# A ciberguerra como sistema de poder: os novos ataques à Europa, a coerção digital global e a economia da vulnerabilidade civil

**2 de novembro de 2026 · Sistema Global & Poder · Corte das evidências: 2 de novembro de 2026.** Os acontecimentos noticiados na data de publicação permanecem sujeitos a investigação; autoria, causa técnica e prejuízo agregado podem ser revistos.

O traço mais relevante da disputa cibernética contemporânea não é a capacidade imaginária de desligar um país inteiro com um comando. É a exploração de dependências comerciais normais — controladores de refrigeração, bancos de dados hospitalares, identidades em nuvem, fornecedores de software, redes elétricas, meios de pagamento e sistemas de comunicação — para impor custos a populações que não participam de conflitos militares. Criminosos podem exigir dinheiro; serviços de inteligência podem manter acesso clandestino; grupos ativistas podem buscar repercussão; sabotadores podem alterar um processo físico. Sintomas semelhantes não demonstram identidade de autor ou finalidade. [1][2][3]

Os ataques noticiados em 2 de novembro contra a refrigeração de supermercados europeus tornam concreta essa transformação. Estoques podem ser perdidos e a confiança pode diminuir sem roubo de dados pessoais nem exigência de resgate. As informações disponíveis **não comprovam** uma campanha coordenada, uma ordem estatal ou um único caminho técnico de invasão para todas as lojas. Apontam, contudo, perturbações operacionais com efeitos materiais em países diferentes e uma superfície de exposição formada por equipamentos administrados remotamente. [4][5]

## 1. Onde termina o cibercrime e começa a guerra?

O vocabulário estratégico costuma embaralhar categorias técnicas, políticas e jurídicas. Invadir uma caixa de correio governamental pode ser espionagem; criptografar prontuários pode constituir extorsão criminosa; forjar uma ordem de evacuação pode ser coerção psicológica; alterar uma caldeira ou uma cadeia de frio pode danificar patrimônio e ameaçar a segurança. Saber se uma operação estatal corresponde juridicamente ao uso da força ou a ataque armado requer análise adicional do contexto, da responsabilidade e dos efeitos. Chamar tudo de “ciberguerra” antes da investigação cria conclusões sem prova.

Thomas Rid enfatiza espionagem, sabotagem e subversão como funções recorrentes do conflito digital. Ben Buchanan acrescenta o dilema da cibersegurança: uma operação de reconhecimento conduzida por um Estado pode parecer preparação para desligar a mesma infraestrutura numa crise. Acesso técnico pode ser preservado como opção futura sem ser empregado imediatamente. A impossibilidade de observar diretamente a intenção cria risco de escalada até quando o primeiro movimento não tinha intenção ofensiva imediata. [6][7]

| Atividade | Objetivo operacional | Efeito mais direto | Limite para atribuição e escalada |
|---|---|---|---|
| Cibercrime e ransomware | Extrair dinheiro ou dados | Indisponibilidade, vazamento, recuperação onerosa | Infraestrutura criminosa pode se cruzar com interesses estatais |
| Espionagem e posicionamento | Obter informação ou opções futuras | Persistência oculta, roubo de credenciais | Presença na rede não prova intenção de sabotagem |
| Hacktivismo e DDoS | Sinalizar, intimidar, obter atenção | Indisponibilidade frequentemente temporária | Reivindicações podem exagerar efeitos |
| Sabotagem industrial | Interferir em processos físicos | Perda de alimentos, dano a equipamento, interrupção | Exige perícia sobre comandos, sensores e proteção |
| Manipulação informacional | Influenciar percepções e decisões | Desconfiança, confusão e dano reputacional | Alcance de mensagem não prova mudança de atitude |
| Operação cibernética militar | Apoiar campanha e degradar capacidade | Inteligência, perturbação e apoio a alvos | Classificação legal depende do contexto e das consequências |

