Além das três marcas assumidas, a investigação aponta para um alcance mais vasto. As vulnerabilidades podem ser encadeadas para executar código arbitrário em automóveis de pelo menos três grandes fabricantes — Mercedes-Benz, Volkswagen e Škoda. Para além destes três, foi confirmado que um quarto fabricante de equipamento original (OEM), não identificado, também está afetado.
Como se proteger
- Instale as atualizações de software do veículo assim que o fabricante ou concessionário as disponibilizar.
- Desative o Bluetooth do carro quando não estiver a utilizá-lo. Desativar o Bluetooth remove o principal vetor de ataque, reduzindo significativamente o risco.
- Não aceite pedidos de emparelhamento Bluetooth inesperados no sistema multimédia.
- Confirme junto da marca se o seu modelo é afetado e se já recebeu o patch correspondente.
Porque é que isto importa em Portugal
Para os condutores em Portugal, a PerfektBlue é um lembrete de que o automóvel moderno é, na prática, um computador sobre rodas — e que a segurança do software importa tanto como a mecânica. Embora o risco prático de roubo em massa seja limitado pela necessidade de proximidade física e emparelhamento, a exposição de dados como localização GPS, gravações de áudio e listas de contactos toca diretamente no direito à proteção de dados. Ao abrigo do RGPD, o tratamento destes dados pessoais recolhidos por sistemas veiculares está sujeito a obrigações de segurança, e uma exploração deste tipo poderia configurar uma violação de dados com dever de notificação à CNPD.
O caso ilustra ainda a importância da recente legislação europeia sobre resiliência da cadeia de fornecimento digital. O novo Regime Jurídico da Cibersegurança (Decreto-Lei n.º 125/2025, que transpõe a Diretiva NIS2 para Portugal) reforça as exigências de gestão de risco e de comunicação de incidentes a operadores de setores considerados essenciais e importantes, incluindo o transporte e o fabrico. Paralelamente, o Cyber Resilience Act europeu impõe requisitos de segurança e de gestão de vulnerabilidades a produtos com elementos digitais ao longo do seu ciclo de vida — precisamente o tipo de exigência que casos como este tornam evidente, dado que a falha reside num componente de terceiros distribuído por múltiplos fabricantes. Em caso de dúvida sobre boas práticas de cibersegurança, o CNCS e o CERT.PT são os pontos de referência nacionais para cidadãos e organizações.
Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pela PCA Cyber Security, pela OpenSynergy e por investigadores e publicações de segurança que analisaram a vulnerabilidade.
A 15 de julho de 2024, a OpenSynergy confirmou as vulnerabilidades e começou a trabalhar nas correções. Os patches foram concluídos em setembro de 2024. No entanto, a distribuição às marcas foi mais lenta. Apesar das correções de setembro de 2024, atrasos na cadeia de fornecimento automóvel deixaram alguns fabricantes por atualizar até junho de 2025. Houve inclusivamente um fabricante que, à data limite acordada, alegava não ter recebido notificação: a 23 de junho, o OEM afetado reportou que não tinha recebido qualquer notificação oficial ou patch sobre as vulnerabilidades através da sua cadeia de fornecimento. Em resposta, a PCA decidiu avançar com a publicação, optando por não revelar publicamente a identidade do OEM.Além das três marcas assumidas, a investigação aponta para um alcance mais vasto. As vulnerabilidades podem ser encadeadas para executar código arbitrário em automóveis de pelo menos três grandes fabricantes — Mercedes-Benz, Volkswagen e Škoda. Para além destes três, foi confirmado que um quarto fabricante de equipamento original (OEM), não identificado, também está afetado.
Como se proteger
- Instale as atualizações de software do veículo assim que o fabricante ou concessionário as disponibilizar.
- Desative o Bluetooth do carro quando não estiver a utilizá-lo. Desativar o Bluetooth remove o principal vetor de ataque, reduzindo significativamente o risco.
- Não aceite pedidos de emparelhamento Bluetooth inesperados no sistema multimédia.
