No dia 6 de novembro de 2026, o Porto de Santos sofreu um ataque hacker contra seus sistemas e estrutura de informática, com repercussões na dinâmica administrativa e significativo impacto no fluxo das relações da instituição com órgãos governamentais, usuários, parceiros operacionais, fornecedores etc. De imediato, suas operações burocráticas regrediram em décadas, passando ser realizadas manualmente, por meio de papel.
Até onde se sabe, a invasão ocorreu através de um e-mail, que, ao ser aberto, instalou o vírus no sistema. Em seguida, os próprios hackers teriam derrubado a rede elétrica do Porto, que, ao ser religada, ativou definitivamente o vírus. Especula-se que esse ataque tenha vindo de fora do Brasil, mas sua origem é desconhecida, ou ainda não nos foi informada.
O incidente permanece sob investigação da Polícia Federal; os técnicos seguem realizando a varredura e a recuperação da estrutura informatizada; e o tamanho do prejuízo financeiro não foi mensurado, ou está sob sigilo. O que se sabe é que houve um pedido de pagamento de resgate para o restabelecimento dos sistemas, e que isto foi recusado pela Autoridade Portuária de Santos (APS).
No mesmo dia as operações do Porto foram mantidas, o que evitou perdas bilionárias ligadas à interrupção do comércio exterior; os terminais privados informam que possuem sistemas próprios e não registraram prejuízos diretos, embora tenham enfrentado lentidão pontual na integração com os serviços públicos; e a área administrativa da APS está gradativamente sendo recuperada. Para enfrentar esse evento foi criado um gabinete multidisciplinar de crise , enquanto a Polícia Federal e a Autoridade Nacional de Proteção de Dados (ANPD) apuram a origem do ataque e verificam se houve vazamento de informações estratégicas ou pessoais.
Diante da importância e ineditismo desse ataque — o porto santista é o maior da América Latina, responsável pela movimentação recorde de 186,4 milhões de toneladas de cargas em 2025, ou 29,6% de todo o comércio exterior do Brasil — busquei informações na internet sobre os modos e os meios de defesa hoje disponíveis contra esse tipo de evento. Para isso, e como forma de demonstrar a utilidade (*) da Inteligência Artificial generativa, utilizei a base de dados da DeepSeek, uma IA chinesa, com a qual mantive o seguinte diálogo em 12 de Novembro:
É possível identificar uma tentativa de invasão de uma rede de computadores através de e-mail e, além de impedir essa invasão, rebater a tentativa com um contra-virus capaz de destruir a rede, ou o sistema do emissor do e-mail original?
Resposta da IA: Tecnicamente é possível detectar e bloquear, mas o “contra-ataque” com vírus para destruir o sistema do invasor é ilegal, extremamente perigoso e não é uma prática de segurança legítima. A primeira parte da sua pergunta (detecção e bloqueio) é uma função padrão dos sistemas de segurança modernos. A segunda parte (o contra-ataque destrutivo) é geralmente classificada como hack back ofensivo e é rejeitada pela legislação da maioria dos países, incluindo o Brasil, além de violar normas internacionais de estabilidade cibernética.
Abaixo, detalho cada uma dessas partes com base nas evidências disponíveis:
1. Detecção e Bloqueio via e-mail (A Parte Defensiva) — Sim, é perfeitamente possível e é uma prática comum. Os sistemas de segurança de rede (como firewalls e Sistemas de Detecção/Prevenção de Intrusos - IDS/IPS) utilizam análise de tráfego e regras específicas para identificar e-mails maliciosos.
Como funciona: Sistemas modernos utilizam IA e aprendizado de máquina para analisar padrões de tráfego de e-mail, anexos e links em busca de anomalias ou assinaturas conhecidas de malware. Patentes recentes descrevem sistemas que aplicam “regras de e-mail” para bloquear atividades que tentam contornar a segurança da rede (como o envio de arquivos suspeitos para serviços de e-mail pessoais). Uma vez identificada a ameaça, o sistema pode bloquear o tráfego malicioso, registrar o endereço IP do atacante e adicioná-lo a listas de bloqueio (blacklists) para impedir novas tentativas.
2. O “Contra-Ataque” com Vírus (A Parte Ofensiva) — Aqui reside o problema. A ideia de lançar um “contra-vírus” para destruir a rede do emissor é conhecida tecnicamente como hack back, ou “defesa ativa cibernética ofensiva”.
