Resumo

  • Nas nove fontes examinadas em 18 de outubro de 2026, não foi localizado nenhum texto aprovado, condição de licença, norma vinculante ou instrumento de regulador que imponha dever de disponibilidade, divulgação ou continuidade a um provedor de DNS gerenciado ou de resolução autoritativa.
  • O único instrumento de fato adotado depois do ataque trata do uso e da gestão, pelo governo federal, dos seus próprios aparelhos conectados; dois veículos independentes informam que um órgão de controle constatou que apenas sete de 22 agências civis cumpriam integralmente as exigências de inventário correspondentes.
  • A análise publicada pelo próprio operador não era legível no endereço original no dia da consulta, e por isso este texto não repete o relato habitual das ondas sucessivas.

A Dynamic Network Services, Inc. consta deste diretório com a razão social da empresa cujos servidores de nomes autoritativos foram alvo de uma rede de máquinas comprometidas, montada uma década antes com equipamentos de consumo. O que o registro público contém sobre esse episódio é mais fino do que a reputação sugere, e o que contém sobre a responsabilização posterior é mais fino ainda. Este é um estudo de caso sobre uma lacuna nos instrumentos, não um veredicto sobre uma companhia.

O que o registro tem e o que não tem

É preciso começar pelo que não pôde ser lido. A análise do incidente publicada pelo provedor, no endereço em que veio a público, já não apontava para essa análise quando esta revisão a consultou em 18 de outubro de 2026: o endereço redirecionava para uma página genérica de blog corporativo, e nenhuma passagem da análise pôde ser obtida (ver o endereço original da análise). Trata-se de uma observação de consulta em uma data, não de uma afirmação sobre por que a página saiu do ar nem sobre a decisão de alguém. A consequência é concreta: a estrutura das ondas, a lista de serviços degradados e o tempo até o restabelecimento que circulam em relatos de segunda mão não podem ser documentados aqui, e este texto não os repete.

O processo penal, em segundo lugar, foi descrito a esta revisão em vez de aberto por ela. O Departamento de Justiça publicou um anúncio de acusações e de declarações de culpa contra três pessoas ligadas à rede Mirai, e uma procuradoria federal publicou um comunicado sobre as declarações de culpa resultantes. Nenhum dos dois endereços devolveu texto. Esta revisão pode, portanto, afirmar que existiu uma ação penal e que ela envolvia três pessoas; não pode citar nomes, acusações, tipificações, termos da declaração, multas, restituição ou penas, e não o faz.

O alerta apontava para aparelhos

O que se lê é um alerta federal de defesa cibernética. O alerta TA16-288A, "Heightened DDoS Threat Posed by Mirai and Other Botnets", segue publicado, traz data de última revisão em 17 de outubro de 2017 e inclui uma seção de sistemas afetados que nomeia os aparelhos conectados — "Internet of Things (IoT)" — com impressoras, roteadores, câmeras de vídeo e televisores inteligentes como exemplos. O endereço que o serve carrega uma data de 2016 em seu caminho; o corpo do texto, tal como recuperado, mostra apenas a revisão posterior. Quem for tentado a apresentá-lo como um aviso emitido dias antes do ataque deve notar que o texto obtido não estabelece por si só a data de publicação original.

Mesmo tomado em sua versão mais forte, esse documento é um alerta. Informa que uma classe de aparelho está sendo recrutada para tráfego de negação de serviço. Não cria dever para ninguém, não designa o obrigado, não fixa padrão de desempenho e não alcança nenhum provedor de serviço de nomes. A previsibilidade é uma coluna do balanço; não é a coluna da obrigação.

A lei apontava para agências

O legislador agiu. O texto sancionado da Lei Pública 116-207 contém uma disposição operativa que determina ao diretor do National Institute of Standards and Technology elaborar e publicar, em noventa dias a partir da sanção, normas e diretrizes "for the Federal Government on the appropriate use and management by agencies of Internet of Things devices". Uma página do registro congressional do projeto que se tornou essa lei a descreve nos mesmos termos: exigências para agências federais e uma tarefa de normalização confiada ao NIST.