- Confirme junto da marca se o seu modelo é afetado e se já recebeu o patch correspondente.
Porque é que isto importa em Portugal
Para os condutores em Portugal, a PerfektBlue é um lembrete de que o automóvel moderno é, na prática, um computador sobre rodas — e que a segurança do software importa tanto como a mecânica. Embora o risco prático de roubo em massa seja limitado pela necessidade de proximidade física e emparelhamento, a exposição de dados como localização GPS, gravações de áudio e listas de contactos toca diretamente no direito à proteção de dados. Ao abrigo do RGPD, o tratamento destes dados pessoais recolhidos por sistemas veiculares está sujeito a obrigações de segurança, e uma exploração deste tipo poderia configurar uma violação de dados com dever de notificação à CNPD.
O caso ilustra ainda a importância da recente legislação europeia sobre resiliência da cadeia de fornecimento digital. O novo Regime Jurídico da Cibersegurança (Decreto-Lei n.º 125/2025, que transpõe a Diretiva NIS2 para Portugal) reforça as exigências de gestão de risco e de comunicação de incidentes a operadores de setores considerados essenciais e importantes, incluindo o transporte e o fabrico. Paralelamente, o Cyber Resilience Act europeu impõe requisitos de segurança e de gestão de vulnerabilidades a produtos com elementos digitais ao longo do seu ciclo de vida — precisamente o tipo de exigência que casos como este tornam evidente, dado que a falha reside num componente de terceiros distribuído por múltiplos fabricantes. Em caso de dúvida sobre boas práticas de cibersegurança, o CNCS e o CERT.PT são os pontos de referência nacionais para cidadãos e organizações.
Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pela PCA Cyber Security, pela OpenSynergy e por investigadores e publicações de segurança que analisaram a vulnerabilidade.
A sequência é confirmada pelas fontes. A 15 de julho de 2024, a OpenSynergy confirmou as vulnerabilidades e começou a trabalhar nas correções. Os patches foram concluídos em setembro de 2024. No entanto, a distribuição às marcas foi mais lenta. Apesar das correções de setembro de 2024, atrasos na cadeia de fornecimento automóvel deixaram alguns fabricantes por atualizar até junho de 2025. Houve inclusivamente um fabricante que, à data limite acordada, alegava não ter recebido notificação: a 23 de junho, o OEM afetado reportou que não tinha recebido qualquer notificação oficial ou patch sobre as vulnerabilidades através da sua cadeia de fornecimento. Em resposta, a PCA decidiu avançar com a publicação, optando por não revelar publicamente a identidade do OEM.
Além das três marcas assumidas, a investigação aponta para um alcance mais vasto. As vulnerabilidades podem ser encadeadas para executar código arbitrário em automóveis de pelo menos três grandes fabricantes — Mercedes-Benz, Volkswagen e Škoda. Para além destes três, foi confirmado que um quarto fabricante de equipamento original (OEM), não identificado, também está afetado.
Como se proteger
- Instale as atualizações de software do veículo assim que o fabricante ou concessionário as disponibilizar.
- Desative o Bluetooth do carro quando não estiver a utilizá-lo. Desativar o Bluetooth remove o principal vetor de ataque, reduzindo significativamente o risco.
- Não aceite pedidos de emparelhamento Bluetooth inesperados no sistema multimédia.
- Confirme junto da marca se o seu modelo é afetado e se já recebeu o patch correspondente.
Porque é que isto importa em Portugal
Para os condutores em Portugal, a PerfektBlue é um lembrete de que o automóvel moderno é, na prática, um computador sobre rodas — e que a segurança do software importa tanto como a mecânica. Embora o risco prático de roubo em massa seja limitado pela necessidade de proximidade física e emparelhamento, a exposição de dados como localização GPS, gravações de áudio e listas de contactos toca diretamente no direito à proteção de dados. Ao abrigo do RGPD, o tratamento destes dados pessoais recolhidos por sistemas veiculares está sujeito a obrigações de segurança, e uma exploração deste tipo poderia configurar uma violação de dados com dever de notificação à CNPD.
