O mundo sob pressão digital: ataques atingem bancos, portos e hospitais enquanto Microsoft enfrenta apagão global

Ataques a dados, portos e sistemas de refrigeração, somados ao apagão global da Microsoft, expõem a fragilidade da infraestrutura digital. Não há prova de ofensiva coordenada.

Por Alex Freire

O que você precisa saber

• Caixa Vida e Previdência confirmou cópia não autorizada de dados pessoais após invasão de 6 de novembro; o grupo informou que a assistência aos clientes continuou.

• Porto de Santos confirmou ataque aos sistemas administrativos; terminais informaram operar com sistemas próprios, enquanto a autoridade portuária recorria a contingências.

• Microsoft 365 e Exchange Online sofreram pane internacional desde 12 de novembro; a empresa disse não ver indícios de ataque cibernético.

• Ataques contra sistemas de refrigeração afetaram supermercados europeus e alcançaram instalações ligadas à conservação de produtos sanguíneos na França.

• Não há prova pública de coordenação ou de autoria comum entre todos esses episódios.

BRASÍLIA / SANTOS / LONDRES – O alerta não veio de uma única rede. Em poucos dias, um ataque contra uma empresa do grupo Caixa expôs dados pessoais de clientes; sistemas administrativos do maior porto brasileiro precisaram de rotinas alternativas; a Europa investigou a manipulação remota de equipamentos que mantêm alimentos e produtos sanguíneos refrigerados. Em paralelo, a Microsoft enfrentou uma pane internacional de serviços utilizados por empresas, órgãos públicos e hospitais.

O conjunto compõe um retrato de vulnerabilidade digital, mas não comprova a existência de uma ofensiva mundial coordenada. Os acontecimentos têm naturezas distintas: invasões confirmadas, investigações ainda abertas e uma indisponibilidade de plataforma que, segundo a Microsoft, não apresentou indícios de ataque.

A semelhança mais relevante é o alcance de uma interrupção digital: dados de cidadãos, comunicação institucional, atividades portuárias e equipamentos do mundo físico passaram a depender de sistemas que podem falhar ou ser comprometidos.

A dimensão dos incidentes

• 7,6 milhões — clientes ativos citados na divulgação da Caixa Vida e Previdência

• 9.146.021 — ataques DDoS observados pela NETSCOUT no 1º semestre de 2026

• 239 — organizações federais na autoavaliação do TCU

• 137 — controladores de refrigeração expostos no Brasil

A Caixa: acesso e cópia de dados, não paralisação do banco

A Caixa Vida e Previdência informou oficialmente que foi vítima de incidente de segurança em 6 de novembro. Segundo a companhia, invasores acessaram e copiaram dados pessoais para fora de seu ambiente tecnológico. Entre os registros identificados estão nomes e CPFs; parte deles contém também endereço, telefone, e-mail e data de nascimento. A investigação sobre a extensão do vazamento continuava aberta na manhã desta sexta-feira, 13.

No comunicado dirigido aos titulares de dados, a empresa afirma que identificou e bloqueou os mecanismos utilizados e que não houve interrupção da assistência ou das operações da Caixa Vida e Previdência. O episódio foi comunicado à Autoridade Nacional de Proteção de Dados e a outros órgãos competentes. A empresa alerta para tentativas de fraude que utilizem dados pessoais e recomenda confirmação de pedidos pelos seus canais oficiais.

A informação de 7,6 milhões de clientes ativos apareceu na divulgação pública do caso. É necessário distinguir, porém, a empresa de seguros e previdência do banco Caixa Econômica Federal: a confirmação oficial consultada refere-se à Caixa Vida e Previdência, e não a uma invasão generalizada do banco ou a comprometimento de contas correntes.

Quem deve informar o vazamento? O que dizem LGPD e NIS2

No Brasil, o artigo 48 da LGPD obriga o controlador a informar a Autoridade Nacional de Proteção de Dados (ANPD) e os titulares quando um incidente puder acarretar risco ou dano relevante. A Resolução CD/ANPD nº 15/2024 determina, em regra, três dias úteis para ambas as comunicações, contados do conhecimento pelo controlador de que o incidente afetou dados pessoais, ressalvados prazos específicos em lei. As informações podem ser complementadas quando a apuração ainda estiver incompleta.

