Ataque DDoS contra o DigiD compromete acesso a serviços públicos e levanta questões sobre resiliência do gov.br e das carteiras digitais europeias
Um ataque distribuído de negação de serviço (DDoS) atingiu o DigiD, sistema nacional de autenticação digital dos Países Baixos, em 30 de outubro de 2026, provocando dificuldades de acesso a serviços públicos utilizados por cidadãos e empresas.
O incidente ocorreu na véspera do prazo para entrega das declarações trimestrais do imposto sobre valor agregado (IVA), ampliando seus possíveis impactos sobre contribuintes, contadores e empresas. A interrupção atingiu a autenticação utilizada para acessar serviços como a administração tributária holandesa e o portal governamental MijnOverheid.
Segundo o site independente de monitoramento Allestoringen.nl, aproximadamente 4.500 reclamações relacionadas ao DigiD foram registradas em um intervalo de 90 minutos.
A operadora governamental Logius informou que o ataque provocou problemas de acesso e que não houve exposição de dados pessoais identificada no episódio.
O caso reacende uma discussão que ultrapassa as fronteiras holandesas: como assegurar a continuidade dos serviços públicos quando milhões de pessoas dependem de uma infraestrutura central de identidade digital?
DigiD: a porta de entrada para serviços públicos holandeses
O DigiD é um sistema de autenticação utilizado pelos residentes dos Países Baixos para comprovar sua identidade ao acessar serviços digitais, um sisstema semelhante ao Gov.Br.
Por meio dele, cidadãos podem utilizar serviços tributários, previdenciários, municipais e de saúde, entre outros.
A centralização da autenticação simplifica o relacionamento com diferentes órgãos e reduz a necessidade de manter credenciais independentes para cada serviço. Entretanto, também cria uma dependência operacional.
Quando o mecanismo central de autenticação apresenta indisponibilidade, diferentes plataformas podem continuar tecnicamente funcionando, mas seus usuários ficam impossibilitados de concluir o login.
Esse foi o principal efeito observado durante o ataque de 30 de outubro de 2026.
O incidente não significa que todos os sistemas governamentais holandeses tenham sido invadidos ou retirados do ar. O problema esteve relacionado à disponibilidade do mecanismo de acesso.
Ataques recorrentes e queda nos indicadores de disponibilidade
A interrupção não foi um episódio isolado.
Em resposta a questionamentos parlamentares apresentados em outubro de 2026, o secretário de Estado holandês Eric van der Burg reconheceu que o DigiD enfrenta ataques DDoS diariamente.
Segundo a autoridade, grande parte dessas tentativas é neutralizada, mas os ataques que efetivamente prejudicam a disponibilidade aumentaram em 2026 e se tornaram mais complexos e direcionados.
Os indicadores oficiais mostram uma redução gradual na disponibilidade do sistema.
Período| Disponibilidade do DigiD
2024| 99,93%
2025| 99,65%
Janeiro a agosto de 2026| 99,57%
O padrão mínimo estabelecido pelo governo holandês é de 99,5%.
Embora os resultados permaneçam acima desse limite, a aproximação do patamar mínimo chama a atenção para a necessidade de aprimorar a resiliência operacional. Um detalhe importante é que os períodos programados de manutenção não entram no cálculo oficial de disponibilidade.
O governo também informou que está avaliando mecanismos adicionais de proteção contra ataques mais direcionados.
O que acontece quando a autenticação central deixa de funcionar?
Um ataque DDoS procura comprometer a disponibilidade de um serviço por meio de um volume elevado de solicitações ou tráfego malicioso. Diferentemente de uma invasão destinada ao roubo de informações, seu objetivo principal é impedir ou dificultar o acesso legítimo.
Em sistemas nacionais de identidade digital, o impacto pode se propagar para diversas aplicações dependentes do mesmo mecanismo de autenticação.
O cidadão pode encontrar o portal de determinado órgão funcionando normalmente, mas não conseguir acessar suas informações porque o serviço de login está indisponível.
Essa dependência transforma a infraestrutura de autenticação em um componente crítico para a continuidade dos serviços públicos.
A arquitetura também exige atenção às sessões já autenticadas, à validade de tokens, aos serviços de verificação e às integrações entre os diferentes sistemas.
Uma interrupção no serviço central não significa necessariamente que todas as sessões existentes sejam encerradas. Os efeitos dependem dos mecanismos utilizados por cada aplicação.
Gov.Br dispõe de mais de uma forma de autenticação
O Brasil utiliza o Gov.Br como mecanismo de acesso digital unificado a serviços públicos.
A plataforma permite que cidadãos utilizem uma identidade digital para acessar serviços de diferentes órgãos e entidades, com níveis de confiabilidade classificados como bronze, prata e ouro.