O caso ilustra ainda a importância da recente legislação europeia sobre resiliência da cadeia de fornecimento digital. O novo Regime Jurídico da Cibersegurança (Decreto-Lei n.º 125/2025, que transpõe a Diretiva NIS2 para Portugal) reforça as exigências de gestão de risco e de comunicação de incidentes a operadores de setores considerados essenciais e importantes, incluindo o transporte e o fabrico. Paralelamente, o Cyber Resilience Act europeu impõe requisitos de segurança e de gestão de vulnerabilidades a produtos com elementos digitais ao longo do seu ciclo de vida — precisamente o tipo de exigência que casos como este tornam evidente, dado que a falha reside num componente de terceiros distribuído por múltiplos fabricantes. Em caso de dúvida sobre boas práticas de cibersegurança, o CNCS e o CERT.PT são os pontos de referência nacionais para cidadãos e organizações.
Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pela PCA Cyber Security, pela OpenSynergy e por investigadores e publicações de segurança que analisaram a vulnerabilidade.
A sequência é confirmada pelas fontes. A 15 de julho de 2024, a OpenSynergy confirmou as vulnerabilidades e começou a trabalhar nas correções. Os patches foram concluídos em setembro de 2024. No entanto, a distribuição às marcas foi mais lenta. Apesar das correções de setembro de 2024, atrasos na cadeia de fornecimento automóvel deixaram alguns fabricantes por atualizar até junho de 2025. Houve inclusivamente um fabricante que, à data limite acordada, alegava não ter recebido notificação: a 23 de junho, o OEM afetado reportou que não tinha recebido qualquer notificação oficial ou patch sobre as vulnerabilidades através da sua cadeia de fornecimento. Em resposta, a PCA decidiu avançar com a publicação, optando por não revelar publicamente a identidade do OEM.
Além das três marcas assumidas, a investigação aponta para um alcance mais vasto. As vulnerabilidades podem ser encadeadas para executar código arbitrário em automóveis de pelo menos três grandes fabricantes — Mercedes-Benz, Volkswagen e Škoda. Para além destes três, foi confirmado que um quarto fabricante de equipamento original (OEM), não identificado, também está afetado.
Como se proteger
- Instale as atualizações de software do veículo assim que o fabricante ou concessionário as disponibilizar.
- Desative o Bluetooth do carro quando não estiver a utilizá-lo. Desativar o Bluetooth remove o principal vetor de ataque, reduzindo significativamente o risco.
- Não aceite pedidos de emparelhamento Bluetooth inesperados no sistema multimédia.
- Confirme junto da marca se o seu modelo é afetado e se já recebeu o patch correspondente.
Porque é que isto importa em Portugal
Para os condutores em Portugal, a PerfektBlue é um lembrete de que o automóvel moderno é, na prática, um computador sobre rodas — e que a segurança do software importa tanto como a mecânica. Embora o risco prático de roubo em massa seja limitado pela necessidade de proximidade física e emparelhamento, a exposição de dados como localização GPS, gravações de áudio e listas de contactos toca diretamente no direito à proteção de dados. Ao abrigo do RGPD, o tratamento destes dados pessoais recolhidos por sistemas veiculares está sujeito a obrigações de segurança, e uma exploração deste tipo poderia configurar uma violação de dados com dever de notificação à CNPD.
O caso ilustra ainda a importância da recente legislação europeia sobre resiliência da cadeia de fornecimento digital. O novo Regime Jurídico da Cibersegurança (Decreto-Lei n.º 125/2025, que transpõe a Diretiva NIS2 para Portugal) reforça as exigências de gestão de risco e de comunicação de incidentes a operadores de setores considerados essenciais e importantes, incluindo o transporte e o fabrico. Paralelamente, o Cyber Resilience Act europeu impõe requisitos de segurança e de gestão de vulnerabilidades a produtos com elementos digitais ao longo do seu ciclo de vida — precisamente o tipo de exigência que casos como este tornam evidente, dado que a falha reside num componente de terceiros distribuído por múltiplos fabricantes. Em caso de dúvida sobre boas práticas de cibersegurança, o CNCS e o CERT.PT são os pontos de referência nacionais para cidadãos e organizações.
Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pela PCA Cyber Security, pela OpenSynergy e por investigadores e publicações de segurança que analisaram a vulnerabilidade.
A PCA demonstrou a exploração em sistemas de produção reais. A PCA explorou com sucesso a cadeia em sistemas de produção: o IVI Mercedes-Benz NTG6, confirmado em bancada de teste; o Volkswagen ICAS3, usado no ID.4; e o Škoda MIB3, confirmado num Superb 3.
Cronologia da divulgação responsável
O processo de divulgação estendeu-se por mais de um ano, com atrasos que ilustram os riscos da cadeia de fornecimento no setor automóvel.
| Data | Acontecimento |
|---|---|
| 17 maio 2024 | PCA reporta as falhas à equipa de segurança da OpenSynergy |
| 15 julho 2024 | OpenSynergy confirma as vulnerabilidades e inicia trabalho nos patches |
| Setembro 2024 | Correções concluídas e fornecidas aos clientes da OpenSynergy |
| Março 2025 | Início da divulgação responsável pública por parte da PCA |
| 7 julho 2025 | Publicação oficial do aviso PerfektBlue |
A sequência é confirmada pelas fontes. A 15 de julho de 2024, a OpenSynergy confirmou as vulnerabilidades e começou a trabalhar nas correções. Os patches foram concluídos em setembro de 2024. No entanto, a distribuição às marcas foi mais lenta. Apesar das correções de setembro de 2024, atrasos na cadeia de fornecimento automóvel deixaram alguns fabricantes por atualizar até junho de 2025. Houve inclusivamente um fabricante que, à data limite acordada, alegava não ter recebido notificação: a 23 de junho, o OEM afetado reportou que não tinha recebido qualquer notificação oficial ou patch sobre as vulnerabilidades através da sua cadeia de fornecimento. Em resposta, a PCA decidiu avançar com a publicação, optando por não revelar publicamente a identidade do OEM.
Além das três marcas assumidas, a investigação aponta para um alcance mais vasto. As vulnerabilidades podem ser encadeadas para executar código arbitrário em automóveis de pelo menos três grandes fabricantes — Mercedes-Benz, Volkswagen e Škoda. Para além destes três, foi confirmado que um quarto fabricante de equipamento original (OEM), não identificado, também está afetado.
Como se proteger
- Instale as atualizações de software do veículo assim que o fabricante ou concessionário as disponibilizar.
- Desative o Bluetooth do carro quando não estiver a utilizá-lo. Desativar o Bluetooth remove o principal vetor de ataque, reduzindo significativamente o risco.
- Não aceite pedidos de emparelhamento Bluetooth inesperados no sistema multimédia.
- Confirme junto da marca se o seu modelo é afetado e se já recebeu o patch correspondente.
Porque é que isto importa em Portugal
Para os condutores em Portugal, a PerfektBlue é um lembrete de que o automóvel moderno é, na prática, um computador sobre rodas — e que a segurança do software importa tanto como a mecânica. Embora o risco prático de roubo em massa seja limitado pela necessidade de proximidade física e emparelhamento, a exposição de dados como localização GPS, gravações de áudio e listas de contactos toca diretamente no direito à proteção de dados. Ao abrigo do RGPD, o tratamento destes dados pessoais recolhidos por sistemas veiculares está sujeito a obrigações de segurança, e uma exploração deste tipo poderia configurar uma violação de dados com dever de notificação à CNPD.
