Ericsson US Divulga Violação de Dados Após Hack em Provedor de Serviços

A violação da Ericsson US não foi um ataque direto à infraestrutura da empresa, mas sim o resultado de um vishing, phishing por telefone, contra um escritório de advocacia que gerenciava informações fiscais de funcionários. Entre 17 e 22 de abril de 2025, criminosos enganaram um funcionário do escritório com uma ligação telefônica falsa, obtendo credenciais de acesso. A atividade foi detectada apenas em 28 de abril, e a Ericsson só soube do impacto real em 10 de novembro, quase sete meses depois. A investigação levou até 23 de fevereiro de 2026 para ser concluída, revelando que os dados expostos foram estritamente limitados a informações fiscais de funcionários (como declarações de imposto de renda), sem envolvimento de clientes, dados médicos ou financeiros amplos como inicialmente divulgado.

O atraso na notificação, e a ausência de reivindicação pública, aponta para um padrão crescente em ataques a fornecedores: os invasores evitam chamar atenção ao explorar cadeias de confiança indiretas, muitas vezes deixando as empresas-alvo descobrirem o dano tardiamente, quando já é difícil rastrear o uso dos dados. A Ericsson está oferecendo proteção de identidade via IDX, mas o prazo de inscrição (9 de junho de 2026) exige ação imediata dos afetados, e lembra que monitoramento pós-violação não substitui controles preventivos nas relações com terceiros.

Esse caso mostra como um único ponto fraco em um fornecedor, mesmo um escritório de advocacia, não um provedor de TI, pode expor dados sensíveis de uma multinacional. A Ericsson não foi alvo direto, mas pagou o preço pela falta de exigências contratuais robustas de segurança, auditoria de controles de acesso remoto e detecção de comportamento anômalo em parceiros que lidam com dados fiscais. Para empresas brasileiras, o alerta é claro: a LGPD exige due diligence em terceiros, e o novo Marco Legal de Cibersegurança (PL 249/2023) prevê responsabilização solidária em cadeias de fornecimento. Ignorar isso não é economia, é risco regulatório e reputacional calculado.