No dia 28 de junho de 2026, a Autoridade de Habitação do Distrito de Columbia, em Washington DC, descobriu que havia sido vítima de um ataque cibernético. Como medida de precaução, a agência desligou todo o seu ambiente de rede. Três semanas depois, em 20 de julho, conseguiu retomar as operações normais de todos os departamentos. No intervalo, cerca de 30 mil famílias atendidas pela autoridade ficaram com serviços comprometidos, e um subconjunto de dados sensíveis foi confirmado como violado, incluindo informações pessoais identificáveis.
O episódio não é isolado. É mais um dado numa tendência que se acelera a cada ano e que coloca os governos locais diante de uma realidade desconfortável: eles concentram dados valiosos e sensíveis da população, operam com recursos de segurança limitados e estão cada vez mais na mira de atores maliciosos que aprenderam que o setor público é um alvo lucrativo e frequentemente despreparado.
Por que agências de habitação pública são alvos atraentes
Troy LePage, diretor de operações da HAI Group, seguradora especializada no setor de habitação pública e acessível, explica a lógica dos ataques de forma direta: “Não acredito que os atores maliciosos estejam mirando especificamente as autoridades de habitação pública. Acho que eles estão mirando oportunidade.”
Essa oportunidade tem dois componentes. O primeiro é o valor dos dados: autoridades de habitação acumulam informações de renda, documentos fiscais como W2, dados de validação de benefícios e uma série de outras informações pessoais sensíveis de populações vulneráveis. O segundo é a fragilidade dos sistemas: essas agências operam com orçamentos de tecnologia e equipes de segurança significativamente menores do que outras instituições que lidam com volumes similares de dados confidenciais.
“Quando você soma a existência de valor e a oportunidade que se apresenta aos atores maliciosos, que já provaram ser bem-sucedidos nesse espaço, é uma combinação ruim”, disse LePage durante um webinar realizado em maio. O sucesso atrai repetição, e LePage estende esse raciocínio para municípios em geral.
Atacante pode estar dentro do sistema há meses antes de agir
Um dos aspectos mais inquietantes dos ataques a agências públicas é o tempo que os invasores passam dentro dos sistemas antes de serem detectados ou de executarem o golpe. Doug Fleming, diretor executivo da Lansing Housing Commission, em Michigan, que sofreu uma violação de dados em 2020, relatou que os atacantes haviam penetrado nos sistemas da agência três ou quatro meses antes de agir. “Eles estavam por lá, apenas aguardando”, disse.
Esse padrão, em que invasores estabelecem acesso silencioso e passam semanas ou meses mapeando o ambiente antes de atacar, é especialmente difícil de detectar com sistemas de monitoramento convencionais. O vetor de entrada frequente são erros humanos, como o clique num link de phishing em e-mail, que dão aos atacantes as credenciais de que precisam para entrar sem levantar alarmes.
Um problema que se repete em cidades americanas
Washington não está sozinha. St. Paul, em Minnesota, passou meses se recuperando de um ataque de ransomware no ano passado. Foster City, na Califórnia, teve a maioria dos serviços municipais paralisados por semanas na primavera de 2026 após um incidente similar. Uma análise da Motorola Solutions identificou aumento de 42% nos ataques cibernéticos a redes de governos locais em 2025, tendência parcialmente atribuída ao uso de inteligência artificial pelos próprios atacantes para automatizar e sofisticar as investidas.
O cenário é agravado pela queda de confiança dos próprios responsáveis pela segurança: uma pesquisa recente com diretores de segurança da informação de governos estaduais americanos revelou que eles estão perdendo confiança em sua capacidade de combater os ataques. Quando quem está na linha de frente da defesa começa a duvidar de si mesmo, o problema se torna ainda mais estrutural.
O que a DCHA fez e o que isso ensina
A Autoridade de Habitação do Distrito de Columbia afirma seguir padrões da indústria em cibersegurança, incluindo monitoramento de ameaças 24 horas, autenticação multifator, segurança em camadas para e-mail e proteção de endpoints. Após o incidente, a agência anunciou medidas adicionais para fortalecer a segurança da rede e atualizar políticas, procedimentos e protocolos em consulta com sua equipe de cibersegurança. Para os 30 mil famílias potencialmente afetadas, ofereceu monitoramento de crédito e assistência contra roubo de identidade.
A resposta da DCHA ilustra um padrão comum: os investimentos em segurança mais visíveis acontecem depois do ataque, não antes. Isso não é negligência, é o resultado de orçamentos restritos, prioridades concorrentes e a dificuldade de justificar gastos preventivos em ambientes onde o risco ainda não se materializou.
Prefeituras e agências brasileiras precisam aprender
No Brasil, autoridades de habitação, secretarias de assistência social e outros órgãos que concentram dados sensíveis de populações vulneráveis enfrentam dilema semelhante: alta posse de informações valiosas, recursos de segurança limitados e pouca visibilidade sobre o nível real de exposição de seus sistemas.
A lição do caso de Washington não é que ataques são inevitáveis, embora o risco seja real e crescente. É que o custo de não investir em cibersegurança antes do incidente (em tempo de recuperação, danos à reputação, exposição de dados de pessoas vulneráveis e paralisação de serviços essenciais) é muito maior do que o custo de construir defesas adequadas. Para gestores públicos que ainda tratam cibersegurança como item de segunda ordem no orçamento, o caso de Washington é mais um argumento para mudar essa priorização antes que o ataque decida por eles.
