Porto de Santos e o ataque cibernético: o que sua empresa não está vendo

“Meu sistema parou e eu não sei se é pane ou ataque. Não sei nem por onde começar a olhar.”

Essa frase é a de um dono de empresa pequena num dia ruim. Em 10 de novembro de 2026, ela também descreve, em outra escala, uma notícia que ocupou os portais: a Autoridade Portuária de Santos confirmou um ataque cibernético aos seus sistemas.

Este texto não julga ninguém e não especula sobre o que não foi divulgado. Ele usa o que foi publicado para tirar uma lição prática sobre visibilidade, que vale para qualquer empresa que depende de sistemas.

O que foi publicado

Segundo as reportagens de 10/11 da CNN Brasil e da Jovem Pan:

• Os problemas começaram na manhã de sexta-feira, 6/11, após uma queda de energia.
• A autoridade portuária confirmou o ataque cibernético na terça-feira, 10/11.
• Segundo a CNN Brasil, a investigação interna apurou que o programa malicioso já estava na rede antes da queda de energia e foi ativado depois dela. Ainda não se sabe quando ele entrou.
• A autoridade diz que a movimentação de cargas e navios não foi afetada e que não há risco de paralisação. Os sistemas atingidos são administrativos e de apoio.
• Parte dos serviços passou a ser prestada por meios alternativos, entre eles o Porto Sem Papel, sistema federal. A recuperação é gradual, com apoio de backups.
• A Cesportos-SP aumentou o nível de proteção dos acessos. A Guarda Portuária reforçou as equipes.
• O alcance do ataque e a possibilidade de acesso a dados ainda não tinham sido determinados.

Não há, nas matérias lidas, informação sobre o tipo de ataque, sobre a autoria ou sobre como ele entrou. Este texto também não afirma nada disso.

Resposta curta: a lição é sobre visibilidade

O dado que mais chama atenção é o intervalo entre o dia em que o programa entrou e o dia em que o problema apareceu. Quem não enxerga o que existe na própria rede só descobre o incidente quando ele se manifesta.

Visibilidade não é uma ferramenta. É a capacidade de responder, sem procurar, a quatro perguntas:

1. O que existe na minha rede, nas minhas contas e nos meus serviços?
2. Dentre isso, o que é crítico e o que posso desligar sem prejuízo?
3. Como eu descubro que algo mudou ou que há uma fraqueza nova?
4. Quando descubro, quem decide, quem é avisado e em quanto tempo?

Se alguma resposta for “não sei”, esse é o ponto de partida. As próximas seções mostram como começar.

Passo 1: faça a lista do que existe

Abra uma planilha com cinco colunas: nome, tipo, onde está, quem responde, o que acontece se parar.

Inclua:

• sistemas que sua empresa usa e sistemas que ela mantém;
• servidores, computadores e equipamentos de rede, mesmo os esquecidos num armário;
• contas de nuvem, de e-mail, de domínio e de hospedagem;
• contas com poder de administrador;
• serviços contratados de terceiros e quem os contratou.

Esse inventário é o que falta com mais frequência. O artigo sobre inventário de acessos sem dono mostra como fazer a parte das contas. Não procure perfeição. Uma lista que cobre 80% do que importa já muda a conversa.

Passo 2: marque o que é crítico

Para cada item, responda: se isso ficar fora do ar por três dias, o que a empresa deixa de fazer? Marque em três grupos: não pode parar, pode parar um dia, pode parar uma semana.

Essa marcação define onde o esforço entra primeiro. O que não pode parar recebe cópia de segurança testada, acesso restrito e alguém olhando. O resto espera. Tratar tudo como urgente é o mesmo que não ter prioridade.

Passo 3: defina como você fica sabendo

Pergunte a si mesmo como você descobriria que uma conta de administrador foi usada de um lugar estranho, que um equipamento novo entrou na rede ou que um serviço que você usa tem uma falha divulgada. Se a resposta é “alguém me avisa”, defina quem e como.

Em empresa pequena, isso pode ser simples: alertas de acesso ligados nas contas principais, uma lista de fornecedores com o canal de aviso de cada um e uma pessoa que lê esses avisos com data marcada. Sem dono, o aviso chega e ninguém age.

Passo 4: escreva o caminho de quando acontece

Num incidente, o tempo vai para decidir quem manda. Escreva antes, em uma página:

• quem decide parar um sistema;
• quem é avisado e em quanto tempo (diretoria, clientes, fornecedores, autoridades, quando houver dado pessoal envolvido);
• onde ficam as cópias de segurança e quem sabe restaurá-las;
• como o trabalho continua por meios alternativos enquanto o sistema volta.

Esse último ponto aparece na própria notícia: a autoridade manteve serviços por um sistema alternativo e recupera os demais com apoio de backups. Foi possível porque o caminho alternativo existia antes. Ter backup é uma parte. Saber restaurar, como já discutimos em por que a empresa média é alvo de ransomware, é a outra.

Passo 5: só então escolha ferramentas

Com lista, prioridade, avisos e caminho definidos, ferramentas de proteção passam a ter onde atuar. Existem categorias para cada necessidade: encontrar o que existe na rede, medir fraquezas conhecidas, vigiar acessos e alertas, isolar um equipamento suspeito. Cada categoria só ajuda se houver alguém que lê o resultado e age.

Comprar a ferramenta primeiro costuma gerar um painel cheio de alertas que ninguém olha, e a sensação de proteção sem a proteção.

Sinais de que você precisa de ajuda externa

• Você não sabe dizer quais sistemas e contas a empresa tem hoje.
• Ninguém foi nomeado para ler os avisos de segurança dos fornecedores.
• Nunca houve um teste de restauração de backup.
• Um cliente grande ou um seguro pediu prova de controles e você não tem o que mostrar.
• Já houve um incidente e a empresa não sabe dizer quando ele começou.
• Há decisão de segurança parada porque ninguém tem mandato para tomá-la.

Onde está a alavanca

O esforço grande é descobrir tarde, quando o sistema já parou. O ponto de apoio certo é a visibilidade: lista do que existe, marca do que é crítico, aviso com dono e caminho escrito. Com isso, um incidente deixa de ser surpresa total e vira procedimento.

A direção de tecnologia assume essa clareza. Seja interna, seja contratada por etapas como um Head de TI terceirizado, ela organiza o inventário, aponta o que é crítico, define quem decide e quem é avisado, e acompanha quem executa. Este é o primeiro texto de uma série sobre visibilidade de segurança. Os próximos tratam de inventário de ativos, priorização, inteligência de ameaças, da detecção à fila do time e da higiene em cinco frentes.

Comece hoje pelo passo 1: abra a planilha e liste dez itens em vinte minutos. O que você não conseguir preencher já mostra onde está o ponto cego.