Tipos de ataques cibernéticos
Ataques cibernéticos são tentativas deliberadas de roubar, alterar ou destruir dados, ou de interromper a operação de infraestruturas críticas. Este artigo percorre os casos mais destrutivos já registrados — incluindo os que atingiram o Brasil — e, principalmente, o que cada um deles ensinou sobre o que funciona na prevenção.
Um padrão atravessa quase todos: o dano final raramente foi definido pela sofisticação do ataque, e sim pela capacidade da vítima de se recuperar.
Os ataques podem assumir várias formas:
- Ransomware: criptografa arquivos e exige pagamento para liberação.
- Malware: software malicioso que causa danos ou rouba dados.
- Phishing: coleta de informações confidenciais por meio da imitação de entidades legítimas.
- Engenharia social: manipulação psicológica para obter dados ou acesso não autorizado.
- Ataque à cadeia de suprimentos: comprometimento de um fornecedor para atingir seus clientes.
- DoS/DDoS: ataques para tornar sistemas inacessíveis.
- MITM: interceptação de comunicação para roubo de dados ou injeção de código.
- Injeção de SQL: exploração de vulnerabilidades em aplicações para acesso a dados.
- Exploração de dia zero: ataque que explora falha ainda desconhecida.
Por que eles acontecem
Ganho financeiro é o motor da maioria — roubo de dados, extorsão por ransomware, fraude. Mas motivação política, interesse de Estado, espionagem corporativa e busca por reputação explicam boa parte dos casos mais graves. O custo global do cibercrime segue em trajetória de alta, com projeções na casa dos trilhões de dólares anuais até o fim da década.
Parte 1 — Os ataques que mudaram o mundo
1. Departamento de Defesa dos EUA e NASA (2000)
Um adolescente conhecido como “Mafiaboy” derrubou sistemas do Departamento de Defesa americano, da NASA e de empresas como Dell, eBay e CNN por meio de ataques de negação de serviço. Foi um dos primeiros grandes ataques documentados e expôs o quanto sistemas críticos operavam sem monitoramento adequado.
A lição: visibilidade contínua vale mais que perímetro. O ataque durou semanas porque ninguém percebeu enquanto acontecia. Vinte e cinco anos depois, ataques volumétricos seguem sendo a forma mais barata de derrubar um serviço — e exigem filtragem especializada antes que o tráfego chegue à sua infraestrutura.
2. CardersMarket (2007)
Max Butler, conhecido como “The Iceman”, invadiu mercados na dark web especializados no comércio de cartões roubados e manipulou milhões de números de cartão de crédito, com prejuízo estimado em US$ 87 milhões. O caso antecipou o modelo industrializado de crime digital que domina hoje.
3. Heartland Payment Systems (2008)
Invasores exploraram uma vulnerabilidade na aplicação de pagamentos de uma das maiores processadoras dos Estados Unidos e comprometeram informações de 130 milhões de cartões de crédito e débito, afetando 650 instituições financeiras. A empresa levou anos para recuperar a confiança do mercado.
A lição: a porta de entrada foi a camada de aplicação, não a rede. Firewall e WAF não enxergam falhas de lógica em aplicações e APIs — é por isso que segurança de APIs do design ao runtime se tornou disciplina própria.
4. Yahoo (2013 a 2014)
Duas violações sucessivas atingiram todos os 3 bilhões de usuários registrados, expondo nomes, e-mails, senhas e perguntas de segurança. As invasões passaram despercebidas por anos, tornando-se um dos maiores vazamentos de dados da história.
A lição: senha isolada não protege nada. Autenticação multifator, cofre de credenciais e monitoramento de comportamento de identidade teriam encurtado drasticamente o tempo de exposição. É exatamente o escopo de uma plataforma unificada de segurança de identidade.
5. Rede elétrica da Ucrânia (2015)
Em dezembro de 2015, um ataque atribuído a atores patrocinados por Estado causou apagões que afetaram cerca de 230 mil pessoas. Foi o primeiro caso documentado de ataque cibernético com consequência física direta sobre a população de um país.
6. WannaCry (2017)
Mais de 200 mil computadores em 150 países foram criptografados em poucos dias, explorando uma falha do Windows para a qual já existia correção disponível havia dois meses. Hospitais do sistema público britânico cancelaram cirurgias.
