Quantas pessoas têm a chave do teu armazém? Provavelmente respondes em poucos segundos, porque sabes quem abre o portão de manhã e quem o fecha ao fim do dia. Agora pensa no armazém digital, onde vivem as encomendas e os dados dos clientes, e repete a pergunta. A resposta já não surge com a mesma facilidade e, muitas vezes, termina num simples “mas a equipa de IT sabe”.
Mas será que sabe mesmo? Muitas das empresas que vimos nas notícias nos últimos anos também tinham boas equipas de IT e, ainda assim, havia uma porta aberta à espera de alguém com vontade de a usar. Isto não é uma crítica a quem trabalha em informática. Todos os departamentos erram, os recursos humanos podem falhar num processo e um armazém pode ter quebras de stock, sem que isso seja visto como algo extraordinário. No IT, porém, ainda existe a tendência de assumir que está tudo controlado apenas porque há especialistas a tratar do assunto.
Na prática, basta alguém clicar onde não devia ou um equipamento esquecido continuar ligado à rede. Pode haver formação, antivírus atualizados nos computadores e proteção nos telemóveis, e continuarem a existir pontas soltas. Na QuantumNova já recebemos empresas que foram atacadas através de uma impressora. É um exemplo simples de como algo aparentemente insignificante pode tornar-se uma porta de entrada.
E o problema não acaba à porta da tua empresa. Segundo o relatório da Verizon publicado em maio, 48% das violações de segurança analisadas em todo o mundo envolveram um terceiro, um valor que subiu 60% num só ano. Em julho, um ataque à CEVA Logistics parou oito armazéns na Europa e atrasou entregas a clientes que não tinham feito nada de errado. Em 2025, as cinco semanas de fábricas paradas na Jaguar Land Rover afetaram cerca de 5 000 empresas, entre fornecedores e operadores logísticos, com um custo estimado em 1,9 mil milhões de libras.
É aqui que a conversa muda. Uma empresa pode fazer tudo bem dentro de portas e continuar exposta por causa de quem se liga aos seus sistemas.
Nem sempre o objetivo é pedir um resgate pelos dados. Por vezes, basta desviar um pagamento, como no caso investigado pelo Ministério Público em Lisboa no final de setembro, em que alguém se fez passar por um parceiro comercial para alterar o IBAN de uma fatura. Outras vezes, o alvo é físico. Quem conhece a rota sabe onde está a carga e, nos Estados Unidos, já há grupos que entram nos sistemas de transportadoras precisamente para desviar mercadoria.
É por isso que considero que a segurança de um parceiro deve ser avaliada com o mesmo rigor com que avaliamos a sua pontualidade ou a qualidade do serviço. Antes de abrir o sistema a uma transportadora ou a um técnico de manutenção, importa perceber como se vai ligar e a que informação terá acesso. Se um parceiro consegue entrar nos teus dados a partir de qualquer computador, sem nada instalado que proteja essa ligação, é provável que outra pessoa também consiga.
Cada acesso deve ser dado à medida, apenas para o que é necessário e durante o tempo necessário. Da mesma forma, equipamentos pouco vigiados, como a impressora do escritório ou o leitor do cais, devem estar separados do resto da operação.
Com o Decreto-Lei 125/2025 em vigor, isto deixou de ser apenas uma boa prática. A segurança da cadeia de fornecimento passou a ser auditável e os grandes clientes já começam a exigi-la. Ainda assim, para mim, o argumento mais forte não é a lei, é o tempo.
Segundo o CERT.PT, os incidentes mais graves de 2024 deixaram os sistemas em baixo durante oito horas, em média. Quem gere um armazém sabe quanto custam oito horas de cais parado, quantas entregas ficam pendentes e quantos clientes começam a fazer perguntas.
No fim, a pergunta da chave continua a ser o melhor ponto de partida. Sabes quem entra no teu armazém físico. Vale a pena ter exatamente a mesma certeza sobre quem entra no digital, sobretudo quando a chave está nas mãos de um parceiro.
