A Metro Mondego, operadora do serviço metrobus que liga a Lousã a Coimbra, confirmou que foi alvo de um ataque de ransomware e admitiu ser provável que os atacantes tenham copiado dados pessoais de titulares de passes personalizados, incluindo menores. O incidente foi detetado a 6 de julho de 2026 e o grupo responsável já reivindicou publicamente a ação, ameaçando divulgar a informação. A empresa garante que a operação dos transportes nunca esteve em causa e que os dados de pagamento com cartão bancário não foram afetados, mas alertou preventivamente as pessoas potencialmente abrangidas para o risco de fraude.
Resposta rápida: A Metro Mondego sofreu um ataque de ransomware a 6 de julho de 2026 e considera provável a cópia de dados pessoais de titulares de passes personalizados, como nome, morada, telefone, fotografia, NIF e documento de identificação, incluindo de menores. Os dados de pagamento com cartão não foram comprometidos. Se tem passe personalizado, desconfie de mensagens, chamadas ou pedidos de dados ou pagamentos em nome da empresa e reporte contactos suspeitos para [email protected] ou 239 488 109.
O que aconteceu e quando
A Metro Mondego afirmou que foi alvo de um ataque informático a 6 de julho, do tipo ransomware, que afetou parte dos seus sistemas internos, mas sem comprometer a operação do serviço de transporte que circula entre a Lousã e Coimbra. O ransomware é um tipo de software malicioso que cifra ou bloqueia o acesso a dados e sistemas, exigindo depois o pagamento de um resgate. Nos últimos anos, este tipo de ataque passou a combinar cifragem com o roubo prévio de informação, uma tática de dupla extorsão em que os criminosos ameaçam publicar os dados caso a vítima não pague.
Numa primeira comunicação, ainda em meados de julho, a empresa focou-se sobretudo na resposta ao incidente e no aviso de precaução. De acordo com a informação mais recente, existem indícios de que os atacantes poderão ter copiado informação armazenada nos sistemas afetados, e o grupo responsável reivindicou a autoria, afirmando estar na posse de dados da empresa e ameaçando divulgá-los publicamente. A empresa sublinha que ainda não é possível confirmar que dados foram concretamente copiados, mas decidiu avisar as pessoas potencialmente abrangidas mesmo antes dessa confirmação, para que possam proteger-se desde já.
Que dados podem ter sido expostos
Nem todos os utilizadores estão na mesma situação. O aviso relativo aos dados pessoais aplica-se apenas aos titulares de passe personalizado, uma vez que a compra de bilhetes de transporte não envolve o registo de dados pessoais dos passageiros. Por outras palavras, quem apenas compra bilhetes avulsos não terá, em princípio, dados de identificação nos sistemas atingidos.
Para os titulares de passe personalizado, o quadro é mais delicado. Os dados associados ao passe personalizado que podem estar em causa incluem dados de identificação e contacto — como nome, data de nascimento, morada, telefone e fotografia — números de identificação oficiais, como o NIF e o número do documento de identificação apresentado no registo, e dados de utilização do título de transporte. Esta informação diz respeito tanto a adultos como a menores que possuam passe.
A referência a menores merece atenção especial. A própria empresa sugeriu aos encarregados de educação que estejam atentos a mensagens, chamadas ou outros contactos suspeitos dirigidos aos menores a seu cargo. Há ainda um segundo círculo de pessoas afetadas fora dos passageiros: está também em causa o nome, o email e o número de telefone de pessoas que trocaram emails com a Metro Mondego, sendo o risco principal a receção de mensagens fraudulentas que se façam passar pela empresa.
Um ponto importante de tranquilização: a empresa reiterou que os dados de pagamento com cartão bancário não foram afetados, uma vez que os pagamentos são processados em terminais autónomos, isolados dos sistemas atingidos. Ainda assim, a ausência de dados bancários não elimina o risco, porque as restantes informações são suficientes para campanhas de phishing e engenharia social muito credíveis.
Cronologia do incidente
| Data | Acontecimento |
|---|---|
| 6 de julho de 2026 | Deteção do ataque de ransomware que afetou parte dos sistemas internos |
| Meados de julho de 2026 | Comunicação pública inicial e recomendação de precaução aos passageiros |
| 26 de julho de 2026 | A empresa admite como provável a cópia de dados pessoais e confirma a reivindicação pública pelo grupo atacante |
Como reagiu a Metro Mondego
Segundo o comunicado, a Metro Mondego acionou de imediato os seus procedimentos de resposta a incidentes, com o apoio de peritos externos em cibersegurança, e notificou o Centro Nacional de Cibersegurança, a Comissão Nacional de Proteção de Dados e as autoridades responsáveis pela investigação criminal, com quem se mantém em articulação. A notificação a estas entidades não é uma mera formalidade: decorre de obrigações legais, quer no plano da segurança das redes e sistemas, quer no da proteção de dados pessoais.
