Se você é brasileiro, muito provavelmente tem uma conta no Gov.br. Atualmente, mais de 173 milhões de pessoas utilizam a plataforma para acessar mais de 4.600 serviços públicos — desde consultar a restituição do Imposto de Renda e assinar documentos digitais até acessar a carteira de trabalho e a CNH digital.
No entanto, o Tribunal de Contas da União (TCU) acendeu um sinal amarelo importante. No julgamento do Acórdão nº 2.019/2026-Plenário, o órgão apontou que o maior gargalo do Gov.br hoje não é a sua tecnologia em si, mas sim a sua governança e gestão de riscos.
O Diagnóstico: Tecnologia Forte, Governança Frágil
A auditoria do TCU revelou um cenário curioso: enquanto a infraestrutura técnica gerenciada pelo Serpro possui bom nível de maturidade em áreas cruciais (como controle de contas privilegiadas), existem lacunas estratégicas na forma como o ecossistema é gerido.
Como o Gov.br se tornou a identidade digital oficial do Estado brasileiro, qualquer instabilidade ou brecha de segurança não afeta apenas um aplicativo — pode paralisar a administração pública federal inteira.
Os principais pontos de atenção apontados pelo TCU:
- O Dilema da Conta Bronze (Segurança vs. Inclusão Digital): Cerca de 64% dos serviços digitais da plataforma ainda aceitam o nível de autenticação Bronze (o mais básico). Isso ocorre porque os gestores temem exigir biometria ou verificação em duas etapas e, com isso, excluir milhões de cidadãos com menor letramento digital ou smartphones antigos.
- Falta de Padronização: A Secretaria de Governo Digital (SGD) estabelece normas de segurança, mas muitos órgãos públicos integram seus sistemas usando terminologias diferentes e sem avaliação prévia dos riscos. O TCU alertou que isso pode violar a própria LGPD (Lei Geral de Proteção de Dados).
- Credenciais Ouro “Eternas”: Atualmente, uma conta que atinge o nível Ouro mantém essa validação por tempo indeterminado, sem exigência de revalidação periódica — algo que vai na contramão das melhores práticas internacionais de cibersegurança.
- Monitoramento de Anomalias: A auditoria deu notas baixas para a detecção contínua de comportamentos suspeitos em tempo real. O TCU cobrou mecanismos mais inteligentes para identificar fraudes no momento em que ocorrem.
Inclusão Digital como Medida de Cibersegurança
Uma das conclusões mais interessantes do relatório é que a baixa maturidade digital da população é, em si, um fator de risco cibernético. Golpe de engenharia social, compartilhamento involuntário de senhas e baixa adesão à autenticação de dois fatores (2FA) deixam a população vulnerável.
Por isso, o TCU sugeriu que o combate à fraude no Gov.br não deve ser apenas uma questão de TI, mas sim integrado ao Plano Nacional de Inclusão Digital (PNID), educando a população de forma ampla.
E o caso dos falecidos?
Um ponto de discussão acalorada durante a sessão do Plenário envolveu as contas vinculadas a CPFs de falecidos. Embora tenha sido sugerido o bloqueio imediato desses acessos para evitar fraudes, ministros do TCU destacaram que o bloqueio automático sem ressalvas pode travar processos de inventário, regularização tributária e atos legais da sucessão familiar. O tema foi destacado para uma análise mais aprofundada antes de qualquer tomada de decisão drástica.
O que muda a partir de agora?
O TCU determinou que a Secretaria de Governo Digital e os órgãos integrados estabeleçam:
- Metodologias padronizadas de risco para exigir níveis Prata ou Ouro em serviços sensíveis.
- Ciclos de revalidação para credenciais de alto nível.
- Sistemas de análise comportamental e inteligência contra anomalias em tempo real.
O aviso do TCU é claro: para que a transformação digital do Brasil continue avançando sem sobressaltos, a cibersegurança e a governança precisam andar no mesmo ritmo da conveniência.