O Brasilianista noticiou que a Secretaria do Tesouro Nacional resolveu trocar os seus equipamentos após quatro anos de um ataque hacker.
A decisão de manter parte da estrutura antiga, no entanto, fez especialistas em segurança cibernética e em Tecnologia da Informação (TI) questionarem as medidas adotadas pelo órgão.
Os novos equipamentos, que cumprem requisitos capazes de conter invasões, não resolvem ataques baseados em nomes de terceiros.
A aquisição de 300 notebooks e 550 desktops ocorreu após o envio de uma mensagem em nome do secretário Rogério Ceron e de outros dirigentes da secretaria, com o intuito de roubar informações sensíveis dos servidores em 2021.
Em 2021, foram registrados 4.903 ataques e, em 2025, atingiu-se um pico de 10 mil novos ataques. Apenas no primeiro semestre de 2026, já ocorreram 6,7 mil.
Os ataques mais comuns, conforme revelou o Metrópoles, têm como objetivo obter dados pessoais e senhas, além de propagar conteúdo abusivo. Vazamentos de dados acontecem com mais frequência, bem como o vazamento de informações ou a indisponibilidade de serviços.
O segundo caso
Neste ano, em uma outra tentativa de ataque, um desconhecido acessou o Microsoft Teams se passando por um secretário e conversou com um coordenador pedindo algo em troca.
As informações obtidas com exclusividade por O Brasilianista alertaram que, dois meses atrás, a tentativa de golpe identificada pela engenharia social da Secretaria do Tesouro Nacional foi avisada pelos canais internos de comunicação. O aviso ocorreu em junho deste ano:
“Identificamos que agentes mal-intencionados estão utilizando o nome do Secretário e de dirigentes da STN para entrar em contato com servidores(as) pelo Microsoft Teams, com o objetivo de roubar informações sensíveis”.
Os servidores passaram a ser instruídos sobre como identificar a tentativa de golpe e como reportá-la.
Custo dos novos equipamentos
O custo para a aquisição destes novos equipamentos foi de aproximadamente R$ 6,6 milhões, sendo o preço unitário do desktop R$ 6.830 e, para os notebooks, o valor de R$ 9.480 por unidade.
Vale acrescentar que os notebooks, do modelo Dell Pro 14, foram pagos, mas ainda não se encontram sob o domínio dos servidores. O órgão também adquiriu um Dell Pro Micro, acompanhado de um monitor de 23,8 polegadas.
O Brasilianista ouviu Gustavo Corrêa, especialista em Tecnologia da Informação (TI), para explicar a aquisição de novos computadores pelo órgão, assim como esclarecer que ela não é suficiente para prevenir novos ataques.
Faz sentido investir em novos computadores quatro anos depois do último ciclo de aquisição?
Faz. Dentro da área de tecnologia, há uma ponte entre hardware e software. Nenhum dos dois deixa o ambiente 100% seguro. É sempre uma composição. É recomendado que a gente tenha um ciclo de renovação a cada quatro ou cinco anos, para que esses hardwares acompanhem as evoluções tecnológicas e, consequentemente, acompanhem a melhora na parte de segurança de vulnerabilidades. A gente tem hoje ataques e vírus que chegam ao nível de máquina — o que a gente chama de nível de BIOS ou nível de firmware — que podem atingir parques de máquinas que sejam mais velhos. E outras tecnologias, como criptografia de disco, por exemplo, são só as máquinas mais novas que têm. É sempre importante a gente ter um parque de máquinas atualizado também.
O hardware físico, por si só, ajuda a impedir ataques cibernéticos ou a vulnerabilidade está mais ligada a softwares, configurações e políticas de uso?
O hardware aí é uma questão habilitadora. Existem ameaças que podem ser, sim, ataques de hardware. Isso não é impossível, mas o hardware por si só é apenas uma camada de segurança. Se eu comprar um hardware atualizado, isso vai resolver todos os problemas de segurança? De fato, não. Se não houver uma composição de vários aspectos tecnológicos, a vulnerabilidade ainda pode existir em alguma camada.
A Procuradoria-Geral da Fazenda Nacional defendeu a ideia de não comprar computadores e adotar soluções totalmente virtuais. Do ponto de vista técnico, essa estratégia seria mais segura ou apenas transfere os riscos para outra camada?
Temos um pouco dos dois cenários nesse caso. Porque, primeiro, você transfere, de fato, a segurança para quem está virtualizando, para o ambiente que está sendo virtualizado. Se isso é uma corporação, uma empresa privada, essa empresa também vai ter que ter os mesmos cuidados para disponibilizar esse ambiente. Parte disso está sendo transferida.
E a gente também tem alguns custos que podem se tornar riscos nesse caso. Fica-se exposto a um ambiente virtualizado, mas, por outro lado, há grandes vantagens: uma vez que se está em um ambiente virtualizado, não há dados dentro de uma máquina em específico. Não há um usuário naquele hardware; a máquina não tem como ser extraviada e alguém pegar dados dela, retirar dados dela ou comprometer aquela máquina fisicamente. A manutenção desse ambiente virtualizado é mais direta: quando se atualiza uma vez, isso vai replicar para todos os usuários. Não há aquele trabalho da TI, do órgão, de ter que atualizar todo o parque de máquinas. A virtualização é uma saída, sim, mas ela também não é 100% segura. Na verdade, a gente não vai ter hoje um método 100% seguro.
O quanto a capacitação dos servidores influencia na redução de ataques, comparado ao investimento em infraestrutura tecnológica?
O usuário hoje, na verdade, é o nosso maior ponto de vulnerabilidade. A máquina por si só, parada, não faz nada. O sistema operacional desligado não tem como acontecer nada. A gente tem várias camadas de estudos e pesquisas; entre empresas e órgãos públicos também acontecem, por exemplo, pesquisas de uso de phishing de e-mail – que é mandar um e-mail falso e ver quem clica, quais são as interações.
Hoje os usuários ainda caem nisso frequentemente. E a única forma de sanar isso é treinando esse servidor. Então não adianta também eu ter o melhor antivírus do mercado, ter as máquinas mais novas, mas estar falando de uma equipe que não recebe um treinamento qualificado. E principalmente agora, na era da inteligência artificial, onde a fuga e a disseminação de dados são tão fáceis, se a gente não tem uma capacitação de fato para esses servidores, a gente está, com certeza, comprometendo esses órgãos.
Que políticas internas de TI deveriam ser implementadas para garantir que os equipamentos adquiridos não se tornem pontos vulneráveis?
Eu acho que a política tem que existir não só por equipamento, mas como programa dentro do órgão. Ela tem que existir desde a parte de contratação: o que está sendo contratado, quais são as vantagens, o que vem a mais nessa contratação e quais são as vulnerabilidades que estão sendo cobertas por essa contratação. Além disso, quando essas máquinas chegarem, qual o processo que vai ter junto com essas máquinas? O que tem que ser instalado? Se é antivírus, se é uma parte de criptografia do próprio órgão, se é uma parte de cofre de senhas...
São vários pontos também que eu digo que não é só uma política de uso, mas sim um programa de segurança do órgão, além da aquisição das máquinas. Faz parte da gente ter uma atualização de um parque; é preciso ter isso ativamente e com continuidade. Porque eu também não posso largar essas máquinas, colocar e deixar isso depreciar agora mais cinco, seis ou 10 anos. Isso tem que ser um acompanhamento contínuo. Os órgãos precisam ter acompanhamento contínuo dentro da parte de segurança.
Siga O Brasilianista!