## 2. Trajetória histórica: inteligência, destruição e interdependência

O valor estratégico inicial das intrusões digitais estava sobretudo na informação. Projetos industriais, mensagens diplomáticas, documentos financeiros e planos militares podiam ser copiados sem interromper o serviço. Com a digitalização dos processos produtivos, o acesso remoto ganhou capacidade de interferir no funcionamento de máquinas. Stuxnet, identificado publicamente em 2010, mostrou que códigos especializados podiam manipular sistemas industriais. Ataques contra o fornecimento elétrico ucraniano em 2015 e 2016 demonstraram a possibilidade de interromper serviços civis. O NotPetya, em 2017, introduziu uma dimensão especialmente relevante: a propagação de software destrutivo por relações comerciais confiáveis pode afetar empresas e cidadãos fora do conflito geopolítico imediato. [6][8]

A invasão russa em larga escala da Ucrânia, em 2022, reuniu ataques convencionais, malware destrutivo, operações de inteligência, comunicações via satélite e propaganda. Não se confirmou, entretanto, a tese simplista de que o poder cibernético isolado decidiria uma guerra territorial. Controles manuais, recuperação rápida, defesa local, apoio externo e dificuldades de sincronizar intrusões clandestinas com manobras militares restringiram vários efeitos ofensivos. Também seria incorreto concluir que as operações digitais foram irrelevantes: os impactos civis e os custos de recuperação são reais.

A mudança de 2025–2026 reside principalmente no **encadeamento de identidades, fornecedores, aplicações em nuvem, controles industriais e mecanismos de recuperação**. A captura de uma conta privilegiada ou de um equipamento administrado remotamente pode contornar a separação entre organizações. A disputa cibernética passa a envolver o governo das interdependências técnicas, não somente a proteção de computadores isolados.

## 3. O que os indicadores europeus de 2026 realmente medem

A ENISA publicou em 22 de setembro de 2026 seu panorama referente a incidentes observados ao longo de 2025. As porcentagens são parcelas da amostra acompanhada, não a probabilidade de ataque contra uma pessoa, empresa ou instalação elétrica qualquer. Nessa base, DDoS correspondeu a **51% dos incidentes**; motivações ideológicas, a **57%**; e motivações financeiras, a quase **30%**. Entre as organizações visadas, **73%** pertenciam às categorias essenciais ou importantes da NIS2. Administração pública representou **32%** dos alvos setoriais. Ransomware continuou particularmente significativo quanto a danos operacionais de curto prazo, embora aparecesse menos que DDoS na contagem de incidentes. [1]

```chart
type: bar
title: Setores atingidos segundo ENISA 2026 (observações de 2025)
unit: Percentual das organizações-alvo na amostra ENISA; setores selecionados, não exaustivos
Administração pública | 32
Serviços empresariais | 8
Transportes | 8
Indústria | 7
Finanças e bancos | 6
```

Uma onda de notícias sobre DDoS pode distorcer o entendimento dos danos: um site municipal temporariamente fora do ar não equivale à destruição de cópias de segurança de um hospital. Por outro lado, uma intrusão menos frequente em fornecedor ou controle industrial pode afetar milhares de clientes. Número de ocorrências, organizações atingidas, perdas financeiras, danos físicos e influência política utilizam denominadores diferentes e não devem ser somados.

O relatório retrospectivo publicado pelo CERT-EU em abril de 2026 acompanhou **174 atores de ameaça**, diante de 110 na edição anual anterior; espionagem e posicionamento foram a principal motivação em **38%** de seu universo observado. A instituição respondeu a nove incidentes significativos em 2025, sete associados à exploração de vulnerabilidades. Essas estatísticas dizem respeito ao perímetro institucional do CERT-EU e não constituem um recenseamento da Europa nem podem ser agregadas diretamente aos incidentes da ENISA. [2]

## 4. Supermercados europeus em 2 de novembro: sabotagem física pela porta digital

A Reuters informou, em 2 de novembro, interferências em sistemas frigoríficos de estabelecimentos na Suécia, Bélgica, Luxemburgo, Irlanda e Estônia. Operadores como Ahold Delhaize, Carrefour e Colruyt informaram lojas afetadas na Bélgica; ICA e Coop relataram problemas suecos; a Musgrave mencionou 13 unidades SuperValu na Irlanda. Houve referências a acionamento anormal de degelo e temperaturas extremas. Alimentos foram retirados de venda ou descartados, e um açougue belga estimou cerca de **€ 15 mil** em perdas de carne. Um episódio semelhante de outubro na França teria alcançado centenas de supermercados. A abrangência e os números permaneciam em desenvolvimento na data do registro. [4][5]

