Apagão da CrowdStrike: o que derrubou 8,5 milhões de computadores em 2024 e o que mudou desde então

Na madrugada de 19 de julho de 2024, uma sexta-feira, computadores com Windows começaram a travar em sequência no mundo inteiro, exibindo a famosa "tela azul da morte" e reiniciando sem parar. Companhias aéreas suspenderam voos, hospitais voltaram ao papel e bancos tiveram aplicativos fora do ar. Nas primeiras horas, muita gente suspeitou de um ataque hacker em escala global.

Não era. A origem foi uma atualização de rotina do Falcon, software de proteção corporativa da empresa americana CrowdStrike, distribuída automaticamente a clientes que usam Windows. A Microsoft estimou que cerca de 8,5 milhões de dispositivos foram afetados, menos de 1% de todas as máquinas Windows do planeta. A porcentagem pequena esconde o tamanho do estrago: os computadores atingidos estavam justamente em empresas grandes, que dependem de proteção de nível corporativo para sistemas críticos.

Passados mais de dois anos, já há respostas para as perguntas que ficaram em aberto naquela sexta-feira: o que exatamente falhou, quanto custou, quem paga a conta e o que mudou para que não se repita. Este texto reúne o que foi confirmado por fontes oficiais desde então.

O que deu errado, em linguagem simples

O Falcon é o que o mercado chama de solução de proteção de endpoints: um programa instalado em cada computador da empresa para detectar e bloquear ataques. Para enxergar ameaças em profundidade, esse tipo de software roda no kernel, a parte mais interna e privilegiada do sistema operacional. A vantagem é a visibilidade. O risco é que um erro ali dentro não derruba só o programa, derruba a máquina inteira.

Segundo a própria CrowdStrike, a atualização problemática foi publicada às 04h09 UTC (01h09 em Brasília) e retirada às 05h27 UTC (02h27 em Brasília). Não se tratava de uma nova versão do programa, mas de um arquivo de configuração, chamado Channel File 291, usado para detectar o uso malicioso de "named pipes", um mecanismo do Windows pelo qual programas trocam mensagens entre si. O conteúdo novo mirava técnicas recém-observadas em ferramentas de comando e controle usadas por criminosos.

Só foram atingidos computadores com Windows que tinham o sensor Falcon na versão 7.11 ou superior e que estavam ligados e conectados durante aquela janela de 78 minutos. Máquinas com macOS e Linux não usam esse arquivo e não foram afetadas.

Esse detalhe está no relatório de análise de causa raiz que a CrowdStrike publicou em 6 de agosto de 2024. O documento conta que o mesmo tipo de conteúdo já havia sido distribuído em março e em abril de 2024 sem problemas, o que ajudou a criar confiança no processo. Também afirma que a análise, com revisão de terceiros, concluiu que o defeito não podia ser explorado por criminosos. Em outras palavras, foi um erro de validação, não uma invasão.

Por que a recuperação demorou tanto

A CrowdStrike retirou o arquivo defeituoso em pouco mais de uma hora, mas isso não consertava as máquinas que já tinham travado. Um computador preso em ciclo de reinício não consegue baixar a correção. Na maior parte dos casos, a saída foi manual: um técnico precisava iniciar o Windows em modo de segurança ou no ambiente de recuperação e apagar o arquivo problemático, máquina por máquina.

A Microsoft publicou documentação e scripts de remediação para acelerar o trabalho. Mesmo assim, em 29 de julho, dez dias depois, a CrowdStrike informava que cerca de 99% dos sensores Windows estavam de volta ao ar em comparação com o período anterior à atualização.

Quem sentiu o impacto

Aviação

As companhias aéreas foram a face mais visível do apagão, porque sistemas de check-in, despacho de bagagem e escala de tripulações pararam ao mesmo tempo. Nos Estados Unidos, a maioria das empresas se recuperou em poucos dias. A Delta Air Lines foi a exceção: cancelou cerca de 7 mil voos ao longo de cinco dias, afetou mais de 1 milhão de clientes e estimou custos de cerca de US$ 500 milhões.

Saúde

No Reino Unido, consultórios de clínicos gerais do sistema público ficaram sem acesso ao EMIS Web, sistema de prontuários e agendamento usado por boa parte dos médicos de família na Inglaterra. A Associação Médica Britânica relatou que muitos profissionais tiveram de voltar à caneta e ao papel e alertou que a fila acumulada não seria resolvida de imediato.

Brasil

Por aqui, os impactos mais relatados no dia vieram de bancos e companhias aéreas. Clientes do Bradesco, apontado como o mais afetado, e de outras instituições como Banco do Brasil, Itaú, Neon, Next e Banco Pan relataram dificuldades para entrar em aplicativos e fazer pagamentos e transferências. O Bradesco informou que os caixas de autoatendimento seguiam funcionando. Entre as aéreas, a Azul foi a mais atingida, com problemas na gestão de reservas, atrasos e cancelamentos, enquanto Gol e Latam não relataram grandes transtornos. Hospitais como o Sírio-Libanês e o Hospital das Clínicas de São Paulo também registraram instabilidade em sistemas.

Quanto custou

Não existe uma conta oficial do prejuízo global. A estimativa mais citada é da seguradora Parametrix, divulgada poucos dias depois do incidente: cerca de US$ 5,4 bilhões em perdas diretas apenas para as empresas da lista Fortune 500, sem contar a Microsoft. Pelo cálculo, um quarto das 500 maiores empresas dos Estados Unidos teve algum serviço interrompido. Saúde e bancos concentraram a maior parte das perdas, com cerca de US$ 1,9 bilhão e US$ 1,1 bilhão, respectivamente.

