Ataques hackers no Brasil: o que vazou na Caixa, no Tesouro e em Santos
Em novembro de 2026, hackers expuseram dados de 7,6 milhões de clientes da Caixa Vida e Previdência e 34 mil cadastros do Tesouro, e atacaram o Porto de Santos. A pane da Microsoft, no mesmo dia, não foi ataque.
Por Irio de Jesus Silveira · Última atualização:
Na quinta-feira, 12 de novembro de 2026, duas notícias se misturaram nas redes: a queda global do Outlook, do Teams e do Microsoft 365, e a confirmação de que a Caixa e o Tesouro Nacional tinham sido invadidos. Parecia um único apagão digital. Eram dois problemas diferentes, e entender a diferença muda o que você precisa fazer.
A queda da Microsoft foi um ataque hacker?
Não. A Microsoft descartou invasão e atribuiu a falha a um pico de tráfego em parte da infraestrutura e a um componente que processa a saúde dos servidores. Foi indisponibilidade, não roubo de dados.
A interrupção ganhou força na tarde de quinta. Segundo o Downdetector, os relatos sobre o Outlook chegaram a cerca de 120 mil usuários simultâneos nos Estados Unidos por volta das 12h30 (horário do leste americano). Também sofreram o Exchange Online, o Teams, o SharePoint, o Copilot e ferramentas de segurança como o Defender XDR (Reuters; SecurityWeek).
Na prática, o estrago foi corporativo. A Workhorse Group, fabricante de caminhões elétricos, chegou a adiar a divulgação do balanço do terceiro trimestre por causa da pane. Ao fim do dia, a Microsoft disse ter visto sinais de recuperação depois de reiniciar os servidores afetados, mas seguia monitorando.
A distinção importa. Falha de infraestrutura derruba o acesso; ataque cibernético rouba, copia ou sequestra informação. Misturar os dois leva a decisões erradas, como trocar todas as senhas por causa de uma queda que não expôs nada.
O que vazou no ataque à Caixa Seguridade?
Dados pessoais de 7,6 milhões de clientes ativos e ex-clientes da Caixa Vida e Previdência (CVP), segundo a Caixa Seguridade, controlada da Caixa Econômica Federal.
A empresa detectou a invasão na sexta-feira, 6 de novembro, e constatou acesso não autorizado e cópia de informações para fora do seu ambiente. O comunicado ao mercado foi enviado à CVM só na quinta, 12 (DOL).
Dados cadastrais e de relacionamento com a instituição são combustível para engenharia social. O golpista liga se passando por atendente, cita informações que só o banco teria e convence a vítima a passar um código. Quanto mais detalhe correto ele tem, mais convincente fica.
O que o ataque ao Tesouro Nacional expôs?
Nome, CPF e chaves Pix de cerca de 34 mil cadastros de beneficiários do governo federal, a partir do portal de serviços do Tesouro. O acesso indevido teria ocorrido em 4 de novembro.
O órgão comunicou o caso na noite de 12 de novembro (UOL Economia).
Chave Pix exposta não esvazia conta sozinha. O risco real é outro: mensagens de cobrança falsas, “pagamentos por engano” e pedidos de devolução que parecem legítimos porque trazem o CPF certo.
O Porto de Santos parou por causa do ataque?
Não parou. A Autoridade Portuária de Santos (APS) disse que as operações continuaram, sem risco de paralisação, mas os sistemas online ficaram parcialmente fora do ar.
O ataque foi registrado em 6 de novembro, depois de uma queda de energia elétrica. A APS confirmou ter recebido pedido de resgate, afirmou que não pagou e que mantinha cópias de segurança. Até 12 de novembro, cerca de 70% dos backups dos arquivos afetados já tinham sido recuperados (g1).
O custo ficou no trabalho braçal. Programação de rotas, registro de chegadas e faturamento passaram a ser feitos manualmente, e empresas do porto relataram lentidão no embarque e desembarque por causa do reforço de protocolos (Folha).
