Talvez você já tenha recebido no WhatsApp: em 17 de novembro, um ataque hacker vai zerar as contas dos bancos e desligar a internet por três meses. Vem com vídeo, print de notícia de verdade e às vezes um episódio de Os Simpsons que "previu tudo".
Eu trabalho com sites e sistemas, e escrevi aqui sobre os dois ataques reais que alimentam esse medo. Então vale separar com calma o que é fato, o que é exagero e o que, de fato, merece a sua atenção.
O que está marcado para 17 de novembro
Um teste. A FEMA e a FCC, órgãos do governo americano, vão testar o sistema nacional de alerta de emergência dos EUA na terça, 17 de novembro, às 14h20 no horário de Washington (16h20 em Brasília). O teste dura cerca de um minuto, passa só em rádio e TV, e a própria mensagem diz que é um teste. Se não der, a data reserva é 3 de dezembro (Wiley, TV Technology).
É só isso. Não existe comunicado de governo, banco central, operadora ou empresa de energia sobre desligamento de nada nessa data. Veículos brasileiros que checaram o boato chegaram à mesma conclusão (Arede).
Os fatos reais que o boato usa
O boato funciona porque não nasce do nada. Ele pega coisas que aconteceram de verdade e dá um salto no final. Os fatos:
- Governos tiraram sites do ar em outubro. Em 21 de outubro saiu a correção do PHP2Shell, uma falha crítica no PHP, a linguagem que roda a maior parte dos sites. Por precaução, órgãos da Holanda, Finlândia, França, Dinamarca, Bélgica e Alemanha tiraram sites do ar por algumas horas até aplicar a correção. Na Holanda, até o porto de Roterdã e sites de hospitais. Os próprios governos disseram que não havia ataque registrado: era manutenção preventiva (Reuters, via The Star). Eu expliquei a falha e como conferir o seu site em PHP2Shell. A imprensa de tecnologia apelidou o mês de "Black October", mas o nome é informal.
- Houve ataques a geladeiras e a bancos de sangue. Invasores esquentaram as geladeiras de centenas de supermercados europeus e mexeram na temperatura do plasma de bancos de sangue franceses. Contei com fonte em geladeira, banco de sangue e Binance. Foram graves, mas localizados, e os sistemas afetados eram equipamentos esquecidos e desatualizados.
- 33 países orientam a população a ter um kit de emergência. É verdade, segundo levantamento da revista Newsweek. Mas o prazo é de cerca de 72 horas na maioria, e de uns 10 dias na Alemanha, o maior. São orientações permanentes, para tempestade, falta de luz, conflito e ataque. O Japão faz isso há décadas por causa de terremotos (Newsweek).
- Um executivo falou em "pandemia cibernética". Em 2020, na abertura do exercício Cyber Polygon, Klaus Schwab, fundador do Fórum Econômico Mundial, disse que a crise da covid seria vista como pequena perto de um grande ataque cibernético. Lido inteiro, o discurso descreve um cenário para o qual governos deveriam se preparar, e não um plano ou uma data (Cyber Polygon; contexto em Mimikama).
Agora repare no salto. "Sites saíram do ar por horas para trocar a fechadura" vira "a internet vai desligar". "Kit para três dias" vira "estoque para três meses". "Cenário de exercício" vira "plano com data marcada". E a data, 17 de novembro, vem de um teste de alerta que não tem nada a ver com internet e de um episódio de desenho animado de 2023. Cada peça existe. A conclusão não.
Por que a internet não desliga inteira
Não existe um botão. A internet é a soma de dezenas de milhares de redes independentes, de operadoras, empresas, universidades e governos, que combinam entre si por onde o tráfego passa. Quando uma rota cai, seja um cabo submarino, um provedor ou um data center, o tráfego procura outro caminho. A energia também não é uma tomada única: as redes elétricas são regionais e nacionais, e um problema na Europa não tem ligação física com a usina que abastece o Brasil.
