Cadeia de Suprimentos de Software: o Alvo Silencioso

Há uma verdade que 2026 já tornou impossível ignorar: os atacantes pararam de bater na porta da frente. Eles sabem que você investiu em firewall, EDR e MFA. Em vez disso, eles entram pelos seus fornecedores, pelas bibliotecas de código aberto que sua equipe instala sem pensar duas vezes, pelos tokens OAuth que uma integração abandonada continua carregando. Neste artigo do Blog Dolutech, reunimos os casos mais impactantes do primeiro semestre de 2026 para mostrar por que a cadeia de suprimentos de software se tornou o alvo silencioso favorito dos grupos de ameaça mais sofisticados do mundo.

O Cenário: Atacar Muitos por Meio de Poucos

O modelo clássico de ataque direto, aquele em que o invasor tenta romper os controles de perímetro da organização-alvo, está perdendo eficiência. As defesas melhoraram. O custo de comprometer uma empresa bem protegida diretamente cresceu. A solução encontrada pelos atacantes é elegante e brutal ao mesmo tempo: comprometer um único fornecedor, integração ou componente de software confiável e usar essa posição para atingir dezenas, centenas ou até milhares de organizações de uma só vez.

Os números confirmam a tendência. De acordo com o relatório Verizon Data Breach Investigations Report de 2025, o envolvimento de terceiros em violações saltou de 15% para 30% em um único ano, o maior salto já registrado na história do relatório. O custo médio de um ataque à cadeia de suprimentos chegou a 4,91 milhões de dólares, com um ciclo médio de identificação e contenção de 267 dias, o mais longo entre todos os vetores rastreados pelo IBM Cost of a Data Breach 2025.

Em levantamento do World Economic Forum, 78% dos CEOs de organizações altamente resilientes identificam as dependências de terceiros e a cadeia de suprimentos como o maior desafio para fortalecer ainda mais a resiliência cibernética. Do lado operacional, 78% das organizações admitem que seus programas internos de cibersegurança cobrem menos de 50% de todo o seu ecossistema de fornecedores, incluindo terceiros, quartos e quintos parceiros.

Abaixo, examinamos os casos mais emblemáticos de junho de 2026 que ilustram como esse padrão funciona na prática.

@mastra e o Caso easy-day-js: Coreia do Norte Dentro do seu npm Install

O Ataque em 88 Minutos

Em 17 de junho de 2026, um atacante comprometeu a organização @mastra no npm e adicionou silenciosamente a dependência easy-day-js a mais de 140 pacotes do ecossistema do framework de IA Mastra. O pacote easy-day-js é um typosquat da popular biblioteca de datas dayjs, e sua versão mais recente continha um dropper ofuscado que baixava e executava um payload de segundo estágio de servidores controlados pelo atacante, apagando-se a seguir para eliminar qualquer rastro.

A operação envolvia dois vetores combinados: tomada de conta do mantenedor e criação de pacote typosquatted. O comprometimento teve origem na tomada de conta do npm “ehindero”, um mantenedor legítimo com direitos de publicação em todo o escopo @mastra, que foi usado para publicar versões envenenadas que introduziram o easy-day-js.

A mecânica do ataque é digna de análise detalhada. Em 17 de junho, o atacante executou uma campanha automatizada de 88 minutos (01:12 a 02:39 UTC), republicando 142 pacotes sob o escopo @mastra com uma única dependência injetada. No dia anterior, havia publicado uma versão limpa do easy-day-js para estabelecer credibilidade e depois a armou como versão 1.11.22 minutos antes da publicação em massa. Como os pacotes comprometidos fixavam “^1.11.21”, a resolução de semver do npm puxava automaticamente a versão maliciosa.

O payload de segundo estágio é um RAT Node.js multiplataforma que instala persistência no nível de login do SO no Windows, macOS e Linux, faz inventário de 166 extensões de carteiras de criptomoedas para navegador, coleta histórico de navegação do Chrome, Brave e Edge, e abre um canal de execução remota de módulos para tarefas de acompanhamento.

