O Serpro, a estatal que opera a infraestrutura do Gov.br, disse que a plataforma usada por 179,5 milhões de brasileiros sofreu nesta semana um ataque "sem precedentes". Em nota divulgada na quinta-feira (5), a empresa explicou que se trata de ataques de negação de serviço (DDoS) em volume recorde e afirmou que não houve queda, invasão nem comprometimento de dados.
Adicione ao Google NotíciasNeste artigo
Quem entra no Meu INSS, no Meu SUS Digital ou na Carteira de Trabalho Digital pelo login do Gov.br pode respirar: pelo que a estatal informou, a conta não foi exposta. O problema é que a frase de impacto saiu antes da explicação, e nenhum número sobre o tamanho da ofensiva foi divulgado até agora.
A revelação não veio de um comunicado de incidente. Veio de um palco, num evento sobre inteligência artificial, pela boca de um diretor da área comercial. Só depois a estatal enquadrou o caso como DDoS e trocou o "essa semana" por "o último semestre".
Diretor do Serpro falou em ataque "sem precedentes" ao Gov.br
A declaração foi feita na abertura da II Semana de Inteligência Artificial do Serpro, realizada de 4 a 6 de novembro em Brasília e transmitida ao vivo no YouTube, com o presidente da estatal, Wilton Mota, na abertura. André Picoli Agatte, diretor de Novos Negócios e Inteligência de TI, falava sobre soberania digital e investimento em infraestrutura quando citou o episódio.
"Essa semana nós tivemos um ataque sem precedentes ao GovBR, enfim, às nossas estruturas, e nós temos conseguido responder. Nós temos mostrado resiliência e temos mostrado capacidade de resistir", disse Agatte. Logo antes, ele atribuiu a sofisticação crescente das ofensivas ao "maior uso da inteligência artificial".
O diretor usou o caso como argumento para pedir mais verba. "É evidente que isso também nos impõe desafios de investimento, de cada vez mais ir aprimorando a nossa capacidade de resistir e ser o grande guardião dos dados da população brasileira", afirmou, antes de seguir para outros assuntos. Ele não disse que tipo de ataque era, quais sistemas foram alvo, quanto tempo durou nem se houve dano.
O detalhe de quem falou pesa. Agatte é diretor de Novos Negócios, área comercial; quem responde pela disponibilidade dos sistemas e pela resposta a incidentes é a diretoria de Operações, que só se manifestou depois, na nota oficial.
Serpro nega vazamento e queda: o que diz a nota sobre o DDoS
No mesmo dia 5, o Serpro divulgou um esclarecimento. Segundo o texto, "ao longo do último semestre" a infraestrutura da estatal "registrou os maiores volumes de ataques de negação de serviço distribuído (DDoS) de sua história". A empresa diz que a equipe de segurança e resposta a incidentes agiu "de forma tempestiva, aplicando protocolos rigorosos de mitigação e defesa" e que "não houve qualquer tipo de impacto, interrupção ou comprometimento" dos ambientes do Gov.br, monitorados 24 horas por dia.
O diretor de Operações, Wallyson Oliveira, afirmou na nota que as equipes atuaram "de maneira coordenada, utilizando mecanismos avançados de monitoramento, detecção e mitigação" e que tudo ocorreu "sem impacto na disponibilidade ou na integridade" dos sistemas. Wilton Mota completou: "Seguiremos investindo em segurança, inteligência e soberania digital para garantir a continuidade e a confiabilidade dos serviços públicos digitais".
A diferença de tom importa. Um DDoS é uma enxurrada de acessos falsos, em geral disparados por milhares de computadores e aparelhos infectados (as chamadas botnets), para deixar um serviço lento ou fora do ar. Ele não abre a porta de nenhum banco de dados nem rouba senha por si só; o alvo é o servidor, não o celular de quem usa o app. A própria nota define o ataque como tendo "objetivo exclusivo" de "indisponibilizar ambientes digitais mediante sobrecarga de acessos".
Na prática, "maior volume de DDoS da história do Serpro" é uma afirmação menor e mais específica que "ataque sem precedentes ao Gov.br". E a nota não individualiza o episódio citado por Agatte, não informa volume de tráfego, duração, origem ou autoria. Nenhum grupo assumiu o ataque. Também não está claro se o caso foi comunicado aos órgãos federais que coordenam a resposta a incidentes cibernéticos ou à Autoridade Nacional de Proteção de Dados (ANPD); a obrigação de avisar a ANPD depende de haver risco a dados pessoais, o que o Serpro nega.
Gov.br concentra 179,5 milhões de contas e 5.390 serviços
O barulho se explica pelo tamanho do alvo. Segundo o Ministério da Gestão e da Inovação em Serviços Públicos (MGI), que coordena a plataforma, o Gov.br somava até outubro de 2026 179,5 milhões de contas ativas, 5.390 serviços digitais federais e 4 mil sistemas integrados ao login único. Pelo mesmo acesso o cidadão chega a mais de 8,7 mil serviços estaduais e municipais.
Estão nessa conta o Meu INSS, o Meu SUS Digital, a Carteira de Trabalho Digital, a Carteira Digital de Trânsito, o Enem e o Fies. A assinatura eletrônica de documentos já foi usada 592 milhões de vezes. Um DDoS bem-sucedido contra a autenticação travaria, ao mesmo tempo, pedido de benefício, consulta de vacina e inscrição em vestibular. Segundo o Serpro, isso não aconteceu.
Em 2024, um DDoS tirou do ar sites do Planalto e de ministérios
O governo já viu o que acontece quando a defesa falha. Em 11 de setembro de 2024, um hacker que se identificava como @azaelx64 reivindicou um DDoS que deixou instáveis o Gov.br, então com mais de 150 milhões de usuários, e tirou do ar, mesmo que por pouco tempo, as páginas do Palácio do Planalto, de ministérios como Justiça, Relações Exteriores e Agricultura, e da Anatel. A maioria dos sites voltou por volta das 16h15, e o Serpro admitiu o problema e abriu investigação. Dois meses antes, um incidente de segurança havia afetado o Sistema Eletrônico de Informações (SEI) do governo, caso investigado pela Polícia Federal e pela Abin.
O assunto também vinha aparecendo no discurso da direção. Em entrevista publicada em 8 de outubro, Wilton Mota disse que a estatal enfrenta todos os dias uma "enxurrada de agentes de IA" tentando acessar seus sistemas e explorar falhas, alguns se passando por mecanismos de busca e consumindo recursos computacionais. "O ataque hoje é na plataforma, não é no teu código", resumiu. Mota contou que o Serpro vinha bloqueando tentativas e aplicando correções de madrugada e anunciou o plano de ampliar o Centro de Operações de Segurança (SOC) para atender outros órgãos federais, em conjunto com a Anatel. Nada do que foi divulgado liga esses robôs aos ataques DDoS desta semana.
Meus dados vazaram? Como proteger a conta Gov.br
Notícia de "ataque ao Gov.br" costuma virar isca de phishing nos dias seguintes. Como o Serpro diz que nenhuma conta foi comprometida, não existe recadastramento a fazer:
- Ative a verificação em duas etapas nas configurações de segurança da conta Gov.br.
- Entre só digitando gov.br no navegador ou pelos apps oficiais, nunca por link recebido.
- Ignore SMS, e-mail ou WhatsApp que peça "atualização de segurança", senha ou código em nome do Gov.br.
O Serpro não informou se vai divulgar dados técnicos sobre os ataques do semestre, como pico de tráfego e duração. Até essa resposta, o "sem precedentes" segue sem número.
