Queda da Microsoft: o que derrubou Outlook e Teams

Na quinta-feira, 12 de novembro de 2026, gente abriu o Outlook e a caixa não carregou. No dia seguinte, partes do Teams e do Copilot, o assistente de inteligência artificial da Microsoft, falharam junto. O Downdetector recebeu relatos de mais de 70 países. Governos, tribunais, hospitais, empresas e companhias aéreas sentiram o efeito, porque o dia a dia de muita organização passa por esse pacote. Na mesma sexta, os voos nos Estados Unidos pararam. Quem via as duas telas tratou como um ataque só.

A Microsoft descartou essa possibilidade ainda na sexta. A empresa declarou que o incidente era técnico, sem relação com ataque nem com agente de inteligência artificial. A origem descrita por ela: um problema introduzido numa ampliação anterior de capacidade de rede, que apareceu depois de uma mudança recente nessa rede. O Azure, a nuvem, continuou no ar. No sábado, 14 de novembro, o serviço foi restabelecido para os clientes e regiões que ainda faltavam. A interrupção chegou a durar quase 24 horas. A Microsoft também afirmou que essa queda não provocou a suspensão dos voos. Esse outro caso está em por que os voos foram cancelados nos EUA.

O que voltou ao noticiário no mesmo dia 13, e esse sim foi ataque, tinha acontecido duas semanas antes. Em 29 de outubro, carteiras da Binance foram esvaziadas. A corretora estimou cerca de US$ 6,3 bilhões. O FBI atribuiu o roubo ao grupo TraderTraitor, ligado à Coreia do Norte. A entrada começou com uma entrevista de emprego falsa. O anúncio do Departamento de Justiça, de bloqueio de mais de US$ 1,2 bilhão, caiu na sexta da pane aérea e colou o roubo antigo na manchete do dia.

Respostas diretas

Quatro assuntos circularam juntos naquela semana. Cada um tem causa própria. O detalhe está nas seções abaixo.

• A queda da Microsoft foi ataque hacker? Não. Nas primeiras horas, com o Outlook fora e os voos parados, a leitura foi de um ataque só. A Microsoft declarou problema técnico numa ampliação de capacidade de rede, sem relação com ataque nem com agente de inteligência artificial. O serviço foi restabelecido no sábado, 14 de novembro.
• O roubo da Binance foi ataque hacker? Sim. Em 29 de outubro de 2026 saíram cerca de US$ 6,3 bilhões, na conta da própria Binance. O FBI atribuiu o roubo ao grupo TraderTraitor, ligado à Coreia do Norte. A entrada começou com uma entrevista de emprego falsa. O caso voltou ao noticiário em 13 de novembro, no dia da pane aérea.
• O caso da Nvidia foi um vazamento de dados da empresa? Não há essa conclusão. O conselho apurou se Jensen Huang tinha sido alvo de espionagem. A Nvidia informou não ter motivo para crer que segredos da empresa ou a segurança nacional tenham sido comprometidos.
• 33 países mandaram estocar comida por causa desses apagões? Não. A lista junta orientações de proteção civil publicadas em datas diferentes, como a reserva de 72 horas recomendada pela União Europeia em março de 2025.

A queda da Microsoft foi ataque hacker?

Não. A declaração da empresa saiu com o serviço ainda fora do ar. Dá para afastar ataque antes de ter o sistema de pé, quando a causa já está identificada. Quem juntou o e-mail caído com o aeroporto parado fez uma leitura compreensível nas primeiras horas. No sábado, as duas apurações tinham se separado: mudança de rede na Microsoft, manutenção de cabos na rede da FAA. O mesmo tipo de causa, uma mudança que não ficou contida, com autores diferentes.

O caminho dentro da Microsoft, no relato da própria empresa, começou numa ampliação de capacidade de rede. O problema ficou latente e apareceu depois de uma mudança recente nessa rede. Outlook foi o primeiro a falhar, na quinta. Teams e Copilot vieram em seguida. O Azure continuou no ar, o que já separava "a nuvem inteira caiu" de "um pedaço do pacote de trabalho caiu". No sábado, 14 de novembro, a empresa informou o restabelecimento, pediu desculpas pela interrupção e repetiu que não havia ataque nem agente de inteligência artificial.

O roubo da Binance foi ataque hacker?

Sim. Enquanto a Microsoft e o governo americano afastavam ataque nos sistemas que tinham parado naquela sexta, o caso da Binance seguia o caminho contrário. O roubo era antigo. A manchete é que era nova.

