GOV.BR enfrenta ataques cibernéticos recordes e reacende alerta sobre a segurança da identidade digital
Serpro confirma ofensivas DDoS sem precedentes e afirma que serviços permaneceram operacionais. Casos da Holanda e da Índia evidenciam diferentes riscos associados às infraestruturas nacionais de identificação.
O Serviço Federal de Processamento de Dados (Serpro) confirmou que sua infraestrutura tecnológica enfrentou, nos últimos seis meses, os maiores volumes de ataques cibernéticos de negação de serviço distribuído (DDoS) já registrados pela estatal.
A informação ganhou repercussão após André Picoli Agatte, diretor de Novos Negócios do Serpro, revelar durante a II Semana de Inteligência Artificial da estatal, realizada entre 4 e 6 de novembro de 2026, em Brasília, que a plataforma GOV.BR havia sido alvo de um ataque “sem precedentes”.
Durante sua apresentação, o executivo declarou:
“Essa semana nós tivemos um ataque sem precedentes ao GovBR, enfim, às nossas estruturas, e nós temos conseguido responder. Nós temos mostrado resiliência e temos mostrado capacidade de resistir.”
Em nota divulgada em 5 de novembro, o Serpro confirmou os volumes recordes de ataques DDoS e informou que suas equipes utilizaram mecanismos de monitoramento, detecção e mitigação para preservar a operação dos serviços.
Wallyson Oliveira, diretor de Operações do Serpro, destacou a atuação coordenada das equipes de segurança da informação e resposta a incidentes.
Segundo a estatal, não houve interrupção ou comprometimento dos ambientes do GOV.BR. Também não há confirmação pública de vazamento de dados pessoais, invasão de contas ou comprometimento dos mecanismos de autenticação.
O Serpro não divulgou o volume máximo de tráfego malicioso, a duração das ofensivas, sua origem ou a quantidade de ataques registrados. Tampouco esclareceu se a declaração de Agatte se referia a uma ocorrência específica ou ao conjunto de ataques enfrentados no semestre.
GOV.BR reúne 179,5 milhões de contas e integra milhares de serviços
A dimensão da infraestrutura ajuda a compreender o impacto potencial de uma eventual indisponibilidade.
Segundo dados divulgados pelo Ministério da Gestão e da Inovação em Serviços Públicos (MGI), o GOV.BR reúne:
- 179,5 milhões de contas;
- 5.390 serviços digitais federais;
- 4 mil sistemas integrados ao mecanismo de identificação e autenticação;
- Mais de 8,7 mil serviços estaduais e municipais acessíveis pela plataforma.
Entre os serviços disponíveis estão Meu INSS, Meu SUS Digital, Carteira de Trabalho Digital e Carteira Digital de Trânsito, além de recursos de assinatura eletrônica e autenticação.
A dependência de uma infraestrutura compartilhada torna sua disponibilidade essencial para o funcionamento de serviços públicos utilizados diariamente por milhões de brasileiros.
Holanda e Índia: riscos diferentes em sistemas nacionais de identidade digital
O episódio brasileiro se relaciona a dois casos internacionais já abordados pelo Crypto ID, que mostram diferentes desafios de segurança em sistemas nacionais de identificação.
Na Holanda, um ataque DDoS contra o DigiD, sistema nacional de autenticação digital, provocou dificuldades de acesso a serviços governamentais, incluindo serviços tributários.
O episódio foi abordado pelo Crypto ID na reportagem Ataque ao login nacional da Holanda alerta para riscos de indisponibilidade da identidade digital, publicada em 5 de novembro de 2026.
Na Índia, o Aadhaar, sistema que reúne informações demográficas e biométricas de mais de 1,3 bilhão de pessoas, enfrenta questionamentos relacionados à proteção de dados, privacidade e fraudes envolvendo a identificação digital.
O Crypto ID analisou esses problemas na reportagem Fraudes no Aadhaar expõem dilemas de identidade digital — e quais lições o Brasil pode tirar.
Os casos apresentam riscos distintos. Na Holanda, o problema foi a indisponibilidade do acesso a serviços. Na Índia, as preocupações envolvem a proteção de informações pessoais e a segurança dos processos de identificação.
No Brasil, o Serpro afirma que a infraestrutura do GOV.BR permaneceu operacional durante as ofensivas.
A comparação evidencia a necessidade de avaliar separadamente a disponibilidade dos serviços, a proteção dos dados e a segurança dos mecanismos de autenticação.
Ataques DDoS não significam necessariamente invasão ou vazamento
Ataques DDoS utilizam múltiplas origens para direcionar grandes volumes de solicitações a servidores e aplicações, buscando sobrecarregar sua capacidade de atendimento e provocar indisponibilidade.
Essa modalidade de ataque não pressupõe acesso indevido a bases de dados, roubo de credenciais ou exposição de informações pessoais.
Portanto, os ataques confirmados pelo Serpro não constituem, por si só, evidência de invasão de contas ou vazamento de dados do GOV.BR.
Concentração de serviços exige mecanismos de contingência
A integração de milhares de aplicações a uma infraestrutura compartilhada de autenticação proporciona padronização, simplificação do acesso e maior uniformidade dos controles de segurança.
Entretanto, também cria dependências operacionais. Uma falha em componentes centrais pode afetar simultaneamente serviços de diferentes órgãos.
É importante distinguir essa concentração de funções da centralização de bases de dados. A utilização de um login único não significa que todas as informações dos cidadãos estejam armazenadas em um mesmo ambiente.
A proteção dessas infraestruturas exige, portanto, mecanismos de redundância, contingência e recuperação, além de controles para prevenir acessos indevidos e proteger informações pessoais.
No episódio brasileiro, o Serpro afirma que conseguiu preservar a continuidade dos serviços. A dimensão técnica das ofensivas, entretanto, permanece sem detalhamento público.
O Crypto ID continuará acompanhando os esclarecimentos sobre os ataques e seus desdobramentos para a segurança da infraestrutura digital do governo brasileiro.
Ataque ao login nacional da Holanda alerta para riscos de indisponibilidade da identidade digital
Fraudes no Aadhaar expõem dilemas de identidade digital — e quais lições o Brasil pode tirar.
Acompanhe as principais ações do Governo Brasileiro e de outros Países relacionadas a privacidade, proteção de dados, serviços eletrônicos, formas de autenticação e identificação digital e Cibersegurança.
Acesse agora e conheça nossa coluna GovTech!