Existe um mecanismo econômico concreto. O controle remoto de refrigeração diminui custos de trabalho, facilita a manutenção e centraliza alarmes. Se um invasor puder transmitir ordens não autorizadas ou explorar controladores antigos desprotegidos, não precisa roubar mercadoria: pode **destruir seu valor alterando as condições térmicas de conservação**. O impacto se transfere do equipamento para descarte, inspeção sanitária, compras emergenciais, transporte, assistência técnica e tempo necessário à retomada segura. Para pequenos varejistas, a falta de capital de giro pode tornar a perda proporcionalmente muito maior.

```flow
Controle frigorífico acessível remotamente → comandos não autorizados de temperatura ou degelo → quebra da cadeia de frio → descarte e inspeção de alimentos → pressão financeira e incerteza do consumidor
Investigação e isolamento da rede → operação local ou manual → reinício controlado e validação térmica → normalização do abastecimento
```

O episódio expõe um risco de atribuição. Até os registros citados, nenhum autor havia sido identificado publicamente, e tampouco estava comprovada a conexão técnica entre os incidentes nacionais. A ausência de pedido de resgate autoriza investigar a hipótese de sabotagem, mas não comprova direção de um Estado. Abuso independente de um mesmo fabricante, imitação, credenciais comprometidas, fornecedor comum e ação organizada são explicações que precisam ser confrontadas com telemetria, histórico de comandos, registros de fabricantes e cronologia pericial.

## 5. Berlim, Suécia e Polônia: o custo humano de instituições violadas

O resumo de setembro do CERT-EU registrou a confirmação, pelo governo de Berlim, de uma operação de invasão e vazamento atribuída ao grupo Rhysida contra dois departamentos do Senado, envolvendo aproximadamente **5,79 TB** de dados exfiltrados e exigência de **30 bitcoins**; a administração declarou que não pagaria. O boletim também relatou multa de **1,8 milhão de coroas suecas** aplicada à fornecedora Miljödata após ataque associado à exposição de dados de aproximadamente **2,2 milhões** de pessoas. Na Polônia, a imprensa registrou outro episódio envolvendo informações médicas em setembro. São impactos diferentes: sigilo administrativo e legitimidade institucional, exposição massiva de dados por uma fornecedora e confidencialidade de pacientes. Nenhum desses eventos deve ser automaticamente transformado em operação militar. [3]

O tempo do prejuízo é assimétrico. Dados podem ser copiados em minutos, mas vítimas podem enfrentar anos de golpes personalizados, constrangimento profissional, ameaças, fraude financeira ou exposição de informações íntimas. O custo direto recai sobre perícia, substituição tecnológica, assistência jurídica e recuperação; o custo social mais difícil de precificar permanece com quem não consegue retirar da circulação registros já vazados.

## 6. O ataque à energia polonesa: destruição pretendida, apagão evitado

Em 29 de dezembro de 2025, instalações eólicas e solares, uma empresa industrial e uma usina de cogeração que atendia quase meio milhão de consumidores foram alvos de intrusões destrutivas coordenadas, conforme relatório do CERT Polska e comunicados oficiais de janeiro de 2026. O governo polonês informou que o fornecimento de energia foi mantido, sem apagão. A perícia descreveu ataques a sistemas de tecnologia da informação (TI) e tecnologia operacional (TO), diferença decisiva em relação à simples indisponibilidade de páginas na internet. [9][10]

O caso desmente duas generalizações contrárias. Houve tentativa significativa de sabotagem industrial; houve também continuidade do serviço. O episódio **não comprova** um colapso nacional da rede elétrica nem resolve, apenas por meio do relato técnico citado, toda a atribuição política a um governo estrangeiro. Alvo, tentativa, equipamento comprometido e serviço efetivamente entregue são quatro objetos diferentes de medição.