A diferença entre a data da invasão da Caixa Vida e Previdência e a divulgação do episódio não basta para concluir que a empresa descumpriu o prazo. Para isso, é preciso apurar quando o controlador tomou conhecimento do comprometimento de dados, quais informações estavam disponíveis e quando comunicou a ANPD e os titulares. A norma prevê fiscalização e possíveis sanções administrativas em caso de descumprimento; elas não são automáticas.

Na União Europeia, a Diretiva NIS2, artigo 23, estabelece, para entidades essenciais ou importantes abrangidas que enfrentem incidentes significativos, uma sequência de alerta inicial em até 24 horas, notificação em até 72 horas e relatório final em regra até um mês após a notificação. Os prazos e os destinatários são diferentes dos previstos na LGPD. A NIS2 também cobra gestão de risco, continuidade e medidas de segurança na cadeia de fornecedores. Não é possível presumir que todo supermercado europeu citado na pesquisa esteja automaticamente sujeito a essas obrigações sem identificar sua classificação legal e as regras nacionais aplicáveis.

O paralelo mostra que transparência, registro e resposta a incidentes são obrigações de gestão. Resta identificar, em cada caso, o que foi comunicado às autoridades, quando e com qual alcance.

Santos: o vírus antecedeu a queda de energia

No maior porto do Brasil, os primeiros relatos de indisponibilidade apareceram em 6 de novembro, depois de uma queda de energia no datacenter da Autoridade Portuária de Santos (APS). A administração confirmou posteriormente um ataque cibernético a sistemas administrativos e de apoio. Segundo informações prestadas pela APS à imprensa, o programa malicioso já estava na rede antes da interrupção elétrica e foi ativado depois dela. Ainda não se sabe publicamente quando ocorreu o acesso inicial.

A APS iniciou a restauração de arquivos por backups e ativou plano de contingência, com rotinas alternativas para tarefas administrativas. A movimentação de navios e cargas continuou, segundo a autoridade e operadores, porque os terminais mantêm sistemas próprios. Houve, entretanto, relatos de lentidão e atividades manuais, como registros e programação de rotas. A Polícia Federal instaurou investigação e a ANPD acompanhava as providências da administradora.

A administração relatou recuperação de aproximadamente 70% das cópias de arquivos afetadas até 12 de novembro. Esse percentual não representa 70% de todos os sistemas ou da operação portuária. A abrangência da exposição de dados ainda não estava esclarecida.

A distinção entre sistemas da autoridade portuária e terminais é decisiva. A fragmentação, nesse caso, impediu que a falha administrativa se convertesse automaticamente em paralisação integral do porto. Ao mesmo tempo, revelou dependências de integração que exigiram procedimentos manuais.

Microsoft: a pane que atravessou países

A crise de serviços Microsoft começou em 12 de novembro. Os incidentes foram registrados pela companhia sob as identificações EX1550543, relacionado a acesso ao Exchange Online, e MO1550821, relativo a vários serviços Microsoft 365. Usuários relataram dificuldades no Outlook, Teams e outras ferramentas corporativas.

Os boletins da própria Microsoft, reproduzidos automaticamente pela infraestrutura de TI da Universidade da Pensilvânia, mostram a evolução técnica: servidores passaram a falhar em verificações automáticas de integridade, ficando indisponíveis; isso transferiu carga aos demais servidores e agravou as falhas. A Microsoft isolou partes da infraestrutura, reiniciou componentes e redistribuiu tráfego na tentativa de estabilizar o serviço. Até a manhã de 13 de novembro, o relatório definitivo de causa-raiz não havia sido apresentado.

Linha do tempo

• 12 de outubro de 2026: 11 e 12 de outubro de 2026: Supermercados franceses. Primeira onda de manipulações de refrigeração, segundo levantamento técnico da Unit 42.