Atribuição: Sapphire Sleet (BlueNoroff) e a Campanha Norte-Coreana

A Microsoft atribuiu o ataque em 19 de junho com “alta confiança” ao Sapphire Sleet, ator estatal norte-coreano também rastreado como BlueNoroff e APT38, o mesmo grupo por trás de um ataque quase idêntico ao cliente HTTP Axios no mês de março anterior. Os dois incidentes não são mais eventos isolados: são uma campanha documentada.

O Sapphire Sleet é um ator estatal norte-coreano ativo desde pelo menos março de 2020. O ator foca principalmente no setor financeiro, incluindo criptomoedas, capital de risco e organizações blockchain. A motivação primária é roubar carteiras de criptomoedas para gerar receita e acessar tecnologia ou propriedade intelectual relacionada a negociação de criptomoedas e plataformas blockchain.

Ao migrar de usuários finais para ferramentas de desenvolvimento de IA, o grupo ampliou drasticamente seu raio de alcance. Um único framework comprometido pode estar instalado nos laptops de centenas de engenheiros que coletivamente gerenciam muito mais ativos em cripto e credenciais de API do que qualquer alvo individual.

O Caso Axios: O Pacote com 100 Milhões de Downloads por Semana

Três meses antes do incidente @mastra, o mesmo grupo já havia demonstrado seu novo foco. Em 31 de março de 2026, dois novos pacotes npm para versões atualizadas do Axios, um popular cliente HTTP para JavaScript com mais de 70 milhões de downloads semanais, foram identificados como maliciosos. Essas versões (1.14.1 e 0.30.4) foram injetadas com uma dependência maliciosa para baixar payloads de infraestrutura de comando e controle de ator conhecido. A Microsoft atribuiu essa atividade ao Sapphire Sleet.

A janela de exposição durou menos de três horas, mas o Axios recebe 100 milhões de downloads semanais. Essa janela foi suficientemente grande para atingir sistemas em todo o mundo. O CISA confirmou o comprometimento em um advisory publicado em 20 de abril, descrevendo o incidente como um ataque à cadeia de suprimentos que “baixa payloads de vários estágios de infraestrutura de atores de ameaça cibernética incluindo um trojan de acesso remoto”.

O Namespace @redhat-cloud-services: 32 Pacotes Comprometidos

Ainda em junho de 2026, um terceiro vetor surgiu no ecossistema npm. Em 1 de junho de 2026, um novo ataque à cadeia de suprimentos comprometeu pelo menos 32 pacotes publicados sob o namespace @redhat-cloud-services no npm, com versões maliciosas acumulando aproximadamente 80.000 downloads semanais. A causa raiz foi uma conta GitHub de funcionário da Red Hat comprometida, usada para enviar commits maliciosos órfãos a vários repositórios do RedHatInsights, contornando inteiramente a revisão de código. O atacante acionou workflows do GitHub Actions para solicitar tokens OIDC, publicando pacotes trojanizados com proveniência SLSA válida.

Esse último detalhe é particularmente perturbador: o certificado era legítimo, os pacotes realmente foram construídos pelo pipeline, apenas com malware injetado no momento da build.

Klue, Salesforce e os Tokens OAuth: Uma Credencial Abandonada Derruba Empresas de Segurança

Como uma Credencial de Protótipo Abriu o CRM de Nove Empresas

Em junho de 2026, a plataforma de inteligência competitiva Klue revelou um incidente que expõe uma falha estrutural quase universal nas empresas modernas: credenciais de integração abandonadas que ninguém se lembra de revogar.

O CEO da Klue, Jason Smith, explicou que um atacante obteve acesso por meio de uma credencial legada comprometida associada a um serviço de integração. O atacante usou esse acesso para obter tokens OAuth utilizados para conectar a Klue a plataformas de terceiros, incluindo o Salesforce, e subsequentemente acessou dados em vários ambientes de clientes conectados.

O detalhe que deve deixar qualquer CIO desconfortável: o ponto de entrada foi uma credencial esquecida, um segredo inativo vinculado a uma integração de protótipo abandonada que ninguém se preocupou em revogar. Quase toda empresa tem um cemitério de credenciais similares em código e configuração sem nenhum responsável.

