Segurança para Tribunais e Poder Judiciário: respondendo a ransomware no PJe e estruturando a continuidade da Justiça

Por que tribunais são alvo de alto valor

O Poder Judiciário brasileiro tramita a quase totalidade de seus feitos por meio do processo judicial eletrônico. Sistemas como o PJe, o eproc, o Projudi, o SAJ e outras plataformas de tribunais estaduais, federais e superiores concentram autos completos, decisões, despachos, intimações, certidões e a integridade temporal dos prazos. Esse ambiente reúne três características que o tornam um alvo de altíssimo valor: criticidade operacional (sem o sistema, a jurisdição para), sensibilidade de dados (processos sigilosos, segredo de justiça, dados pessoais de partes, testemunhas, vítimas e menores) e alta visibilidade pública (a paralisação de um tribunal vira notícia nacional em horas).

Para um operador de ransomware, essa combinação é exatamente a que maximiza a pressão por pagamento de resgate: indisponibilidade de um serviço essencial, dano reputacional imediato e dados que, se vazados, geram consequências jurídicas e humanas reais. Para um agente de espionagem ou de fraude processual, o atrativo é o conteúdo: acesso a um processo sob segredo, a uma decisão antes da publicação, ou a capacidade de adulterar um registro pode valer mais do que qualquer resgate. Tribunais, portanto, enfrentam simultaneamente a ameaça de extorsão por indisponibilidade e a ameaça de comprometimento da confidencialidade e da integridade.

A superfície de ataque de um tribunal é ampla e heterogênea: portais públicos de consulta processual, peticionamento eletrônico exposto à internet, integrações com a OAB e com órgãos externos, redes administrativas com milhares de estações, varas e comarcas distribuídas geograficamente, fornecedores terceirizados de TI e de digitalização, e um volume enorme de contas de usuário com perfis de acesso variados. Cada um desses pontos é um vetor potencial — e a maioria dos incidentes graves começa por um deles, não por uma falha exótica do sistema processual em si.

As ameaças que paralisam a Justiça

Ransomware contra o processo eletrônico

O cenário mais temido é o ransomware operado por humanos (human-operated ransomware). Diferente de uma infecção automática e oportunista, esse ataque é conduzido por um operador que invade, escala privilégios, mapeia o ambiente, identifica os backups, desativa defesas e só então dispara a cifragem — geralmente fora do horário de expediente, para maximizar o tempo de propagação. Quando o PJe e os sistemas de apoio são cifrados, o tribunal não perde apenas arquivos: perde a capacidade de protocolar, intimar, decidir e cumprir prazos. O efeito cascata atinge advogados, partes, Ministério Público, defensoria e o próprio cidadão que aguarda uma decisão.

Vazamento de processos sigilosos

Mesmo sem cifragem, a simples exfiltração de autos sob segredo de justiça é um incidente gravíssimo. Há processos que envolvem menores, vítimas de violência, dados de saúde, investigações em curso, segredos comerciais e dados pessoais sensíveis na acepção da LGPD. O vazamento desses dados não é apenas um problema de imagem: é um incidente de segurança que aciona o dever de comunicação à Autoridade Nacional de Proteção de Dados (ANPD) e aos titulares, e que pode expor pessoas a risco concreto. Tribunais são controladores de um dos maiores acervos de dados pessoais sensíveis do país.

Adulteração de registro processual

A integridade dos autos é o pilar da fé pública judicial. Um atacante com acesso suficiente poderia, em tese, tentar alterar uma movimentação, suprimir uma intimação, modificar um documento juntado ou manipular um carimbo de tempo. Mesmo tentativas frustradas de adulteração precisam ser detectadas e provadas como tais — porque a dúvida sobre a integridade de um único processo lança suspeita sobre todos. Por isso, a perícia em incidentes judiciais não responde apenas "o que foi acessado", mas "o que foi ou poderia ter sido alterado, e como provamos que os autos permanecem íntegros".

Phishing e tomada de conta de servidores

A imensa maioria das invasões graves começa por uma credencial. Campanhas de phishing direcionadas a servidores, estagiários, magistrados e técnicos de TI continuam sendo o vetor inicial mais comum. Uma vez de posse de uma conta — especialmente uma sem MFA resistente a phishing ou com MFA por SMS, que é contornável —, o atacante se move lateralmente, abusa de acessos legítimos e se mistura ao tráfego normal. A defesa contra ATO (account takeover) é, na prática, a primeira linha de defesa contra ransomware e vazamento.

Anatomia de uma resposta: PJe paralisado por ransomware

O cenário a seguir é ilustrativo — não descreve um cliente real, mas reúne padrões técnicos que a Decripte observa em incidentes contra organizações de grande porte e contra o setor público. Ele mostra como a empresa atua quando um tribunal aciona a resposta a incidentes com o processo eletrônico já comprometido.

A partir do acionamento, o objetivo imediato não é restaurar tudo a qualquer custo, e sim conter a propagação, preservar evidências e estabilizar a operação mínima da Justiça. Restaurar um ambiente ainda comprometido apenas entrega o tribunal de volta ao atacante. A sequência de fases é descrita no estudo de caso desta página, com a linha do tempo da detecção à lição aprendida.

