Em 2024, o Operador Nacional do Sistema Elétrico (ONS) — o órgão que coordena a energia que chega a cada tomada do país — bloqueou cerca de 539 milhões de tentativas de invasão à sua própria rede corporativa. É um número que não aparece em nenhum boletim que o brasileiro médio lê, mas que diz tudo sobre o tamanho do campo de batalha que hoje cerca a infraestrutura essencial do país.

Energia, sistema financeiro e saúde pública têm algo em comum: são serviços que, se param, param o país junto. E os três viraram, nos últimos anos, alvo recorrente de ataques — uns feitos por quadrilhas de ransomware em busca de resgate em dinheiro, outros por grupos ligados a espionagem de Estado, e um número crescente, segundo o Fórum Econômico Mundial, com algum grau de apoio de inteligência artificial.

A pergunta que motiva esta reportagem é simples de fazer e difícil de responder: o Brasil está, de fato, preparado?

Um setor, três alvos — e uma pressão que só cresce

Hoje, segundo relatórios da indústria de cibersegurança, o setor de energia é globalmente o terceiro mais visado por criminosos digitais, atrás apenas de governo e finanças. Em uma pesquisa com empresas de 40 países, incluindo o Brasil, 80% relataram ter sofrido algum incidente cibernético recente. O diagnóstico específico do país aponta um ponto fraco concreto: a maturidade de segurança é desigual, concentrada nas grandes geradoras e transmissoras, e muito mais frágil fora delas — em pequenas distribuidoras, cooperativas e operadores regionais.

No sistema bancário, o chamado "Pix" virou, ao mesmo tempo, orgulho de engenharia nacional e novo alvo favorito. E na saúde, hospitais já disputam com bancos o topo da lista de ambientes mais visados por grupos de ransomware, segundo a Kaspersky — justamente porque dados médicos são caros na dark web e porque hospitais, sob pressão operacional, tendem a pagar resgate mais rápido.

O sistema elétrico brasileiro é "analógico" o suficiente para se proteger?

Essa é uma crença comum — e só parcialmente verdadeira. O Sistema Interligado Nacional (SIN) conecta mais de 145 mil km de linhas de transmissão em alta tensão a cerca de 170 GW de usinas geradoras espalhadas pelo país. Partes dele, especialmente em subestações mais antigas e em áreas remotas, ainda operam com equipamentos eletromecânicos e sinalização analógica — o que, por acidente, reduz a exposição direta à internet em certos pontos da rede.

Mas essa proteção "por obsolescência" está desaparecendo rápido. O setor vive, segundo a Aneel e o ONS, uma digitalização acelerada: redes inteligentes (smart grids), geração distribuída, sensores industriais conectados (IoT industrial) e sistemas de supervisão e aquisição de dados — os chamados SCADA — que hoje controlam boa parte das decisões operacionais em tempo real. Especialistas citam com frequência o caso do vírus Stuxnet, de 2010, que sabotou centrífugas nucleares no Irã ao atingir exatamente esse tipo de sistema, como o exemplo clássico do que pode acontecer quando um ambiente industrial crítico é alcançado digitalmente.

A resposta mais honesta, portanto, é: o Brasil não está protegido por ser analógico — está, aos poucos, deixando de ser analógico, e a proteção real passou a depender de regras, segmentação de redes e investimento, não da sorte de ainda ter equipamento antigo. Em 2024, durante uma grande falha cibernética global que afetou sistemas no mundo todo, a Aneel e o ONS informaram que nenhum sistema de operação do SIN foi impactado — um indício de que, hoje, o isolamento crítico das redes de operação (separadas das redes administrativas) é o que de fato segura a barra, mais do que qualquer analogismo tecnológico.

"O ataque raramente começa com um golpe direto a um equipamento crítico, mas sim pelo uso da rede administrativa como porta de entrada."

