Porto de Santos paralisado por uma semana, dados da Caixa vazados, Tesouro Nacional e Petrobras na mira, Gov.br sob cerco e o Judiciário travado por uma pane global da Microsoft. Tudo em poucos dias. A inocência do Brasil em cibersegurança acabou — e a fatura está sendo cobrada agora.
Enquanto o noticiário internacional focava no caos aéreo nos EUA, a infraestrutura crítica brasileira era testada ao limite. O recado é claro: o problema não está “lá fora”. Ele está nos nossos portos, bancos, tribunais e no CPF de cada cidadão.
O caso Santos: quando o manual substitui o digital
No dia 6 de novembro, os sistemas do maior porto da América Latina caíram. Sete dias depois, a operação ainda seguia em modo degradado. Navios e acessos terrestres foram forçados a procedimentos manuais — papel, caneta, rádio. Relatórios apontam pedidos de resgate e indícios de origem externa do ataque.
O impacto logístico ainda está sendo contabilizado, mas o simbolismo é imediato: a entrada e saída de mercadorias do país dependeu, por dias, da ausência de tecnologia.
IA barateou o crime e escalou a ameaça
A virada de chave tem nome: inteligência artificial. Ela automatizou a descoberta de falhas, reduziu o custo de execução e multiplicou a velocidade dos ataques. Em novembro, um único episódio mapeado pela ZenoX — empresa brasileira de cibersegurança — atingiu pelo menos 40 instituições financeiras e órgãos públicos usando ferramentas de IA.
Não é mais sobre hackers individuais. É sobre linhas de código que testam milhões de combinações por segundo, aprendem com cada erro e não dormem.
O vazio legal que expõe o país
Alemanha, Canadá, Chile, China, Gana, Japão, Senegal, Vietnã. Todos têm legislação específica de cibersegurança. O Brasil tem anteprojetos e um PL em tramitação — todos redigidos antes da explosão da IA generativa.
São textos incompletos, ineficazes ou obsoletos frente ao cenário atual. Enquanto o Congresso debate versões defasadas, a superfície de ataque cresce exponencialmente.
O modelo inglês: resiliência e responsabilidade compartilhada
O Reino Unido aprovou em primeira votação a “Cyber Security and Resilience Bill”. Duas palavras definem a abordagem:
- Resiliência: não depender de fornecedor único. França e Alemanha já migram serviços críticos para código aberto, assumindo o controle operacional.
- Responsabilidade: empresas que criam dependência sistêmica passam a ter obrigações rigorosas de continuidade e multas pesadas por falhas.
No Brasil, a centralização em poucos provedores — nacionais e estrangeiros — cria pontos únicos de falha que um único erro ou ataque derruba setores inteiros.
Lições de quem faz mais com menos
O KE-CIRT do Quênia e o YATA-Shield do Japão conseguem articular governo, setor privado e sociedade com mais efetividade que o Brasil. O CERT.br faz um trabalho técnico excelente, mas opera sem o respaldo legal e a estrutura de governança que o momento exige.
A diferença não é orçamento. É prioridade política e clareza regulatória.
O que observar daqui para frente
Três movimentos devem ditar a agenda nos próximos meses:
- Pressão por um marco legal atualizado, com foco em resiliência e cadeia de suprimentos digital.
- Exigência de planos de continuidade testados (não apenas documentados) para operadores de infraestrutura crítica.
- Migração estratégica de sistemas públicos para arquiteturas distribuídas e, onde viável, código aberto auditável.
Para empresários e investidores, a mensagem é direta: cibersegurança deixou de ser custo de TI e virou variável de risco sistêmico. Quem não tiver plano B, C e D testados estará fora do jogo na próxima onda — que, pelo ritmo atual, não vai demorar a chegar.