Recuperar com integridade: o diferencial em ambientes judiciais

Restaurar um tribunal não é o mesmo que restaurar uma empresa qualquer. Em um ambiente processual, cada autos restaurado precisa ser confiável: as partes, os advogados e os próprios magistrados precisam ter certeza de que o que voltou é exatamente o que existia antes do incidente, sem supressões nem inserções. A Decripte estrutura a recuperação em torno de três garantias.

Garantia 1: restauração a partir de uma base confiável

A restauração só começa depois que a forense identifica o paciente zero, o vetor inicial e o momento de comprometimento. Isso define um ponto seguro de restauração — anterior à presença do atacante — e evita reintroduzir um implante dormente. Backups imutáveis (write once, read many) e offline são a espinha dorsal dessa etapa: se os backups são imutáveis, o operador de ransomware não consegue cifrá-los ou apagá-los, e o tribunal recupera sem depender do criminoso.

Garantia 2: verificação de integridade dos autos

Após a restauração, a Decripte trabalha com a equipe do tribunal na verificação de integridade: conferência de hashes, comparação com registros de auditoria, validação de assinaturas digitais e de carimbos de tempo, e reconciliação de movimentações. O objetivo é produzir evidência de que os registros processuais permanecem íntegros — ou identificar, com precisão pericial, qualquer registro que tenha sido tocado, para tratamento específico.

Garantia 3: erradicação verificada do acesso do atacante

Antes de declarar o ambiente recuperado, é preciso comprovar que o atacante não mantém persistência: contas criadas, chaves SSH plantadas, tarefas agendadas, web shells e mecanismos de comando e controle precisam ser localizados e removidos. A Decripte só considera o incidente erradicado quando há evidência de que os vetores de persistência foram eliminados e o monitoramento confirma a ausência de atividade do adversário.

Conformidade e dever legal no setor público

Um incidente em um tribunal raramente é só um problema técnico — é também um evento regulatório e de governança. Como controlador de um vasto acervo de dados pessoais, inclusive sensíveis, o tribunal está sujeito à Lei Geral de Proteção de Dados (LGPD). Quando um incidente de segurança puder acarretar risco ou dano relevante aos titulares, há o dever de comunicar à ANPD e aos titulares afetados em prazo razoável, com a descrição da natureza dos dados, dos titulares envolvidos, das medidas técnicas adotadas e dos riscos. A Decripte estrutura a resposta de forma a produzir, desde a primeira hora, os elementos necessários para essa comunicação ser tempestiva e tecnicamente embasada.

Além da LGPD, tribunais operam sob um arcabouço normativo próprio do Judiciário, com diretrizes de governança e de segurança da informação emanadas dos órgãos de cúpula e de controle. Boas práticas internacionais como a ISO/IEC 27001 (gestão de segurança da informação) e a ISO/IEC 27701 (gestão de privacidade) oferecem a estrutura para organizar controles, papéis e métricas. A Decripte ajuda o tribunal a traduzir esse arcabouço em controles operacionais concretos — não em documentos de prateleira.

Pentest do sistema processual: encontrar a porta antes do atacante

A melhor resposta a incidentes é a que não precisa acontecer. Por isso a Decripte conduz testes de intrusão (pentest) focados no sistema processual e em sua superfície exposta. O objetivo é simular, de forma controlada e autorizada, o que um atacante real faria: encontrar a falha de autenticação no portal de peticionamento, a injeção que expõe dados de outro processo, a configuração que permite acesso indevido a autos sigilosos, ou o caminho de escalada de privilégios que leva do acesso de um servidor comum ao controle do ambiente.

O que é testado em um tribunal

O pentest da Decripte não termina em uma lista de vulnerabilidades. Cada achado é classificado por severidade real no contexto do tribunal, com prova de conceito, impacto descrito em linguagem executiva e técnica, e um caminho de correção priorizado. O que para um relatório genérico seria "médio" pode ser crítico em um tribunal se levar à exposição de um processo sob segredo de justiça — e a Decripte calibra a severidade por esse contexto.

SOC 24x7: vigilância contínua para um serviço que não pode parar

A Justiça opera todos os dias, e os atacantes preferem justamente as madrugadas, os fins de semana e os feriados — momentos em que a equipe interna está reduzida. Um SOC 24x7 fecha essa janela. A Decripte monitora continuamente os sinais de comprometimento, correlaciona eventos entre o ambiente processual, a rede administrativa e a borda, e aciona a contenção no instante em que um padrão de ataque é identificado, não horas depois, quando o dano já está feito.

Detecção que entende o ambiente judicial

Monitorar um tribunal exige entender o que é normal nesse ambiente: o ritmo de peticionamento, os padrões de acesso de servidores e magistrados, os horários de audiência, as integrações esperadas. O SOC da Decripte calibra a detecção para esse contexto, de modo a separar o ruído operacional dos verdadeiros indicadores de ataque — reduzindo falsos positivos e, principalmente, não deixando passar o sinal real de uma tomada de conta ou de um movimento lateral em andamento.