A inteligência artificial virou arma — dos dois lados

Segundo o Global Cybersecurity Outlook 2026, do Fórum Econômico Mundial, 94% dos profissionais de segurança consultados apontam a inteligência artificial como o fator mais importante de mudança no cenário de ciberameaças neste ano, e 87% dizem que as vulnerabilidades ligadas a IA são o risco que mais cresce. Especialistas do setor elétrico brasileiro já alertam: hoje, "com algumas instruções digitadas, é possível criar um ataque contra um sistema crítico" — algo que antes exigia meses de conhecimento técnico especializado.

O relatório do Fórum também traz um dado que deveria preocupar o Brasil diretamente: enquanto 84% dos entrevistados no Oriente Médio e Norte da África confiam na capacidade de seus países de responder a um ataque de grande escala contra infraestrutura crítica, na América Latina e Caribe essa confiança cai para apenas 13%.

Do outro lado da mesma moeda, a IA também está sendo usada para defender. Soluções de automação já ajudam a identificar comportamento anômalo em redes industriais mais rápido do que qualquer equipe humana conseguiria — algo considerado essencial justamente porque, em ambientes de infraestrutura crítica, não é possível simplesmente instalar um antivírus em cada sensor, válvula ou equipamento hospitalar conectado.

O que já existe para proteger o sistema elétrico (e o resto) no Brasil

Ao contrário do que a sensação de vulnerabilidade sugere, o Brasil não partiu do zero. Depois do ataque à Eletronuclear, em fevereiro de 2021, o ONS publicou a Rotina Operacional RO-CB.BR.01, criando pela primeira vez controles mínimos obrigatórios de cibersegurança para quem opera o SIN. Meses depois, em dezembro de 2021, a Aneel emitiu a Resolução Normativa nº 964, obrigando geradoras, transmissoras e distribuidoras a adotar uma política formal de segurança cibernética, inspirada em normas internacionais como a ISO/IEC 27019 — o padrão de segurança da informação específico para o setor de energia.

No sistema financeiro, depois da onda de ataques via Pix, o Banco Central passou a estudar — e em parte já aplicar — restrições de horário, valor e acesso para instituições que não comprovarem requisitos mínimos de segurança, além de poder suspender o acesso ao Sistema de Pagamentos Instantâneos de quem for considerado "frágil". Na saúde, o episódio do ConecteSUS acelerou discussões sobre a aplicação da LGPD (Lei Geral de Proteção de Dados) a órgãos públicos e levou a Autoridade Nacional de Proteção de Dados (ANPD) a cobrar explicações formais do Ministério da Saúde.

No plano nacional, o Decreto 10.222/2020 instituiu a Estratégia Nacional de Segurança Cibernética (E-Ciber), com metas como fortalecer a governança cibernética, ampliar a cooperação internacional e elevar o nível de maturidade da sociedade brasileira no tema — um esforço que, pelos próprios números de confiança levantados pelo Fórum Econômico Mundial, ainda tem um caminho longo pela frente.

Linha do tempo: os incidentes que mudaram as regras do jogo

1. World Economic Forum — Global Cybersecurity Outlook 2026 (Executive Summary)internacional
2. World Economic Forum — Why energy leaders need to prepare for the cybersecurity threat of more powerful AIinternacional
3. World Economic Forum — How to secure the energy transition against next-gen cyber threatsinternacional
4. Kaspersky — Digital Footprint Intelligence, relatório sobre ciberataques a hospitais e setor de saúdeinternacional
5. TXOne Networks — Relatório anual de incidentes OT/ICSinternacional
6. Alertas conjuntos de agências como FBI, CISA, EPA e NSA sobre exposição de controladores industriais na internetinternacional
7. PwC Brasil — A evolução do setor elétrico diante das ameaças cibernéticas
8. Operador Nacional do Sistema Elétrico (ONS) — Rotina Operacional RO-CB.BR.01 e procedimentos de rede
9. ANEEL — Resolução Normativa nº 964, de 14 de dezembro de 2021
10. Banco Central do Brasil — comunicados sobre segurança do Pix e do Sistema de Pagamentos Instantâneos
11. Ministério da Saúde / ANPD — comunicados oficiais sobre o ataque ao ConecteSUS (dezembro de 2021)