Uma onda simultânea de falhas e invasões expôs a nudez da infraestrutura crítica brasileira nas últimas semanas. Portos, bancos, tribunais e a identidade digital de milhões de cidadãos pararam — e o sinal de alerta não piscou, gritou.
O colapso no Porto de Santos, em 6 de novembro, virou o símbolo dessa vulnerabilidade. Uma semana após o incidente, as operações ainda rastejavam em modo manual. Navios ancorados, caminhões parados, relatórios de pedidos de resgate e indícios de origem externa do ataque completam o cenário de um filme que já não é mais ficção.
O fator IA: ataques em escala industrial
A inteligência artificial não apenas aprimorou defesas; ela barateou e automatizou a ofensiva. Em novembro, um único episódio mapeado pela ZenoX atingiu ao menos 40 instituições financeiras e órgãos públicos no país. A conta é simples: mais velocidade, menos custo, superfície de ataque exponencial.
- Porto de Santos: sistemas indisponíveis por 7+ dias (desde 06/11)
- Setor financeiro: 40+ alvos em campanha única mapeada em novembro
- Judiciário: paralisia por dependência de provedor único (Microsoft)
- Gov.br: tentativas de derrubada da identidade digital nacional
O vazio legal que deixa o país nu
Enquanto Alemanha, Canadá, Chile, China, Gana, Japão, Senegal e Vietnã já possuem legislações específicas de cibersegurança, o Brasil ainda depende de anteprojetos e um PL redigidos antes da explosão da IA generativa. Textos nascidos em outra era tecnológica são, por definição, incompletos e ineficazes contra ameaças atuais.
O Reino Unido acaba de aprovar em primeira votação a “Cyber Security and Resilience Bill”. A palavra-chave não é por acaso: resiliência. A lei britânica entende que segurança hoje significa não depender de um único fornecedor digital. Centralização virou risco sistêmico.
Plano B, C e D: a lição da Europa
França e Alemanha já movem serviços críticos de fornecedores proprietários para alternativas em código aberto, assumindo o controle operacional de seus sistemas. A lógica é sair do “aluguel” tecnológico para a soberania operacional. Quem controla o código, controla a continuidade.
A proposta britânica vai além: regulamenta pesadamente empresas que geram dependência em setores essenciais. Se você fornece serviço para o Estado ou para a economia crítica, assume obrigações rigorosas de continuidade e multas severas por falhas. O modelo inverte a conta: o risco deixa de ser só do cliente e passa a ser compartilhado.
O que o Quênia e o Japão fazem melhor
É desconfortável constatar que o KE-Cirt do Quênia e o Yata-Shield do Japão articulam governo, setor privado e sociedade com mais efetividade que o Brasil. O Cert-Br existe, é competente, mas opera com escopo e recursos incompatíveis com a superfície de ataque de uma nação do tamanho do Brasil.
O que observar daqui para frente
Três movimentos definem o curto prazo: a tramitação do PL de cibersegurança no Congresso (e se ele incorporará resiliência e responsabilidade de fornecedores), a adoção de padrões de “zero trust” e multicloud no setor público, e a pressão por seguros cibernéticos que exijam maturidade real, não apenas checkboxes de conformidade. Quem não tiver plano B testado — e plano C desenhado — estará no noticiário pela razão errada.
