O Goldman Sachs não foi invadido. A Man Group também não. A Tishman Speyer, menos ainda. E, mesmo assim, nomes, endereços, identificadores fiscais e informações financeiras de pessoas ligadas a essas três instituições foram baixados por quem não deveria ter acesso a eles.

Se a sua empresa fosse uma delas, o que você diria ao conselho? Que os seus sistemas estavam seguros? Estavam, o problema é que o dado do cliente não estava só neles.

O caso EY: três empresas de distância entre o cliente e o vazamento

Entre 28 de março e 12 de abril de 2026, um terceiro não autorizado acessou uma plataforma de gestão de serviços de TI usada pela EY e baixou documentos de clientes da área tributária, segundo as cartas enviadas aos afetados e citadas pelo Silicon UK. A EY identificou a atividade anômala em 23 de abril, de acordo com o The Arabian Post.

O detalhe que importa está no tipo de sistema. Não era um sistema tributário. Era uma ferramenta de chamados, de outra empresa, que a equipe de tecnologia da EY usava para apoiar os times que fazem o trabalho fiscal. Os chamados podiam carregar anexos com informações fiscais de clientes. Segundo o Financial Times, a EY atribuiu o incidente a uma vulnerabilidade em software da Checkmarx.

A linha do tempo é longa. A EY comunicou reguladores de estados americanos em julho, mês em que o grupo ShinyHunters reivindicou o ataque (Accountant.nl). Em 24 de setembro, o Goldman informou aos clientes que a EY havia contratado uma empresa independente para verificar a segurança dos sistemas afetados (GBHackers). As cartas aosafetados saíram no fim de setembro, e os nomes das instituições só vieram a público no início de outubro, com reportagem do Financial Times. O número total de afetados não foi divulgado.

Goldman, Man Group e EY afirmam a mesma coisa: os sistemas centrais não foram comprometidos. É exatamente por isso que o caso merece atenção.

O ponto cego: o dado não fica onde o contrato diz

Contratos com terceiros costumam olhar para o fornecedor direto. Cláusula de confidencialidade, questionário de segurança, talvez uma auditoria anual. O que quase nenhum contrato olha é o caminho que o dado faz depois de entrar no fornecedor.

No caso EY, esse caminho passou por um lugar que ninguém trataria como repositório de dados fiscais: um chamado de suporte. Alguém precisava resolver um problema, anexou um documento e seguiu em frente. O processo funcionou. O controle é que não estava lá.

O dado não fica onde o contrato diz. Fica onde o processo passa.

É isso que o mercado chama de risco de quarta parte: o fornecedor do seu fornecedor. Ele não aparece no seu cadastro de terceiros, não respondeu ao seu questionário e talvez nem saiba que guarda informação dos seus clientes. Gestão de terceiros não é apenas avaliar quem você contratou, é saber por onde o dado do seu cliente circula depois que sai de casa.

E não é a primeira vez que a EY aparece em um incidente ligado a software de terceiros. Em 2023, o ataque ao MOVEit levou a alertas para 30.210 clientes do Bank of America. O padrão se repete porque a cadeia de serviço é longa, e cada elo traz as próprias ferramentas.

A conta chega ao contratante: o que a LGPD diz sobre a cadeia

Traga o caso para o Brasil. A LGPD, no art.42, obriga controlador e operador a reparar o dano causado em violação à legislação de proteção de dados, e o operador responde solidariamente quando descumpre a lei ou as instruções lícitas do controlador. O guia da ANPD sobre agentes de tratamento indica que o sub operador pode ser equiparado ao operador. Na prática, a ferramenta de suporte do fornecedor entra na mesma cadeia de responsabilidade.

Agora some o prazo. Pela Resolução CD/ANPDnº 15/2024, art. 6º, o controlador tem três dias úteis para comunicar o incidente à ANPD, contados a partir do momento em que sabe que dados pessoais foram afetados.

O prazo é do contratante. A informação está no fornecedor. Se o aviso demora a subir pela cadeia, a comunicação fica refém do relógio de outra empresa. E, se você nem sabia que aquele fornecedor tinha o dado, também não sabia que deveria estar esperando o aviso.

Risco de terceiro não é o risco do outro. É o seu risco, guardado em outro CNPJ.

Setor financeiro: a régua regulatória já alcança o terceiro

Para instituições reguladas pelo Conselho Monetário Nacional, a discussão já tem data. A Resolução CMN nº 5.274/2025, de 18 de dezembro de 2025, atualizou a Resolução CMN nº 4.893/2021, com prazo de adequação até 1º de março de 2026. Com a atualização, os controles de segurança passaram a alcançar também sistemas de terceiros.

Isso muda a pergunta da auditoria. Não basta mostrar que o fornecedor assinou o contrato e respondeu ao questionário. É preciso mostrar que a instituição sabe quais sistemas de terceiros tocam dados sensíveis e que existe controle sobre eles.

Do contrato ao processo: como enxergar a quarta parte

Nenhuma ferramenta impede que um fornecedor seja atacado. O que está ao alcance do gestor é outra coisa: saber por onde o dado passa e transformar esse conhecimento em controle que pode ser testado. É nesse ponto que dois módulos do VX, da Vennx, trabalham juntos.

O DynamicFlow mapeia o processo e identifica riscos, atores e pontos de controle. Aplicado a um processo que envolve terceiros, ele mostra o caminho que nenhum contrato descreve, como o chamado de suporte com anexo que aparece no caso EY.

O RCM (Risk and Control Management) leva esse achado ao passo seguinte. Gera controles alinhados a frameworks como SOX,COSO, ISO e LGPD, monta a matriz Processo, Risco e Controle e gera o plano de testes. O risco encontrado no mapeamento vira controle com critério e evidência.

A combinação não promete blindagem. Promete visibilidade, que é justamente o que faltou entre o cliente, a EY e a ferramenta de suporte.

Quem sabe hoje por onde passa o dado do seu cliente?

O caso EY ainda está em andamento, e as investigações podem trazer novos detalhes. Mas a lição para o gestor brasileiro já está clara: a fronteira do seu risco não é a fronteira dos seus sistemas.

Você só controla o que enxerga. E quantas etapas do seu processo acontecem hoje dentro de ferramentas que você nunca mapeou?

Fale com um especialista da Vennx.

‍