Ataque cibernético derruba sistemas da Autoridade Portuária de Santos; operação segue: o que o caso ensina às empresas da cadeia logística

O que está em jogo

Os pontos confirmados pela autoridade, conforme a Agência Brasil:

• O ataque começou na sexta-feira (6).
• Energia e internet foram restabelecidas até a tarde de terça-feira (10/11); sistemas internos e o site da instituição seguem em recuperação gradual.
• Os serviços burocráticos continuam pelo Porto Sem Papel, sistema federal que, segundo a reportagem, não foi atingido.
• A APS acionou procedimentos de contingência, e as equipes de tecnologia trabalham na solução.
• A Comissão Estadual de Segurança Pública nos Portos, Terminais e Vias Navegáveis (Cesportos-SP) reforçou a proteção dos acessos, e a Guarda Portuária teve as equipes ampliadas.

O que a APS afirmou não saber: o alcance do ataque, se houve acesso a dados e quais eram os objetivos do grupo responsável. A reportagem também não informa a autoria, o tipo de malware, o método usado nem prazo para normalização completa. Um trecho sobre as medidas da Cesportos-SP aparece incompleto no texto original, e por isso não o detalhamos.

Como isso funciona

A reportagem distingue duas frentes: a área administrativa da APS, que foi atingida, e a operação portuária (navios e acessos terrestres), que, segundo a autoridade, seguiu normalmente. Os trâmites burocráticos continuaram pelo Porto Sem Papel, sistema federal que não foi afetado. Em termos de segurança, manter a operação e os sistemas federais separados da rede administrativa é uma boa prática, mas as fontes não detalham como essa separação é feita em Santos; só a apuração do caso dirá se ela funcionou como projetada.

Análise VEXIA

O dado mais importante, até aqui, é um que não está nas notas: a ausência de informação sobre dados. A APS disse não saber se houve acesso a informações. Para empresas que têm contratos, cadastros ou documentos com a autoridade portuária, essa é a pergunta que decide se o incidente é um problema de continuidade, já resolvido em parte, ou um problema de privacidade e de fraude, que pode surgir semanas depois. Não há evidência de vazamento nas fontes lidas; tampouco há garantia de que não houve. A leitura possível é que o prudente é tratar a hipótese como aberta.

O segundo ponto é a diferença entre continuidade e normalidade. A operação seguiu, o que é bom para exportadores e importadores, mas uma área administrativa sem sistemas por quatro dias costuma gerar atrasos em processos que dependem de papel, de e-mail e de cadastros. Não há informação, nas fontes, de atrasos concretos em liberação de cargas; é um risco a monitorar, não um fato.

O terceiro é a lição de gestão: a segurança de uma empresa depende também dos elos da cadeia com os quais ela se conecta. Um ataque à autoridade portuária pode não parar um navio, mas toca cadastros, contratos e comunicações de quem opera ali. Essa é uma leitura da VEXIA, não uma conclusão das fontes.

O que muda na prática

• Verifique seus contratos e cadastros com a APS. Se sua empresa envia documentos ou dados à autoridade portuária, pergunte formalmente se há risco de exposição e por qual canal serão feitas as comunicações oficiais.
• Desconfie de e-mails e telefonemas “da APS” nos próximos dias. Dados de contato podem ser usados em golpes de falsa cobrança; confirme sempre por canal oficial.
• Tenha plano B para documentos. Se sua operação depende de papéis que passam pela APS, mantenha cópias e alinhe prazos com o despachante.
• Mapeie dependências digitais da cadeia. Terminais, transportadoras e agentes de carga: quais sistemas de terceiros param a sua operação se saírem do ar?
• Revise o básico de segurança: backups testados e isolados, autenticação em dois fatores e treinamento contra phishing.

Cenários e próximos passos

No cenário mais favorável, a APS conclui a recuperação nos próximos dias, a perícia não encontra acesso a dados e o episódio fica como alerta. Num cenário intermediário, os sistemas voltam, mas surgem indícios de exposição de dados, o que traria obrigações de comunicação a titulares e órgãos de proteção de dados. No pior caso, um atraso prolongado em processos administrativos afeta prazos de clientes do porto. O que acompanhar: comunicados da APS, eventual nota do governo federal e da Cesportos-SP, esclarecimento sobre autoria e dados, e o restabelecimento do site.

Fontes

• Agência Brasil, “Porto de Santos: sistemas seguem afetados após ataque cibernético” (10/11/2026): agenciabrasil.ebc.com.br/economia/noticia/2026-11/porto-de-santos-sistemas-seguem-afetados-apos-ataque-cibernetico