No Brasil o impacto foi imediato: operadoras como Vivo, Nextel e NET tiveram serviços paralisados, e sistemas do Ministério Público e do Tribunal de Justiça de São Paulo saíram do ar.
A lição, e ela é dupla: primeiro, patch não aplicado é vulnerabilidade aberta — automatizar o ciclo de correção e remediação é o que fecha essa janela em escala. Segundo, e mais decisivo: quem se recuperou rápido tinha backup íntegro e testado. Quem dependia apenas de cópia acessível pela rede viu o próprio backup ser criptografado junto. É por isso que backup imutável com restauração testável deixou de ser boa prática e virou requisito.
7. Equifax (2017)
Uma das maiores agências de crédito dos Estados Unidos expôs dados de cerca de 145 milhões de pessoas, incluindo números de seguro social, datas de nascimento e detalhes de cartões. A empresa foi multada em bilhões de dólares.
A porta de entrada foi uma vulnerabilidade conhecida em componente de aplicação web, com correção disponível e não aplicada. O mesmo padrão do WannaCry, no mesmo ano.
8. NotPetya (2017)
Disfarçado de ransomware, o NotPetya na verdade destruía dados. Espalhou-se a partir da Ucrânia por meio de uma atualização comprometida de software contábil e causou bilhões de dólares em prejuízo global — a Maersk precisou reconstruir praticamente toda a sua infraestrutura de TI.
A lição: foi o primeiro grande alerta de que a cadeia de suprimentos é o elo mais frágil. Você pode ter tudo em ordem e ser comprometido pelo fornecedor.
9. Marriott (2018)
Invasores permaneceram no banco de dados da rede hoteleira por quatro anos, afetando até 500 milhões de hóspedes. Dados de passaporte, cartões de crédito e reservas foram comprometidos.
Quatro anos de permanência não detectada é problema de detecção, não de prevenção. O invasor moderno raramente entra e sai — ele fica.
10. SolarWinds (2020)
Invasores comprometeram as atualizações do Orion, ferramenta de monitoramento usada por agências governamentais americanas e milhares de empresas. O código malicioso foi distribuído pelo canal oficial de atualização, assinado digitalmente, alcançando o Departamento de Defesa e a Casa Branca.
A lição: confiança implícita em fornecedor é risco. Saber quais serviços de terceiros têm acesso ao seu ambiente, e com quais permissões, exige visibilidade contínua de postura em cloud e SaaS — porque a maior parte desse acesso foi concedida sem passar pela TI.
11. Colonial Pipeline (2021)
Um ataque de ransomware paralisou o maior oleoduto de combustível dos Estados Unidos e gerou desabastecimento em vários estados. A porta de entrada foi uma credencial de VPN antiga, sem autenticação multifator, ainda ativa.
A lição: conta esquecida é porta aberta. Desprovisionamento automático e revisão periódica de acessos teriam bloqueado o ataque inteiro, antes de qualquer ferramenta de detecção entrar em ação.
12. Kaseya (2021)
Invasores exploraram uma plataforma de gerenciamento remoto usada por provedores de serviços gerenciados e, por meio dela, atingiram cerca de 1.500 empresas de uma só vez.
Atenção especial para MSPs e revendas: o ataque não mirou as vítimas finais, mirou quem administrava seus ambientes. Quem presta serviço gerenciado é alvo de valor multiplicado.
13. MOVEit (2023)
Uma falha de dia zero em ferramenta de transferência de arquivos foi explorada em massa pelo grupo Cl0p, atingindo milhares de organizações e expondo dados de dezenas de milhões de pessoas — incluindo empresas que sequer sabiam usar o software, porque ele estava embutido no processo de um fornecedor.
14. Change Healthcare (2024)
Um ataque de ransomware paralisou boa parte do processamento de pagamentos do sistema de saúde americano por semanas. Farmácias não conseguiam validar receitas e prestadores ficaram sem receber.
A lição: concentração é risco sistêmico. Quando um único elo processa uma fatia enorme do mercado, sua indisponibilidade vira crise setorial.
Parte 2 — Os ataques que pararam o Brasil
O Brasil está sistematicamente entre os países mais atacados do mundo. Os casos a seguir mostram que o problema aqui não é hipotético nem distante.
