O incidente em um fornecedor de software financeiro para saúde, com plataforma usada por milhares de hospitais e clínicas, ilustra um risco que raramente aparece na avaliação de risco de cada organização isoladamente.
Cada hospital avalia os próprios sistemas, a própria rede e os próprios funcionários. O que costuma faltar na conta é que boa parte da operação depende de um fornecedor comum a milhares de concorrentes, e que a postura de segurança dele não é auditável de fora.
A lógica do atacante é econômica antes de ser técnica. Comprometer uma organização rende uma organização; comprometer um fornecedor usado por milhares rende acesso a muitas com o mesmo esforço.
O padrão se repetiu ao longo do ano em incidentes distintos, atingindo plataformas corporativas de grande adoção e chegando a ambiente de produção industrial, com parada de fábrica.
A defesa possível é menos vistosa que a conversa sobre ferramenta: reduzir o que cada integração enxerga, revisar permissão concedida a aplicativo conectado, remover conexão que ninguém usa e exigir prazo de aviso em contrato.