Em novembro, a infraestrutura crítica do Brasil parou: Porto de Santos, Caixa, Tesouro, Petrobras e o Judiciário falharam quase ao mesmo tempo. A inocência em cibersegurança acabou, mas o país ainda age como se o risco fosse apenas técnico.
O que conecta esses episódios não é azar, mas uma arquitetura frágil que a inteligência artificial acabou de testar — e aprovou.
O efeito cascata que ninguém previu
No dia 6 de novembro, os sistemas do Porto de Santos caíram. Uma semana depois, navios e caminhões ainda operavam no manual, com relatos de pedidos de resgate e indícios de origem externa do ataque. No mesmo período, vazamentos na Caixa, tentativas contra o Gov.br e a paralisia dos tribunais causada pela queda da Microsoft completaram o cenário.
Enquanto a mídia focava no apagão aéreo nos EUA, o Brasil vivia seu próprio “dia D” digital. A diferença: lá, foi uma falha de atualização; aqui, foi a confirmação de que a superfície de ataque é vasta e desprotegida.
IA barateou a invasão; o Brasil não acompanhou
A empresa brasileira ZenoX mapeou, ainda em novembro, uma ofensiva automatizada por IA que atingiu pelo menos 40 instituições financeiras e órgãos públicos. A tecnologia reduziu o custo e a complexidade de explorar falhas, transformando ataques sofisticados em commodity.
O resultado prático para quem gere negócios ou investe:
- Cadeias de suprimento expostas a paralisações longas sem plano B operacional.
- Responsabilidade legal sobre dados de clientes e parceiros sob legislação defasada.
- Dependência de fornecedores únicos — como a Microsoft no Judiciário — criando risco sistêmico instantâneo.
O vácuo legislativo que travou a defesa
Brasil não possui lei específica de cibersegurança. Alemanha, Canadá, Chile, China, Gana, Japão, Senegal e Vietnã já têm. Por aqui, tramitam anteprojetos e um PL redigidos antes da onda atual de IA generativa — ou seja, já nasceram obsoletos.
Enquanto o Congresso debate textos ultrapassados, o Reino Unido aprovou em primeira votação a Cyber Security and Resilience Bill. A palavra-chave é “resiliência”: obrigação de não depender de um único fornecedor digital, planos de continuidade obrigatórios e multas severas para prestadores de serviços essenciais que falharem.
Como os pares estão resolvendo a centralização
França e Alemanha migraram serviços críticos de fornecedores proprietários para alternativas em código aberto, assumindo o controle da operação. O modelo britânico avança ao regular diretamente as empresas que geram dependência: se o setor público ou a economia crítica precisa de você, você segue regras duras de uptime e resposta a incidentes.
No Brasil, o CERT.br é referência técnica, mas atua sem lastro legal comparável ao KE-CIRT do Quênia ou ao Yata-Shield do Japão, que integram governo, setor privado e sociedade civil em protocolos únicos de resposta.
O que observar daqui para frente
Três movimentos definem se o país sai da reatividade para a resiliência nos próximos trimestres: a tramitação de um PL que incorpore “resiliência” e responsabilidade de fornecedores críticos; a exigência contratual de planos B e C em editais públicos de tecnologia; e a adoção de padrões abertos para reduzir o risco de ponto único de falha. Quem opera infraestrutura ou gere capital no Brasil deve tratar cibersegurança não como custo de TI, mas como variável de continuidade de negócio — starting now.
