Infraestruturas críticas do Brasil pararam nas últimas semanas: Porto de Santos, Caixa, Tesouro, Petrobras e o próprio Gov.br foram alvos simultâneos. A pergunta que fica é por quanto tempo o país vai operar sem uma lei que obrigue resiliência digital.
Enquanto a imprensa focava na pane aérea nos Estados Unidos, o Brasil enfrentava sua própria crise silenciosa. Sistemas do maior porto da América Latina caíram no dia 6 de novembro e, uma semana depois, ainda operavam no modo manual — navios e caminhões dependendo de planilhas de papel para movimentar cargas bilionárias.
O efeito nos pequenos negócios e na logística nacional
O impacto não ficou restrito aos terminais. Exportadores relataram atrasos de até dez dias no embarque de contêineres, o que encarece fretes e gera multas contratuais. Transportadoras menores, sem estrutura para contingência, tiveram prejuízo total na semana. O efeito cascata atinge o saldo da balança comercial antes mesmo de o sistema voltar ao normal.
Há indícios de pedido de resgate e de que o vetor inicial partiu do exterior. A investigação segue sob sigilo, mas a demora na recuperação expõe a fragilidade de uma operação centralizada em um único fornecedor de tecnologia.
Por que a inteligência artificial mudou o jogo
A IA barateou e automatizou a descoberta de falhas. Em novembro, um único ataque potencializado por inteligência artificial comprometeu ao menos 40 instituições financeiras e órgãos públicos, segundo mapeamento da ZenoX. O que antes exigia equipes especializadas agora roda em scripts acessíveis a qualquer grupo organizado.
Esse “novo normal” torna obsoletas as defesas baseadas apenas em perímetro e assinatura de vírus conhecidos. A velocidade de mutação do código malicioso supera a capacidade de atualização manual de regras.
O vácuo legislativo que expõe o setor privado
Brasil não possui lei específica de cibersegurança. Alemanha, Canadá, Chile, China, Gana, Japão, Senegal e Vietnã já aprovaram marcos próprios. Aqui, tramitam anteprojetos e um projeto de lei — todos redigidos antes da explosão da IA generativa.
- Projetos atuais: não preveem obrigações de resiliência nem responsabilidade de fornecedores críticos.
- CERT-Br: referência técnica, mas sem poder regulatório ou sanção.
- Setor financeiro: autorregulação da Febraban, sem força de lei para outros setores.
Enquanto o Congresso debate textos defasados, o Reino Unido aprovou em primeira votação a “Cyber Security and Resilience Bill”. A palavra-chave é resiliência: proibir dependência de fornecedor único e exigir planos B, C e D operacionais.
O que França e Alemanha já fazem diferente
Ambas as nações estão migrando serviços públicos de nuvens proprietárias para alternativas em código aberto, mantendo o controle da operação. A lei britânica avança ao criar regime severo para empresas que geram dependência sistêmica: se um provedor atende órgãos públicos ou setores essenciais, passa a responder por continuidade e multas proporcionais ao risco que cria.
No Brasil, a centralização em poucos provedores de nuvem e ERPs repete o erro. A queda dos serviços da Microsoft que paralisou o Poder Judiciário é o exemplo mais recente de ponto único de falha.
O que observar daqui para frente
Três movimentos devem ditar a agenda nos próximos meses: a pressão do setor portuário por marco regulatório emergencial, a adaptação dos projetos de lei para incluir IA e cadeia de suprimentos, e a possível judicialização de contratos de nuvem sem cláusulas de resiliência. Quem depende de infraestrutura digital crítica — do agronegócio ao varejo — precisa mapear fornecedores únicos e exigir cláusulas de continuidade ainda este trimestre. A conta da inação chega na forma de navios parados, dados vazados e confiança corroída.