O Gov.br também foi atacado?
Não há confirmação. Usuários relataram falhas de login no site e no aplicativo e problemas na assinatura digital, mas nada indicou, até agora, ligação com ataque.
O Gov.br é a porta de entrada do Meu INSS, do e-CAC da Receita, da Carteira de Trabalho Digital e da CNH Digital. Quando ele oscila, não é só consulta que trava: declarações e comprovações também. Ainda assim, instabilidade não é invasão, e vale esperar comunicado oficial antes de concluir qualquer coisa.
Quanto tempo as instituições levaram para avisar?
De 4 a 8 dias entre a invasão ou detecção e o comunicado público, nos casos da Caixa e do Tesouro. Esse intervalo é o dado que mais pesa para o usuário comum.
Ao cruzar as datas dos comunicados, o que percebemos foi um padrão que as matérias isoladas não mostram: em todos os casos o ataque aconteceu na primeira semana de novembro, e a divulgação veio concentrada em 12 de novembro.
| Incidente | Invasão / detecção | Comunicado público | Intervalo |
|---|---|---|---|
| Tesouro Nacional | 4 de novembro (acesso indevido) | 12 de novembro | 8 dias |
| Caixa Seguridade (CVP) | 6 de novembro (detecção) | 12 de novembro | 6 dias |
| Porto de Santos (APS) | 6 de novembro (ataque registrado) | Confirmado até 10 de novembro | 4 dias |
Ressalva honesta: empresas precisam de tempo para medir o alcance antes de falar, e comunicar cedo demais pode ser tão ruim quanto tarde demais. Também não dá para afirmar, só com esses dados, que houve uso criminoso das informações nesse intervalo. Mas é nessa janela que o golpista trabalha com vantagem.
Por que os ataques estão aumentando?
Porque atacar ficou mais barato e mais lucrativo, e defender continua caro. Grupos exploram falhas em sistemas, credenciais vazadas, fornecedores e phishing.
A inteligência artificial entra nos dois lados. Ela reduz o custo de escrever mensagens fraudulentas e códigos maliciosos, e também ajuda a detectar padrões anômalos e responder mais rápido.
O problema de fundo é a assimetria. Uma organização precisa proteger milhares de acessos, dispositivos, senhas e fornecedores. O criminoso só precisa achar uma brecha.
Você precisa se preocupar? Tabela de Diagnóstico
Depende de onde seus dados estavam. Use a tabela para decidir o próximo passo, sem pânico e sem ignorar o risco.
| Sua situação | Nível de risco | O que fazer agora |
|---|---|---|
| É ou foi cliente da Caixa Vida e Previdência | Alto para golpes de engenharia social | Desconfie de ligações e mensagens “da Caixa”; ligue só pelos canais oficiais; monitore extratos. |
| Tem cadastro no portal de serviços do Tesouro | Médio a alto (CPF + chave Pix) | Ignore pedidos de pagamento ou devolução inesperados; confirme qualquer cobrança pelo app do banco. |
| Só usa Outlook/Microsoft 365 e sentiu a queda | Baixo (não houve violação) | Nada de urgente. Tenha um canal alternativo de comunicação para a próxima pane. |
| Teve problema com o Gov.br | Baixo, sem confirmação de ataque | Tente de novo mais tarde; não use sites “alternativos” que prometem resolver o login. |
| Não se enquadra em nenhum caso | Baixo neste episódio | Aproveite para revisar senhas e ativar autenticação em dois fatores. |
Como se proteger depois de um vazamento de dados?
Combine senhas únicas, autenticação em dois fatores e desconfiança ativa com qualquer contato que peça código, senha ou transferência.
- Use senhas longas e diferentes em cada serviço.
- Ative a autenticação em dois fatores sempre que existir.
- Não passe senhas, códigos de segurança ou faça transferências a quem ligou ou mandou mensagem.
- Não clique em links recebidos por mensagem, mesmo com cara de banco ou órgão público.
