Uma onda de ataques simultâneos derrubou sistemas do Porto de Santos, da Caixa, do Tesouro Nacional e da Petrobras em poucos dias. A paralisia do Judiciário por causa de uma falha da Microsoft mostrou que o risco não está “lá fora” — ele já está dentro da nossa infraestrutura crítica. A pergunta que fica: o que vem depois?
Enquanto a imprensa focava na pane aérea nos EUA, o Brasil vivia seu próprio apagão digital. O Porto de Santos ficou uma semana operando no manual após a queda no dia 6 de novembro. Navios parados, caminhões retidos, relatos de pedidos de resgate e indícios de origem externa. O prejuízo logístico ainda está sendo contabilizado.
IA barateou o crime e multiplicou alvos
A inteligência artificial não serve só para defender. Ela automatiza a descoberta de falhas, escreve códigos maliciosos e escala ataques a custo quase zero. Em novembro, a brasileira ZenoX mapeou uma ofensiva turbinada por IA que atingiu pelo menos 40 instituições financeiras e órgãos públicos de uma só vez.
Esse é o “novo normal”: ataques industriais, baratos e persistentes. Quem não tem resiliência operacional vira refém.
O vazio legal que deixa o país nu
Alemanha, Canadá, Chile, China, Gana, Japão, Senegal e Vietnã já têm leis específicas de cibersegurança. O Brasil tem anteprojetos e um PL em tramitação — todos redigidos antes da explosão da IA generativa. Estão obsoletos no nascimento.
O Reino Unido acaba de aprovar em primeira votação a Cyber Security and Resilience Bill. A palavra-chave é “resiliência”: não depender de um único fornecedor digital. Centralização virou risco sistêmico.
O que os países líderes estão fazendo diferente
- França e Alemanha: migram serviços críticos de provedores únicos para alternativas em código aberto e assumem a operação direta
- Reino Unido: regulamenta empresas que criam dependência — se você fornece para setores críticos, responde por continuidade e multas severas
- Japão (Yata-Shield) e Quênia (KE-CIRT): articulam governo, setor privado e sociedade em centros nacionais de resposta coordenada
O Brasil tem o CERT.br, referência técnica, mas ele sozinho não resolve a governança nacional. Falta autoridade, mandato legal e integração com o setor privado em escala.
O custo da inação já chegou na sua operação
Se sua empresa depende de sistemas públicos — notas fiscais, licenciamentos, pagamentos tributários, logística portuária — você já sentiu o impacto. A instabilidade do Gov.br e do Judiciário travou contratos, prazos processuais e fluxos de caixa em cadeia.
Não é mais questão de “se” vai acontecer de novo. É “quando” e “quanto tempo você aguenta parado”.
O que observar daqui para frente
Três sinais vão ditar o ritmo nos próximos meses: (1) avanço real do PL de cibersegurança com cláusulas de resiliência e responsabilidade de fornecedores críticos; (2) criação de um órgão central com poder de coordenação e sanção, não só recomendação; (3) adoção obrigatória de planos de continuidade testados — não apenas documentados — em setores regulados.
Enquanto o Congresso debate, a melhor defesa continua sendo sua: fornecedores redundantes, backups testados mensalmente e contratos com SLAs de recuperação claros. A próxima onda não vai esperar a lei sair.
