Análises ARKHION
Governança sob pressão

Nenhuma fábrica foi destruída. Nenhuma estrada foi bloqueada. Nenhum centro de distribuição foi fisicamente comprometido. Ainda assim, consumidores em diferentes regiões dos Estados Unidos começaram a encontrar lacunas nas prateleiras de supermercados — e a causa não estava onde normalmente se procura.

Em 5 de junho de 2025, a United Natural Foods (UNFI), uma das maiores distribuidoras de alimentos naturais e orgânicos da América do Norte, detectou um incidente cibernético em seus sistemas. A resposta imediata foi o desligamento de infraestruturas críticas para contenção do ataque — uma decisão tecnicamente correta, operacionalmente devastadora.

O processamento de pedidos parou. A coordenação logística foi interrompida. A movimentação de produtos entre os cerca de 55 centros de distribuição da empresa e seus aproximadamente 30.000 pontos de venda nos Estados Unidos e Canadá foi severamente comprometida.

Em poucos dias, a interrupção de uma única organização — invisível para a maioria dos consumidores — tornou visível uma dependência que ninguém havia mapeado como risco prioritário.

A UNFI não é apenas uma empresa de logística. Ela ocupa uma posição estrutural em uma rede de abastecimento de larga escala, conectando produtores, fabricantes, distribuidores e varejistas em uma operação que movimenta aproximadamente 250.000 produtos e gera receita anual superior a US$ 30 bilhões.

Entre seus clientes mais relevantes está a Whole Foods Market — uma das maiores redes de alimentos naturais dos Estados Unidos, com mais de 500 lojas. Para esse segmento, a UNFI não é um fornecedor entre vários. É um elo central da cadeia — e sua indisponibilidade não pode ser facilmente substituída no curto prazo.

Os impactos documentados no período do incidente incluíram:

Interrupção de entregas para milhares de estabelecimentos. O processamento de pedidos é o mecanismo que coordena a demanda dos varejistas com a capacidade logística dos centros de distribuição. Sem ele, a cadeia perde a capacidade de coordenação.

Prateleiras parcialmente desabastecidas. Relatos de escassez de produtos surgiram em diferentes regiões durante vários dias. O impacto foi desigual — dependendo da localização das lojas, dos estoques disponíveis e da antecipação de pedidos — mas foi amplamente observado.

Processos manuais como contingência. A empresa recorreu a operações manuais para tentar manter algum nível de continuidade — uma alternativa de capacidade reduzida e difícil de escalar em uma operação do porte da UNFI.

Impacto financeiro estimado entre US$ 350 e US$ 400 milhões em receitas da empresa — resultado de pedidos não processados, entregas não realizadas e capacidade operacional reduzida durante o período de recuperação, que ocorreu gradualmente ao longo das semanas seguintes.

À primeira vista, o incidente parecia restrito a uma única organização. Mas a UNFI não é apenas uma empresa — ela desempenha uma função crítica dentro de uma rede muito maior.

Sua operação atua como um ponto de conexão entre produtores e consumidores. Quando esse ponto de conexão perde capacidade operacional, os efeitos não permanecem confinados ao seu ambiente interno — eles se propagam.

Fabricantes enfrentam dificuldades para escoar produtos. Varejistas deixam de receber mercadorias. Consumidores encontram menos opções disponíveis. Receitas são afetadas. Planejamentos comerciais são interrompidos.

O problema deixa de pertencer à organização originalmente impactada. Ele passa a pertencer à cadeia.

Esse é um dos aspectos mais importantes da gestão de riscos no ambiente empresarial contemporâneo. As organizações não operam isoladamente — elas operam dentro de ecossistemas. E os ecossistemas absorvem e propagam falhas.

O conceito de Movimento Lateral — originalmente associado à progressão de atacantes dentro de redes corporativas — tem um equivalente preciso na cadeia de suprimentos: a propagação de uma interrupção a partir de um ponto de origem, atravessando dependências e contratos, até materializar impactos em organizações que nem sabiam que compartilhavam aquele risco.

A maioria dos consumidores jamais ouviu falar da UNFI. Mesmo muitos executivos fora do setor alimentício provavelmente desconheciam sua relevância antes do incidente. Ainda assim, milhões de produtos dependiam diariamente de sua operação.

Essa é uma característica comum das dependências críticas — elas costumam permanecer invisíveis até o momento em que falham.

Organizações frequentemente conhecem seus principais clientes e fornecedores diretos. Mas nem sempre compreendem quais parceiros são verdadeiramente insubstituíveis — aqueles cuja ausência interrompe processos que não podem ser replanejados no curto prazo.

A gestão de riscos em cadeia de suprimentos exige que organizações consigam responder a perguntas que raramente constam dos relatórios executivos:

Quais terceiros sustentam processos essenciais? Não apenas fornecedores diretos — mas também os fornecedores dos fornecedores, plataformas tecnológicas compartilhadas, operadores logísticos e outros elos cuja indisponibilidade propagaria impactos.

Quanto tempo a operação suportaria a indisponibilidade de cada parceiro crítico? A tolerância ao impacto varia por processo. Sistemas de pedido podem tolerar horas; a reposição de produtos perecíveis, também — mas por razões completamente diferentes.

Existem alternativas viáveis e em que prazo? A substituição de um distribuidor especializado com infraestrutura de temperatura controlada e relacionamentos comerciais estabelecidos não é uma decisão de dias. Em muitos casos, não existe alternativa equivalente no curto prazo.

