Quando os serviços param: a onda de ataques e falhas que derruba o mundo digital

Análise — Na quinta-feira, 12 de novembro, o e-mail parou. O Microsoft 365 ficou cerca de 18 horas fora do ar no mundo todo: Outlook, Teams, SharePoint, OneDrive e Copilot. Não foi um ataque — foi um defeito introduzido numa ampliação da capacidade da rede. E é aí que está a história: 2026 é o ano em que os serviços que a gente não vive sem passaram a parar o tempo todo. Às vezes por ataques e falhas de invasores. Na maioria das vezes, quebrados por eles mesmos — por uma mudança de rotina, um comando, um calor de 44°C num data center. O mundo digital não está sendo derrubado só por hackers. Ele está tropeçando nas próprias pernas — e os ataques só aproveitam a queda.

Este texto é uma análise: os fatos são verificados e estão nas fontes ao final; a leitura deles — o que esse ano diz sobre a fragilidade dos serviços — é a opinião do Geekiki.

A semana em que o e-mail parou

A pane do Microsoft 365 começou por volta das 13h17 de quinta (12), no horário de Brasília. Em poucas horas, o Downdetector registrava quase 130 mil reclamações só do Outlook. E-mail, reunião, arquivo e o assistente de IA da Microsoft, tudo junto, fora do ar. A explicação da empresa mudou três vezes em menos de 24 horas: primeiro, carga elevada por servidores indisponíveis; depois, um processo de conexões seguras sobrecarregado e o desfazimento de uma mudança de rede; por fim, um defeito surgido durante uma ampliação anterior da capacidade da rede, revelado por uma mudança recente. O que não mudou: não foi ataque cibernético, não teve a ver com IA ou agentes, e o incidente seguia sem ser declarado encerrado na noite de sexta (13), com o relatório completo prometido e sem data. Foi a segunda pane de várias horas do Microsoft 365 em menos de três meses — tema da cobertura do Geekiki: Microsoft 365 volta ao ar após 18 horas de queda.

Não foi só a Microsoft

A lista de 2026 parece um boletim de guerra — mas contra a própria infraestrutura:

  • Cloudflare, 20 de fevereiro: um filtro apagou os prefixos que deveria proteger; 1.100 rotas de clientes sumiram por 5 horas.
  • Azure, 23 de julho: o tráfego de entrada e saída da região oeste dos EUA falhou por 5 horas. A checagem de segurança que deveria manter um caminho redundante de pé rodou — e passou — porque avaliava cada equipamento isoladamente.
  • Azure, maio: um cliente interno do Microsoft 365 tentou de novo erros de capacidade sem espera, até 48 tentativas extras — e, na mesma semana, um raio travou o resfriamento de um data center, que ficou 22 horas fora do ar.
  • Google Cloud, 15 de julho: uma oscilação de 3 milissegundos na energia derrubou disjuntores na Holanda; o salão chegou a 44°C e os funcionários tiveram que desligar máquinas à mão. Interrupção de mais de 14 horas.
  • AWS, 7 e 8 de maio: falha de resfriamento no maior data center da Amazon, na Virgínia; 21 horas e meia até a recuperação da maioria dos serviços.
  • Google Cloud, 19 e 20 de outubro: falha de energia numa zona de Londres, 7 horas e 52 minutos.
  • Cloudflare One, 19 de outubro: 3 horas e 12 minutos de interrupção global.
  • Copilot, junho: duas panes grandes no assistente de IA da Microsoft, que já tem mais de 20 milhões de assinantes pagos.
  • Claude, 15 de abril: taxas de erro elevadas no chatbot, no assistente de código e na API da Anthropic.
  • AWS, Oriente Médio, março: ataques com drones atingiram instalações na região dos Emirados Árabes e do Bahrein. As duas regiões seguem sem conseguir sustentar aplicações com confiabilidade — e parte dos dados guardados só ali não pode ser restaurada.

São 39 grandes panes de nuvem e infraestrutura só em 2026, segundo um rastreador que só conta incidentes documentados pelos próprios operadores — e 62 desde 2020, com duração mediana de 6 horas e 12 minutos. A causa mais comum não é hardware nem ataque: é mudança de configuração ou de implantação, 32% dos casos. Um levantamento da Splunk, da Cisco, calcula que as maiores empresas do mundo perdem em média US$ 300 milhões por ano com paradas não planejadas — cerca de US$ 15 mil por minuto.

