Ataque hacker derruba sistemas do TJMT e suspende prazos judiciais

O Tribunal de Justiça de Mato Grosso (TJMT) confirmou nesta segunda-feira (22) que um incidente de segurança afetou parte de sua infraestrutura tecnológica e levou à retirada do ar de sistemas institucionais, incluindo o Processo Judicial Eletrônico (PJe). Segundo o tribunal, a indisponibilidade foi adotada como medida preventiva e de contenção, enquanto equipes técnicas investigam a extensão do ataque. Credenciais de acesso foram redefinidas, acessos sensíveis restritos e prazos processuais, audiências e sessões, suspensos — o plantão judiciário passou a atender apenas medidas urgentes, em papel. Até o momento, o TJMT informou não ter identificado indícios de vazamento de dados nem comprometimento dos backups, mas a retomada dos serviços será gradual e sem prazo definido para normalização completa. Fontes: Olhar Digital, UOL/Tilt.

O caso ilustra uma classe de risco que não é exclusiva do Judiciário: sistemas que executam ações críticas — e que, quando derrubados, paralisam a operação por completo. O TJMT precisou suspender o PJe e retroceder ao atendimento em papel, algo impensável para uma instituição que processa milhares de atos judiciais por dia. Para qualquer organização que dependa de sistemas online para entregar seu serviço principal — seja um tribunal, uma fintech de pagamentos, uma plataforma de crédito ou uma corretora — a pergunta não é "se" um incidente vai acontecer, mas se a superfície de ataque está mapeada, se os controles de acesso são testados continuamente e se o plano de retomada funciona na prática, não só no papel. O TJMT afirmou que os backups não foram comprometidos — mas ainda assim a volta está sendo gradual e sem data. Backup íntegro é condição necessária, não suficiente: é preciso testar a restauração, isolar ambientes, validar a integridade dos dados e ter um runbook de retomada exercitado. Organizações que não fazem isso descobrem, no dia do incidente, que o DRP que estava "ok no slide" não resiste ao mundo real.

A lição para organizações com sistemas críticos — especialmente as que operam no ecossistema financeiro e de pagamentos — é que a resiliência operacional precisa ser validada, não presumida. Isso significa testar continuamente a superfície exposta (subdomínios, APIs, painéis administrativos), verificar se controles de acesso e credenciais privilegiadas resistem a um ataque real, e garantir que a trilha de auditoria permita reconstruir o que aconteceu — com evidência técnica, não com memória. O BCB tem sido explícito sobre a expectativa de que instituições reguladas mantenham capacidade de continuidade operacional mesmo sob incidente. Um sistema que sai do ar e suspende a operação por dias não está em conformidade com essa expectativa — seja no Judiciário, seja no mercado financeiro.