Ilegalidade no Brasil: A legislação brasileira (Artigo 154-A do Código Penal) criminaliza a invasão de dispositivo informático alheio. Mesmo que o alvo seja um criminoso, a vítima original não tem o direito legal de invadir e destruir o sistema do atacante. A doutrina jurídica discute a possibilidade de “legítima defesa” no ambiente digital, mas essa é uma tese minoritária e restrita. Juristas apontam que essa prática poderia levar a um cenário de “faroeste” digital, onde empresas contratam “pistoleiros” digitais, e a própria vítima poderia se tornar criminosa (por exercício arbitrário das próprias razões ou invasão de dispositivo).
Risco de Efeitos Colaterais e Escalada: Atacar o sistema do invasor é extremamente arriscado. O endereço IP de origem pode ser falsificado (spoofed), ou o computador do invasor pode ser apenas um “zumbi” (parte de uma botnet), controlado por um terceiro. Nesse caso, você estaria destruindo o sistema de uma vítima inocente. Além disso, um contra-ataque pode escalar o conflito, transformando um incidente de segurança em uma guerra cibernética.
Posição Internacional: A Comissão Global para a Estabilidade do Ciberespaço (GCSC) afirma explicitamente que “atores não estatais não devem se envolver em operações cibernéticas ofensivas”. A permissão para que empresas ou indivíduos realizem hack back é vista como uma violação do direito internacional e um precedente perigoso para a estabilidade da internet.
Conclusão: Você pode e deve identificar e bloquear a tentativa de invasão vinda por e-mail. Isso é defesa legítima e técnica. Você não deve e não pode (legalmente) lançar um contra-vírus para destruir o sistema do emissor. A resposta correta para um ataque cibernético, seja no Brasil ou na maioria das jurisdições, é: bloquear, registrar (fazer o log da evidência), isolar o sistema afetado e acionar as autoridades policiais (no Brasil, pode-se recorrer à Polícia Federal ou às delegacias especializadas em crimes cibernéticos).
E se o contra-ataque não se destinar a destruir a rede do emissor, mas apenas congelar suas ações?
Resposta da IA: Ainda é ilegal. Mesmo que o objetivo seja apenas “congelar” (ou seja, interromper, bloquear) as ações do invasor, e não destruir seu sistema, desde que a operação envolva acessar, controlar ou interferir em equipamentos de rede que não lhe pertencem, isso continua sendo uma medida ofensiva além da defesa legal e muito provavelmente viola as leis de crimes cibernéticos.
Por que “congelar” também não funciona? — A linha divisória legal está clara: a defesa só é legal quando ocorre dentro de seus próprios sistemas. Uma vez que a operação se estende ao sistema do invasor (ou a servidores de terceiros por ele controlados), trata-se de hack back ofensivo.
Tecnicamente, ainda é “invasão”: “Congelar” as ações do invasor geralmente requer que você acesse seu servidor de comando e controle (C2), conta ou sistema, para desabilitar funções, impor bloqueios ou implantar ferramentas de monitoramento. A lei de crimes cibernéticos do Brasil (Artigo 154-A do Código Penal) criminaliza “invadir dispositivo informático alheio”, independentemente de sua intenção ser “defensiva” ou “vingativa”. Análises da legislação dos EUA (CFAA) também apontam que medidas como DDoS direcionado ao invasor ou implantação de ferramentas de monitoramento no sistema do invasor (Keyloggers/Beacons) são geralmente consideradas ilegais e não podem ser justificadas como “autodefesa”.
Risco de “ferir inocentes”: “Congelar” geralmente é difícil de ser preciso. O endereço IP do invasor pode ser forjado, ou seu computador pode ter sido transformado em um “zumbi” (botnet) por malware. Se você “congelar” esse nó, pode estar derrubando o sistema de um usuário ou empresa inocente, transformando você de vítima em infrator.
Escalada de conflito: Mesmo uma operação de “congelamento” não destrutiva pode ser interpretada pelo invasor como uma declaração de guerra, desencadeando retaliação mais intensa. Especialistas em segurança alertam que tais contra-ataques automatizados podem levar à “escalada de conflito na velocidade de máquina”.
Se não se pode contra-atacar, o que fazer?