A sequência técnica, reconstruída pela Huntress, foi a seguinte: com a credencial comprometida, o atacante empurrou uma atualização de código malicioso para o backend da Klue, projetada para coletar tokens OAuth dos clientes. Em posse dos tokens, implantou scripts Python que consultavam a API REST do Salesforce durante aproximadamente 24 horas, extraindo dados em fluxo contínuo em vez de uma explosão barulhenta, algo que se confunde facilmente com tráfego de automação legítima.

O Impacto: Empresas de Segurança Entre as Vítimas

Nove organizações confirmaram que dados foram exfiltrados por meio do comprometimento: HackerOne, Huntress, Jamf, Recorded Future, Tanium, Snyk, OneTrust, Sprout Social e Insurity. O ataque teve início em 11 de junho de 2026, quando atores de ameaça usaram uma credencial legada comprometida para infiltrar os sistemas de backend da Klue.

A ironia é instrutiva. Huntress, Recorded Future, Jamf, Tanium e Snyk são nomes estabelecidos em segurança de endpoints, gerenciamento de vulnerabilidades e segurança de desenvolvedores. Se equipes de segurança maduras e bem financiadas foram expostas por meio de uma dependência de SaaS downstream que não controlavam diretamente, o recado para todos os demais é sóbrio.

A Salesforce desativou a integração do aplicativo Klue Battlecards em sua plataforma, afirmando que “esta questão está limitada à conexão do aplicativo da Klue e não decorre de uma vulnerabilidade na plataforma Salesforce”. O grupo de extorsão Icarus, ativo desde abril de 2026, assumiu a responsabilidade pelo ataque.

Nintendo e TinyPulse: Quando o Fornecedor de RH Vira a Porta de Entrada

A Nintendo of America confirmou uma violação de dados envolvendo a plataforma TinyPulse, um serviço de terceiros utilizado para pesquisas internas de funcionários na Nintendo of America. Os sistemas da Nintendo não foram comprometidos e nenhum dado pessoal de clientes ou financeiro foi acessado.

O grupo responsável pelo ataque se identifica como Shadowbyt3$, uma operação de “extorsão como serviço” ativa desde outubro de 2025. Segundo as suas próprias afirmações, foram exfiltrados cerca de 1 GB de dados do TinyPulse: nomes e endereços de e-mail de funcionários, dados analíticos e de pesquisa, extratos bancários e formulários W-9 com IDs de funcionários, planos de progressão e relatórios cobrindo o período de 2016 a 2026. A demanda de resgate foi fixada em 2 milhões de dólares.

O caso Nintendo é um exemplo perfeito do padrão que domina 2026: a organização-alvo não foi hackeada diretamente. O fornecedor de RH foi hackeado, e os dados dos funcionários da Nintendo foram junto.

Texas Parks and Wildlife Department: 3 Milhões de Pessoas via Fornecedor

O Texas Parks and Wildlife Department divulgou em 18 de junho que atacantes haviam violado o fornecedor terceirizado que processa as vendas de licenças de caça e pesca, expondo números de carteira de motorista, números de passaporte e informações de contato de 3.087.721 texanos.

O Texas Cyber Command detectou acesso não autorizado aos sistemas do fornecedor de licenças, e o TPWD notificou o comando em 13 de maio de 2026. O órgão publicou sua notificação formal de violação em 12 de junho e fez a divulgação pública em 18 de junho.

O fornecedor específico não foi identificado publicamente, e o método de entrada permanece desconhecido. O que o caso evidencia: plataformas SaaS que atendem serviços públicos de alto volume são alvos extremamente valiosos porque agregam grandes volumes de dados de identidade governamental de cidadãos que não têm qualquer controle sobre onde suas informações são armazenadas.

iRhythm: Dados de Pacientes Cardíacos via Engenharia Social em Aplicações de Terceiros

Em 9 de junho de 2026, a iRhythm recebeu comunicações de um ator de ameaça afirmando ter obtido informações sensíveis, incluindo dados proprietários, informações de saúde protegidas de pacientes e outras informações pessoais. As comunicações do ator de ameaça exigiam pagamento em troca de não divulgar publicamente essas informações.

