Dois anos após o apagão da CrowdStrike, passageiros levam a briga à Suprema Corte dos EUA

Em 19 de julho de 2024, uma atualização defeituosa do software de segurança Falcon, da CrowdStrike, derrubou cerca de 8,5 milhões de computadores com Windows no mundo e paralisou bancos, hospitais e companhias aéreas. Dois anos depois, a conta desse apagão ainda está nos tribunais americanos. Em 14 de setembro de 2026, um grupo de passageiros pediu à Suprema Corte dos Estados Unidos que reabra seu processo contra a empresa, encerrado nas instâncias inferiores.

A ação dos passageiros

O caso, registrado como del Rio v. CrowdStrike (número 26-355), foi aberto em agosto de 2024 por viajantes afetados pelos cancelamentos da Delta Air Lines, a companhia mais atingida pelo apagão, com cerca de 7 mil voos cancelados. Os passageiros acusam a CrowdStrike de negligência no desenvolvimento, nos testes e na distribuição da atualização e pedem ressarcimento por hospedagem, refeições e compromissos perdidos.

Um juiz federal rejeitou a ação em junho de 2025. Em 20 de maio de 2026, o Tribunal de Apelações do Quinto Circuito manteve a decisão. Em 15 de junho, o mesmo tribunal negou o pedido para que o caso fosse reexaminado pelo colegiado completo. O argumento que derrubou a ação foi a Lei de Desregulamentação Aérea de 1978, que impede leis estaduais de interferir em preços, rotas e serviços das companhias aéreas. Para os juízes, os pedidos dos passageiros, baseados em leis estaduais de responsabilidade civil, estavam ligados ao serviço aéreo e, por isso, bloqueados pela lei federal, ainda que a CrowdStrike não seja uma empresa aérea.

Na petição à Suprema Corte, assinada pelo advogado Ben Barnow, de Chicago, os passageiros sustentam que o dano nasceu do desenvolvimento e da publicação de uma atualização de software defeituosa, e não de decisões de uma companhia aérea. A CrowdStrike tem até 16 de outubro para responder.

A Delta segue no tribunal, com teto à vista

A disputa entre empresas tomou outro caminho. A Delta processou a CrowdStrike num tribunal estadual da Geórgia, cobrando cerca de US$ 500 milhões em perdas. Em 16 de maio de 2025, a juíza Kelly Lee Ellerbe, do Tribunal Superior do Condado de Fulton, permitiu que a companhia aérea tente provar negligência grave e invasão de sistema de computador. Ao mesmo tempo, retirou do processo as acusações de fraude, de responsabilidade pelo produto e de violação da lei de práticas comerciais do estado.

A decisão teve um peso a favor da CrowdStrike. Segundo as reportagens sobre o caso, a juíza indicou que eventual indenização tende a respeitar o limite previsto no contrato de assinatura entre as duas empresas. O advogado da CrowdStrike, Michael Carlinsky, disse estar confiante de que o valor ficará na casa de um dígito de milhões de dólares, muito abaixo do que a Delta pede. A companhia aérea afirmou que segue confiante no mérito de suas alegações.

Para empresas brasileiras, a lição dos processos é prática: o contrato com fornecedores críticos de tecnologia define quem paga a conta numa pane. Limites de responsabilidade, planos de contingência e testes de recuperação de sistemas são parte da gestão de risco, e não apenas detalhes jurídicos.

CrowdStrikeDeltacibersegurançaJustiçaapagão cibernético