O número ajuda a entender a ordem de grandeza, mas tem limites: é uma estimativa feita no calor dos acontecimentos, restrita a grandes empresas americanas, e não inclui a perda de milhões de pequenos negócios e consumidores que ficaram sem atendimento naquele dia.

A conta foi parar no tribunal e no Congresso americano

Em 24 de setembro de 2024, a CrowdStrike foi chamada a explicar o caso em audiência de uma subcomissão de Segurança Interna da Câmara dos Estados Unidos. Quem compareceu foi Adam Meyers, vice-presidente sênior de operações contra adversários da empresa, que pediu desculpas e reafirmou que o episódio não foi resultado de um ataque cibernético.

No campo judicial, duas frentes seguem abertas. A Delta processou a CrowdStrike num tribunal estadual da Geórgia, cobrando cerca de US$ 500 milhões, e a CrowdStrike sustenta que eventual indenização deve ficar limitada pelo contrato entre as duas. Já um grupo de passageiros da Delta teve sua ação rejeitada em primeira e segunda instâncias e, em setembro de 2026, recorreu à Suprema Corte dos EUA. O Inova Simples detalhou esse desdobramento na matéria "Dois anos após o apagão da CrowdStrike, passageiros levam a briga à Suprema Corte dos EUA".

A Delta também foi alvo de uma investigação do Departamento de Transportes americano, aberta porque a companhia demorou mais que as concorrentes para se recuperar. Em junho de 2026, o órgão anunciou que encerrou o caso sem aplicar penalidades, depois de concluir que os passageiros receberam reembolsos rápidos, assistência adequada com bagagens e apoio apropriado a pessoas com deficiência.

O que mudou desde então

Na CrowdStrike

No relatório de causa raiz, a empresa listou as correções que adotou. As principais:

• Validação do número de campos de cada arquivo de configuração, para impedir que um erro como o do Channel File 291 se repita.
• Checagem de limites no componente que interpreta esse conteúdo, para que um dado malformado não leve o sensor a ler memória indevida.
• Distribuição em etapas ("anéis"), em que cada atualização precisa passar por grupos sucessivos de máquinas antes de chegar a todos os clientes.
• Mais controle para os clientes sobre quando e como recebem as atualizações de conteúdo de resposta rápida.
• Contratação de duas empresas independentes de segurança de software para revisar o código do sensor e os processos de controle de qualidade e publicação.

Na Microsoft

Em novembro de 2024, a Microsoft anunciou a Windows Resiliency Initiative, um pacote de mudanças no Windows motivado diretamente pelo apagão. Dois pontos interessam a quem administra computadores:

• Recuperação rápida de máquinas (Quick Machine Recovery): permite que a Microsoft envie correções pelo Windows Update a computadores que não conseguem inicializar, usando o ambiente de recuperação do Windows, sem que alguém precise ir fisicamente a cada máquina. A função chegou ao Windows 11 versão 24H2 em 2025.
• Segurança fora do kernel: a Microsoft criou uma plataforma para que antivírus e ferramentas de proteção rodem fora da área mais sensível do sistema, como aplicativos comuns. Uma prévia privada foi aberta em julho de 2025 a parceiros como Bitdefender, CrowdStrike, ESET, SentinelOne, Sophos, Trellix, Trend Micro e WithSecure.

A empresa também passou a exigir dos fornecedores de segurança que participam de seu programa de parceria que publiquem atualizações de forma gradual, em anéis de distribuição e com monitoramento, exatamente a prática que faltou em julho de 2024.

O que o apagão ensina a uma pequena empresa

Pequenos negócios raramente usam o Falcon, mas sentiram o apagão por tabela: maquininhas, sistemas de gestão, bancos e fornecedores que pararam. E o mecanismo da falha vale para qualquer tamanho de empresa: um único fornecedor de tecnologia, atualizado automaticamente em todas as máquinas ao mesmo tempo, pode parar a operação inteira. Algumas lições práticas:

• Mapeie dependências críticas. Liste os sistemas sem os quais a empresa não vende, não recebe ou não atende, e de quem cada um depende.
• Tenha um plano B que funcione sem computador. Uma forma alternativa de receber pagamentos, uma cópia offline da agenda do dia e os contatos de clientes e fornecedores já evitam a paralisia total.
• Atualize em etapas quando puder. Em redes com vários computadores, vale aplicar atualizações primeiro num grupo pequeno de máquinas antes de liberar para todas.
• Leia o contrato. Como mostra a disputa entre Delta e CrowdStrike, cláusulas de limite de responsabilidade definem quem paga a conta numa pane. Seguro cibernético, quando existe, costuma cobrir só parte do prejuízo.
• Teste a recuperação. Um plano de contingência que nunca foi ensaiado tende a falhar justamente no dia em que é necessário.

O apagão de 2024 não foi causado por criminosos nem por um defeito exótico. Foi um arquivo de configuração com um campo a mais, distribuído para milhões de máquinas de uma só vez. É esse o ponto que fica para qualquer gestor: na economia digital, a resiliência depende menos de evitar todo erro e mais de garantir que um erro não chegue a todos os lugares ao mesmo tempo, e de saber como voltar rápido quando chegar.

CrowdStrikeMicrosoftSegurança digitalContinuidade de negócios