Em poucos dias, o Porto de Santos parou, a Caixa vazou dados, Tesouro e Petrobras foram alvejados e o Judiciário travou por depender de uma única nuvem estrangeira. A inocência digital do país acabou de forma brutal. A pergunta que fica: temos plano B para quando — não se — a próxima onda chegar?
O efeito cascata que ninguém previu
O ataque ao maior porto da América Latina começou em 6 de novembro. Uma semana depois, navios e caminhões ainda operavam no manual, com relatos de pedidos de resgate e indícios de origem externa. Enquanto a imprensa focava na pane aérea nos EUA, o Brasil via sua infraestrutura crítica exposta sem escudo.
Não foi evento isolado. Caixa Econômica, Tesouro Nacional, Petrobras e a plataforma Gov.br entraram na mira quase simultaneamente. A queda dos serviços da Microsoft derrubou tribunais em todo o país, escancarando um risco sistêmico: a concentração em fornecedores únicos.
IA barateou o crime e multiplicou alvos
A inteligência artificial mudou a equação. Ferramentas automatizadas agora vasculham vulnerabilidades em escala industrial, reduzindo custo e tempo de execução. Em novembro, um único ataque potencializado por IA atingiu ao menos 40 instituições financeiras e órgãos públicos, segundo mapeamento da ZenoX.
Esse “novo normal” exige velocidade de resposta que a legislação atual não prevê. O Brasil segue sem uma lei específica de cibersegurança. Alemanha, Canadá, Chile, China, Gana, Japão, Senegal e Vietnã já aprovaram marcos regulatórios próprios.
Projetos parados no tempo
Tramitam no Congresso anteprojetos e um projeto de lei sobre o tema. Todos foram redigidos antes da explosão da IA generativa. Resultado: textos incompletos, ineficazes ou obsoletos diante da velocidade dos ataques atuais.
Para comparação, o Reino Unido acaba de aprovar em primeira votação a Lei de Cibersegurança e Resiliência. A escolha da palavra “resiliência” não é decorativa — aponta para a obrigação de não depender de um único elo digital.
O que as leis modernas exigem
- Planos B, C e D operacionais para serviços essenciais
- Regulação rígida para fornecedores que criam dependência crítica
- Multas e regime de continuidade para quem atende setores estratégicos
- Migração progressiva para alternativas em código aberto e controle soberano
França e Alemanha já substituem contratos de nuvem proprietária por soluções abertas auditáveis. A lei britânica impõe obrigações proporcionais ao risco que o fornecedor representa à economia.
O vazio de coordenação nacional
O CERT-Br faz trabalho reconhecido, mas atua sozinho. Quênia (KE-Cirt) e Japão (Yata-Shield) articulam governo, setor privado e sociedade em estruturas permanentes de resposta. O Brasil tem capacidade técnica, mas falta governança unificada e mandato legal para agir antes do incidente.
Enquanto o arcabouço legal não amadurece, a superfície de ataque cresce. Cada novo sistema digitalizado sem redundância vira ponto de falha único.
O que observar daqui para frente
A tramitação do projeto de lei de cibersegurança no Congresso será o termômetro. Acompanhe se o texto incorporará: definição clara de infraestrutura crítica, obrigações de resiliência para fornecedores estratégicos, autoridade central com poder de coordenação e sanções proporcionais ao risco. Sem esses pilares, o país segue refém da sorte — e da próxima vulnerabilidade que a IA descobrir primeiro.
