Quem tem acesso ao seu site? O risco que vem dos terceiros

O que esses ataques têm em comum?

Em pouco mais de uma semana, três casos de grande porte vieram a público: a Binance, a corretora Mercado Bitcoin e um banco francês. São empresas com muito mais recursos do que qualquer site de negócio. Mesmo assim, o que a imprensa apurou até agora aponta para o mesmo lugar: não a parte mais sofisticada do sistema, e sim quem ou o que tinha acesso a ela.

Os fatos ainda estão em apuração, e eu separo abaixo o que foi confirmado do que é só hipótese.

O que se sabe de cada caso?

Binance (29 de outubro de 2026). Segundo o BleepingComputer, de 30 de outubro, a empresa ligou o roubo ao notebook comprometido de um engenheiro de DevOps. A própria Binance ressalvou que o atacante não usou simplesmente as permissões de um engenheiro e que encontrou outros pontos de violação, ainda não detalhados.
Mercado Bitcoin (2 de novembro de 2026). Segundo o InvestNews, de 3 de novembro, o ataque começou na madrugada de segunda-feira e levou cerca de US$ 49 milhões, valor informado pela própria exchange. Como o invasor entrou não foi divulgado. A matéria lista possibilidades comuns, como computadores de funcionários, links maliciosos, softwares infectados e infiltração por processos seletivos, e nenhuma delas está confirmada.
Banco francês (confirmado em 4 de novembro de 2026). Segundo o InfoMoney, de 5 de novembro, o banco disse que os criminosos chegaram aos sistemas pela plataforma de um prestador de serviços. O valor, segundo a imprensa francesa, passa de 100 milhões de euros, e o banco reconheceu a ordem de grandeza sem confirmar o número. O prestador não foi identificado.

Repare no padrão, sem tirar conclusão além do que os fatos permitem: em dois dos três casos, a entrada citada é ligada a terceiros ou a equipamentos de pessoas, e no terceiro a causa ainda é desconhecida.

O que isso tem a ver com um site pequeno?

Muito, só que em outra escala. No seu site, os "terceiros" são quem tem alguma chave:

a hospedagem, onde o site está guardado;
o domínio, o endereço que leva até ele;
a agência ou o freelancer que fez ou mantém o site;
os plugins e temas instalados, que são código escrito por outras pessoas;
as ferramentas conectadas, como e-mail marketing, análise de visitas e formulários;
ex-colaboradores que ainda têm uma senha ativa.

Um fornecedor honesto também pode ter o computador invadido ou a senha vazada. Por isso o assunto não é desconfiar de ninguém, e sim saber quem tem o quê.

Como listar quem tem acesso?

Faça uma lista simples, em uma planilha. Para cada acesso, anote cinco coisas:

O que é: hospedagem, domínio, painel do site, e-mail, ferramenta.
Quem tem: o nome de cada pessoa ou empresa.
O que consegue fazer: só ver, editar conteúdo ou mudar tudo.
Desde quando e para quê.
Se há verificação em duas etapas ligada.

O que ninguém consegue explicar vai para o topo da fila de revisão. Em geral, nessa lista aparecem acessos esquecidos de projetos antigos.

Como dar só o acesso necessário?

A ideia se chama acesso mínimo: cada pessoa recebe o que precisa para o trabalho dela, e nada além disso. Na prática:

Contas pessoais, e não compartilhadas. Se três pessoas usam a mesma senha, você não sabe quem fez o quê nem consegue tirar o acesso de uma só.
Papéis diferentes. Quem escreve artigos não precisa poder instalar plugins. Quem presta um serviço pontual não precisa de acesso permanente.
Prazo. Acesso dado para uma tarefa deve ser retirado quando a tarefa termina.
Verificação em duas etapas em tudo que permitir, principalmente no e-mail, na hospedagem e no domínio.

Plugins também são terceiros

Cada plugin ou tema instalado é código de outra pessoa rodando dentro do seu site. Isso não quer dizer que sejam perigosos, e sim que exigem cuidado: mantenha atualizados os que usa, remova os que não usa mais e instale só de fontes confiáveis. Um site com muitos plugins esquecidos tem mais portas do que o dono imagina.

O que fazer quando um fornecedor sai?

Troque de parceiro sem susto, com um roteiro curto:

Remova as contas dele na hospedagem, no painel do site e nas ferramentas conectadas.
Troque as senhas que ele conhecia.
Revogue chaves e conexões que ele criou, como integrações e acessos de programas.
Confirme que o domínio e a hospedagem estão no nome da sua empresa.
Peça a documentação do que foi feito, para o próximo profissional não começar do zero.

Um exemplo do meu próprio trabalho

No site da Agro Ribeiro, o cliente publica novas fazendas em um painel próprio de conteúdo, sem tocar em código, e a publicação no ar acontece de forma automática. Do ponto de vista de acessos, é uma escolha de projeto: quem escreve conteúdo trabalha em um lugar, e o que sustenta o site trabalha em outro. Cada pessoa vê só o que precisa para a sua função.

O que eu faria

Listaria todos os acessos em uma planilha, com quem tem, o que pode fazer e se há verificação em duas etapas.
Removeria o que ninguém usa e trocaria as senhas de quem saiu.
Passaria cada pessoa para uma conta própria, com o acesso mínimo para o trabalho dela.
Ligaria a verificação em duas etapas no e-mail, na hospedagem e no domínio.
Conferiria se o domínio e a hospedagem estão no nome da empresa.

É uma tarde de trabalho, e é o que mais reduz risco por esforço gasto. Se quiser ver o raciocínio por trás, o texto sobre o ataque à Binance trata dos mesmos princípios em outro contexto.

Quando isso não se aplica

Se o seu site é uma página de apresentação, feita e mantida só por você, sem fornecedor e sem login para mais ninguém, a lista fica curta e talvez só tenha dois itens. Ainda assim vale fazê-la, porque ela mostra rápido onde você é o ponto único de falha.

Perguntas frequentes

O que é um acesso de terceiro no meu site?

É qualquer pessoa ou serviço de fora da sua equipe que consegue entrar em alguma parte do site: a empresa de hospedagem, a agência ou o freelancer que fez ou mantém o site, quem cuida do domínio, plugins e temas instalados e ferramentas conectadas, como e-mail marketing e análise de visitas.

Preciso desconfiar da minha agência ou do meu fornecedor?

Não é questão de desconfiança, e sim de organização. Um fornecedor honesto também pode ter o computador invadido ou a senha vazada. Por isso o acesso dele deve ser pessoal, limitado ao necessário e fácil de remover.

Qual o primeiro passo para reduzir esse risco?

Fazer uma lista de todos os acessos: hospedagem, domínio, painel do site, e-mail e ferramentas conectadas. Para cada um, anote quem tem, o que consegue fazer e se há verificação em duas etapas. O que ninguém sabe explicar deve ser revisado primeiro.

O domínio e a hospedagem devem estar no nome da empresa?

Sim, no nome da empresa ou de quem é dono do negócio. Se estiverem no nome do fornecedor, uma troca de parceiro ou um problema com ele pode deixar o site fora do seu controle.

Fontes

Case relacionado Agro Ribeiro Ver o case