## 7. Europa: ameaças sobrepostas, não uma origem única

A vulnerabilidade europeia combina guerra na Ucrânia, sanções, integração de defesa, infraestrutura transfronteiriça, grandes serviços digitais e ambiente informacional relativamente aberto. Em julho de 2026, o Conselho da União Europeia responsabilizou oficialmente um ecossistema russo formado por atores estatais e não estatais e sancionou pessoas e organizações ligadas a atividades maliciosas. Atribuições diplomáticas são posicionamentos oficiais apoiados em evidências e juízo estatal; não demonstram que qualquer invasão de origem desconhecida pertença à mesma campanha. [11][12]

Em março de 2026, decisão distinta do Conselho sancionou entidades sediadas na China e indivíduos por atividades que afetaram Estados europeus e parceiros. A dimensão chinesa, o mercado de ransomware e os abusos praticados por agentes sem vínculo governamental impedem a redução da história a uma única rivalidade. Tampouco se identifica nacionalidade operacional observando apenas a localização geográfica de um servidor. [13]

```map
title: Geografia ilustrativa da exposição digital recente; não representa a origem dos atacantes
Bélgica, Luxemburgo, Suécia, Irlanda, Estônia | Refrigeração comercial afetada em 2 de novembro de 2026 | Conexão técnica e autoria não estabelecidas
França | Episódios frigoríficos em supermercados em outubro de 2026 | Detalhes ainda sujeitos à perícia
Alemanha | Exfiltração administrativa em Berlim divulgada em agosto–setembro de 2026 | Caso de vazamento criminoso, sem prova de direção militar
Polônia | Tentativa destrutiva contra energia em dezembro de 2025 e ataques a dados médicos em 2026 | O abastecimento elétrico foi mantido
Ucrânia | Sobreposição de atividades digitais, informacionais e militares | Resultados dependem também de defesa, aliados e logística material
Mundo | Dependência de fornecedores, nuvem, finanças e identidade | Danos cruzam fronteiras independentemente da localização do agressor
```

## 8. Fora da Europa: competição global sem padrão universal

Os Estados Unidos concentram uma parcela relevante da infraestrutura de nuvem, software e inteligência artificial do planeta. São, portanto, alvo valioso de espionagem e localidade de fornecedores cujos serviços chegam a vários países. O CERT-EU reuniu em boletins de 2026 episódios e acusações de exploração associados a grupos ligados à China, campanhas de roubo de credenciais e atividades financeiras ou de emprego associadas à Coreia do Norte. São ecossistemas de objetivos diferentes e graus distintos de certeza pública. [3][14]

Na Ásia, a concentração de semicondutores, portos, eletrônicos e manufatura integrada significa que uma interrupção digital pode se transformar em atrasos de produção e transferência ilícita de propriedade intelectual. No Oriente Médio, plataformas financeiras, sistemas energéticos e comunicações de dissidentes produzem canais de risco diferentes. Na América Latina e na África, recursos públicos desiguais, sistemas legados, expansão dos pagamentos digitais e terceirização tecnológica podem amplificar perdas, mas não fazem dessas regiões apenas vítimas passivas: há governos e empresas que investem em resposta a incidentes, pagamentos resilientes e capacidades próprias. A renda nacional, isoladamente, não mede preparação operacional.

O contraste estratégico fundamental envolve **extração de conhecimento**, **interferência na produção**, **apropriação de dinheiro** e **manipulação de crenças**. Uma operação pode combinar os quatro mecanismos. O enquadramento “país A atacou país B” muitas vezes omite a cadeia privada pela qual o prejuízo chega a terceiros.

## 9. A economia política do ransomware e a indústria do acesso

A extorsão digital se especializou. Um grupo obtém credenciais, outro desenvolve ferramentas, um terceiro fornece infraestrutura e outro negocia resgates ou comercializa dados. Mercados clandestinos e hospedagem tolerante ao abuso podem reduzir o custo inicial dos agressores. Os defensores precisam, simultaneamente, preservar identidades, cópias de segurança, fornecedores, processos físicos e continuidade do negócio.