Resposta da IA: A abordagem legal e eficaz é conter a perda dentro de seus próprios sistemas e buscar assistência profissional:
1. Instalar “defesa ativa” dentro de seus próprios sistemas: Isso é completamente legal. Por exemplo, implantar Honeypots para atrair e registrar o comportamento do invasor, ou usar Dye Packets (pacotes de tinta) para criptografar dados quando detectar que estão sendo transferidos, tornando-os inutilizáveis. Essas medidas ocorrem inteiramente dentro de seus próprios ativos e não envolvem tocar no equipamento do invasor.
2. Interromper a conexão e preservar evidências: Imediatamente isole os sistemas afetados, desconecte a rede, faça backup completo dos logs e evidências.
3. Acionar as autoridades: No Brasil, pode-se denunciar à Polícia Federal ou às delegacias especializadas em crimes cibernéticos. Somente órgãos estatais (e sob rigorosa supervisão legal) podem realizar operações ofensivas transfronteiriças.
Resumo: “Congelar”, em vez de “destruir”, não muda a natureza ilegal de “invadir o sistema do outro”. A forma correta é fortalecer a defesa dentro de seus próprios sistemas, registrar as evidências e entregar a questão às autoridades legais.
Entende-se, assim, que o crime cibernético está sob proteção, enquanto a vítima desse crime está desprotegida…
Resposta da IA: Essa sensação é compreensível, mas não é precisa. O ordenamento jurídico brasileiro não “protege o crime”; o que ele faz é proibir que a vítima se torne, ela mesma, uma infratora ao invadir o sistema alheio. A vítima não está desprotegida: ela tem à disposição um conjunto de instrumentos legais de defesa, preservação de provas e responsabilização — o que ela não tem é autorização para aplicar “justiça com as próprias mãos” digitalmente.
Por que a “autodefesa digital” não é permitida — A lei brasileira pune a invasão de dispositivo informático alheio (artigo 154-A do Código Penal), independentemente da intenção de quem invade. Quando a vítima acessa o sistema do invasor para “congelar” ou “destruir”, ela realiza exatamente a conduta tipificada como crime. A doutrina jurídica brasileira debate a chamada “legítima defesa digital”, mas não há consenso e os tribunais ainda não validaram essa tese de forma ampla; o risco de a vítima responder por exercício arbitrário das próprias razões ou pelo próprio crime de invasão é real.
No plano internacional, a Global Commission on the Stability of Cyberspace afirma explicitamente que “atores não estatais não devem se envolver em operações cibernéticas ofensivas”, justamente porque o hack back tende a atingir terceiros inocentes (computadores zumbis) e a escalar conflitos.
O que a vítima pode fazer (e não é pouco). A proteção legal existe, mas opera por outros caminhos:
1. Responsabilização civil e administrativa do agente de tratamento (LGPD) — Se a invasão resultar em vazamento de dados pessoais, a empresa ou entidade que tratava esses dados pode ser responsabilizada. O Superior Tribunal de Justiça já decidiu que a empresa que não comprova ter adotado todas as medidas de segurança esperadas não pode se eximir alegando “culpa exclusiva de terceiro” (o hacker). Ou seja: a vítima pode buscar reparação de quem falhou na proteção dos seus dados.
2. Denúncia às autoridades — A vítima pode registrar a ocorrência na Polícia Federal (canal Comunica PF) ou em delegacias especializadas. A SaferNet também recebe denúncias anônimas de crimes virtuais. A Convenção de Budapeste, em vigor no Brasil desde 2023, facilita o acesso a provas eletrônicas sob jurisdição estrangeira, o que amplia a capacidade investigativa das autoridades brasileiras.
3. Preservação de provas — A vítima deve guardar logs, prints, e-mails e qualquer registro do ataque. A jurisprudência do STJ exige que provas digitais tenham integridade comprovada (por exemplo, por meio de hash criptográfico) para serem válidas em processo penal. A vítima que preserva evidências corretamente fortalece a investigação e a eventual punição do invasor.
4. Medidas defensivas dentro do próprio sistema — Honeypots, isolamento de rede, bloqueio de IPs e reforço de firewalls são medidas legais e recomendadas. Elas atuam dentro do perímetro da vítima e não configuram invasão de sistema alheio.
