Ericsson culpa falha de vishing em fornecedor por vazamento de milhares de registros

O vazamento da Ericsson não foi uma falha interna, mas um rompimento na cadeia de suprimentos: atacantes usaram vishing, engenharia social por telefone, para convencer um funcionário de um fornecedor norte-americano a revelar credenciais. Entre 17 e 22 de abril de 2025, eles acessaram arquivos contendo dados extremamente sensíveis: números de Social Security, informações médicas, dados financeiros e documentos oficiais como passaportes e carteiras de motorista. O provedor detectou a intrusão em 28 de abril, mas a Ericsson só soube em 10 de novembro, quase sete meses depois. A demora não foi técnica, mas operacional: falha no SLA de notificação entre as partes e ausência de alertas automatizados para acesso anômalo em sistemas compartilhados.

A empresa está oferecendo 12 meses de monitoramento de crédito via IDX, com inscrição até 9 de junho de 2026. Mas o mais grave é que esse tipo de ataque explora um elo fraco sistêmico: 73% dos incidentes envolvendo grandes empresas em 2025 tiveram origem em terceiros, segundo relatório da Verizon DBIR 2026, e vishing representa 41% desses casos, superando phishing por e-mail em eficácia contra profissionais de suporte e RH.

Empresas que exigem MFA para seus próprios funcionários ainda deixam brechas quando exigem apenas senha + SMS ou e-mail para fornecedores. Neste caso, o atacante não precisou contornar nenhuma camada técnica: basta convencer alguém a digitar a senha em um portal falso ou ler um código de verificação. Isso expõe uma contradição prática nas políticas de segurança: auditorias focam em controles internos, mas os riscos reais estão na superfície de ataque expandida, onde um único call center terceirizado pode ser a porta de entrada para dados de dezenas de milhares de pessoas.