Redação CadÚnico BrasilA Autoridade Portuária de Santos (APS), empresa que administra o maior porto do país, confirmou que foi alvo de um ataque cibernético iniciado na sexta-feira (6). A ação derrubou sistemas internos, energia elétrica e acesso à internet em toda a área administrativa, mas, segundo a APS, não chegou às operações logísticas: navios continuam entrando e saindo, e os acessos por terra seguem abertos.
Na terça-feira (10), a energia e a internet já tinham sido restabelecidas, mas as equipes de tecnologia ainda trabalhavam para recuperar os sistemas internos e o site institucional. Em nota, a APS afirmou que a recuperação ocorre de forma gradual e que não há risco de paralisação das operações portuárias.
O que se sabe até agora
De acordo com a autoridade portuária, ainda não foi possível medir o alcance do ataque, saber se houve acesso a dados nem identificar quais eram os objetivos iniciais de quem o executou. A empresa adotou procedimentos de contingência e reforçou o efetivo da Guarda Portuária para manter a segurança e a fluidez nos acessos.
A Comissão Estadual de Segurança Pública nos Portos, Terminais e Vias Navegáveis do Estado de São Paulo (Cesportos-SP) elevou o nível de proteção dos acessos, por exigência normativa. Segundo o site InvestNews, a medida foi tomada no domingo (8), quando a proteção de acesso público passou ao nível II, em uma escala de três.
A mesma reportagem descreve a sequência dos fatos relatada pela APS. Na manhã de sexta-feira (6), uma queda de energia atingiu os servidores da empresa. O fornecimento voltou por volta das 22h, mas, na madrugada de sábado (7), por volta das 3h, foi identificado um código malicioso. Segundo a APS, ele já estava na rede antes da queda e foi ativado quando os servidores foram religados. Não se sabe quando nem como entrou. Internet, e-mail e telefonia voltaram a funcionar na segunda-feira (9), e a Polícia Federal abriu inquérito sobre o caso na terça-feira (10), ainda segundo o InvestNews; a abertura do inquérito também foi noticiada por outros veículos, como o Jornal do Comércio.
Burocracia segue pelo Porto Sem Papel
Os trâmites documentais do porto continuam sendo feitos pelo Porto Sem Papel, que não foi afetado. O sistema é do governo federal e funciona como uma janela única portuária: o armador ou a agência de navegação lança, em uma só base de dados, as informações exigidas para liberar cargas e embarcações, e os órgãos de fiscalização e as autoridades portuárias analisam esses dados.
Segundo o Ministério de Portos e Aeroportos, a plataforma foi implantada nos 34 portos públicos do país, onde seu uso é obrigatório em todas as estadias de navios. Entre os órgãos que participam de todas as estadias estão a autoridade portuária, a Anvisa, a Polícia Federal, a Vigilância Agropecuária (Vigiagro), a Marinha e a Receita Federal.
A dimensão do Porto de Santos
O impacto potencial de qualquer falha no complexo santista se explica pelos números. Segundo dados da APS divulgados em janeiro, o porto movimentou 186,4 milhões de toneladas em 2025, o maior volume de sua história e 3,6% acima de 2024. Foram 137,4 milhões de toneladas embarcadas e 49 milhões desembarcadas, com 5.708 navios atracados no ano.
O complexo respondeu por 29,6% do valor das trocas comerciais do Brasil com o exterior em 2025, ante 29% no ano anterior. Entre as principais cargas exportadas estão soja (44,9 milhões de toneladas), açúcar (24,1 milhões), milho (15,2 milhões) e celulose (9,8 milhões). Nas importações, os destaques foram adubo, óleo diesel, enxofre e trigo.
Como funcionam ataques desse tipo
A APS não informou que tipo de código malicioso atingiu seus sistemas. Entre as ameaças mais comuns contra empresas e órgãos públicos está o ransomware. Segundo a Cartilha de Segurança para Internet do CERT.br, centro mantido pelo NIC.br, trata-se de um programa malicioso que bloqueia o acesso aos dados de um equipamento, geralmente por meio de criptografia, e cobra um resgate para devolvê-lo, normalmente em criptomoedas. Ele pode se espalhar para outros aparelhos conectados à mesma rede.
De acordo com o CERT.br, as principais portas de entrada são e-mails com anexos ou links maliciosos e falhas em sistemas que não receberam atualizações de segurança. A entidade alerta que pagar o resgate não garante a recuperação das informações e recomenda:
- manter sistemas operacionais e programas atualizados;
- usar antivírus;
- ter cuidado ao clicar em links e abrir arquivos;
- fazer cópias de segurança (backups) com frequência, já que backups atualizados são a forma mais segura de recuperar os dados.
Como o poder público responde a incidentes
No governo federal, a coordenação técnica da resposta a incidentes cabe ao Centro de Prevenção, Tratamento e Resposta a Incidentes Cibernéticos de Governo (CTIR Gov). O centro é ligado ao Departamento de Segurança Cibernética do Gabinete de Segurança Institucional da Presidência da República (GSI) e recebe, analisa e responde a notificações de incidentes enviadas pelas equipes de tratamento dos órgãos e entidades. O GSI orienta que ocorrências de maior impacto sejam comunicadas na primeira oportunidade.
O CTIR Gov não é autoridade policial nem faz investigação criminal. Quando há indícios de crime, a vítima ou o responsável pelos sistemas deve procurar a polícia, papel que, no caso de Santos, está com a Polícia Federal.
O marco geral do tema é a Política Nacional de Cibersegurança (PNCiber), instituída pelo Decreto nº 11.856, de 26 de dezembro de 2023. A norma busca garantir a confidencialidade, a integridade, a autenticidade e a disponibilidade dos sistemas e dados usados para processar, guardar e transmitir informações, além de estimular a prevenção de incidentes e a resiliência das organizações. O decreto também criou o Comitê Nacional de Cibersegurança (CNCiber), presidido pelo GSI e formado por representantes do governo, da sociedade civil, de instituições científicas e do setor empresarial.
E se houver dados pessoais envolvidos
Caso se confirme que dados pessoais foram expostos, entra em cena a Lei Geral de Proteção de Dados (Lei 13.709/2018). Segundo a Autoridade Nacional de Proteção de Dados (ANPD), quando um incidente confirmado envolve dados pessoais e pode gerar risco ou dano relevante aos titulares, o controlador deve comunicar o fato à ANPD e às pessoas afetadas em até três dias úteis, conforme a Resolução CD/ANPD nº 15/2024. Informações incompletas podem ser complementadas em até 20 dias úteis.
Até a publicação da nota da APS, não havia confirmação de vazamento ou acesso indevido a dados. A empresa também não divulgou prazo definitivo para a normalização completa dos sistemas.