O ponto central — A lei não diz que a vítima deve assistir passivamente. Ela diz que a resposta ao crime deve passar pelo Estado, não por um contra-ataque privado que pode atingir inocentes e criar um ciclo de retaliação. A vítima que segue o caminho legal tem ferramentas reais de proteção e reparação; a que opta pelo “contra-vírus” arrisca inverter sua posição jurídica — de vítima para ré.
E se a vítima do ataque for capaz de desenvolver sistema de defesa habilitado a identificar com precisão o hacker por trás do ataque, repassando aos órgãos de Estado essas informações, sem esperar uma resposta da estrutura do Estado, que é sempre desequipado, tecnologicamente defasado e lento para a realização desse trabalho?
Resposta da IA: Essa abordagem é legalmente viável e, na verdade, é a forma correta de cooperação entre vítimas e órgãos estatais. Desde que a vítima se limite a usar suas próprias capacidades técnicas para identificar o invasor dentro de seu próprio sistema (ou em dados que lhe pertencem por direito) e entregue as informações às autoridades, sem realizar qualquer operação de contra-ataque ou acesso não autorizado ao sistema do invasor, isso não constitui crime.
Por que identificar e reportar é legal, mas “contra-atacar” não é? — A diferença fundamental está em para onde aponta a direção técnica da operação.
O que a vítima pode fazer (e é incentivado):
• Coletar evidências dentro de seus próprios sistemas: endereços IP de origem dos ataques, logs, características do malware, endereços de servidores de comando e controle (C2), hashes de arquivos, etc.
• Usar honeypots para coletar inteligência: implantar honeypots em sua própria rede para atrair e registrar o comportamento do invasor é uma prática de segurança legítima e comum. O CERT.br opera o projeto honeypots distribuídos no Brasil, justamente para detectar e correlacionar ataques e notificar as redes de origem do ataque.
• Entregar as informações obtidas às autoridades policiais: essa é a forma correta de auxiliar a investigação.
O que a vítima não pode fazer:
• Qualquer acesso, controle, interrupção ou contra-ataque ao sistema do invasor (mesmo que seja apenas “congelar”).
O que a polícia brasileira realmente está fazendo:
Sua preocupação sobre a lentidão e falta de equipamentos dos órgãos estatais é compreensível, mas a situação está mudando. A Polícia Federal brasileira criou em 2023 a Diretoria de Crimes Cibernéticos, estabelecendo 27 delegacias especializadas nas capitais de todos os estados. O diretor-geral da PF afirmou publicamente que a taxa de resolução de casos pela PF atinge 85%, e o modelo de investigação mudou de “um inquérito por vítima” para “um inquérito por autor”, processando em lote ataques do mesmo invasor.
Além disso, o Brasil aderiu à Convenção de Budapeste (em vigor a partir de 2023), o que significa que as autoridades brasileiras podem solicitar mais rapidamente a provedores estrangeiros a preservação e obtenção de provas eletrônicas, algo crucial para crimes cibernéticos transfronteiriços.
Colaboração técnica privada: uma zona cinzenta — Há um ponto que merece atenção: se a “capacidade de identificar com precisão” da vítima envolver acessar redes de terceiros ou servidores de terceiros (por exemplo, rastrear reversamente até um servidor intermediário controlado pelo invasor para obter informações), isso já ultrapassou os limites. O ordenamento jurídico brasileiro ainda não possui regulamentação clara sobre os limites legais da “investigação corporativa” (investigação interna de empresas), e a licitude das provas digitais coletadas por meios privados é questionada nos tribunais.
Portanto, o caminho mais seguro é: a vítima faz a coleta e análise técnica dentro de seu próprio ambiente, organiza as evidências e entrega ao Ministério Público ou à Polícia Federal, que então solicitarão judicialmente aos provedores ou realizarão cooperação internacional para obter mais evidências. Dessa forma, aproveita-se a capacidade técnica da vítima sem ultrapassar a linha vermelha legal.
(*) No passado, para obter as respostas que a IA me forneceu em alguns minutos, qualquer jornalista teria de procurar e consultar no mínimo dois profissionais: um técnico em redes informacionais e um advogado especializado em direito voltado para esse tema, o que nem sempre seria fácil de achar e não garantiria que as informações obtidas fossem suficientemente claras. É preciso registrar, ainda, que a IA me ofereceu várias opções de aprofundamento sobre essa questão, tanto da parte técnica quanto da abordagem legal.