Em dezembro de 2021, milhares de trabalhadores nos Estados Unidos enfrentaram uma situação inesperada em plena época festiva. Não se tratou de um conflito laboral nem de um erro administrativo interno, mas de um ataque de ransomware que afetou um dos maiores fornecedores de software de recursos humanos e processamento salarial do país.

A Ultimate Kronos Group (UKG), cujas plataformas são utilizadas por hospitais, organismos públicos, universidades e grandes empresas, sofreu uma intrusão que levou à interrupção do seu ambiente Kronos Private Cloud. O impacto foi imediato, sistemas de controlo horário e processamento salarial indisponíveis, operações paralisadas e organizações sem visibilidade sobre pagamentos, turnos ou registos laborais.

O impacto operacional real

O ataque ocorreu num momento particularmente sensível. Muitas organizações operavam com equipas reduzidas devido às férias e, simultaneamente, encontravam-se a encerrar o ano fiscal. A indisponibilidade dos sistemas obrigou à adoção de processos manuais improvisados, folhas de cálculo e estimativas, com riscos evidentes quando estão em causa salários, horas extra e benefícios.

Setores como saúde, transportes públicos, ensino superior e segurança pública foram diretamente afetados. Hospitais, autoridades de transporte e universidades confirmaram interrupções prolongadas, não apenas técnicas, mas operacionais.

Recuperar sistemas não é recuperar operações

Embora a UKG tenha conseguido restaurar progressivamente os seus serviços, a normalização não foi imediata. Durante semanas, muitas organizações tiveram de rever dados, corrigir inconsistências e reconciliar informação histórica. O incidente demonstrou que a recuperação técnica, por si só, não garante a continuidade operacional.

Em ambientes onde os sistemas suportam funções essenciais para as pessoas, o impacto mede-se em confiança, conformidade legal e estabilidade interna, não apenas em disponibilidade tecnológica.

Risco de dados e consequências posteriores

Investigações posteriores indicaram que parte da informação poderá ter sido acedida durante o ataque, aumentando as preocupações quanto à proteção de dados pessoais dos trabalhadores. Abriu-se assim um novo debate sobre a responsabilidade dos fornecedores SaaS relativamente à informação sensível que gerem em nome dos seus clientes.

O incidente resultou em ações legais e, em 2023, a UKG chegou a um acordo que incluiu compromissos de reforço dos controlos de segurança e práticas de monitorização. Mais do que o valor envolvido, a mensagem foi clara, o mercado exige maior responsabilidade quando estão em causa serviços críticos.

Uma lição que permanece atual

Anos depois, o caso UKG continua a ser referido como exemplo de um problema estrutural. Muitas organizações tinham externalizado funções essenciais sem planos claros para cenários de indisponibilidade prolongada. A dependência tecnológica nem sempre era acompanhada por uma gestão madura do risco de terceiros.

Este episódio reforçou a necessidade de rever contratos, exigir transparência, clarificar responsabilidades e, sobretudo, preparar as organizações para operar quando um fornecedor crítico deixa de estar disponível.

A visão da Tecnasys

Da perspetiva da Tecnasys, o caso UKG evidencia uma realidade incontornável. A cibersegurança e a continuidade do negócio não terminam no perímetro da organização. Os fornecedores externos fazem parte integrante do risco operacional.

A Tecnasys trabalha com organizações que dependem de serviços críticos para identificar pontos de falha, avaliar riscos de terceiros e desenhar planos de continuidade realistas. O objetivo não é eliminar a dependência de fornecedores, mas governá-la de forma consciente e preparada.

Quando uma plataforma externa gere processos que afetam diretamente pessoas, salários e conformidade legal, a questão já não é se pode falhar, mas como responder quando isso acontece.