Vale ler esse texto devagar, pelo que ele não diz. O obrigado é o diretor de um instituto. O objeto são normas e diretrizes. A parte constrangida é o governo federal, por meio de suas agências, no seu próprio uso e gestão de aparelhos conectados. Nada na disposição citada nomeia um provedor de resolução, um servidor de nomes autoritativo, um registro ou uma obrigação de continuidade de qualquer espécie. Uma página do NIST voltada a fabricantes foi descrita a esta revisão como um conjunto de atividades fundamentais para quem fabrica aparelhos, e não como regras aplicáveis à camada de resolução; essa descrição é um resumo, e seu alcance jurídico preciso não foi verificado aqui.

O balanço de execução

Um dever que vincula agências interessa sobretudo pelo que acontece depois. Dois veículos independentes relataram a mesma constatação do órgão de controle no mesmo dia. Um escreveu que "only seven of 22 civilian CFO Act agencies have fully met OMB requirements for inventorying and maintaining networked devices, according to GAO" (ver a primeira reportagem, de 1º de outubro de 2026). O outro informou que "a handful of federal agencies missed deadlines to complete Internet of Things cybersecurity requirements called out in a 2020 law" (ver a segunda reportagem). Os dois números não devem ser fundidos: o primeiro é uma contagem, o segundo não é.

Ambos reportam, em segunda mão, um produto de controle que esta revisão não leu. O valor está em que coincidem, a partir de duas redações distintas, em que o único instrumento de fato adotado não foi integralmente executado no prazo. É uma constatação de conformidade a jusante. Não é prova sobre os fatos de outubro de 2016, e não pode ser usada nem para atribuir a perturbação a agências federais nem para inocentar o provedor.

Seis colunas, não um veredicto

Uma falha desse tipo costuma ser discutida em uma única coluna, a da culpa. É mais honesta em seis.

Previsibilidade: havia no registro um alerta federal sobre aparelhos recrutáveis. Atribuição formal: o instrumento localizado distribui deveres sobre aparelhos em mãos de agências, não sobre o serviço de nomes. Controle: esta revisão não estabeleceu nenhuma prova técnica sobre o que o provedor poderia ter absorvido, redirecionado ou divulgado, e não o presume. Desempenho: o relato do operador sobre o próprio desempenho é ilegível no endereço de publicação, então o desempenho não pode ser avaliado aqui. Causalidade: nada nesses documentos mostra qual falha produziu qual impacto.

Remédio: uma ação penal contra pessoas, descrita mas não lida, um regime de aparelhos aplicável a agências e nenhum instrumento localizado do lado do provedor.

Lido assim, o caso deixa de ser uma fábula moral sobre uma empresa e passa a ser uma pergunta de desenho: quando uma camada da qual todos dependem não é vinculada por ninguém, o que exatamente a disciplina? À luz deste registro, a reputação e a possibilidade de o cliente sair. São canais reais. Também são privados, e nenhum dos dois foi medido aqui.

A constatação e seu alcance

Nas nove fontes retidas para esta revisão em 18 de outubro de 2026, não foi localizado nenhum texto aprovado, condição de licença, norma vinculante ou instrumento de regulador que imponha dever de disponibilidade, divulgação ou continuidade a um provedor de DNS gerenciado ou de resolução autoritativa.

É um resultado negativo datado, de alcance estreito, que não deve ser inflado. Um dever previsto em lei estadual, contrato, acordo de nível de serviço, licença de outra jurisdição ou norma privada não teria sido visível a esta revisão. A ausência de instrumento também não prova que a camada fosse perigosa nem que um operador específico tenha sido descuidado. O que ela mostra é uma assimetria de atribuição: a atenção formal chegou aos aparelhos e aos inventários do Estado, enquanto o serviço compartilhado que traduz nomes em endereços adquiriu suas obrigações por expectativa e não por texto.