Uma onda de ataques simultâneos derrubou sistemas do Porto de Santos, Caixa, Tesouro, Petrobras e o portal Gov.br em poucos dias. A paralisia do Judiciário pela queda da Microsoft expôs uma fragilidade que vai além de falhas técnicas. O que está em jogo não é apenas tecnologia — é a continuidade dos negócios e a soberania de dados estratégicos.
O porto que parou no papel e na tela
No dia 6 de novembro, os sistemas do Porto de Santos caíram. Uma semana depois, a operação ainda seguia em modo reduzido. Navios e acessos terrestres precisaram adotar procedimentos manuais, gerando filas e prejuízos não divulgados. Relatórios internos indicam pedidos de resgate e indícios de que a ofensiva partiu do exterior.
Esse não foi um caso isolado. No mesmo período, vazamento de dados na Caixa, tentativas contra o Tesouro Nacional e investidas contra a Petrobras compuseram um cenário de pressão coordenada. A pane global da Microsoft, que travou tribunais brasileiros, serviu de cortina de fumaça: o problema não está “lá fora”. Ele já mora nos data centers nacionais.
Inteligência artificial barateou o crime em escala industrial
A virada de chave chama-se inteligência artificial generativa. Ferramentas que antes exigiam especialistas agora automatizam a varredura de vulnerabilidades, a criação de malwares polimórficos e a elaboração de engenharia social convincente. O custo por ataque despencou; o volume, explodiu.
Em novembro, a brasileira ZenoX mapeou uma campanha impulsionada por IA que comprometeu ao menos 40 instituições financeiras e órgãos públicos no país. O padrão: reconhecimento automatizado, exploração de falhas conhecidas sem patch e exfiltração silenciosa. Enquanto a defesa corrige uma brecha, a ofensiva já testou dez variações.
O vazio legal que deixa o setor privado sem régua
O Brasil não possui lei específica de cibersegurança. Alemanha, Canadá, Chile, China, Gana, Japão, Senegal e Vietnã já aprovaram marcos regulatórios próprios. Por aqui, tramitam anteprojetos e um projeto de lei — todos redigidos antes da explosão da IA generativa. Estão obsoletos no nascimento.
Enquanto o Congresso debate textos defasados, o Reino Unido aprovou em primeira votação a Cyber Security and Resilience Bill. A palavra-chave é “resiliência”: a norma obriga fornecedores críticos a manter planos de continuidade, redundância operacional e relatórios de incidente sob pena de multas pesadas. Quem cria dependência, assume responsabilidade.
Centralização é risco sistêmico — e o Brasil está no epicentro
Depender de um único fornecedor digital transformou-se em ameaça estratégica. A queda da Microsoft paralisou o Poder Judiciário inteiro. A lição: não existe plano B quando o plano A é monopólio.
- França e Alemanha migram serviços sensíveis para código aberto e assumem a operação.
- Reino Unido regulamenta “fornecedores vitais” com regime severo de continuidade.
- Japão (Yata-Shield) e Quênia (KE-CIRT) articulam governo, setor privado e academia em centros nacionais de resposta.
O Brasil tem o CERT.br — referência técnica respeitada —, mas lhe faltam mandato legal, orçamento e autoridade para impor padrões ao setor público e a operadores de infraestrutura crítica.
O que observar daqui para a frente
Três movimentos definirão o próximo trimestre: a tramitação de um marco legal alinhado à era da IA, a exigência de redundância contratual em editais públicos de tecnologia e a criação de um órgão com poder de sanção e coordenação nacional. Empresas que anteciparem planos de continuidade testados — com backups isolados, fornecedores alternativos e simulações de ransomware — reduzirão a janela de exposição. Quem esperar a lei, herdará o prejuízo.