Em 29 de outubro de 2026, carteiras da Binance foram esvaziadas em várias redes de criptomoeda ao longo de algumas horas. A Binance estimou o impacto em cerca de US$ 6,3 bilhões e se comprometeu a cobrir o prejuízo com fundo próprio, no valor de US$ 6,34 bilhões. A Elliptic, que rastreia esse mercado, contabilizou US$ 6,43 bilhões. É o maior roubo de criptomoeda já registrado, acima dos US$ 1,46 bilhão tirados da Bybit em fevereiro de 2025.

O FBI atribuiu o caso ao TraderTraitor, grupo ligado à Coreia do Norte. O caminho de entrada, descrito pela própria Binance, começou com entrevista de emprego falsa: um engenheiro, no notebook de trabalho, baixou um "teste" que continha código malicioso. A partir daí os invasores chegaram à infraestrutura que assina as carteiras. Não foi uma pessoa só. Em 13 de novembro, o mesmo dia da suspensão dos voos, o Departamento de Justiça dos EUA anunciou o bloqueio de mais de US$ 1,2 bilhão. No conjunto, governo e empresas do setor tinham congelado mais de US$ 2,7 bilhões. Cobrir o saldo do cliente é uma coisa. Recuperar a moeda que o invasor já moveu é outra.

Não há ligação com a FAA nem com a queda da Microsoft. O que os três fatos compartilham é o calendário em que o público os viu juntos.

Nvidia e a lista dos 33 países

O carrossel que juntou "tudo ao mesmo tempo" incluía mais dois itens. Os dois são reais. Nenhum dos dois é pane de sistema nem o mesmo evento dos voos. Entraram na mesma história porque circularam na mesma quinzena, com a causa de cada um ainda mal explicada.

No caso da Nvidia, o conselho abriu apuração, no início de novembro, para saber se Jensen Huang tinha sido alvo de uma ação de inteligência estrangeira, depois de reportagens sobre um relacionamento com uma empresária apontada como agente da China. Huang admitiu a infidelidade. A Nvidia informou não ter motivo para crer que segredos da empresa ou a segurança nacional tenham sido comprometidos. Pequim classificou a suspeita como infundada. O Departamento de Justiça, naquele momento, ainda não tinha concluído se houve espionagem. Reportagens dos dias seguintes deram conta de que Huang deixou o cargo de CEO e foi convocado a depor. É investigação sobre pessoa e sobre suspeita de espionagem. Não é o apagão da Microsoft e não é o roubo da Binance.

A lista de 33 países que recomendam reserva de água e comida circula desde o começo de novembro de 2026. Ela soma orientações de proteção civil feitas em datas diferentes, para clima, queda de serviço e conflito. A estratégia de preparação da União Europeia é de 26 de março de 2025 e fala em suprimento doméstico para pelo menos 72 horas. A Alemanha recomenda reserva de até dez dias. Não é um alerta disparado por causa da sexta-feira dos voos, e não significa que esses países estejam diante de uma falta de comida agora.

Ataques que já aconteceram, fora dessa semana

A semana de novembro concentrou a conversa porque vários fatos graves caíram juntos e, no começo, pareciam um só. Os ataques a empresa, com dado ou com sistema de balcão, já tinham acontecido antes, quase sempre por um fornecedor ou por alguém que se passou por funcionário.

• SITA, fevereiro de 2021. Invasores acessaram dados de milhagem em servidores da fornecedora. American e United avisaram clientes: nome, número do programa e nível na aliança. Senha e cartão ficaram de fora. A conta pública passa de 2 milhões de viajantes no mundo.
• Delta, divulgado em abril de 2018. O vazamento foi no [24]7.ai, empresa do chat de atendimento, entre setembro e outubro de 2017. A Delta falou em centenas de milhares de clientes com dado de cartão exposto.
• MOVEit, maio de 2023. O grupo Clop explorou falha numa ferramenta de transferência de arquivos e levou dados de milhares de organizações. A Delta confirmou depois que um arquivo de diretório interno (nome, contato, local de trabalho) tinha saído de um parceiro, não dos sistemas dela.
• Scattered Spider, junho e julho de 2025. O FBI avisou que o grupo tinha passado a mirar aviação, inclusive fornecedor. A entrada típica é engenharia social: alguém convence o suporte a liberar acesso. A Hawaiian manteve os voos no horário. A Qantas teve até 6 milhões de contas expostas numa plataforma de call center de terceiro (nome, e-mail, telefone, data de nascimento e número de milhagem). Cartão e passaporte não estavam naquele sistema.
• Collins Aerospace / RTX, 19 de setembro de 2025. Ransomware no software de check-in e bagagem usado por várias companhias no aeroporto. Os balcões foram para processo manual, com atraso e cancelamento, sobretudo na Europa. Aqui o ataque atrasou voo de verdade, porque o sistema atingido era o do balcão.