O relatório M-Trends 2026, baseado nas investigações realizadas pela Mandiant em 2025 e não numa amostra aleatória mundial, identificou exploração de falhas em **32%** das intrusões estudadas, golpes por voz em **11%** e comprometimento prévio em **10%**. A mediana de permanência do invasor foi de 14 dias. Em um tipo específico de transferência entre operadores criminosos, a mediana do intervalo entre acesso inicial e transferência caiu para **22 segundos**, diante de mais de oito horas em 2022. Os números ilustram a aceleração da especialização observada, não a duração de todos os ataques existentes. [15]

```chart
type: bar
title: Vetores iniciais de intrusão em M-Trends 2026
unit: Percentual das investigações Mandiant em 2025; categorias selecionadas
Exploração de vulnerabilidades | 32
Phishing por voz | 11
Comprometimento prévio | 10
```

O prejuízo não se resume a resgates pagos: envolve equipamentos, paralisações, processos judiciais, salários extraordinários, ruptura com clientes e custos de confiança. A capacidade de absorção é desigual. Uma grande instituição pode mobilizar especialistas, enquanto um consultório, posto de saúde ou comércio familiar pode não sobreviver a semanas sem operar.

## 10. Fornecedores concentrados e risco de falha correlacionada

Terceirizar reduz custos e pode melhorar a qualidade técnica, mas concentra pontos de falha. Identidades em nuvem, provedores de TI, atualizações de software, gateways de pagamento, refrigeração comercial e componentes industriais podem atender milhares de organizações. A segurança de cada cliente passa a depender, em parte, de decisões de empresas que não estão sob seu controle. Uma falha em fornecedor comum pode gerar danos simultâneos, contrariando o pressuposto de independência entre riscos locais.

A questão alcança seguros, contratos e orçamento público. Uma crise sistêmica pode acionar reclamações correlacionadas, controvérsias sobre cobertura de interrupção e disputas sobre exclusões de guerra ou violência política. Seguradoras enfrentam atribuição incompleta e perdas acumuladas difíceis de estimar; governos disputam recursos escassos para resposta, fiscalização e continuidade de serviços.

| Dependência | Canal de perda direta | Efeito econômico ou social de segunda ordem | Teste de resiliência |
|---|---|---|---|
| Controles da cadeia de frio | Alimentos perdidos e inspeção de máquinas | Liquidez do pequeno varejo, preços e confiança | Isolamento manual, temperatura segura e suprimento alternativo |
| TI terceirizada e identidade | Conta ou privilégio comprometido | Paralisação simultânea de clientes | Segmentação e recuperação independente demonstrada |
| Prontuários hospitalares | Atendimento atrasado e dados expostos | Fila clínica e risco de identidade de longo prazo | Continuidade clínica offline e restauração testada |
| Controles industriais de energia | Interferência em equipamentos | Calor, eletricidade e manufatura afetados | Proteções físicas e operação isolada |
| Pagamentos e compensação | Transações interrompidas | Retenção de liquidez e incerteza de liquidação | Canais alternativos e coordenação com bancos centrais |
| Plataformas de mídia | Conteúdo manipulado e contas tomadas | Desconfiança, intimidação e debate fragmentado | Proveniência, correção rápida e jornalismo independente |

## 11. Finanças: a passagem de falha tecnológica a risco sistêmico

Mesmo um banco protegido pode depender de um serviço de pagamentos comum, de autenticação externa, de telecomunicações ou de nuvem. O FMI advertiu, em 2024, que perdas cibernéticas historicamente contidas não eliminam a possibilidade de eventos extremos. Seu relatório de estabilidade financeira de outubro de 2026 voltou a indicar o risco digital num sistema interconectado, e uma nota de junho de 2026 examinou o efeito da IA sobre velocidade de ataque e concentração de serviços compartilhados. [16][17][18]

Uma interrupção nos pagamentos pode levar famílias a reter dinheiro vivo, comerciantes a suspender entregas e instituições a conservar liquidez enquanto reconciliam transações. Esses efeitos dependem da falha real **e** da resposta comportamental; intrusões bloqueadas não produzem necessariamente crise monetária. A variável relevante não é somente o número de tentativas, mas a criticidade do serviço, a dependência comum, o tempo de recuperação, o plano alternativo e a credibilidade da comunicação oficial.