• 14 de outubro de 2026: 14 de outubro de 2026: TCU publica alerta. Monitoramento mostra controles básicos ainda incompletos em 239 organizações federais.

• 2 de novembro de 2026: 1º e 2 de novembro de 2026: Nova onda na Europa. Controladores de refrigeração de mais de cem supermercados de outros países são atingidos.

• 5 de novembro de 2026: 4 e 5 de novembro de 2026: COAF registra falha distinta. Indisponibilidade de certificado digital no Siscoaf, atribuída a problema na cadeia de certificação, não a invasão. Comunicado primário do Coaf.

• 6 de novembro de 2026: 6 de novembro de 2026: Caixa Vida e Previdência e Santos. A empresa confirma cópia não autorizada de dados; APS registra indisponibilidade e depois identifica ataque.

• 12 de novembro de 2026: 10 a 12 de novembro de 2026: APS aciona contingência. Autoridade portuária confirma ataque, recupera backups e segue investigando alcance.

• 13 de novembro de 2026: 12 e 13 de novembro de 2026: Microsoft 365 em pane. Boletins EX1550543 e MO1550821 relatam interrupção internacional, sem indícios de ataque até esta edição.

A Microsoft afirmou não ter encontrado indícios de ataque cibernético. A indisponibilidade, portanto, não deve ser classificada como invasão. Isso não reduz seu impacto: governos e serviços de saúde no Reino Unido, Austrália e outros países relataram transtornos nas comunicações. Integrações de ferramentas de IA, inclusive conectores associados a OpenAI e Anthropic, também sentiram os efeitos, sem que isso constitua evidência de comprometimento de seus modelos.

A falha evidencia uma característica da computação em nuvem: mesmo sem invasão, a falha de um componente compartilhado pode alcançar clientes em muitas localidades. A Universidade da Pensilvânia mantém o histórico dos boletins EX1550543 e MO1550821, com conteúdo extraído do painel administrativo da Microsoft.

Europa: do software para a refrigeração de alimentos e sangue

A ofensiva mais claramente ligada a dispositivos físicos ocorreu na Europa. A equipe de inteligência Unit 42, da Palo Alto Networks, acompanhou invasões em controladores de refrigeração de supermercados desde outubro. Na primeira onda, em 11 e 12 de outubro, a compilação de fontes públicas da Unit 42 estimou cerca de 700 lojas afetadas na França. Para 1º e 2 de novembro, o levantamento apontou mais de cem estabelecimentos em outros países europeus. São números agregados a partir de relatos pesquisados, não um balanço oficial de todas as vítimas.

Os invasores alteraram o funcionamento de controladores e provocaram descongelamento ou elevação da temperatura. Supermercados descartaram produtos. Autoridades francesas informaram ainda o alcance de equipamentos vinculados à conservação de produtos sanguíneos; não havia comprovação de perda desses produtos.

A Unit 42 encontrou, entre 5 e 6 de novembro, mais de 5 mil dispositivos fabricados por empresas citadas em alertas franceses acessíveis pela internet. Entre eles, 137 estavam no Brasil. O dado é um indicador de exposição, não de comprometimento: não significa que esses equipamentos tenham sido invadidos nem que sejam necessariamente vulneráveis.

O problema é maior do que novembro

O ataque de negação de serviço distribuído (DDoS) é uma das formas mais frequentes de interromper aplicações conectadas. Segundo a fabricante NETSCOUT, seus sensores observaram 9.146.021 ataques DDoS no primeiro semestre de 2026, distribuídos por 209 países e territórios. A empresa registrou ainda crescimento anual de 1.286% em ataques de capacidade extremamente elevada, superiores a 1 terabit por segundo (Tbps) ou 1 bilhão de pacotes por segundo (Gpps).

Esses números não são uma contagem dos incidentes que atingiram Caixa, Santos ou Microsoft; medem uma modalidade específica de ataque e um período anterior. A comparação é útil para contextualizar a escala da ameaça, não para sugerir origem comum.

