Fornecedor também é perímetro: FBI afasta prestadora por correção não aplicada e vê executivo do setor de negociação de ransomware ser preso

A primeira semana de outubro foi incômoda para o FBI — e instrutiva para qualquer empresa que terceiriza parte da sua tecnologia ou da sua resposta a incidentes. Em poucos dias, a agência admitiu que um vazamento de dados dos próprios funcionários veio de um descuido de fornecedor e viu um executivo do setor de segurança ser preso sob acusação de extorsão.

O prestador que não aplicou a correção

No começo da semana, a Reuters revelou, com base em duas fontes, que o FBI havia afastado um prestador de serviço da Accenture depois de um vazamento que expôs dados pessoais de milhares de funcionários da agência. O sistema atingido foi a plataforma de RH PeopleSoft, da Oracle, administrada por esse terceiro.

O chefe da área cibernética do FBI, Brett Leatherman, confirmou o essencial em nota: o incidente foi “resultado de uma falha de segurança de uma plataforma gerida por uma organização terceira”, que não implementou “uma correção de segurança emitida explicitamente para proteger a plataforma”. E concluiu: “o FBI removeu o prestador”. A Accenture não respondeu às perguntas sobre o caso e disse apenas ter orgulho de apoiar a missão do FBI.

O grupo de extorsão ShinyHunters — o mesmo que, em setembro, voltou a explorar o PeopleSoft em dezenas de organizações — afirma ter obtido dados de praticamente todos os funcionários do FBI e já divulgou parte deles.

O executivo preso durante a viagem

Na quinta-feira, 8 de outubro, um executivo canadense de 54 anos, com passagem por empresas especializadas em negociar com grupos de ransomware em nome das vítimas, foi preso na Pensilvânia, segundo registros judiciais levantados pelo jornalista Brian Krebs. De acordo com uma fonte de Krebs, ele estava no estado para uma conferência do setor de seguro cibernético.

As acusações são de conspiração para ameaçar a confidencialidade de informações com o objetivo de extorquir dinheiro e de interferência no comércio mediante ameaças. O caso foi enviado ao Distrito Leste do Texas e está parcialmente sob sigilo. Uma das empresas em que ele trabalhou informou que ele deixou o cargo de diretor em dezembro de 2025.

O jornal The New York Times relatou que a prisão está ligada à suspeita de ajuda ao ShinyHunters, e o diretor do FBI, Kash Patel, anunciou no X a prisão de “outro suspeito coconspirador” do grupo, sem dizer o nome. Não há confirmação oficial de que se trate da mesma pessoa — o FBI não quis comentar —, e o acusado ainda não tinha advogado constituído. Como em qualquer caso, vale a presunção de inocência.

O que as duas histórias têm em comum

À primeira vista, nada: uma é descuido operacional, a outra é suspeita de crime. Mas as duas falam da mesma coisa — gente de fora com acesso privilegiado.

O prestador do FBI tinha a chave do sistema de RH e a obrigação de mantê-lo atualizado. O negociador de ransomware, pela natureza do ofício, fica no centro da crise mais sensível de uma empresa: conhece o tamanho do estrago, o que foi levado, quanto a vítima pode pagar e quanto tempo ela aguenta. Nos dois casos, quem contrata confia o que tem de mais delicado a alguém cuja conduta não acompanha no dia a dia.

O que isso significa para quem contrata

• Correção é cláusula, não favor. O contrato com quem administra seus sistemas deve dizer em quanto tempo uma correção crítica é aplicada, como isso é comprovado e o que acontece se não for. O FBI só pôde “remover o prestador” porque sabia exatamente quem era o responsável.
• Pergunte e peça evidência. Relatório periódico de atualizações, inventário de sistemas expostos, resultado de varreduras. Fornecedor sério tem isso pronto.
• Menor privilégio vale também para quem ajuda. Consultoria de resposta, negociador, perito: cada um recebe o acesso necessário para a tarefa, pelo tempo da tarefa — com registro de quem viu o quê.
• A responsabilidade não se terceiriza. A LGPD trata quem processa dados em nome da empresa como operador (art. 39) e o torna solidariamente responsável quando descumpre a lei ou as instruções recebidas (art. 42). Mas a comunicação à ANPD, a explicação aos titulares e o dano à reputação continuam com o controlador — a empresa que contratou.

Na segunda-feira, este blog contou a detenção, na Jordânia, de um integrante do ShinyHunters que passou a colaborar com o FBI. Se as investigações confirmarem que o grupo tinha aliados dentro do próprio ecossistema de defesa, o recado ficará ainda mais nítido: confiança continua necessária, mas precisa vir acompanhada de verificação — inclusive de quem vende segurança.

Fontes

• Reuters — “Accenture contractor removed from FBI following damaging data breach, sources say” (outubro de 2026): reuters.com
• SecurityWeek — “FBI Blames Contractor’s Missed Patch for ShinyHunters Breach” (06/10/2026): securityweek.com

• Krebs on Security — “FBI Arrests Executive at Ransomware Negotiation Firm” (09/10/2026): krebsonsecurity.com

• Foto de capa: prédio da Accenture em Buenos Aires, na Argentina — Roberto Fiadone, CC BY-SA 4.0, via Wikimedia Commons

• Segunda imagem: edifício PSFS, na Filadélfia (Estados Unidos) — Jack Boucher, domínio público, via Wikimedia Commons