De acordo com a empresa, os dados afetados foram obtidos por meio de engenharia social e originaram-se de certas aplicações de negócios hospedadas por terceiros. A empresa confirmou que o incidente não envolveu os sistemas clínicos ou de dispositivos médicos da iRhythm ou conexões de clientes.

A iRhythm fabrica dispositivos de monitoramento cardíaco utilizados por aproximadamente 8 milhões de pacientes nos Estados Unidos e Europa. O caso é paradigmático: o dispositivo médico não foi comprometido, o sistema clínico não foi tocado, mas dados de saúde protegidos foram exfiltrados por um caminho lateral composto por aplicações de negócios de terceiros.

Anatomia do Ataque à Cadeia de Suprimentos: Técnicas e Táticas

Os incidentes de junho de 2026 ilustram pelo menos quatro vetores distintos que os defensores precisam mapear:

1. Typosquatting e Envenenamento de Pacotes

O atacante publica um pacote com nome quase idêntico ao de uma biblioteca legítima e aguarda que desenvolvedores digitem errado ou que uma dependência automática resolva para a versão armada. No caso @mastra, a técnica foi refinada com uma versão “isca” limpa publicada 24 horas antes, estabelecendo histórico de versão para driblar análises estáticas.

Detecção: Bloqueie execução de hooks de pós-instalação por padrão (--ignore-scripts no npm). Monitore adições novas de dependências em qualquer publicação que não passe pelo pipeline de CI/CD habitual. Ferramentas como Socket.dev, Sonatype e Orca detectam pacotes maliciosos em tempo real.

2. Sequestro de Conta de Mantenedor

Uma conta com direitos de publicação que não é rotacionada ou revogada após o desligamento de um colaborador é uma chave-mestre esperando ser roubada. O npm não expira permissões de publicação de escopo por inatividade, de modo que uma credencial desatualizada de mantenedor foi suficiente para publicar em todos os pacotes do escopo.

Detecção e Mitigação: Audite mantenedores ativos em todos os escopos de pacotes publicados. Implemente o princípio do mínimo privilégio: nenhuma conta deve ter direitos de publicação em mais de 10 a 20 pacotes sem justificativa explícita. Ative MFA obrigatório para todos os publicadores.

3. Roubo e Abuso de Tokens OAuth via Fornecedor Comprometido

Tokens OAuth são projetados para conceder acesso persistente e com escopo definido sem uma solicitação de senha, o que os torna extremamente valiosos quando roubados. Cada conexão de integração SaaS é uma concessão permanente de acesso que sobrevive muito depois de qualquer pessoa se lembrar de tê-la aprovado. O ataque Klue é uma demonstração clara de como um nó comprometido propaga-se para dezenas de ambientes downstream.

Detecção e Mitigação: Audite regularmente todas as integrações conectadas a plataformas CRM e SaaS críticas. Remova integrações que não são mais necessárias. Revogue e reimita tokens OAuth periodicamente. Configure alertas para altos volumes de consultas de API com agentes de usuário incomuns como Python-urllib.

4. Engenharia Social Direcionada a Terceiros

O vetor utilizado no caso iRhythm e no comprometimento do mantenedor do Axios é clássico: o atacante não precisa explorar nenhuma CVE se conseguir convencer um humano a entregar acesso. O mantenedor do Axios descreveu uma operação multifásica envolvendo fundadores de empresas impersonados, espaços de trabalho falsos no Slack e reuniões no Microsoft Teams com múltiplos participantes aparentes, espelhando táticas documentadas em campanhas anteriores do UNC1069 direcionadas a empresas de criptomoedas.

Detecção e Mitigação: Treine equipes para verificar qualquer solicitação de credenciais ou mudanças de configuração fora do fluxo normal de trabalho. Implemente revisão de código obrigatória para qualquer alteração em pipelines de CI/CD ou arquivos de configuração de pacotes.