O tamanho da pressão digital

• 9,1 milhões — ataques DDoS observados no primeiro semestre de 2026

• +1.286% — alta anual de DDoS de capacidade extrema

• mais de 5 mil — controladores de fabricantes citados em alertas franceses expostos na internet

Auditoria pública: a segurança básica ainda está incompleta

Em 14 de outubro, antes de boa parte dos episódios desta reportagem, o Tribunal de Contas da União divulgou monitoramento da cibersegurança em órgãos federais. Nenhuma das 239 organizações que responderam à autoavaliação havia implementado todas as 56 medidas básicas de proteção examinadas. O grupo que implantava menos de 40% delas diminuiu de 166 na avaliação anterior para 123 em 2026. Houve progresso, mas o TCU destacou carência de pessoal especializado, dificuldades de comprovação de controles e fragilidades na gestão de riscos.

O monitoramento oficial do TCU já alertava para a insuficiência de medidas básicas. Ao classificar a cibersegurança como área de alto risco, o tribunal já relacionava o tema à continuidade de serviços essenciais e à soberania digital. A entidade recomenda que a alta administração lidere explicitamente a gestão dos riscos de ataques.

Nem toda indisponibilidade é um ataque

Entre 4 e 5 de novembro, o acesso ao Siscoaf por certificado digital integrado ao Gov.br foi prejudicado por um problema na cadeia de certificação, segundo o Conselho de Controle de Atividades Financeiras. O Coaf informou que o serviço foi restabelecido e que o envio de comunicações por Web Service não foi afetado. Não foi classificado como invasão. Leia o comunicado oficial de 5 de novembro.

Linha do tempo: os fatos em ordem cronológica

O que falta saber

Não foi demonstrada conexão técnica entre os invasores da Caixa, o malware identificado em Santos e os responsáveis pelos ataques de refrigeração na Europa. Também não se comprovou envolvimento desses grupos na falha da Microsoft, que é classificada pela própria companhia como indisponibilidade de serviço.

A investigação precisa esclarecer a origem do código malicioso no Porto de Santos, o alcance da extração de dados da Caixa Vida e Previdência, os resultados forenses dos episódios europeus e a causa definitiva da pane Microsoft. As autoridades e empresas também deverão responder quais controles funcionaram, quais foram insuficientes e se havia alertas prévios.

O que muda para o leitor?

• Desconfie de abordagens após vazamentos. Quem é cliente da Caixa Vida e Previdência deve ignorar links recebidos por mensagens inesperadas, conferir solicitações nos canais oficiais e jamais informar códigos de autenticação a terceiros.
• Ative autenticação multifator. Prefira chaves de acesso e métodos resistentes a phishing sempre que oferecidos, inclusive para e-mail e serviços financeiros. Evite reutilizar senhas.
• Prepare a continuidade do trabalho. Pequenas empresas e órgãos públicos devem manter cópias de segurança isoladas, testar a restauração e ter meios alternativos de comunicação quando a nuvem estiver indisponível.
• Proteja sistemas industriais e de refrigeração. Operadores devem inventariar equipamentos conectados, retirar interfaces de controle da internet pública, segmentar redes e revisar acessos remotos. Exposição não equivale a invasão, mas exige avaliação técnica.
• Confirme o estado dos serviços antes de agir. Consulte os boletins do fornecedor, os comunicados dos órgãos e as autoridades de proteção de dados. Não interprete automaticamente uma pane como ataque hacker.

Perguntas essenciais: O comunicado da Caixa Vida e Previdência não comprova invasão às contas correntes da Caixa Econômica Federal. A APS informou que o movimento de navios continuou, embora parte dos processos administrativos tenha exigido contingência. Na Europa, o levantamento sobre refrigeração registrou também instalações ligadas ao armazenamento de produtos sanguíneos, sem comprovação de perda de sangue. A Microsoft atribuiu a indisponibilidade a problemas de infraestrutura, sem relacioná-la a um ataque.