Infraestruturas vitais do país pararam nas últimas semanas — portos, bancos, tribunais, governo digital. A onda não veio de fora: ela expôs uma fragilidade que já existia aqui dentro.
O que assusta não é o volume de incidentes, mas a velocidade com que se sucederam. E a pergunta que fica: estamos preparados para o próximo?
O efeito dominó que ninguém previu
Dia 6 de novembro: os sistemas do Porto de Santos caem. Uma semana depois, a operação ainda seguia no modo manual. Navios e acessos terrestres dependiam de papel e caneta. Relatos de pedidos de resgate circularam nos bastidores, com indícios de origem externa.
Enquanto o porto travava, a Caixa Econômica Federal confirmava vazamento de dados. Tesouro Nacional e Petrobras registravam tentativas de invasão. O Gov.br, porta de entrada do cidadão para serviços públicos, virou alvo. Para completar, a queda global dos serviços da Microsoft paralisou o Poder Judiciário brasileiro.
Não foi coincidência. Foi demonstração de força.
IA barateou o crime — e escalou o risco
A inteligência artificial não apenas descobriu vulnerabilidades mais rápido. Ela automatizou a exploração delas. Em novembro, um único ataque potencializado por IA atingiu pelo menos 40 instituições financeiras e órgãos públicos, segundo mapeamento da ZenoX, empresa brasileira de cibersegurança.
O que antes exigia equipe especializada e semanas de reconhecimento hoje roda em scripts acessíveis. A barreira de entrada desabou. O volume de tentativas, não.
- Porto de Santos: 7 dias em operação reduzida
- Instituições financeiras afetadas por IA: 40+ (dados ZenoX)
- Setores críticos atingidos simultaneamente: logística, bancário, judiciário, executivo
O vazio legal que expõe o país
Brasil não tem lei específica de cibersegurança. Alemanha, Canadá, Chile, China, Gana, Japão, Senegal e Vietnã já têm. Por aqui, tramitam anteprojetos e um projeto de lei — todos redigidos antes da onda atual de IA generativa. São textos nascidos velhos.
Enquanto o Congresso debate versões defasadas, o Reino Unido avança. A “Cyber Security and Resilience Bill”, recém-aprovada em primeira votação, coloca a resiliência no centro. Não basta proteger: é preciso funcionar quando a proteção falha.
Resiliência significa não ter ponto único de falha
Centralização é o risco sistêmico da vez. Depender de um único fornecedor digital — seja nuvem, sistema operacional ou identidade — cria alvo único. A lei britânica ataca isso: empresas que geram dependência em setores críticos passam a ter obrigações rigorosas de continuidade e multas pesadas por falhas.
França e Alemanha já movem serviços públicos para alternativas em código aberto, assumindo o controle da operação. Não é ideologia. É sobrevivência.
O que o Quênia e o Japão fazem melhor que nós
O KE-Cirt (Quênia) e o Yata-Shield (Japão) articulam governo, setor privado e sociedade civil em ecossistemas de resposta coordenada. O Brasil tem o Cert-Br — competente, mas isolado e subdimensionado para a escala da ameaça atual.
A diferença não é técnica. É governança.
O que observar daqui para frente
Três movimentos definem o curto prazo: tramitação de uma lei de resiliência cibernética com dentes (multas, continuidade obrigatória, cadeia de fornecimento), migração de sistemas críticos para arquiteturas distribuídas e aberta, e criação de autoridade nacional com poder de coordenação e sanção.
Enquanto isso não sai do papel, cada dia de operação normal é sorte. E sorte não é estratégia.
