Ciberataque expõe dados não classificados ligados às secretas portuguesas

Um ciberataque a uma empresa informática que prestou serviços ao Sistema de Informações da República Portuguesa (SIRP) permitiu a piratas informáticos aceder a dados não classificados relacionados com os websites públicos do SIRP, do Serviço de Informações de Segurança (SIS) e do Serviço de Informações Estratégicas de Defesa (SIED).

O caso ganhou dimensão depois de ter sido anunciada, num fórum de cibercrime, a venda de um acervo de cerca de 120 GB de dados alegadamente obtidos a partir do SIRP. A informação disponibilizada pelas autoridades portuguesas esclarece, contudo, que o ataque não atingiu diretamente a infraestrutura informática das secretas portuguesas.

Segundo o SIRP, os dados terão sido obtidos através de um ataque ao servidor de desenvolvimento de um prestador de serviços externo, utilizado para testes. A empresa tinha sido contratada durante 2025 para desenvolver os websites públicos do SIRP, SIS e SIED.

Ataque não atingiu diretamente os sistemas das secretas

O detalhe mais importante do esclarecimento do SIRP é precisamente a origem do ataque. O website público do SIRP não foi alvo direto do ciberataque e, segundo a entidade, não houve qualquer intrusão na infraestrutura ou nos sistemas informáticos do próprio SIRP, nem nos centros de dados do SIS e do SIED.

Os websites públicos das três entidades também não armazenam informação classificada. Os portais disponibilizam essencialmente informação pública sobre o Sistema de Informações da República Portuguesa, legislação, contactos institucionais e comunicações públicas.

Além disso, os servidores utilizados para alojar estes websites estão completamente segregados das infraestruturas utilizadas pelos serviços de informações na sua atividade operacional.

O SIRP afirma, por isso, que não existe qualquer evidência ou indício de comprometimento de informação classificada ou operacional. Qualquer referência a um eventual acesso dos atacantes a informação secreta ou classificada não tem, segundo a entidade, fundamento.

Dados podem envolver dezenas de outras entidades

Apesar de a informação relacionada com os websites das secretas não ser classificada, o incidente poderá ter uma dimensão bastante maior.

O servidor atacado pertencia a uma empresa que, além do SIRP, SIS e SIED, prestou serviços a dezenas de outras entidades públicas e privadas. Por esse motivo, os cerca de 120 GB cuja venda foi anunciada poderão incluir ficheiros relacionados com os websites de vários outros clientes.

Esta possibilidade torna difícil determinar, nesta fase, exatamente que informação foi retirada pelos atacantes e qual a dimensão total do incidente.

O facto de o servidor ser utilizado para desenvolvimento e testes também significa que o conteúdo armazenado poderá incluir diferentes versões de websites, ficheiros de configuração, bases de dados de desenvolvimento ou outros materiais utilizados durante a construção dos projetos.

Isso não significa, contudo, que esses dados sejam necessariamente confidenciais ou que tenham permitido acesso às infraestruturas reais das entidades afetadas.

Incidente foi comunicado às autoridades

O SIRP garante que o incidente foi comunicado de imediato às entidades competentes, incluindo às entidades responsáveis pela fiscalização dos serviços de informações.

A situação foi também comunicada à Procuradoria-Geral da República, tendo sido realizada uma participação formal para permitir a investigação do caso.

Segundo o SIRP, o próprio prestador de serviços comunicou o incidente de segurança no mesmo dia em que teve conhecimento da ocorrência. Desde então, estão a ser tomadas medidas destinadas a mitigar as consequências do ataque e a avaliar a extensão da informação que poderá ter sido exfiltrada.

A investigação deverá agora permitir perceber exatamente que dados foram retirados, como ocorreu o acesso ao servidor e se a informação publicada no fórum corresponde efetivamente ao volume de dados anunciado pelos atacantes.

Não há indícios de acesso a informação classificada

Apesar do impacto mediático do caso, é importante distinguir o ataque ao prestador de serviços de um ataque direto aos sistemas das secretas portuguesas.

O SIRP garante que não existem indícios de que os atacantes tenham conseguido entrar nas infraestruturas do SIS ou do SIED ou aceder a informação utilizada na atividade operacional dos serviços.

O incidente demonstra, no entanto, um dos riscos associados à dependência de fornecedores externos. Mesmo quando as infraestruturas críticas estão isoladas e protegidas, uma empresa contratada para desenvolver ou manter serviços digitais pode tornar-se num ponto de entrada para informação relacionada com esses projetos.

Neste caso, a utilização de um servidor de desenvolvimento acabou por colocar em exposição dados que, embora não classificados, estão relacionados com entidades particularmente sensíveis do Estado português.

Para já, o caso continua sob investigação e será necessário aguardar pela análise forense dos sistemas afetados para perceber exatamente o que foi roubado e se os dados colocados à venda correspondem efetivamente aos 120 GB anunciados.

A principal conclusão conhecida até ao momento é, contudo, clara: houve uma intrusão num servidor de um fornecedor externo, mas não há evidências de que as infraestruturas operacionais ou informação classificada das secretas portuguesas tenham sido comprometidas.