- Mantenha sistemas, aplicativos e antivírus atualizados.
- Faça backup regular em mais de um local.
- Confira extratos e movimentações com frequência.
- Se suspeitar de fraude, fale com o banco por canal oficial e registre boletim de ocorrência.
A autenticação em dois fatores é a defesa que mais compensa. Mesmo com a senha na mão, o criminoso esbarra no código gerado no seu celular. Um detalhe que muita gente ignora: nunca informe esse código a ninguém, nem a quem diz ser do banco.
Para aprofundar, vale consultar a Cartilha de Segurança do CERT.br e a página da Autoridade Nacional de Proteção de Dados (ANPD), onde é possível entender seus direitos como titular em caso de incidente.
O que esse episódio ensina sobre dependência digital?
Que backup salva a operação, mas não desfaz o dano; que dado exposto não volta; e que até gigantes globais caem. Cada incidente mostrou uma fragilidade distinta.
Santos mostra o limite do backup: recuperar arquivos não elimina horas de trabalho manual e atrasos. Caixa e Tesouro mostram que informação pessoal vazada não pode ser “devolvida”. A Microsoft mostra o risco de concentrar e-mail, reunião e armazenamento em um único provedor.
Segurança digital já não é assunto só do departamento de TI. É condição para o negócio, o serviço público e o dia a dia continuarem funcionando.
Quer acompanhar o tema? Veja também nossos conteúdos relacionados: golpes digitais e como evitá-los, segurança de contas e senhas e proteção de dados pessoais no Brasil.
Veredito do Especialista
Minha leitura, sem rodeio: o maior risco para o leitor comum não é o ataque em si, e sim o golpe que vem depois dele.
Para quem este alerta é prioridade
- Clientes atuais e antigos da Caixa Vida e Previdência.
- Quem tem cadastro no portal de serviços do Tesouro ou usa o Tesouro Direto.
- Quem usa Pix com frequência e atende ligações de “central de banco”.
Para quem o risco é menor
- Quem só sentiu a queda do Microsoft 365: não houve violação de segurança.
- Quem só teve instabilidade no Gov.br, sem confirmação de ataque.
Uma limitação: os números de alcance vêm dos comunicados das próprias instituições e as investigações seguem em andamento. É possível que mudem.
Perguntas frequentes
A queda do Outlook e do Teams foi causada por hackers?
Não. A Microsoft descartou atividade maliciosa e apontou pico de tráfego e falha em um componente de monitoramento de servidores.
Quantos clientes da Caixa tiveram dados expostos?
7,6 milhões de clientes ativos e ex-clientes da Caixa Vida e Previdência (CVP), segundo a Caixa Seguridade.
Quais dados do Tesouro Nacional foram expostos?
Nome, CPF e chaves Pix de cerca de 34 mil cadastros de beneficiários do governo federal.
Chave Pix vazada permite roubar o dinheiro da minha conta?
Sozinha, não. Mas facilita golpes, como falsas cobranças e pedidos de devolução. Confirme qualquer pagamento pelo app oficial do seu banco.
O Porto de Santos pagou o resgate?
Não. A Autoridade Portuária confirmou o pedido de resgate, disse que não pagou e que tinha backups dos dados afetados.
O Gov.br foi invadido?
Não há confirmação. Houve relatos de instabilidade no site e no aplicativo, sem ligação comprovada com ataque cibernético.
O que fazer se recebi uma ligação suspeita do banco?
Desligue sem passar dados, ligue para o número oficial impresso no cartão ou no app e, se houve prejuízo, registre boletim de ocorrência.
Vale a pena ativar a autenticação em dois fatores?
Sim. Ela cria uma segunda barreira mesmo quando a senha é descoberta, e deve ser ativada em e-mail, banco e redes sociais.
Atualizado em 13 de novembro de 2026. Os números e a situação dos incidentes podem mudar conforme novos comunicados; revisar nos próximos dias, principalmente sobre Gov.br, Tesouro e Porto de Santos.