O Gov.br enfrentou o maior volume de ataques de negação de serviço (DDoS) da história do Serpro, a estatal que opera a infraestrutura da plataforma, mas o serviço seguiu no ar e nenhum dado foi comprometido, segundo a empresa. A informação foi divulgada na quinta-feira (5 de novembro de 2026) e repercutiu ao longo da semana.
Leia também: Japão anuncia pacote emergencial de cibersegurança de ¥10 bilhões após onda de vazamentos de dados
O que o diretor do Serpro disse
A revelação foi feita por André Picoli Agatte, diretor de Novos Negócios e Inteligência de TI do Serpro, na abertura da II Semana de Inteligência Artificial do Serpro, realizada de 4 a 6 de novembro em Brasília e transmitida ao vivo no YouTube, com a presença do presidente da estatal, Wilton Mota. Agatte falava sobre soberania digital e investimento em infraestrutura quando citou o episódio.
“Essa semana nós tivemos um ataque sem precedentes ao GovBR, enfim, às nossas estruturas, e nós temos conseguido responder. Nós temos mostrado resiliência e temos mostrado capacidade de resistir”, afirmou o diretor.
Classificação editorial: a frase “ataque sem precedentes” é uma declaração de Agatte. Ele não disse que tipo de ataque era, quais sistemas foram alvo, quanto tempo durou nem se houve dano. Agatte é diretor da área comercial; quem responde pela disponibilidade dos sistemas e pela resposta a incidentes é a diretoria de Operações, que só se manifestou depois, na nota oficial.
O que diz a nota oficial do Serpro
No mesmo dia 5, o Serpro divulgou um esclarecimento. Segundo o texto, “ao longo do último semestre” a infraestrutura da estatal “registrou os maiores volumes de ataques de negação de serviço distribuído (DDoS) de sua história”. A empresa afirma que a equipe de segurança e resposta a incidentes agiu “de forma tempestiva, aplicando protocolos rigorosos de mitigação e defesa” e que “não houve qualquer tipo de impacto, interrupção ou comprometimento” dos ambientes do Gov.br, monitorados 24 horas por dia.
O diretor de Operações, Wallyson Oliveira, afirmou na nota que as equipes atuaram “de maneira coordenada, utilizando mecanismos avançados de monitoramento, detecção e mitigação” e que tudo ocorreu “sem impacto na disponibilidade ou na integridade” dos sistemas. O presidente Wilton Mota completou: “Seguiremos investindo em segurança, inteligência e soberania digital para garantir a continuidade e a confiabilidade dos serviços públicos digitais”.
DDoS não é invasão
Um ataque DDoS é uma enxurrada de acessos falsos, em geral disparados por milhares de computadores e aparelhos infectados, para deixar um serviço lento ou fora do ar. Ele não abre a porta de nenhum banco de dados nem rouba senha por si só: o alvo é o servidor, não o celular de quem usa o aplicativo. A própria nota define o ataque como tendo “objetivo exclusivo” de “indisponibilizar ambientes digitais mediante sobrecarga de acessos”.
O tamanho do alvo
Segundo o Ministério da Gestão e da Inovação em Serviços Públicos (MGI), que coordena a plataforma, o Gov.br somava até outubro de 2026 179,5 milhões de contas ativas, 5.390 serviços digitais federais e 4 mil sistemas integrados ao login único. Pelo mesmo acesso, o cidadão chega ainda a mais de 8,7 mil serviços estaduais e municipais, como Meu INSS, Meu SUS Digital, Carteira de Trabalho Digital, Carteira Digital de Trânsito, Enem e Fies. A assinatura eletrônica de documentos já foi usada 592 milhões de vezes. Um DDoS bem-sucedido contra a autenticação travaria, ao mesmo tempo, pedido de benefício, consulta de vacina e inscrição em vestibular. Segundo o Serpro, isso não aconteceu.
O que ainda não foi explicado
A nota não individualiza o episódio citado por Agatte e não informa volume de tráfego, duração, origem ou autoria. Nenhum grupo assumiu o ataque. Também há uma diferença de enquadramento: o diretor falou em um ataque “essa semana”, enquanto a nota fala em volumes recordes “ao longo do último semestre”. O Serpro não informou se vai divulgar dados técnicos sobre os ataques, como pico de tráfego e duração. Até essa resposta, o “sem precedentes” segue sem número.
Precedente de 2024
O governo já viu o que acontece quando a defesa falha. Em 11 de setembro de 2024, um ataque DDoS reivindicado por um hacker que se identificava como @azaelx64 deixou o Gov.br instável e tirou do ar, mesmo que por pouco tempo, as páginas do Palácio do Planalto e de ministérios como Justiça, Relações Exteriores e Agricultura, além da Anatel. A maioria dos sites voltou por volta das 16h15, e o Serpro admitiu o problema e abriu investigação.
O que o usuário deve fazer
Como o Serpro diz que nenhuma conta foi comprometida, não existe recadastramento a fazer. Notícias de “ataque ao Gov.br” costumam virar isca de phishing nos dias seguintes, por isso vale: ative a verificação em duas etapas nas configurações de segurança da conta Gov.br; entre só digitando gov.br no navegador ou pelos aplicativos oficiais, nunca por link recebido; e ignore SMS, e-mail ou WhatsApp que peça “atualização de segurança”, senha ou código em nome do Gov.br.
Imagem: fachada da sede do Serpro, em Brasília. Crédito: Divulgação/Serpro.
Fontes
- TekiMobile — Ataque hacker ao Gov.br: Serpro nega vazamento de dados e queda
- Convergência Digital — Serpro: último semestre marcou o maior volume de ataques DDoS da história, mas sem impacto no Gov.br
- SindPD — Gov.br sofre ataque cibernético ‘sem precedentes’, afirma Serpro
- Capital Digital — Serpro revela “ataque sem precedentes” ao Gov.br, mas não esclarece dimensão da ofensiva
Transparência: esta matéria foi produzida com auxílio de inteligência artificial, a partir do cruzamento de publicações públicas e de fontes da internet, e revisada com base nas fontes originais citadas abaixo. Recomendamos consultar as fontes originais para mais detalhes.
Muse