A integração entre SOC e Resposta a Incidentes é o que dá velocidade. Quando o SOC da Decripte detecta um indicador crítico, o caminho até a contenção já está definido e ensaiado, com o SLA de contenção menor ou igual a 1h. Não há perda de tempo em escalonamento, descoberta de contatos ou improviso de procedimento — o playbook do tribunal já existe e é executado.

Continuidade: manter a Justiça funcionando sob ataque

Nenhuma defesa é perfeita. Por isso a estrutura de segurança de um tribunal precisa assumir que um incidente pode acontecer e responder à pergunta: como a Justiça continua funcionando enquanto o ambiente é recuperado? O plano de continuidade de negócios (BCP) e a recuperação de desastres (DR) deixam de ser documentos formais e passam a ser capacidade operacional ensaiada.

O elemento mais subestimado é o último: ter a resposta a incidentes contratada antes do ataque. No meio de uma crise de ransomware, cada hora gasta procurando fornecedor, fechando contrato e dando acesso é uma hora a mais de paralisação e de propagação. Tribunais que mantêm um acordo de resposta ativo com a Decripte acionam o time imediatamente e começam a contenção dentro do SLA, em vez de iniciar a busca por socorro com o ambiente já em chamas.

Cenário ilustrativo: PJe paralisado por ransomware na madrugada

Como a Decripte responde a incidentes em tribunais

A resposta a incidentes da Decripte para o Poder Judiciário é desenhada para preservar três coisas ao mesmo tempo: a disponibilidade do serviço, a integridade dos autos e a confidencialidade dos dados sigilosos. A sequência prioriza conter antes de restaurar e provar antes de declarar resolvido.

1. Acionamento imediato e classificação: o incidente é classificado como crítico, a linha de comunicação de crise é aberta e a coleta de evidências voláteis começa antes que se percam — com o SLA de contenção menor ou igual a 1h em curso.
2. Contenção sem destruir evidência: isolamento dos segmentos comprometidos, suspensão de contas suspeitas, bloqueio de comando e controle e de exfiltração, e proteção dos backups imutáveis para que o atacante não os alcance.
3. Investigação forense: identificação do vetor inicial, do paciente zero, da movimentação lateral, da escalada de privilégios e do momento da cifragem, além da determinação do que foi exfiltrado — base para avaliar o vazamento e o dever de notificação.
4. Erradicação verificada: remoção de toda persistência do atacante (contas, tarefas, web shells, implantes), reset de credenciais em massa e rotação de chaves, com comprovação de que o acesso foi efetivamente eliminado.
5. Recuperação com integridade: restauração a partir de um ponto seguro com backups imutáveis e verificação de integridade dos autos (hashes, assinaturas, carimbos de tempo, reconciliação de movimentações), com retorno gradual sob monitoramento reforçado.
6. Comunicação e conformidade: apoio à comunicação tempestiva à ANPD e aos titulares quando houver risco relevante, e à comunicação interna e à imprensa conforme o plano de crise, com documentação técnica do incidente.
7. Lições aprendidas e endurecimento: análise de causa-raiz convertida em melhorias permanentes — MFA resistente a phishing, segmentação, backups testados, pentest e SOC 24x7.
8. Continuidade do acordo de resposta: o playbook do tribunal permanece ativo, para que qualquer novo evento comece já com contenção rápida e procedimento ensaiado.

Como a Decripte estrutura a segurança de um tribunal

Depois do incidente — ou, idealmente, antes dele — a Decripte estrutura a defesa do tribunal em pilares que se reforçam mutuamente. O objetivo é que, no dia de um ataque, cada controle realmente funcione, porque foi validado na prática.

Planos recomendados para Tribunais e Poder Judiciário

Perguntas frequentes

Termos do setor

PJe (Processo Judicial Eletrônico)

Plataforma de tramitação eletrônica de processos usada por diversos tribunais brasileiros. Concentra autos, decisões, intimações e prazos; sua indisponibilidade paralisa o exercício da jurisdição.

Ransomware operado por humanos

Ataque em que um operador humano invade, escala privilégios, mapeia o ambiente e desativa defesas e backups antes de disparar a cifragem — geralmente fora do horário de expediente, para maximizar o dano e a pressão por resgate.

Dupla extorsão

Tática em que o atacante exfiltra dados antes de cifrá-los e ameaça publicá-los, de modo que mesmo a recuperação dos sistemas não elimina o risco de vazamento dos dados já copiados.

Backup imutável

Cópia de segurança que não pode ser alterada ou apagada após gravada (write once, read many), idealmente offline, garantindo que o operador de ransomware não consiga destruí-la e que a recuperação independa do atacante.

Account takeover (ATO)

Tomada de conta: o atacante assume o controle de uma credencial legítima — de um servidor ou magistrado, por exemplo — geralmente via phishing, e a usa para se mover pelo ambiente abusando de acessos válidos.

RTO e RPO

Métricas de continuidade. O RTO (Recovery Time Objective) é o tempo-alvo máximo para restaurar o serviço; o RPO (Recovery Point Objective) é a quantidade máxima de dados que se admite perder, medida no tempo entre o último backup íntegro e o incidente.