Ataque de ransomware ao TJRS: cinco anos depois

Atualização (setembro de 2026). Esta nota foi publicada originalmente em 3 de maio de 2021, poucos dias depois do ataque de ransomware aos sistemas do Tribunal de Justiça do Rio Grande do Sul (TJRS), quando os criminosos ainda cobravam o resgate. O relato daquele momento está preservado abaixo, com uma correção de data e três desdobramentos que só apareceram depois: o fim do grupo responsável, as condenações em dois países e a norma que o Conselho Nacional de Justiça (CNJ) editou como resposta.

Na manhã de quarta-feira, 28 de abril de 2021, servidores do TJRS encontraram os arquivos criptografados e uma tela azul pedindo que procurassem um arquivo de instruções. Era um ataque de ransomware. Os criminosos pediram US$ 5 milhões, mais de R$ 27 milhões pela cotação de maio de 2021, para devolver os dados sequestrados, e o tribunal ficou dias com os sistemas indisponíveis.

O ataque de ransomware que parou o TJRS

Antes de tudo, o relato original desta nota descrevia a cena com precisão. Funcionários que tentaram acessar remotamente os recursos da rede descobriram que o conteúdo buscado não estava mais disponível. Tudo havia sido criptografado. No lugar dos arquivos, apareceu uma tela azul com texto em inglês mandando procurar a nota de resgate no arquivo “34o0n-readme.txt”.

Em seguida, o tribunal suspendeu o atendimento ao público e passou a operar com um site provisório, informando pelas redes que os sistemas de informática estavam fora do ar. Enquanto isso, advogados e partes ficaram sem acesso aos autos, aos prazos e às intimações. Na prática, o processo eletrônico parou junto com o servidor.

Logo depois, veio a identificação do programa: a variante Sodinokibi, mais conhecida como REvil. Como o texto de 2021 já explicava, ela não era operada por uma única pessoa ou gangue. Na verdade, funcionava como plataforma: os autores vendiam o acesso a afiliados, que executavam as invasões e dividiam o resgate. Naquele mesmo período, a plataforma cobrava US$ 50 milhões da Quanta Computer. A fabricante global fornece a empresas de tecnologia e é fornecedora terceirizada da Apple em Taiwan. O número dá a medida da escala em que o grupo operava.

Ainda assim, o episódio não foi isolado. Meses antes, outro tribunal superior brasileiro havia sofrido invasão semelhante. Por isso, a sequência de ataques a órgãos públicos entre 2020 e 2021 acabou provocando resposta institucional.

O que aconteceu com o grupo REvil

A cobrança dos US$ 5 milhões nunca virou notícia de pagamento. Com o tempo, porém, a plataforma acabou alcançada pela repressão penal em dois países.

Em janeiro de 2022, a pedido de autoridades norte-americanas, o serviço federal de segurança da Rússia executou 25 buscas. Foram 14 pessoas presas por ligação com a operação Sodinokibi/REvil e cerca de US$ 6,6 milhões apreendidos. Depois disso, em 1º de maio de 2024, o Departamento de Justiça dos Estados Unidos anunciou a condenação de Yaroslav Vasinskyi, cidadão ucraniano extraditado da Polônia. A pena foi de 13 anos e 7 meses de prisão, somada à restituição de mais de US$ 16 milhões. Segundo o comunicado, o esquema conduziu mais de 2.500 ataques de ransomware e exigiu cerca de US$ 700 milhões em resgates.

Por fim, em 25 de outubro de 2024, um tribunal russo condenou outros quatro integrantes a penas de 4 anos e 6 meses a 6 anos. Em regra, esse desfecho é raro. No ataque de ransomware, o anonimato e a distância entre países costumam garantir impunidade.

A resposta do CNJ: a Resolução n. 396/2021

Cinco semanas depois do ataque de ransomware ao TJRS, veio a resposta normativa. O CNJ editou a Resolução n. 396, de 7 de junho de 2021. Ela instituiu a Estratégia Nacional de Segurança Cibernética do Poder Judiciário, a ENSEC-PJ.

Antes de mais nada, o texto deixou de tratar segurança como assunto de departamento de informática. Ele passou a exigir dos tribunais um comitê de governança de segurança da informação ligado à alta administração. Exige também gestão de riscos por normas técnicas internacionais e equipe própria de tratamento e resposta a incidentes. Há ainda um ponto nada trivial: destinação orçamentária específica para o tema. A resolução cobra, além do mais, capacitação continuada e adoção de criptografia e de gestão unificada de usuários.

Na prática, o ataque de ransomware ao TJRS ajudou a transformar boa vontade técnica em dever normativo. Para o jurisdicionado, isso significa que a indisponibilidade de um sistema deixou de ser fatalidade e passou a ser falha mensurável, com responsáveis identificáveis dentro da estrutura do tribunal.

Ataque de ransomware e prazo processual: o que o CPC resolve

Um ataque de ransomware derruba o sistema, mas não suspende prazo automaticamente. Para quem litiga, essa é a fonte de erro mais comum, e ela custa recurso perdido por intempestividade.