Como a ISO 27001 protege a empresa nesses casos

A semana juntou dois desfechos que uma empresa precisa conseguir segurar. Na Microsoft, uma mudança de rede tirou Outlook e Teams do ar, e a primeira leitura do público foi invasão. Na Binance, a invasão existiu: bilhões saíram porque um engenheiro baixou um teste de emprego falso no notebook de trabalho. Nos ataques anteriores, o dado saiu por fornecedor de milhagem, de chat, de arquivo ou de call center. A Collins mostrou o terceiro desenho: o ataque no sistema do balcão atrasou voo de verdade.

A ISO 27001 é a norma que organiza essa proteção num sistema de gestão da segurança da informação (SGSI). Ela cobre sigilo, integridade e disponibilidade juntos. Sigilo é o cadastro que não pode vazar. Integridade é o dado que não pode ser alterado por quem não devia. Disponibilidade é o e-mail, o pedido e o caixa que precisam continuar no ar. O sistema serve para evitar o incidente que nasce de mudança sem controle ou de acesso liberado demais, e para responder quando o ataque chega.

O que estes casos pedem, na prática, a norma já lista. A empresa escolhe o que se aplica ao próprio risco e passa a operar no dia a dia:

• Gestão de mudanças (controle 8.32). Ampliação de rede, atualização de segurança e troca de fornecedor de nuvem entram em janela, com teste e com volta atrás. Foi o padrão da Microsoft em novembro de 2026 e o da CrowdStrike em julho de 2024.
• Fornecedor e nuvem (controles 5.19 a 5.23). E-mail, call center, transferência de arquivo e chat de atendimento são de terceiro. SITA, [24]7.ai, MOVEit e o call center da Qantas mostram o dado saindo por essa porta. O mapa está em Anexo A e políticas.
• Pessoas (controle 6.3) e acesso privilegiado (controle 8.2). Entrevista falsa, ligação urgente e pedido de arquivo no notebook de trabalho são o caminho da Binance e do Scattered Spider. Quem tem acesso de administrador não usa esse acesso no mesmo hábito do dia a dia.
• Incidentes (controles 5.24 a 5.28). Classificar, conter, avisar quem precisa e aprender. "Não foi hacker" não encerra o registro. A queda do e-mail por um dia também entra, inclusive o intervalo em que o público ainda acha que foi ataque.
• Disponibilidade (controles 5.29 e 5.30). Se o Microsoft 365 parar, o que a empresa ainda consegue faturar, atender e pagar nas próximas horas. A continuidade se prova num ensaio, não numa frase de política.

Requisitos do sistema, cláusulas 4 a 10, em requisitos da ISO 27001. Para quem vai implantar, como implementar a ISO 27001 e consultoria ISO 27001.

O que a sua empresa faz agora

Casos como estes têm aparecido em sequência curta: falha de mudança que para o serviço e ataque que leva dado ou dinheiro, muitas vezes pelo mesmo tipo de porta (fornecedor, acesso de pessoa, atualização). A proteção útil cabe em cinco verificações.

• Treine quem atende ligação e quem participa de processo seletivo técnico. Pedido de arquivo, acesso remoto e "urgência do chefe" só seguem por um segundo canal, conhecido. Foi por aí que a Binance começou.
• Separe o acesso de administrador do notebook do dia a dia. Quem assina produção, carteira, folha ou nuvem não faz isso na mesma sessão em que abre um anexo de desconhecido.
• Coloque mudança de rede, de nuvem e de atualização de segurança em janela. Com teste e com volta atrás. A Microsoft descreveu exatamente uma mudança de rede que apareceu depois. Sem janela, a empresa descobre o efeito junto com o cliente.
• Liste o que para se a Microsoft, o banco ou o atendimento caírem. Tenha um jeito manual de operar o essencial por algumas horas: pedido, cobrança, aviso ao cliente. A Collins levou aeroportos de volta ao check-in manual. Quem nunca ensaiou descobre o procedimento na fila.
• Registre os dois tipos no mesmo livro de incidentes. Falha de mudança e invasão. A revisão da direção olha frequência, causa e o que mudou depois. Política que não gera esse registro não passa de intenção.

Se a sua empresa depende de nuvem, de fornecedor de atendimento ou de um sistema que uma atualização pode derrubar, o próximo passo é ver o que já existe de proteção. A consultoria ISO 27001 monta esse sistema. Quem emite o certificado é o organismo acreditado. Diagnóstico gratuito