Tocantins tira do ar o sistema que paga as contas do estado após tentativas de invasão — uma delas chegou a lançar um pagamento, que o banco barrou

O Siafe-TO é o sistema que faz o dinheiro do Tocantins andar: é por ele que passam os pagamentos do estado e as demais operações financeiras da administração pública — não só do Executivo, mas também do Tribunal de Justiça, do Tribunal de Contas, do Ministério Público, da Defensoria Pública e da Assembleia Legislativa. Desde o fim da semana passada, ele está fora do ar.

Na segunda-feira, 5 de outubro, a Secretaria da Fazenda (Sefaz-TO) informou ter identificado e bloqueado várias tentativas de ataque cibernético contra o sistema, ocorridas na sexta-feira, 2 de outubro. Como parte do protocolo de resposta a incidentes, o Siafe-TO foi suspenso temporariamente, e o Portal da Transparência também saiu do ar de forma preventiva.

O pagamento que o banco não deixou passar

O trecho mais revelador da nota oficial está no meio dela. Segundo a Sefaz, uma das tentativas envolveu uma operação financeira registrada no sistema — e essa operação foi identificada pelos mecanismos de segurança e teve o pagamento não autorizado pela instituição financeira. Outras transações suspeitas, diz a secretaria, foram barradas pelas medidas de segurança e pelos procedimentos de controle financeiro, o que evitou prejuízo aos cofres públicos. A Sefaz afirma ainda que nenhum dado foi roubado.

Traduzindo: o objetivo de quem tentou entrar não parece ter sido derrubar o sistema nem sequestrar dados, mas fazer o sistema pagar. E o que segurou o golpe não foi apenas a barreira na porta de entrada — foi a segunda camada, do lado de fora do sistema, onde alguém (ou alguma regra) conferiu o pagamento antes de o dinheiro sair.

A resposta

A secretaria registrou boletim de ocorrência na Secretaria da Segurança Pública para identificar a origem e os responsáveis e montou uma força-tarefa com Sefaz, Secretaria da Administração, Controladoria-Geral, Procuradoria-Geral, Agência de Tecnologia da Informação e Secretaria do Planejamento, além de representantes do MP, do TJ, do TCE e da Defensoria.

“Nossa prioridade, desde o primeiro momento, foi agir preventivamente para proteger os recursos públicos”, disse o secretário da Fazenda, Donizeth Silva. “Optamos pela suspensão temporária do sistema como medida responsável de prevenção e mitigação de riscos, permitindo que todas as verificações e os procedimentos de segurança sejam realizados antes da retomada das atividades.”

A previsão divulgada era de volta do Portal da Transparência na terça-feira (6) e do Siafe-TO até quinta-feira (8), condicionada às verificações técnicas. A nota não detalha o efeito da paralisação sobre o calendário de pagamentos.

Não é um caso isolado

A própria Sefaz-TO informou que tentativas de ataque contra sistemas fazendários também foram registradas em Alagoas, Sergipe, Espírito Santo e no Distrito Federal. Somado ao ataque que deixou o Tribunal de Justiça de Mato Grosso uma semana fora do ar no fim de setembro, o quadro é de um setor público estadual sob pressão constante — e com sistemas que movimentam dinheiro de verdade.

O que o caso mostra para qualquer empresa

Troque “Siafe” por “módulo de contas a pagar do ERP” e a história serve para qualquer companhia. O ponto não é se alguém vai tentar inserir um pagamento indevido; é o que acontece depois que ele é inserido. No Tocantins, a resposta foi: alguém de fora do sistema conferiu e disse não.

É a velha regra da segregação de funções, que muita empresa trata como burocracia de auditoria: quem cadastra não aprova, quem aprova não paga, e o banco confere o que destoa. Na sexta-feira, 2 de outubro, ela foi a diferença entre uma nota sobre “tentativas bloqueadas” e uma notícia sobre dinheiro público desviado.

Fontes

• Sefaz-TO — nota sobre as tentativas de ataque ao Siafe-TO e a criação da força-tarefa (05/10/2026), reproduzida por Conexão Tocantins: conexaoto.com.br

• Convergência Digital — “Ataque hacker suspende sistema financeiro do estado do Tocantins” (07/10/2026): convergenciadigital.com.br

• Foto de capa: Palácio Araguaia, sede do governo do Tocantins, em Palmas — Carlos Ebert, CC BY 2.0, via Wikimedia Commons

• Segunda imagem: vista aérea de Palmas (TO) — MTur Destinos, domínio público, via Wikimedia Commons