O art. 224, § 1º, do Código de Processo Civil (CPC) é específico: havendo indisponibilidade da comunicação eletrônica, prorrogam-se para o primeiro dia útil seguinte apenas o dia do começo e o dia do vencimento do prazo. Indisponibilidade no meio do prazo, portanto, não gera prorrogação. Em regra, o Superior Tribunal de Justiça (STJ) aplica esse recorte com rigor.

Há também uma exigência de prova. O STJ entende que a indisponibilidade alegada deve ser comprovada no momento oportuno, por documento idôneo. A simples juntada de imagens extraídas da internet não basta para demonstrar a tempestividade do recurso. Assim assentou a Terceira Turma no AgInt nos EDcl no AREsp 1.711.639/SP, relatoria do ministro Moura Ribeiro, julgado em 25 de abril de 2022.

A conclusão prática é direta. Depois de um ataque de ransomware, ou de qualquer queda de sistema, o advogado precisa de dois cuidados imediatos. O primeiro é obter a certidão ou o comunicado oficial do tribunal atestando a indisponibilidade, com data e horário. O segundo é verificar se ela alcançou o primeiro ou o último dia do prazo. Sem esses dois elementos, a alegação tende a não sustentar a tempestividade.

O que o episódio ensinou a escritórios e empresas

Antes de tudo, a primeira lição é de rotina. Escritório que depende de sistema de tribunal precisa de cópia local dos autos relevantes e de controle de prazos independente do sistema oficial. Quem tinha isso em abril de 2021 atravessou a crise; quem não tinha ficou às cegas.

Em seguida, vem a conformidade. Dados de processos contêm informações pessoais e, muitas vezes, sensíveis. A Lei Geral de Proteção de Dados Pessoais impõe ao controlador o dever de adotar medidas de segurança e de comunicar incidentes relevantes. Um vazamento originado no escritório, e não no tribunal, é problema do escritório.

Por fim, há o contrato. Empresas que terceirizam guarda de dados ou operação de sistemas devem tratar do assunto por cláusula específica, com obrigações de notificação, prazos de resposta e responsabilidade por incidente. O ataque de ransomware de 2021 mostrou que a interrupção não é hipótese remota.

O que mudou nesta atualização

Em síntese, o relato de maio de 2021 foi mantido no essencial, com uma correção e três acréscimos.

Antes de tudo, a correção é de data. O texto original registrava que o ataque ocorrera na quarta-feira, 28 de abril de 2020. O ano estava errado por lapso de digitação: a invasão começou em 28 de abril de 2021, o que a própria nota confirmava ao mencionar a cotação de maio de 2021.

Já os acréscimos vieram depois da publicação. O primeiro é o desfecho penal, com a operação russa de janeiro de 2022, a condenação norte-americana de 1º de maio de 2024 e as quatro condenações russas de 25 de outubro de 2024. O segundo é a Resolução CNJ n. 396, de 7 de junho de 2021, que transformou segurança cibernética em dever institucional dos tribunais. O terceiro é a parte prática que faltava ao texto original: o que o CPC exige de quem perde prazo por sistema fora do ar depois de um ataque de ransomware.

Segurança da informação virou, nos últimos anos, matéria jurídica com norma, prazo e consequência. Avaliar a exposição concreta de cada estrutura, antes do incidente, custa bem menos do que reagir depois dele.

Publicações relacionadas

Execução fiscal: o passo a passo e como se defender

Ação Popular: A Arma Secreta que Todo Vereador Deveria Conhecer para Combater a Corrupção

Fontes

ESTADOS UNIDOS. Department of Justice. Sodinokibi/REvil Affiliate Sentenced for Role in $700M Ransomware Scheme. Comunicado de 1º de maio de 2024. Disponível em: justice.gov. Acesso em: 9 set. 2026.

BRASIL. Conselho Nacional de Justiça. Resolução n. 396, de 7 de junho de 2021. Institui a Estratégia Nacional de Segurança Cibernética do Poder Judiciário (ENSEC-PJ). Disponível em: atos.cnj.jus.br. Acesso em: 9 set. 2026.

BRASIL. Superior Tribunal de Justiça. Pesquisa Pronta destaca prorrogação do prazo recursal e pronúncia baseada em testemunhos indiretos. Notícia de 19 de maio de 2022. Disponível em: stj.jus.br. Acesso em: 9 set. 2026.

CISO ADVISOR. Ransomware REvil pede US$ 5 milhões de resgate ao TJRS. Matéria de 30 de abril de 2021. Disponível em: cisoadvisor.com.br. Acesso em: 9 set. 2026.

BLEEPING COMPUTER. Brazil’s Rio Grande do Sul court system hit by REvil ransomware. Matéria de 29 de abril de 2021. Disponível em: bleepingcomputer.com. Acesso em: 9 set. 2026.

BLEEPING COMPUTER. Russia sentences REvil ransomware members to over 4 years in prison. Matéria de 25 de outubro de 2024. Disponível em: bleepingcomputer.com. Acesso em: 9 set. 2026.