E quando é ataque, é cada vez maior

Enquanto os serviços caem sozinhos, os ataques batem recorde. Só em outubro de 2026, foram 1.020 ataques de ransomware — quase 33 por dia, o segundo maior número do ano. As quadrilhas mais ativas, Qilin e The Gentlemen, somaram 264 ataques no mês. Alguns dos casos recentes:

  • GMO Internet, Japão, outubro: ataque a uma empresa de tecnologia que causou interrupções em várias outras empresas.
  • Universidade Vanderbilt, EUA, 9 de novembro: ataque do grupo BYOD, que reivindica mais de 1 milhão de números de Seguridade Social roubados.
  • Texas, EUA, novembro: o mesmo grupo BYOD diz ter dados de cerca de 2 milhões de texanos do órgão de saúde do estado — ainda não confirmado.
  • Fireworks AI, outubro: duas invasões, em 6 e em 23 de outubro, que expuseram dados de contas, cobrança, segredos e históricos de pagamento de clientes.
  • Unitel, Angola, julho: quase três semanas para restaurar a maioria dos serviços.
  • Brasil: a Binance perdeu US$ 6,3 bilhões num ataque em 29 de outubro (leia aqui); o Mercado Bitcoin confirmou um ataque em 2 de novembro, com estimativa de mais de US$ 40 milhões em transferências suspeitas (leia aqui); a Caixa Vida e Previdência teve dados de 7,6 milhões de clientes expostos em 12 de novembro (leia aqui); e o Tesouro Nacional, no mesmo dia, cerca de 30 mil cadastros e 4 mil chaves Pix (leia aqui).

A brecha que quase parou a internet

No meio disso tudo, uma vulnerabilidade mostrou o tamanho do problema. O PHP2Shell são duas falhas críticas no PHP — CVE-2026-109618 e CVE-2026-109619, nota 9,2 — descobertas com ajuda de modelos de IA e que permitem executar código no servidor sem login. Como o PHP roda em cerca de 69% dos sites do mundo, a estimativa era de mais de 22,6 milhões de servidores expostos. As tentativas de exploração começaram em 17 de outubro, quatro dias antes do conserto; os patches saíram em 21 de outubro. Governos e empresas desligaram sites por precaução — 32 serviços no Reino Unido, o login DigiD na Holanda, sites na Finlândia, na França e na Dinamarca. Até 24 de outubro, não havia invasão confirmada ligada à falha — mas o susto já tinha parado meio mundo. O Geekiki cobriu a descoberta: IA descobre falhas críticas no PHP que afetam 70% da web (PHP2Shell).

O padrão: duas fragilidades, um só problema

Primeiro: os serviços podem ser atacados — e são, cada vez mais. O ransomware virou indústria: 1.020 ataques num mês, quadrilhas com nome, site de vazamento e negociação. A IA acelerou os dois lados: o PHP2Shell foi descoberto com ajuda de IA, e os ataques ficam mais rápidos e mais baratos de montar. O dado roubado virou mercadoria — e o Brasil, com Binance, Mercado Bitcoin, Caixa e Tesouro no intervalo de duas semanas, sentiu isso na pele.

Segundo: os serviços se quebram sozinhos — e essa é a causa maior. De catorze grandes panes analisadas entre 2008 e 2026, onze começaram com uma mudança de rotina: um comando, uma regra de firewall, uma atualização de conteúdo, uma permissão, uma limpeza. Nenhuma das onze foi um ataque. O tamanho da pane veio de onde a mudança caiu, não da mudança em si. Um comando no lugar errado, e o e-mail do mundo para. Um disjuntor, e um data center chega a 44°C. Um raio, e 22 horas fora do ar.

E o fio que liga os dois lados é a concentração. Quase tudo passa por pouquíssimos provedores — Microsoft, Amazon, Google, Cloudflare. Quando um deles falha, milhares de serviços caem juntos; quando um deles é atacado, o estrago é global. E quando o problema acontece, a resposta segue o mesmo roteiro: desligar, conter, e avisar depois — a Microsoft mudou a explicação três vezes em 24 horas; o Tesouro avisou oito dias depois de detectar.

O que fica

A lição de 2026 não é que a internet está sob ataque — ela sempre esteve. É que a internet está concentrada demais e frágil demais para o peso que carrega. O e-mail, a reunião, o arquivo, o pagamento, o atendimento do governo: tudo depende dos mesmos poucos sistemas, que podem ser invadidos e que podem se quebrar sozinhos. E a conta, nos dois casos, cai em quem usa: o trabalho parado, o prazo perdido, o dado exposto que depois vira golpe.

O que observar nas próximas semanas: o relatório completo da Microsoft sobre a pane de novembro; se as regiões da AWS no Oriente Médio voltam a operar normalmente; se aparece alguma invasão confirmada ligada ao PHP2Shell; e se o ritmo de ransomware de outubro se mantém. A pergunta que fica não é se vai parar de novo — é o quê, e por quê, vai parar da próxima vez.

Fontes

Imagem de destaque: ícone do Outlook (Microsoft, via Wikimedia Commons, CC BY-SA 4.0).

Este conteúdo foi produzido com auxílio de inteligência artificial e revisado editorialmente.

Por Muse