Os planos de continuidade consideram essas dependências? Ou foram construídos apenas em torno de cenários internos, assumindo que a cadeia ao redor continuará funcionando?

Quando essas perguntas permanecem sem resposta, a organização pode desenvolver uma falsa percepção de resiliência. A operação parece robusta — mas sua estabilidade depende de elementos cuja fragilidade ainda não foi plenamente compreendida.

O episódio da UNFI reforça uma realidade crescente em setores com cadeias de suprimentos complexas: a continuidade operacional não depende apenas da capacidade interna da organização — ela depende da capacidade coletiva da rede da qual a organização faz parte.

Governança moderna de continuidade exige uma visão ampliada. Não basta avaliar ativos próprios. Não basta monitorar riscos internos. É necessário compreender as dependências estratégicas externas com o mesmo rigor aplicado aos processos internos.

Em muitas organizações, os programas de continuidade ainda são construídos em torno de cenários internos — falha de datacenter, interrupção de produção, perda de instalações físicas. O caso UNFI demonstra que interrupções externas podem produzir impactos equivalentes — ou até superiores — aos provocados por crises dentro da própria empresa.

A pergunta estratégica deixa de ser: "Estamos preparados para uma interrupção?"

E passa a ser: "Estamos preparados para a interrupção de quem sustenta nossa operação?"

O Brasil não é os Estados Unidos. Mas os padrões de vulnerabilidade em cadeias de suprimentos são os mesmos.

O setor de alimentos e agronegócio brasileiro opera com dependências críticas de distribuidores especializados, operadores logísticos com infraestrutura de temperatura controlada e plataformas de gestão de pedidos e rastreabilidade. A digitalização acelerada dessas operações aumentou a eficiência — e, com ela, a dependência de sistemas que, quando indisponíveis, não têm substituto manual equivalente.

O setor financeiro brasileiro já tem resposta regulatória explícita para esse padrão de risco. A Resolução BCB nº 498/2025 foi editada precisamente porque ataques a PSTIs — prestadores de serviços de tecnologia que conectam instituições financeiras ao sistema de pagamentos instantâneos — demonstraram que a interrupção de um único elo pode propagar impactos simultâneos por toda a cadeia. A norma vai além dos controles técnicos: exige plano de continuidade documentado e testado, auditoria independente e responsabilidade compartilhada entre o prestador e a instituição contratante. O regulador reconheceu que terceirizar uma função crítica não transfere o risco — apenas o desloca para um ponto menos visível da cadeia.

Em ambos os setores, a direção é a mesma: compreender e gerenciar dependências externas com o mesmo rigor aplicado aos riscos internos. Mas as obrigações regulatórias não constroem a estrutura de governança — elas criam consequências para sua ausência. A estrutura precisa existir antes que uma interrupção crítica afete a continuidade do negócio.

Não são perguntas de TI ou de logística operacional. São perguntas de governança de continuidade.

1. Quais fornecedores e prestadores externos sustentam processos que não podem parar — e por quanto tempo a operação suportaria sua indisponibilidade?
Não a lista de fornecedores registrados no sistema — mas a análise real de criticidade: quais, se indisponíveis, interrompem processos que a organização não consegue replicar internamente ou substituir no curto prazo?

2. A organização conhece os fornecedores dos seus fornecedores?
Dependências de segundo e terceiro nível raramente aparecem nos mapeamentos de risco. O caso UNFI demonstra que é exatamente nesses elos intermediários — invisíveis para o consumidor final e frequentemente também para os varejistas — que os riscos sistêmicos se concentram.

3. Os contratos com fornecedores críticos incluem requisitos de continuidade e obrigações de notificação em caso de incidente?
Muitas organizações avaliam fornecedores por preço, qualidade e prazo — mas não por capacidade de continuidade. A ausência de requisitos contratuais significa que, em caso de incidente no fornecedor, a organização será a última a saber e a primeira a absorver o impacto.

4. Os planos de continuidade foram testados em cenários que incluem indisponibilidade prolongada de fornecedores críticos?
Exercícios de simulação que cobrem apenas cenários internos não preparam a organização para o cenário mais provável em ambientes altamente interconectados: a interrupção chega de fora, por um caminho que nenhum plano interno havia mapeado.

A UNFI não era uma organização despreparada. Era uma das maiores operações de distribuição de alimentos da América do Norte — com infraestrutura de escala, sistemas integrados e décadas de operação consolidada. E ainda assim, um único incidente cibernético produziu impacto estimado entre US$ 350 e US$ 400 milhões em receitas, além de desabastecimento observável em milhares de pontos de venda.

A lição não é sobre cibersegurança. É sobre a distância entre a sofisticação operacional e a maturidade de governança de continuidade em organizações com cadeias de suprimentos complexas.

Organizações brasileiras com operações equivalentes — redes de distribuição, varejistas com fornecedores estratégicos, fintechs dependentes de processadores críticos, empresas do agronegócio com logística especializada — investiram décadas construindo eficiência operacional. O equivalente para a continuidade — mapeamento de dependências críticas externas, planos que cobrem a interrupção de terceiros, requisitos contratuais de resiliência — ainda não foi construído com a mesma disciplina na maioria dessas organizações.

O caso UNFI demonstra que os maiores riscos nem sempre estão onde a organização costuma olhar. Frequentemente, eles operam por meio de dependências externas cuja criticidade só se torna evidente — e visível nas prateleiras — quando falham.