O SIRP confirma um incidente num servidor de testes de um fornecedor e afasta um ataque direto aos serviços de informações. O Expresso noticiou a exposição de dados de candidatos;
Um ciberataque a um servidor de desenvolvimento de um fornecedor tecnológico do Sistema de Informações da República Portuguesa (SIRP) está a levantar preocupações sobre a proteção de dados pessoais. O Expresso noticiou que informações relativas a centenas de candidatos aos serviços de informações portugueses foram copiadas para um ambiente de testes posteriormente comprometido.
O caso tornou-se público entre 6 e 8 de outubro de 2026 e envolve a WidgiLabs, empresa contratada em 2025 para desenvolver os sites públicos do SIRP, do Serviço de Informações de Segurança (SIS) e do Serviço de Informações Estratégicas de Defesa (SIED). É importante distinguir a intrusão no prestador externo de uma invasão dos sistemas operacionais dos serviços de informações: o SIRP afirma que os seus serviços não foram alvo de ataque informático.
O que aconteceu?
Segundo notícias divulgadas esta semana, um atacante anunciou num fórum de cibercrime a venda de aproximadamente 120 GB de informação, distribuídos por 312.144 ficheiros. O anúncio alegava incluir 96 bases de dados, código-fonte de 180 websites, documentos, mensagens de correio eletrónico e dados pessoais.
Estes números são alegações do atacante, não um inventário confirmado por investigação independente. Além disso, o conjunto anunciado poderá conter ficheiros relativos a diferentes clientes do fornecedor, e não apenas ao SIRP.
O que confirmou o SIRP?
Num esclarecimento divulgado pela Lusa em 8 de outubro, o SIRP explicou que os dados anunciados para venda terão sido obtidos através de um ataque a um servidor de desenvolvimento, utilizado para testes, de uma empresa contratada para desenhar os seus websites públicos.
O organismo sublinhou que os serviços de informações não foram diretamente atacados e que os websites públicos do SIRP, SIS e SIED não contêm informação classificada. Indicou também que o incidente foi comunicado pelo prestador, que foram adotadas medidas de mitigação e que os factos foram participados à Procuradoria-Geral da República.
Porque é que os dados de candidatos preocupam?
Uma investigação do Expresso identificou a WidgiLabs como o prestador e noticiou a presença de dados pessoais de centenas de candidatos aos serviços de informações num servidor de testes. Mesmo que não sejam classificados como secretos, dados como identificação e contactos podem ser utilizados em tentativas de fraude, usurpação de identidade e ataques de phishing dirigidos.
Permanece por esclarecer quantas pessoas foram efetivamente afetadas, por que motivo dados reais de recrutamento estavam num ambiente de desenvolvimento e quais os controlos de acesso e de proteção aplicados.
O que devem fazer os possíveis afetados?
- Desconfiar de emails, SMS e chamadas inesperadas que mencionem candidaturas ou peçam a confirmação urgente de dados.
- Confirmar contactos por canais oficiais do organismo; evitar ligações recebidas em mensagens suspeitas.
- Ativar autenticação de dois fatores e utilizar palavras-passe únicas no email associado à candidatura.
- Guardar provas e comunicar tentativas de fraude às autoridades competentes.
- Pedir esclarecimentos à entidade responsável pelo recrutamento sobre eventual exposição e notificações aos titulares.
O que ainda falta apurar?
Entre as questões em aberto estão a dimensão verificada da fuga, a eventual notificação dos titulares, as medidas tomadas pelo fornecedor e o impacto sobre outras entidades públicas e privadas que utilizam os seus serviços. A referência a pastas ou nomes de clientes não demonstra, por si só, que todas essas entidades tenham sofrido a exposição de dados.
O caso reforça a importância de controlar dados reais em ambientes de teste e de auditar fornecedores com acesso a informação pessoal. Até à data, não existe confirmação pública de acesso a informação classificada ou às operações internas do SIS e do SIED.
Notícia preparada em 11 de outubro de 2026. Os números anunciados pelo atacante e a extensão exata dos dados expostos continuam por confirmar independentemente.
Fontes
Antes de comprares, compara no AHT Scan
Vê preços em várias lojas, promoções e histórico observado num único lugar.
Google Cloud antecipa cibersegurança em 2027 com foco em agentes autónomos e integridade de decisões
Git: 6 vulnerabilidades de segurança corrigidas. Atualize agora
Gemini 4 Carbon: A nova aposta da Google para agentes de desenvolvimento