15. Superior Tribunal de Justiça (novembro de 2020)
O ransomware RansomExx criptografou todo o acervo de processos do STJ. O tribunal ficou paralisado por cerca de seis dias, com julgamentos e prazos suspensos. Polícia Federal e Exército Brasileiro foram acionados. É considerado um dos ataques mais graves já sofridos por uma instituição de Estado no país.
Meses depois, em abril de 2021, o Tribunal de Justiça do Rio Grande do Sul sofreu ataque semelhante, afetando cerca de 12 mil computadores e deixando processos inacessíveis.
A lição mais importante deste artigo: o que definiu o tempo de paralisação não foi o ataque — foi a capacidade de restaurar. Backup contínuo com cópias imutáveis e testes periódicos de restauração são a diferença entre horas e semanas de indisponibilidade.
16. Exposição de 223 milhões de CPFs (janeiro de 2021)
Dados de praticamente toda a população brasileira — CPF, renda, score de crédito, telefone e placa de veículo — apareceram expostos, incluindo registros de pessoas já falecidas.
17. A onda de ransomware de 2021
- Lojas Renner (agosto): e-commerce e pontos de venda paralisados.
- CVC (setembro): sistemas sequestrados, com prejuízo estimado pela própria empresa em R$ 30 milhões por dia de interrupção.
- Tesouro Nacional (agosto): rede interna criptografada.
- Atento (outubro): a paralisação de uma empresa de call center afetou bancos, planos de saúde e companhias aéreas simultaneamente.
O caso da Atento é o mais instrutivo da lista: o ataque foi em um fornecedor, o dano foi nos clientes dele. Nenhuma das empresas afetadas tinha qualquer controle sobre a segurança do ambiente comprometido.
18. Ministério da Saúde e ConecteSUS (dezembro de 2021)
Em plena pandemia, o ataque derrubou a Rede Nacional de Dados em Saúde, o e-SUS Notifica, o ConecteSUS e o Sistema de Informação do Programa Nacional de Imunizações. O país ficou sem dados de novos casos e de vacinação, e milhões de brasileiros perderam acesso ao comprovante digital. Estimativas apontam dezenas de terabytes retirados dos sistemas.
O que esses 18 casos têm em comum
Repassando a lista inteira, quatro padrões se repetem com uma constância desconfortável.
1. A falha explorada quase sempre já era conhecida. WannaCry, Equifax e Colonial Pipeline foram viabilizados por correções não aplicadas ou credenciais não revisadas — não por técnicas inéditas.
2. A permanência não detectada é a regra. No Marriott foram quatro anos. No Yahoo, mais de dois. O invasor entra e fica.
3. O fornecedor é a porta. NotPetya, SolarWinds, Kaseya, MOVEit e Atento seguem exatamente o mesmo roteiro em contextos diferentes.
4. O phishing continua sendo o primeiro passo. Boa parte desses ataques começou com um clique — em um navegador, dentro de um e-mail ou de um aplicativo corporativo. É a superfície mais usada e a menos vigiada, e proteger a sessão de navegação sem instalar agente fecha essa lacuna onde ela realmente acontece.
5. Quem se recuperou rápido tinha backup íntegro, isolado e testado. Esta é a variável que mais separou “incidente” de “catástrofe” em todos os casos de ransomware acima. E note: ter backup não bastou. Precisava ser imutável — porque ransomware moderno procura e criptografa a cópia de segurança antes de disparar.
Sua empresa sobreviveria a um desses?
A pergunta útil não é “eu tenho backup?”. É:
- Quando foi o último teste real de restauração — não a execução do backup, mas a recuperação completa?
- Suas cópias são imutáveis, ou um invasor com credencial de administrador consegue apagá-las?
- Quanto tempo sua operação aguenta parada? Seis dias, como o STJ, seria viável?
- Você sabe quais fornecedores e serviços de terceiros têm acesso ao seu ambiente hoje?
Se alguma dessas respostas gerou desconforto, é exatamente aí que vale começar. A AIQON reúne soluções internacionais de cibersegurança com suporte técnico nativo em português.
Conheça as soluções de backup imutável e recuperação testável ou veja o portfólio completo.