Implicações Regulatórias: Europa e Brasil

Enquadramento Europeu: NIS2, DORA e RGPD

A Diretiva NIS2, em vigor desde outubro de 2024, exige explicitamente que as organizações abrangidas gerenciem os riscos de segurança na cadeia de suprimentos e avaliem a postura de segurança dos seus fornecedores de forma contínua. Os incidentes de junho de 2026 são exemplos diretos de cenários que a NIS2 antecipou: comprometimentos sistémicos que se propagam por fornecedores partilhados.

O regulamento DORA, aplicável ao setor financeiro europeu desde janeiro de 2025, vai ainda mais longe. Institui uma estrutura de gestão de risco de TIC de terceiros que inclui registos de contratos de serviços, testes de penetração em prestadores críticos, e notificação obrigatória quando um incidente em terceiro afeta a continuidade de serviços financeiros. Qualquer entidade financeira europeia que use pacotes npm em ambientes de produção, ou que integre plataformas de inteligência competitiva via OAuth com CRMs, deve mapear essas dependências como riscos de concentração DORA.

O RGPD, por sua vez, não distingue entre uma violação que ocorre nos sistemas da organização e uma violação que ocorre em um processador subcontratado. A obrigação de notificação à autoridade supervisora (CNCS em Portugal, CNIL em França, BfDI na Alemanha) no prazo de 72 horas é da organização controladora, independentemente de onde os dados residiam fisicamente. Casos como Nintendo/TinyPulse, Texas Parks/Wildlife e iRhythm seriam diretamente abrangidos por essa obrigação se as organizações afetadas operassem na UE.

Enquadramento Brasileiro: LGPD e ANPD

No Brasil, a Lei Geral de Proteção de Dados (LGPD, Lei 13.709/2018) impõe ao controlador a responsabilidade pelos operadores que contrata. O artigo 46 exige que controladores e operadores adotem medidas técnicas e administrativas aptas a proteger dados pessoais. Quando uma empresa brasileira contrata um fornecedor SaaS que é comprometido e os dados de seus usuários são exfiltrados, o controlador brasileiro pode responder perante a ANPD.

A Autoridade Nacional de Proteção de Dados (ANPD) publicou, em 2023 e 2024, regulamentos de incidentes de segurança que impõem comunicação ao titular e à ANPD em prazo compatível com o europeu quando há risco ou dano relevante. Incidentes com o perfil dos documentados aqui, exfiltração de dados de saúde como no caso iRhythm, ou de documentos de identificação como no Texas, se ocorridos com empresas brasileiras, configurariam notificação mandatória.

A diferença regulatória mais relevante entre os dois marcos: enquanto o RGPD prevê multas de até 4% do faturamento global anual, a LGPD estabelece um teto de 2% do faturamento no Brasil no último exercício, limitado a 50 milhões de reais por infração. Ambos os regimes, porém, convergem na exigência de que a gestão de risco de terceiros seja parte formal do programa de conformidade.

Como Mitigar: Lista de Prioridades para 2026

Com base nos incidentes documentados, elencamos as ações de maior impacto para reduzir a superfície de ataque via cadeia de suprimentos:

1. Inventário de Dependências de Software (SBOM) Gere e mantenha uma Software Bill of Materials atualizada para todos os ambientes de produção. Ferramentas como Syft, Trivy e Grype permitem geração automática de SBOMs integrada ao pipeline de CI/CD. Sem saber o que está rodando, é impossível saber o que foi comprometido.

2. Bloqueio de Scripts de Pós-Instalação por Padrão

# Desabilitar execução automática de hooks de instalação no npm
npm install --ignore-scripts

# Ou configurar globalmente
npm config set ignore-scripts true

3. Pinagem de Dependências com Hash

// Em vez de: "easy-day-js": "^1.11.21"  (perigoso: resolve para latest)
// Use:
"axios": "1.13.0"  // versão fixa
// E valide o hash no package-lock.json ou yarn.lock

4. Auditoria de Tokens OAuth e Credenciais Inativas Implemente um processo trimestral de revisão de todas as integrações OAuth ativas. Qualquer integração sem uso nos últimos 90 dias deve ser revogada imediatamente. Credenciais de contas de serviço devem ter validade máxima de 90 dias.

