Comparados os incidentes do início de maio, a variável que mais distingue o estrago não é a técnica do ataque, e sim quanto tempo o cliente levou para saber.
Numa ponta, empresa que detectou, contratou resposta e informou contenção em nove dias. Na outra, casos em que a notícia chegou por divulgação do próprio atacante, antes de qualquer comunicado.
A diferença raramente é de competência técnica. É de preparo contratual e de decisão tomada antes: quem já sabia a quem avisar, em que prazo e com que texto conseguiu manter o controle da narrativa e dar ao cliente chance de agir.
Para quem contrata fornecedor, isso sugere onde colocar atenção na negociação. Promessa de segurança perfeita não é verificável nem exigível; prazo de notificação, escopo do que será informado e canal de comunicação são cláusulas concretas.
É a diferença entre descobrir pelo fornecedor que seu dado pode ter vazado e descobrir pela imprensa, e essa diferença define o que ainda dá para fazer.