Uma empresa de segurança cibernética informou acesso não autorizado a parte do seu repositório de código-fonte. A empresa atende mais de 50 mil clientes corporativos e governamentais.
Vazamento de código-fonte de fornecedor de segurança tem gravidade distinta de vazamento de dado cadastral. Quem tem o código pode procurar falha com muito mais eficiência que quem testa o produto de fora, e o produto em questão está instalado dentro do perímetro de dezenas de milhares de organizações.
Há um agravante estrutural. Ferramenta de segurança costuma rodar com privilégio elevado, porque precisa enxergar o que os outros programas fazem. Falha nesse tipo de componente não fica contida no componente.
O caso repete o padrão que atravessou o ano: atacar quem muitos usam rende mais que atacar cada um. A diferença é que aqui o alvo era justamente quem vende proteção.
Para quem contrata, a pergunta prática não é se o fornecedor já foi atacado, porque todos serão. É como ele avisa, em quanto tempo, e o que muda no produto depois. Prazo de notificação em contrato vale mais que promessa de invulnerabilidade.