## 12. Psicologia coletiva, fragmentação social e manipulação de informações

Nem toda operação digital exige malware. Comunicados oficiais falsos, documentos forjados, imitação de jornalistas, perseguição coordenada, robôs de amplificação, vídeos sintéticos e vazamentos seletivos podem criar incerteza sobre o que merece confiança. O receio de um possível colapso pode alterar consumo, preços de ativos e decisões políticas mesmo antes de qualquer falha material. O objetivo pode ser enfraquecer a credibilidade das instituições sem derrubar seus servidores.

O quarto relatório do Serviço Europeu para a Ação Externa, publicado em março de 2026, documentou **540 incidentes** e o emprego de **10.500 canais** na base analisada relativa a 2025. São operações monitoradas, não uma medida de eleitores persuadidos ou resultados eleitorais modificados. O órgão examinou redes relacionadas à Rússia e à China em seu escopo, mas volume de conteúdo e exposição não comprovam mudança duradoura de opinião: seriam necessários dados independentes sobre recepção, comportamento e cenários contrafactuais. [19]

O custo psicológico tem relação com a invisibilidade: cidadãos não conseguem inspecionar o código de seus fornecedores, os objetivos do invasor ou a origem de todas as notícias. Cada comunicado sobre um vazamento pode se tornar novo objeto de disputa. A resiliência depende da qualidade da comunicação institucional, de intermediários confiáveis e de capacidade coletiva para separar falha documentada de denúncia fabricada.

## 13. IA: automação ofensiva, defesa e limites observados

A inteligência artificial altera simultaneamente vários custos. Pode traduzir fraudes, automatizar reconhecimento, organizar documentos roubados, fabricar identidades convincentes e ajudar pequenos grupos a examinar mais sistemas. Também pode melhorar monitoramento defensivo, análise de código, resposta a alertas e correlação de evidências. O relatório da Microsoft de outubro de 2026 discutiu operações assistidas e testes controlados com comportamentos autônomos; o Google registrou usos adversariais de fluxos agentivos e ataques a ativos de IA. Nenhuma dessas observações comprova que toda intrusão sofisticada tenha sido dirigida por inteligência artificial. [20][21]

A Mandiant ofereceu contraponto relevante: a grande maioria de suas violações bem-sucedidas observadas em 2025 continuou associada a falhas humanas e estruturais fundamentais, não a ataques diretamente causados por IA. É incorreto converter testes laboratoriais em capacidade geopolítica universal. A IA é ao mesmo tempo instrumento ofensivo, multiplicador defensivo, alvo de espionagem e nova dependência operacional. [15]

A mudança mais plausível é a ampliação do intervalo entre descoberta automatizada de vulnerabilidades e correção organizacional lenta, limitada por compras, burocracia, treinamento e responsabilidade jurídica. O indicador decisivo é **tempo para conter a intrusão comparado ao tempo de exploração**, não o nome comercial do modelo empregado.

## 14. Direito internacional, proteção civil e limites estratégicos

Operações cibernéticas em conflitos armados não estão fora do direito. O Comitê Internacional da Cruz Vermelha destacou riscos para abastecimento essencial, hospitais, entidades humanitárias, civis que participam de ações digitais e uso de IA. Obrigações de distinção, proporcionalidade e precauções viáveis são relevantes quando presentes as condições de aplicação do direito humanitário. Permanecem divergências entre Estados e pesquisadores sobre soberania, limiares de uso da força e tratamento jurídico de danos puramente informacionais. [22][23]

A União Europeia combina exigências de governança, cooperação policial, atribuição pública, regulação e sanções. Atribuição política pode justificar resposta diplomática; responsabilização criminal obedece a procedimentos probatórios próprios; atribuição técnica pode identificar um conjunto de ferramentas sem apontar publicamente seu controlador. Misturar os padrões facilita tanto acusações indevidas quanto falta de responsabilidade.