Segundo informações oficiais do Governo Digital, a infraestrutura de autenticação está integrada a uma base de mais de 150 milhões de usuários e utiliza diferentes mecanismos de comprovação de identidade, incluindo biometria, bancos credenciados e certificados digitais.
Assim como o DigiD, o gov.br representa uma infraestrutura compartilhada de autenticação.
Essa característica oferece vantagens de padronização, conveniência e segurança, mas também exige atenção à disponibilidade dos serviços que dependem da plataforma.
O ataque ocorrido nos Países Baixos não demonstra que o gov.br apresente as mesmas vulnerabilidades ou limitações operacionais do sistema holandês. As arquiteturas, os mecanismos de proteção e os indicadores de disponibilidade precisam ser analisados individualmente.
Entretanto, o episódio permite formular uma questão relevante para o Brasil: quais mecanismos garantem a continuidade dos serviços públicos essenciais quando a autenticação centralizada fica temporariamente indisponível?
A resposta envolve redundância de infraestrutura, mitigação de DDoS, monitoramento, recuperação de desastres e procedimentos de contingência compatíveis com os riscos de cada serviço.
Carteira europeia de identidade digital: outro modelo de acesso
A discussão também ganha importância diante da implantação da Carteira Europeia de Identidade Digital, conhecida como EUDI Wallet.
O regulamento europeu estabelece que os Estados-membros deverão disponibilizar carteiras de identidade digital aos cidadãos até o final de 2026.
Essas carteiras permitirão apresentar informações de identidade e atributos digitais para acessar serviços públicos e privados, além de apoiar diferentes processos de autenticação e comprovação de informações.
O modelo europeu, entretanto, não deve ser confundido com a existência de um único servidor central de login para toda a União Europeia. A proposta prevê carteiras disponibilizadas pelos Estados-membros, seguindo requisitos comuns de segurança e interoperabilidade.
A identidade digital continuará vinculada aos sistemas nacionais, mas poderá ser utilizada em diferentes países e contextos.
Essa arquitetura distribui determinadas funções entre emissores de credenciais, provedores de carteiras e organizações responsáveis por verificar as informações apresentadas.
Uma carteira digital pode funcionar durante uma indisponibilidade?
Uma diferença importante entre modelos centralizados de login e arquiteturas baseadas em credenciais digitais está na possibilidade de realizar determinadas verificações sem consultar continuamente um serviço central de autenticação.
Dependendo da arquitetura, uma carteira pode apresentar credenciais armazenadas no dispositivo, permitindo sua verificação por um serviço autorizado.
Isso não significa que todas as operações funcionem automaticamente sem conexão.
A verificação de validade, a consulta a mecanismos de revogação, a atualização de atributos e a comunicação com serviços externos podem exigir conectividade ou acesso a componentes específicos da infraestrutura.
A resiliência depende, portanto, da implementação técnica e dos requisitos de cada caso de uso.
A carteira europeia não elimina todos os pontos de dependência. Ela estabelece uma arquitetura diferente, que permite distribuir funções e responsabilidades entre os participantes do ecossistema.
Além da autenticação, biometria, criptografia e proteção de credenciais, a segurança da identidade digital depende da disponibilidade dos sistemas.
O episódio holandês demonstra que, mesmo sem comprometimento de dados, uma interrupção na autenticação pode impedir o acesso a serviços essenciais.
Por isso, a gestão da identidade digital deve incluir planos de contingência, recuperação e continuidade operacional, garantindo confidencialidade, integridade, autenticidade e disponibilidade.
Holanda avalia novas alternativas de infraestrutura
O governo holandês também avalia a criação de uma nuvem governamental soberana. Em 2027, a Netherlands Digital Service (NLDD) deverá estudar e testar a possibilidade de hospedar infraestruturas críticas, incluindo o DigiD, nesse ambiente.
Ainda não há decisão sobre a migração. A medida, por si só, não elimina riscos de ataques DDoS ou interrupções, que exigem mecanismos de proteção, redundância e continuidade operacional.
A identidade digital tornou-se infraestrutura essencial
O ataque ao DigiD demonstra que a interrupção de um sistema de autenticação pode comprometer o acesso a serviços essenciais, mesmo sem violação de dados pessoais.
Para o Brasil e a Europa, o episódio reforça que a confiança digital exige não apenas segurança na identificação, mas também disponibilidade e continuidade dos serviços.
Europa prepara regras para autenticar pagamentos com carteira de identidade digital EUDI
Binance revela ataque de US$ 6,34 bilhões planejado por meses com falsas entrevistas e IA
Carteira digital alemã d-you promete simplificar onboarding bancário com identidade verificável
Identidade Digital
Na era da computação quântica gestão de identidade deixa de ser um recurso técnico e passa a ser um ativo estratégico de governança. A gestão de credenciais eletrônicas passou a ser a prioridade número 1 para os CISOs do mundo todo.
Leia mais sobre esse tema aqui! Falamos sobre identificação digital com esse foco desde 2014.