A empresa comprometeu-se a informar direta e individualmente as pessoas caso se venha a confirmar que quaisquer outros dados foram afetados, bem como a atualizar publicamente a informação à medida que a investigação evolua. Colaboradores, fornecedores e outras entidades com relações contratuais com a Metro Mondego serão contactados individualmente.
O que deve fazer se é utilizador
Por precaução, a empresa recomenda a todos os passageiros que redobrem a atenção a mensagens ou chamadas suspeitas em nome da Metro Mondego, a pedidos de pagamento ou de alteração de dados bancários e a pedidos de códigos, palavras-passe ou dados pessoais. Na prática, isto traduz-se num conjunto de cuidados simples:
- Desconfie de qualquer contacto — SMS, email, chamada ou mensagem — que peça dados pessoais, códigos ou palavras-passe, mesmo que pareça vir da Metro Mondego.
- Nunca faça pagamentos nem altere dados bancários com base em pedidos recebidos por essas vias; confirme sempre pelos canais oficiais.
- Não clique em ligações nem abra anexos de mensagens inesperadas relacionadas com o passe ou com alegadas regularizações.
- Se tem menores com passe, explique-lhes o risco e vigie contactos dirigidos a eles.
- Reporte qualquer comunicação suspeita para o e-mail
[email protected]ou para o número de telefone239 488 109.
Porque é que isto importa em Portugal
Este caso é ilustrativo do risco crescente sobre serviços essenciais e infraestruturas de transporte. Do ponto de vista da proteção de dados, o RGPD obriga os responsáveis pelo tratamento a notificar a CNPD de uma violação de dados que possa implicar risco para os direitos e liberdades das pessoas, em regra no prazo de 72 horas, e a comunicar às pessoas afetadas quando o risco for elevado. A decisão da Metro Mondego de alertar preventivamente os titulares, mesmo antes de confirmar exatamente que dados foram copiados, alinha-se com esta lógica de transparência e mitigação de danos.
No plano da cibersegurança, o incidente surge num momento em que Portugal já dispõe do novo Regime Jurídico da Cibersegurança, aprovado pelo Decreto-Lei n.º 125/2025, que transpõe a Diretiva NIS2 e reforça as obrigações de gestão de risco e de notificação de incidentes por parte de entidades essenciais e importantes, entre as quais operadores de transportes. O papel do CNCS e da equipa CERT.PT é central nesta articulação, apoiando a resposta técnica e a coordenação nacional. Para as PME e organizações que observam este caso, a lição é clara: um ataque de ransomware raramente se limita a cifrar ficheiros — o roubo de dados para dupla extorsão tornou-se a norma, e a preparação da resposta, das cópias de segurança à comunicação com os afetados, faz toda a diferença.
Para os cidadãos, o alerta é igualmente prático: os dados agora potencialmente expostos são exatamente os ingredientes de que os burlões precisam para tornar uma tentativa de fraude convincente. Estar atento nas próximas semanas e meses — e não apenas nos primeiros dias — é a melhor defesa, já que dados roubados podem circular e ser explorados muito depois do ataque inicial.
Perguntas frequentes
Que dados foram possivelmente copiados no ataque à Metro Mondego?
A empresa considera provável a cópia de dados pessoais de titulares de passes personalizados: nome, morada, telefone, fotografia, NIF, número do documento de identificação e dados de utilização do título de transporte, tanto de adultos como de menores.
Os dados de pagamento com cartão foram afetados?
Não. A Metro Mondego garante que os dados de pagamento com cartão bancário não foram comprometidos, uma vez que os pagamentos são processados em terminais autónomos, isolados dos sistemas atingidos pelo ataque.
O que devo fazer se tiver um passe personalizado da Metro Mondego?
Desconfie de mensagens, chamadas ou emails inesperados que se façam passar pela empresa, especialmente pedidos de dados ou pagamentos. Se tiver menores a seu cargo com passe, esteja também atento a contactos suspeitos dirigidos a eles.
Que obrigações legais tem a Metro Mondego perante este incidente?
Enquanto responsável pelo tratamento de dados pessoais, está sujeita ao RGPD, com dever de notificação à CNPD e aos titulares afetados. Como operadora de transportes, o novo Regime Jurídico da Cibersegurança, que transpõe a NIS2, impõe-lhe ainda deveres de gestão de risco e de notificação de incidentes significativos ao CNCS.
Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pela Metro Mondego, pela agência Lusa e por meios que reproduziram o comunicado oficial da empresa.