A infraestrutura compartilhada por civis e militares é um ponto central de tensão. Desorganizar um serviço pode trazer vantagem tática e, ao mesmo tempo, gerar danos humanitários e escalada política. A continuidade civil deve ser fortalecida sem naturalizar um campo de batalha digital sem restrições.

## 15. Cinco cenários para 2027–2030 e o que poderia refutá-los

| Cenário | Mecanismo | Observações que fortaleceriam a hipótese | Evidência que a enfraqueceria |
|---|---|---|---|
| Perturbação persistente e limitada | DDoS, vazamentos e sabotagem localizada impõem custos frequentes | Muitos incidentes, com restauração rápida | Interrupções multissetoriais prolongadas |
| Choque de fornecedor comum | Identidade, nuvem ou fornecedor industrial comprometem vários países | Dependência técnica compartilhada comprovada e falhas simultâneas | Causas independentes e isolamento eficaz |
| Escalada ciberfísica | Intrusões acompanham crises de segurança e ataques destrutivos | Comandos industriais confirmados, danos e decisões estatais | Tentativas frustradas e ausência de vínculo operacional |
| Industrialização criminosa pela IA | Fraude e extorsão automatizadas reduzem custos ofensivos | Menor tempo entre invasão e dano em amostras independentes | Automação defensiva e correção mais rápidas |
| Resiliência civil crescente | Testes, compras e redundâncias reduzem danos propagados | Exercícios de recuperação comprovados e queda de perdas | Falhas repetidas apesar do investimento |

Não há probabilidades numéricas defensáveis para cenários plurianuais de escalada. Os resultados podem coexistir: o número de ataques relatados pode aumentar enquanto a resiliência melhora, inclusive porque a detecção e a obrigação de notificar se tornam mais eficazes. Previsões dependem de condições verificáveis, não de certeza retrospectiva.

## 16. Indicadores para acompanhar o conflito real

Cinco grupos de informações ajudam a diferenciar hipóteses. **Operacional:** horas de serviço essencial indisponível, equipamentos em controle local seguro e dano físico verificado. **Técnico:** vulnerabilidades comuns, identidade privilegiada comprometida, concentração de fornecedores e recuperabilidade de cópias limpas. **Econômico:** paralisação produtiva, perdas seguradas ou não, atrasos de compra e falência de pequenos negócios. **Social:** consequências de dados expostos, confiança institucional, redes coordenadas de falsidades e ameaça a grupos vulneráveis. **Estratégico:** perícia independente, atos jurídicos oficiais, coordenação transfronteiriça e eventual relação comprovada com operações militares.

A assimetria do conflito cibernético reside em que o acesso pode ser barato, a atribuição cara e a reparação lenta. Os custos tampouco são distribuídos igualmente: quem explora uma falha pode transferir perdas a pacientes, consumidores, trabalhadores e contribuintes. A disputa central não é apenas tecnológica; envolve a capacidade de preservar serviços, reconstruir evidências, responsabilizar autores dentro de padrões jurídicos e recuperar sistemas sem deslocar custos desproporcionais aos grupos mais expostos.

## Referências e registro de evidências

[1] ENISA, *Threat Landscape 2026*, 22 September 2026 (events observed during 2025). https://www.enisa.europa.eu/news/exploring-the-evolution-of-the-cyber-threat-landscape-how-dependencies-weaken-our-digital-resilience

[2] CERT-EU, *Threat Landscape Report 2025 — A Year in Review*, 8 April 2026. https://cert.europa.eu/publications/threat-intelligence/tlr2025

[3] CERT-EU, *Cyber Brief 26-10 — September 2026*, issued 2 October 2026. https://cert.europa.eu/publications/threat-intelligence/cb26-10

[4] Reuters, *Cyberattack on fridges hits supermarkets across Europe*, 2 November 2026. https://www.reuters.com/business/retail-consumer/temperature-soars-swedish-grocery-store-freezers-one-store-blames-hackers-2026-11-02/

[5] Reuters, *European retailers hit by supermarket fridge hack*, 2 November 2026. https://www.reuters.com/business/european-retailers-hit-by-supermarket-fridge-hack-2026-11-02/

