O mesmo padrão que derrubou os serviços digitais do governo da Noruega em agosto de 2026 — ataques distribuídos de negação de serviço (DDoS — técnica que sobrecarrega servidores com tráfego massivo até indisponibilizá-los) contra a infraestrutura digital do Estado — já se manifesta no Brasil de forma recorrente e documentada. Em setembro de 2024, o portal gov.br — que concentra a identidade digital de mais de 150 milhões de usuários e funciona como porta de entrada única para serviços federais, em arquitetura análoga ao ID-porten norueguês — sofreu ataque DDoS que tirou do ar, ainda que temporariamente, páginas do Palácio do Planalto, de dez ministérios, da Anatel (Agência Nacional de Telecomunicações) e aplicações do Banco Central; o Serpro (Serviço Federal de Processamento de Dados) confirmou o incidente e abriu investigação. Em 2025, uma onda de DDoS atingiu o Superior Tribunal de Justiça (STJ), o Tribunal Regional Federal da 3ª Região (TRF-3), a Marinha, a Força Aérea e a concessionária do Aeroporto de Guarulhos, atribuída a um agente que se autodenominava Azrael — a Polícia Federal respondeu com a Operação Timeout, com prisões em São Paulo, Distrito Federal e Paraná. No plano municipal, das 92 ocorrências cibernéticas registradas em 2025 pelo Painel de Incidentes da Security Report, 25 (26%) tiveram prefeituras como alvo direto, contra 14% no ciclo anterior — prefeituras operam com equipes de TI pequenas e raramente têm mitigação contratada. O volume agregado confirma a direção: o Brasil registrou 743 bilhões de tentativas de DDoS em 2025, alta de 119% sobre 2024, segundo a Fortinet, e saltou para o segundo lugar entre os países mais atacados no segundo trimestre de 2025 no monitoramento da Cloudflare. No plano regulatório, o país instituiu em agosto de 2025 a Estratégia Nacional de Cibersegurança (E-Ciber, Decreto nº 12.573/2025), mas o Marco Legal da Cibersegurança — PL 4.752/2025, que cria o Programa Nacional de Segurança e Resiliência Digital e uma autoridade central com poder de auditoria e sanção — ainda tramita no Congresso, assim como o PL 4.218/2025, que institui a Política Nacional de Soberania Digital.
E daí?
O caso norueguês funciona como ensaio do que pode acontecer em escala maior no Brasil: o gov.br concentra num único ponto de autenticação serviços de previdência, saúde, impostos e relações trabalhistas para uma população dez vezes maior que a da Noruega, e já demonstrou em 2024 que pode ser parcialmente derrubado. A diferença crítica é o estágio institucional da resposta. A Noruega tem agência de digitalização com página pública de status, notificação obrigatória à autoridade de segurança nacional e comunicação transparente durante o incidente; o Brasil responde caso a caso, com investigação policial (Operação Timeout) funcionando como principal ferramenta — eficaz contra grupos locais, mas incapaz de reduzir a exposição estrutural. A concentração de ataques em prefeituras (26% dos incidentes) indica que o elo mais fraco está na base da federação, exatamente onde o PL 4.752/2025 pretende atuar com o Programa Nacional de Segurança e Resiliência Digital, aberto à adesão de estados e municípios — o que torna a tramitação do marco legal não um detalhe burocrático, mas o gargalo da capacidade de resposta nacional. Há ainda um descompasso de velocidade: enquanto a legislação tramita, o volume de ataques cresce 119% ao ano e o custo de montar um ataque segue caindo, com botnets (redes de dispositivos infectados controlados remotamente) alugadas por centenas de dólares.
O que muda?
De: segurança cibernética do setor público brasileiro tratada como responsabilidade fragmentada de cada órgão, com reação policial após o incidente e sem obrigação legal consolidada de padrões mínimos, notificação e resiliência → Para: um modelo em construção de governança centralizada, com estratégia nacional instituída (E-Ciber), programa de resiliência para todos os entes federativos e autoridade com poder de auditoria e sanção — porém ainda dependente de votação no Congresso e de orçamento para execução. Estágio da transição: acelerando na ameaça, nascente na resposta institucional — a assimetria entre os dois ritmos é o principal risco do recorte brasileiro.
Imagens
Convergência Digital