Uma onda de ataques simultâneos derrubou sistemas do Porto de Santos, da Caixa, do Tesouro, da Petrobras e do Gov.br em poucos dias. A paralisia do Judiciário pela queda da Microsoft expôs um risco que ninguém quer nomear: a dependência cega de fornecedores únicos. O problema não está no exterior — ele opera aqui, agora, em escala industrial.
O dia em que o maior porto da América Latina parou
Em 6 de novembro, os sistemas do Porto de Santos caíram. Uma semana depois, a operação ainda funcionava no manual. Navios ancorados, caminhões parados, terminais operando a 30% da capacidade. Relatórios internos indicam pedidos de resgate e indícios de origem externa no ataque. O prejuízo logístico ainda não foi contabilizado, mas cada dia de lentidão custa milhões em cargas perecíveis e multas contratuais.
Enquanto a imprensa focava na pane aérea nos EUA, o Brasil vivia seu próprio apagão digital. A coincidência não foi casual: a atenção desviada permitiu que a gravidade do cenário doméstico passasse despercebida por decisores-chave.
IA barateou o crime — e multiplicou alvos
A inteligência artificial não apenas acelera a descoberta de falhas: ela automatiza a exploração em massa. Em novembro, a brasileira ZenoX mapeou uma campanha impulsionada por IA que comprometeu ao menos 40 instituições financeiras e órgãos públicos simultaneamente. O custo de execução? Irrisório perto do retorno potencial.
Esse modelo muda a equação do risco. Antes, atacantes precisavam de especialização. Hoje, scripts genéricos varrem a internet em busca de portas abertas — e as encontram aos milhares.
O vazio legal que deixa o país exposto
Alemanha, Canadá, Chile, China, Gana, Japão, Senegal e Vietnã já possuem leis específicas de cibersegurança. O Brasil tem anteprojetos e um PL em tramitação, todos redigidos antes da explosão da IA generativa. Estão obsoletos no nascimento.
Enquanto isso, o Reino Unido aprovou em primeira votação a Cyber Security and Resilience Bill. A palavra-chave não é “proteção” — é resiliência. A legislação obriga fornecedores críticos a manterem planos de continuidade, alternativas operacionais e responde por falhas com multas pesadas.
Dependência única é risco sistêmico
A queda da Microsoft que paralisou o Judiciário brasileiro ilustra o perigo: centralização é fragilidade. França e Alemanha já migram serviços públicos para código aberto, assumindo o controle da operação. O modelo de “fornecedor único, contrato vitalício” virou passivo tóxico.
- Plano B, C e D não são luxo — são exigência de continuidade
- Contratos com cláusulas de lock-in tecnológico precisam de revisão urgente
- Auditoria de dependência crítica deve virar rotina de governança
O que o Quênia e o Japão fazem melhor que nós
O KE-Cirt (Quênia) e o Yata-Shield (Japão) articulam governo, setor privado e sociedade civil em tempo real. O Brasil tem o Cert-Br — competente, mas insuficiente para a escala da ameaça. Falta orçamento, mandato legal e integração com a iniciativa privada em pé de igualdade.
Enquanto o país debate regulamentação de redes sociais, a infraestrutura que move dinheiro, justiça, saúde e comércio exterior opera sem rede de segurança jurídica.
O que observar daqui para frente
Três movimentos definem o curto prazo: a tramitação do PL de cibersegurança no Congresso (cobre se inclui resiliência e responsabilidade de fornecedores), a adoção de padrões abertos em contratos públicos e a criação de um centro nacional de resposta com autoridade sancionadora. Quem opera ativos críticos — portos, bancos, energia, judiciário — deve tratar continuidade digital como prioridade de conselho, não de TI. O próximo ataque não avisará.