[6] C. Rid and the historical-strategic literature, contextualized through the earlier Marginal Thinking cyber study; primary historical prosecution record: US Department of Justice, 2020 Sandworm indictment. https://www.justice.gov/opa/pr/six-russian-gru-officers-charged-connection-worldwide-deployment-destructive-malware-and

[7] Ben Buchanan, *The Cybersecurity Dilemma*, Oxford University Press, 2017. https://global.oup.com/academic/product/the-cybersecurity-dilemma-9780190665012

[8] CISA, *NotPetya and destructive malware context*. https://www.cisa.gov/news-events/alerts/2017/07/01/petya-ransomware

[9] Poland Ministry of Digital Affairs / CERT Polska, 30 January 2026. https://www.gov.pl/web/cyfryzacja/cyberatak-na-infrastrukture-sektora-energii-w-polsce-opublikowano-szczegolowy-raport-cert-polska

[10] Office of Poland’s Prime Minister, *Poland Stops Cyberattacks on Energy Infrastructure*, 15 January 2026. https://www.gov.pl/web/primeminister/poland-stops-cyberattacks-on-energy-infrastructure

[11] Council of the EU, sanctions of 13 July 2026. https://www.consilium.europa.eu/en/press/press-releases/2026/07/13/russian-cyber-attacks-and-destabilising-activities-council-sanctions-nine-individuals-and-four-entities/

[12] Council of the EU, Russia cyber ecosystem statement, 13 July 2026. https://www.consilium.europa.eu/en/press/press-releases/2026/07/13/cyber-russia-statement-by-the-high-representative-on-behalf-of-the-european-union-denouncing-russia-s-malicious-cyber-ecosystem-targeting-the-eu-its-member-states-and-international-partners/

[13] Council of the EU, cyber sanctions involving entities in China and Iran, 16 March 2026. https://www.consilium.europa.eu/en/press/press-releases/2026/03/16/cyber-attacks-against-the-eu-and-its-member-states-council-sanctions-three-entities-and-two-individuals/

[14] CERT-EU, *Cyber Brief 26-09 — August 2026*, issued 3 September. https://cert.europa.eu/publications/threat-intelligence/cb26-09/

[15] Google Cloud / Mandiant, *M-Trends 2026*, 23 March 2026, investigations during 2025. https://cloud.google.com/blog/topics/threat-intelligence/m-trends-2026

[16] IMF, *Global Financial Stability Report*, April 2024, cyber-risk chapter. https://www.imf.org/en/publications/gfsr/issues/2024/04/16/global-financial-stability-report-april-2024

[17] IMF, *Global Financial Stability Report*, October 2026. https://www.imf.org/en/publications/gfsr/issues/2026/10/13/global-financial-stability-report-october-2026

[18] IMF, *Artificial Intelligence and Cybersecurity in the Financial Sector*, 30 June 2026. https://www.imf.org/en/publications/imf-notes/issues/2026/06/29/artificial-intelligence-and-cybersecurity-in-the-financial-sector-576706

[19] EEAS, *Fourth FIMI Threat Report*, March 2026. https://www.eeas.europa.eu/sites/default/files/2026/documents/EEAS%204th%20Threat%20Report_web.pdf

[20] Microsoft, *2026 Digital Defense Report*, 1 October 2026. https://www.microsoft.com/en-us/security/security-insider/threat-landscape/2026-digital-defense-report

[21] Google Threat Intelligence Group, *From Prompting to Autonomy*, 8 September 2026. https://cloud.google.com/blog/topics/threat-intelligence/from-prompting-to-autonomy-the-evolution-of-adversarial-ai

[22] ICRC, *Six ICT-related threats faced by civilian populations*, 16 July 2026. https://www.icrc.org/en/article/icrc-working-paper-six-ict-related-threats-civilian-populations

[23] ICRC, *Protecting civilians and objects against cyber harm*, 29 April 2025. https://www.icrc.org/en/article/resolution-protecting-civilians-objects-against-ict-activities-armed-conflict