A omissão tem CPF

Em poucos dias, Porto de Santos, Caixa, Tesouro Nacional, Petrobras e Gov.br foram atacados. Em Mato Grosso, a Justiça e a Saúde tiveram seus sistemas derrubados. O ataque é crime de quem invade. A falta de proteção pode ser responsabilidade de quem decide. E o cidadão não pode ser o prejudicado.

Há anos alertamos que o Brasil caminhava despreparado para uma guerra cibernética e que a falta de investimento e de cultura de segurança cobraria seu preço: sistemas paralisados, dados roubados, prejuízos milionários e serviços essenciais interrompidos. A conta chegou. E poderá ser cobrada não apenas do CNPJ das instituições, mas do CPF de quem conhecia o risco, tinha autoridade para agir e escolheu não fazer nada.

Em uma única semana de novembro de 2026, o Porto de Santos, maior complexo portuário da América Latina, teve sistemas administrativos, energia e internet derrubados por um ataque. As operações só foram preservadas graças à contingência, e dias depois a administração ainda não sabia dizer se houve acesso a dados. A Caixa Vida e Previdência teve copiados os dados cadastrais de 7,6 milhões de clientes, em grande parte aposentados. O Tesouro Nacional confirmou acesso indevido a 30 mil cadastros e a 4 mil chaves Pix de beneficiários de pagamentos públicos. Um criminoso anunciou à imprensa, com hora marcada, que derrubaria os portais da Petrobras, e eles ficaram instáveis. E o Serpro admitiu ter enfrentado um ataque "sem precedentes" contra o Gov.br, usado por mais de 179 milhões de brasileiros.

Não há tamanho, setor ou bandeira que garanta imunidade. Em outubro, criminosos usaram credenciais de um fornecedor para entrar nos ambientes de dezenas de empresas na nuvem da Amazon. Nesta semana, uma pane da Microsoft, que a empresa atribui a sobrecarga e não a ataque, deixou cerca de 250 órgãos federais sem e-mail e Teams, expondo outra fragilidade: a dependência de poucos fornecedores sem plano de continuidade. Segundo a Check Point Research, cada organização no Brasil sofreu em média 4.086 ataques por semana em setembro, alta de 50% em um ano e muito acima da média global.

Nada disso começou agora. Em julho de 2025, uma única credencial comprometida na C&M Software, que conecta instituições financeiras ao Pix, abriu caminho para desvios de centenas de milhões de reais. E a inteligência artificial acelera tudo: o que antes exigia equipes especializadas e semanas de preparação hoje pode ser feito em poucos dias.

"Já não discutimos se existe uma guerra cibernética. Ela está em curso. E quem paga primeiro é o cidadão e na justiça, o gestor".

Mato Grosso é um retrato dessa realidade. Em setembro, a inserção indevida de um modelo de documento abriu a brecha que derrubou o PJe e os sistemas do Tribunal de Justiça. Prazos foram suspensos, audiências reorganizadas, casos urgentes voltaram ao papel, e o próprio Tribunal confirmou acesso a logins e senhas criptografadas de usuários. Recuperar os sistemas não encerra o assunto. Quais controles falharam? Quais vulnerabilidades já eram conhecidas? Quanto custou a paralisação? O que impedirá que se repita? A sociedade tem direito a essas respostas.

Na Secretaria de Estado de Saúde foram dois ataques só em 2026. O primeiro, em março, segundo o Ministério Público, comprometeu arquivos de interesse da CPI da Saúde. O segundo, em novembro, suspendeu os sistemas de todas as unidades da pasta, e os atendimentos essenciais seguiram com limitações.

"Quando a Justiça para, direitos ficam ameaçados. Quando a saúde perde seus sistemas, vidas ficam em risco".

Existe uma verdade desconfortável: em muitas organizações, o risco era conhecido antes do desastre. A equipe de tecnologia alertou sobre backups não testados, fornecedores com acesso excessivo, falta de autenticação multifator e sistemas desatualizados. Fez relatórios, pediu investimento e ouviu que não havia orçamento, ou que a decisão ficaria para o próximo exercício.

E o relatório ignorado passa a ser a prova de que a direção foi avisada, mas já ocorreu e o que fazer? Aconteceu, de quem é a culpa?

A omissão tem CPF.

A LGPD exige medidas técnicas e administrativas para proteger dados pessoais e determina que incidentes com risco relevante sejam comunicados à ANPD e aos titulares, em regra, em até três dias úteis. Para empresas privadas, as multas chegam a 2% do faturamento, limitadas a R$ 50 milhões por infração. Mas a responsabilidade pode ir além da instituição.

No setor privado, a Lei das S.A. e o Código Civil preveem a responsabilização pessoal do administrador que age com culpa, dolo ou em violação da lei e de seus deveres. Quem ignora deliberadamente alertas graves pode responder com o próprio patrimônio. No setor público, a Lei de Introdução às Normas do Direito Brasileiro prevê a responsabilidade pessoal do agente por dolo ou erro grosseiro, a Constituição garante ao Estado o direito de cobrar do agente culpado o que tiver de indenizar, e condutas dolosas podem configurar improbidade administrativa.

Nada disso transforma automaticamente um ataque em culpa do gestor. A responsabilização exige apuração e prova. Mas a lei também não permite que decisões gravemente negligentes se escondam atrás da expressão "problema técnico".

"Presidente de tribunal, secretário, prefeito, diretor de estatal ou executivo: a autoridade para decidir traz a obrigação de responder pelas decisões. E decisões deixam documentos, registros e assinaturas".

Enquanto isso, o cidadão paga a conta. O aposentado cujos dados vão alimentar golpes. O trabalhador que espera uma decisão judicial. O paciente que depende de um prontuário. Todos confiaram suas informações a quem tinha o dever de protegê-las.

As soluções existem: autenticação multifator, controle rigoroso de fornecedores, backups isolados e testados, monitoramento contínuo, gestão de vulnerabilidades e planos de resposta ensaiados. Nenhuma medida elimina o risco, mas a falta dos controles essenciais multiplica o dano. O problema não é tecnológico. É de governança, prioridade e responsabilidade. Cibersegurança precisa sair da sala de TI e ocupar a mesa de quem decide os investimentos, e o Brasil não pode seguir respondendo a cada ataque com notas oficiais e promessas de providências.

"Gestor, a pergunta não é mais se sua instituição será atacada. É se, quando acontecer, você conseguirá provar à sociedade, aos órgãos de controle e à Justiça que fez tudo o que estava ao seu alcance'.

O criminoso responde pelo ataque. Mas quem conhecia o risco e escolheu ignorá-lo poderá responder pelas consequências, inclusive com o próprio patrimônio. No nosso setor há uma máxima: existem as organizações que já foram atacadas e as que ainda serão. Ser invadido, porém, é apenas o começo do problema. O que muitos gestores ainda não enxergam é o que vem depois: prejuízos financeiros e operacionais, perda de credibilidade, danos à imagem, dados de cidadãos expostos e, acima de tudo, a paralisação de serviços e atividades essenciais ao nosso dia a dia. O Brasil não pode parar porque quem decide deixou de fazer o dever de casa a tempo.

Oscar Soares Martins - Consultor em Cibersegurança e IA.