Infraestruturas vitais do país pararam nos últimos dias e a causa não foi um apagão energético, mas falhas sistêmicas de segurança digital. O Porto de Santos operou no manual por uma semana, dados da Caixa vazaram, Tesouro e Petrobras foram alvos e o Judiciário travou por depender de um único fornecedor externo. A pergunta que fica: estamos preparados para o que vem depois?
Enquanto o noticiário internacional focava na paralisação aérea nos EUA, o Brasil vivia seu próprio “dia D” cibernético — sem alarde, mas com consequências imediatas para logística, finanças e serviços públicos.
O efeito cascata que ninguém previu
O caso do Porto de Santos expõe a fragilidade real. Sistemas caíram no dia 6 de novembro e, sete dias depois, a operação ainda era reduzida. Navios e acessos terrestres funcionaram com procedimentos manuais, há relatos de pedidos de resgate e indícios de que o vetor inicial veio do exterior. Não foi incidente isolado: foi a ponta visível de uma onda coordenada.
Dados da ZenoX, empresa brasileira de cibersegurança, mostram que apenas em novembro um único ataque potencializado por inteligência artificial atingiu pelo menos 40 instituições financeiras e órgãos públicos simultaneamente. A IA barateou e automatizou a descoberta de vulnerabilidades — o que antes levava meses agora leva horas.
O vazio legal que expõe o país
O Brasil não possui uma lei específica de cibersegurança. Alemanha, Canadá, Chile, China, Gana, Japão, Senegal e Vietnã já aprovaram seus marcos regulatórios. Por aqui, tramitam anteprojetos e um projeto de lei — todos redigidos antes da explosão da IA generativa e, portanto, obsoletos no nascimento.
Enquanto o Congresso debate textos defasados, o Reino Unido avança com a Cyber Security and Resilience Bill, recém-aprovada em primeira votação. A palavra-chave não é “segurança”, mas resiliência.
Resiliência na prática: o que o mundo já faz
- Não depender de fornecedor único: centralização é o maior risco sistêmico atual; plano B, C e D são obrigatórios
- Código aberto e controle soberano: França e Alemanha migram serviços críticos de provedores proprietários para alternativas abertas operadas internamente
- Regulação de dependência: a lei britânica impõe regime severo de continuidade e multas a empresas que criam dependência em setores essenciais
O Brasil tem o CERT.br, referência técnica respeitada, mas ele sozinho não substitui arcabouço legal, coordenação intersetorial e obrigações vinculantes para a cadeia de fornecimento.
O que observar daqui para frente
Três movimentos definem o curto prazo: a tramitação do PL de cibersegurança no Congresso (verifique se o texto contempla IA e resiliência operacional), a reação do setor privado à eventual regulação de fornecedores críticos e a capacidade do governo de articular resposta coordenada — algo que Quênia e Japão já demonstraram fazer melhor com estruturas mais simples. Quem opera infraestrutura ou gere risco corporativo deve mapear dependências de fornecedor único esta semana. O próximo ataque não avisará quando chegar.