Isso não quer dizer que nada cai. Cai, e às vezes muito. Três exemplos recentes:
- Julho de 2024: uma atualização com defeito da empresa de segurança CrowdStrike travou cerca de 8,5 milhões de computadores com Windows, segundo a Microsoft. Aeroportos, hospitais e bancos pararam. A correção saiu em horas; religar máquina por máquina levou dias.
- Outubro de 2025: uma falha numa região da AWS, a nuvem da Amazon, derrubou por boa parte de um dia aplicativos e sites que dependiam dela (relatório da AWS).
- Novembro de 2025: um erro de configuração na Cloudflare deixou fora do ar, por algumas horas, uma fatia grande dos sites que passam por ela (relatório da Cloudflare).
Nenhum desses foi ataque, e todos foram resolvidos em horas ou dias. É assim que a internet falha: em pedaços, por um tempo, e volta. Três meses de internet desligada no mundo todo pararia a economia de todos os países ao mesmo tempo, inclusive a de quem supostamente faria isso. Também não é verdade que qualquer instabilidade é ataque: na última vez que o Pix oscilou no país todo, em agosto, o Banco Central disse que a causa foi técnica e descartou ataque cibernético (Times Brasil).
Prefere a notícia checada ao boato do WhatsApp?
Um e-mail quando aparecer uma falha, um golpe ou uma tecnologia que mexe com o seu site ou o seu negócio: o que aconteceu, com fonte, e o que fazer. Sem spam, cancele quando quiser.
O risco real de 17 de novembro: o golpe que usa o medo
Quando um boato com data se espalha, quem ganha é o golpista. O medo faz a pessoa agir rápido, e agir rápido é tudo o que um golpe precisa. Desconfie de qualquer mensagem que use o apagão como motivo para você:
- sacar ou transferir dinheiro "antes que os bancos zerem as contas";
- atualizar cadastro, confirmar dados ou instalar um aplicativo "para proteger a conta";
- informar senha, token ou código recebido por SMS;
- clicar num link para "verificar se a sua conta está segura".
Banco não pede senha nem código por mensagem ou ligação. Se ficar na dúvida, feche a mensagem e abra o aplicativo do banco direto, sem usar o link que chegou. E, se for o caso, avise quem mandou: na maioria das vezes, quem repassa o boato está com medo, não de má-fé.
E na sua empresa, o que pesa de verdade
O apocalipse não vem. Mas o risco que derrubou os supermercados europeus continua aí, e é bem mais comum: o sistema que ninguém atualiza, a porta esquecida na internet, a senha padrão, o backup que nunca foi testado. Em outubro, quem manteve o PHP em dia nem precisou tirar o site do ar. Três hábitos resolvem a maior parte:
- Saber o que está na internet e se está atualizado: site, painel, sistema, planilha compartilhada.
- Ter cópia de segurança fora do lugar original, e já ter testado voltar com ela. Escrevi um passo a passo em como fazer backup do seu site.
- Saber quanto custa ficar parado. Não por três meses, mas por duas horas: se o site, o sistema ou a planilha principal caírem hoje, o que a equipe deixa de fazer? Essa resposta diz quanto vale se proteger.
Em casa, o que as defesas civis pedem é sensato e cabe numa caixa: água, comida que não estraga, remédios de uso contínuo, lanterna, pilhas, um carregador portátil e algum dinheiro em espécie para alguns dias de falta de luz por temporal. É o mesmo kit de sempre, não um preparo para o fim do mundo.
O Audit-X olha o seu site de graça, de fora, do jeito que um invasor olharia primeiro, e diz o que está exposto. Para o resto, como o sistema antigo, o banco de dados, a planilha com dados de clientes e o plano para não ficar parado, a BPSO revisa com você o que é urgente, o que pode esperar e quanto custa cada coisa.
Os ataques reais deste mês, e as portas que eles usaram →
Quero revisar a segurança da minha empresa
Datas e números conferidos nas fontes linkadas em 8 de novembro de 2026. As panes de 2024 e 2025 seguem os relatórios das próprias empresas. Se algo oficial mudar antes do dia 17, este texto será atualizado.