5. Monitoramento de Contas de Mantenedor npm Habilite alertas para publicações manuais (fora do pipeline de CI/CD) em qualquer escopo que sua organização mantenha. Revogue acesso de ex-colaboradores no mesmo dia do desligamento.

6. Gestão Contínua de Risco de Terceiros (TPRM) Substitua questionários anuais por monitoramento contínuo de postura de segurança dos fornecedores críticos. Plataformas como SecurityScorecard, BitSight e RiskRecon oferecem visibilidade externa em tempo real. Líderes de segurança classificam as ameaças orientadas por IA como o risco número 1 na cadeia de suprimentos, mas 67% ainda dependem de auditorias de segurança estáticas para avaliação.

7. Princípio do Mínimo Privilégio para Integrações SaaS Cada integração deve ter apenas as permissões mínimas necessárias para sua função. No caso Klue, o atacante utilizou tokens OAuth com escopo amplo que permitiam consultas em massa à API do Salesforce. Escopos granulares limitariam o raio de dano.

O Padrão Subjacente: Zero CVE, Máximo Impacto

Um dado que percorre todos os incidentes documentados neste artigo merece destaque especial: nenhum deles foi atribuído a uma CVE durante a exploração ativa. Scanners de vulnerabilidade tradicionais, que dependem de bancos de dados CVE para assinaturas de detecção, não tinham superfície contra a qual emitir alertas. A pesquisa da Phoenix Security documenta 60 campanhas de cadeia de suprimentos entre junho de 2024 e junho de 2026 em que zero CVEs foram atribuídas durante a exploração ativa.

Isso tem uma implicação direta para programas de gestão de vulnerabilidades: a conformidade baseada em CVE não é suficiente para detectar ou prevenir a categoria de ataques mais impactante de 2026. O conceito de risco precisa expandir para incluir comportamentos suspeitos em dependências, anomalias em publicações de pacotes, e padrões incomuns em consultas de API.

Conclusão: A Superfície de Ataque Que Você Não Controla

A mensagem central dos incidentes de junho de 2026 é simples e desconfortável: a sua postura de segurança é agora uma função da segurança do elo mais fraco entre todas as suas integrações, e você provavelmente não consegue listar todas elas sem uma auditoria dedicada.

Os atacantes perceberam isso antes das equipes de defesa. O Sapphire Sleet, ligado à Coreia do Norte, demonstrou que comprometer o ecossistema npm de um framework de IA amplamente adotado é mais eficiente do que atacar qualquer empresa individualmente. O grupo Icarus demonstrou que uma credencial de protótipo abandonada em um fornecedor de inteligência competitiva é uma chave-mestra para os CRMs de dezenas de empresas. E os grupos que violaram a TinyPulse e o fornecedor do Texas Parks mostram que fornecedores SaaS que atendem serviços públicos são alvos de alta rentabilidade.

A Dolutech reforça: gerenciar a cadeia de suprimentos de software deixou de ser uma tarefa de procurement e virou uma disciplina central de cibersegurança. Inclui inventário de dependências, gestão de tokens, monitoramento contínuo de fornecedores, e testes de penetração que não param na borda da sua própria rede. Enquanto os atacantes continuarem encontrando portas abertas nos fornecedores, cada nova integração que você assina é uma superfície de ataque em potencial.

Indicadores de Comprometimento (IoCs) Relacionados aos Incidentes de Junho 2026

Indicador	Tipo	Contexto
easy-day-js@1.11.22	Pacote npm malicioso	Ataque @mastra, Sapphire Sleet
plain-crypto-js@4.2.1	Pacote npm malicioso	Ataque Axios, Sapphire Sleet
23.254.164[.]92:8000	IP/C2	Dropper C2 (ataque @mastra)
23.254.164[.]123	IP/C2	RAT C2 (ataque @mastra)
sergey2016@tutamail.com	Conta npm comprometida	Conta de publicação typosquat
ehindero2016@tutamail.com	Conta npm comprometida	Conta mantainer sequestrada
sfrclak[.]com	Domínio C2	Ataque Axios
142.11.206.73	IP/C2	Ataque Axios