Ciberataque a fornecedor tecnológico do SIRP expõe riscos na segurança de entidades públicas

Um prestador tecnológico contratado para desenvolver os websites públicos do Sistema de Informações da República Portuguesa (SIRP), do Serviço de Informações de Segurança (SIS) e do Serviço de Informações Estratégicas de Defesa (SIED) foi alvo de um ciberataque que poderá ter permitido o acesso não autorizado a informação armazenada num servidor de desenvolvimento.

O incidente tornou-se público depois de ter sido anunciada, num fórum de cibercrime, a venda de um conjunto de dados alegadamente relacionado com os serviços de informações portugueses.

Em esclarecimentos divulgados pela agência Lusa, em 8 de outubro de 2026, o SIRP confirmou a existência do incidente no prestador externo, mas sublinhou que os seus serviços de informações e respectivos websites públicos não foram directamente atacados.

ATAQUE TERÁ ATINGIDO SERVIDOR DE DESENVOLVIMENTO

Segundo o SIRP, os dados terão sido obtidos através de um ataque a um servidor utilizado para desenvolvimento e testes por uma empresa contratada em 2025 para criar os websites públicos do SIRP, SIS e SIED.

Este ambiente tecnológico pertencia ao prestador de serviços e não correspondia, segundo os esclarecimentos divulgados, aos sistemas operacionais dos serviços de informações.

O SIRP indicou igualmente que os três portais públicos em causa não contêm informação classificada.

A distinção é relevante: um incidente num fornecedor tecnológico pode envolver informação relacionada com uma entidade pública sem significar que os seus sistemas internos tenham sido comprometidos.

ATACANTES ALEGAM POSSUIR 120 GB DE DADOS

A divulgação do incidente ocorreu após o aparecimento de um anúncio de venda de aproximadamente 120 gigabytes de dados num fórum utilizado por intervenientes ligados ao cibercrime.

Segundo informações divulgadas publicamente, os responsáveis pelo anúncio alegam possuir ficheiros, bases de dados, código-fonte de websites, mensagens de correio electrónico e outros documentos.

Contudo, a dimensão e a composição exacta dos dados efectivamente obtidos não foram integralmente confirmadas pelas autoridades.

O SIRP esclareceu que o conjunto anunciado poderá incluir informação de dezenas de outras entidades públicas e privadas que recorreram ao mesmo prestador tecnológico.

Consequentemente, não é correcto atribuir automaticamente a totalidade dos 120 GB ao SIRP, SIS ou SIED.

Também não existem elementos públicos suficientes para concluir que tenham sido comprometidas informações classificadas dos serviços de informações portugueses.

INCIDENTE PARTICIPADO À PROCURADORIA-GERAL DA REPÚBLICA

De acordo com o esclarecimento divulgado, o próprio prestador tecnológico comunicou o incidente ao SIRP.

O Sistema de Informações da República Portuguesa informou ter adoptado medidas destinadas a mitigar a situação e participado os factos à Procuradoria-Geral da República.

O SIRP indicou ainda que continuará a avaliar o incidente e a desenvolver as diligências consideradas necessárias.

Não foram divulgados elementos técnicos suficientes para determinar, com segurança, o método utilizado pelos atacantes, a duração da intrusão ou a extensão definitiva da informação comprometida.

RISCOS NA CADEIA DE FORNECIMENTO DIGITAL

O incidente evidencia uma vulnerabilidade frequentemente associada à dependência de fornecedores externos na construção e manutenção de sistemas digitais.

Mesmo quando uma organização dispõe de mecanismos próprios de segurança, os ambientes de desenvolvimento, os prestadores contratados e os serviços partilhados podem constituir pontos adicionais de exposição.

Estes riscos são particularmente relevantes quando os fornecedores trabalham simultaneamente com várias organizações, incluindo entidades públicas e operadores de serviços essenciais.

A eventual concentração de informação de diferentes clientes num mesmo ambiente tecnológico pode ampliar as consequências de uma intrusão.

A gestão destes riscos exige medidas como controlo rigoroso de acessos, segregação de ambientes, protecção dos dados utilizados em testes, auditorias aos prestadores e procedimentos eficazes de resposta a incidentes.

EXISTEM CONSEQUÊNCIAS PARA A SEGURANÇA NACIONAL?

O envolvimento de um prestador associado aos websites de entidades de informações do Estado confere especial sensibilidade ao acontecimento.

Contudo, a informação publicamente confirmada não demonstra que tenham sido comprometidos sistemas de inteligência, operações classificadas ou capacidades essenciais à segurança nacional.

O SIRP rejeitou expressamente que os seus serviços tenham sido directamente alvo do ataque e esclareceu que os websites públicos envolvidos não contêm informação classificada.

A existência de uma alegada fuga de dados deve, por isso, ser analisada separadamente de qualquer hipótese de comprometimento operacional dos serviços de informações.

Até à data de referência desta publicação, não foram identificadas consequências generalizadas para os serviços essenciais prestados à população portuguesa associadas a este incidente.

AVALIAÇÃO PREPPERS.PT

O ciberataque ao prestador tecnológico associado ao SIRP constitui um acontecimento relevante para a avaliação da segurança digital de entidades públicas portuguesas.

Embora não existam elementos que confirmem uma intrusão directa nos sistemas operacionais dos serviços de informações, o incidente demonstra a importância dos riscos associados à cadeia de fornecimento tecnológica.

A utilização de fornecedores externos, ambientes de desenvolvimento e infraestruturas partilhadas pode criar pontos de exposição que exigem mecanismos de segurança e supervisão adequados à sensibilidade das entidades envolvidas.

A dimensão da alegada fuga de dados e a natureza exacta da informação comprometida permanecem parcialmente por esclarecer. As reivindicações dos atacantes não devem ser confundidas com conclusões técnicas ou oficiais.

O PREPPERS.PT considera que o incidente justifica acompanhamento das investigações e de eventuais esclarecimentos adicionais, particularmente sobre a extensão da exposição de dados e as medidas de mitigação adoptadas.

Contudo, não foram identificados elementos que demonstrem uma perturbação generalizada de serviços essenciais ou uma ameaça operacional imediata à população portuguesa.

Mantém-se, assim, a classificação da área de Cibersegurança em 2/5 — MODERADO, com tendência ESTÁVEL.

Ficha de informação

Ocorrência: Ciberataque a servidor de desenvolvimento de um fornecedor tecnológico do SIRP.

Divulgação: 7 e 8 de outubro de 2026.

Informação confirmada: Incidente num prestador externo, sem ataque directo aos serviços de informações segundo o SIRP.

Informação por confirmar: Volume definitivo, conteúdo e extensão dos dados comprometidos.

Situação: Incidente participado à Procuradoria-Geral da República e sob avaliação.

Área de Vigilância: Cibersegurança.

Nível de Risco: 2/5 — MODERADO → ESTÁVEL.

FONTES

Agência Lusa — através da Renascença
SIRP esclarece que os serviços de informações não foram alvo de ataque directo — 8 de outubro de 2026

Agência Lusa — AMAN Alliance
Ciberataque a fornecedor tecnológico e exposição de dados não classificados — 8 de outubro de 2026

PREPPERS.PT
Metodologia de Risco