso cria um caminho alternativo para quem quer entrar sem ser convidado.

Pense assim: você troca a fechadura da porta da frente, mas o chaveiro que você contratou ficou com uma cópia da chave. Se alguém roubar essa cópia do chaveiro, entra na sua casa sem precisar arrombar nada.

No caso do banco francês, foi exatamente isso. O fornecedor foi comprometido — isto é, criminosos tomaram o controle de sistemas ou credenciais desse parceiro — e usaram o acesso que ele já tinha para movimentar dinheiro.

O que isso tem a ver com pequenas e médias empresas

À primeira vista, parece um problema de banco grande, em outro país. Mas a lógica é a mesma para qualquer negócio que compartilha dados ou acesso com terceiros.

Pense nos parceiros que a sua empresa usa hoje:

• O sistema de gestão ou de vendas que fica na nuvem (hospedado por outra empresa)
• A plataforma de pagamentos integrada ao seu site ou loja
• O escritório de contabilidade que acessa suas notas fiscais e extratos
• A ferramenta de atendimento que conecta ao seu WhatsApp
• O freelancer ou agência que gerencia suas redes sociais

Cada um desses parceiros tem, em algum grau, acesso a informações ou sistemas seus. Se qualquer um deles for comprometido, seus dados de clientes, seu histórico de pedidos ou suas credenciais podem ser expostos — sem que você tenha feito nada de errado.

O que você pode fazer agora

Não existe proteção absoluta, mas algumas práticas simples reduzem bastante o risco:

Foto de Sasun Bughdaryan no Unsplash.

Revise quem tem acesso ao quê. Faça uma lista dos parceiros e ferramentas que têm acesso a dados seus ou dos seus clientes. Para cada um, pergunte: esse acesso ainda é necessário? Ele está atualizado?

Use senhas diferentes para cada serviço. Se um parceiro for comprometido e vazar sua senha, você não quer que essa mesma senha abra todas as outras ferramentas que você usa.

Ative a verificação em duas etapas sempre que possível. É aquele segundo código que chega por SMS ou aplicativo na hora de entrar em algum sistema. Mesmo que alguém descubra sua senha, sem esse segundo código não consegue entrar.

Leia os comunicados dos seus fornecedores. Quando uma plataforma manda um e-mail pedindo para trocar senha ou avisar sobre um incidente de segurança, leve a sério. Não ignore.

Pergunte aos seus parceiros como eles protegem seus dados. Uma pergunta simples — "o que vocês fazem para proteger as informações que tenho aqui?" — já diz muito sobre a maturidade de quem você está contratando.

Atenção redobrada a quem acessa seu WhatsApp

Para empresas que usam o WhatsApp como canal de atendimento e vendas, o cuidado é ainda mais importante. Esse canal concentra conversas com clientes, dados de pedidos, combinações de pagamento e informações pessoais. Qualquer ferramenta ou parceiro que tenha acesso a essas conversas precisa ser avaliado com cuidado.

Verifique quais aplicativos estão conectados à sua conta do WhatsApp Business e remova os que não são mais usados. Troque senhas periodicamente. E desconfie de qualquer pedido de acesso que não seja claramente necessário para o serviço contratado.

O caso do banco francês é um lembrete de que o elo mais fraco da cadeia não precisa ser você — pode ser alguém em quem você confiou. Quanto antes você mapear esses elos, melhor preparado fica para identificar e fechar as brechas antes que alguém as use.

Fontes

• The Record — French bank confirms cyber heist, hackers suspected to have stolen an estimated $133 million

Foto de Alex Duffy no Unsplash.