O caso ilustra ainda a importância da recente legislação europeia sobre resiliência da cadeia de fornecimento digital. O novo Regime Jurídico da Cibersegurança (Decreto-Lei n.º 125/2025, que transpõe a Diretiva NIS2 para Portugal) reforça as exigências de gestão de risco e de comunicação de incidentes a operadores de setores considerados essenciais e importantes, incluindo o transporte e o fabrico. Paralelamente, o Cyber Resilience Act europeu impõe requisitos de segurança e de gestão de vulnerabilidades a produtos com elementos digitais ao longo do seu ciclo de vida — precisamente o tipo de exigência que casos como este tornam evidente, dado que a falha reside num componente de terceiros distribuído por múltiplos fabricantes. Em caso de dúvida sobre boas práticas de cibersegurança, o CNCS e o CERT.PT são os pontos de referência nacionais para cidadãos e organizações.
Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pela PCA Cyber Security, pela OpenSynergy e por investigadores e publicações de segurança que analisaram a vulnerabilidade.
Uma vez comprometido o sistema multimédia, as consequências podem ser significativas para a privacidade. Uma vez estabelecida a ligação, o atacante pode comprometer a unidade de infoentretenimento (IVI). Isto concede acesso a funcionalidades sensíveis como localização GPS, microfones e listas de contactos. É importante notar que a IVI não controla diretamente sistemas críticos de segurança como a direção ou a travagem. A hipótese de movimento lateral para funções críticas do veículo existe, mas depende da arquitetura e de vulnerabilidades adicionais.
A PCA demonstrou a exploração em sistemas de produção reais. A PCA explorou com sucesso a cadeia em sistemas de produção: o IVI Mercedes-Benz NTG6, confirmado em bancada de teste; o Volkswagen ICAS3, usado no ID.4; e o Škoda MIB3, confirmado num Superb 3.
Cronologia da divulgação responsável
O processo de divulgação estendeu-se por mais de um ano, com atrasos que ilustram os riscos da cadeia de fornecimento no setor automóvel.
| Data | Acontecimento |
|---|---|
| 17 maio 2024 | PCA reporta as falhas à equipa de segurança da OpenSynergy |
| 15 julho 2024 | OpenSynergy confirma as vulnerabilidades e inicia trabalho nos patches |
| Setembro 2024 | Correções concluídas e fornecidas aos clientes da OpenSynergy |
| Março 2025 | Início da divulgação responsável pública por parte da PCA |
| 7 julho 2025 | Publicação oficial do aviso PerfektBlue |
A sequência é confirmada pelas fontes. A 15 de julho de 2024, a OpenSynergy confirmou as vulnerabilidades e começou a trabalhar nas correções. Os patches foram concluídos em setembro de 2024. No entanto, a distribuição às marcas foi mais lenta. Apesar das correções de setembro de 2024, atrasos na cadeia de fornecimento automóvel deixaram alguns fabricantes por atualizar até junho de 2025. Houve inclusivamente um fabricante que, à data limite acordada, alegava não ter recebido notificação: a 23 de junho, o OEM afetado reportou que não tinha recebido qualquer notificação oficial ou patch sobre as vulnerabilidades através da sua cadeia de fornecimento. Em resposta, a PCA decidiu avançar com a publicação, optando por não revelar publicamente a identidade do OEM.
Além das três marcas assumidas, a investigação aponta para um alcance mais vasto. As vulnerabilidades podem ser encadeadas para executar código arbitrário em automóveis de pelo menos três grandes fabricantes — Mercedes-Benz, Volkswagen e Škoda. Para além destes três, foi confirmado que um quarto fabricante de equipamento original (OEM), não identificado, também está afetado.
Como se proteger
- Instale as atualizações de software do veículo assim que o fabricante ou concessionário as disponibilizar.
- Desative o Bluetooth do carro quando não estiver a utilizá-lo. Desativar o Bluetooth remove o principal vetor de ataque, reduzindo significativamente o risco.
- Não aceite pedidos de emparelhamento Bluetooth inesperados no sistema multimédia.
- Confirme junto da marca se o seu modelo é afetado e se já recebeu o patch correspondente.
Porque é que isto importa em Portugal
Para os condutores em Portugal, a PerfektBlue é um lembrete de que o automóvel moderno é, na prática, um computador sobre rodas — e que a segurança do software importa tanto como a mecânica. Embora o risco prático de roubo em massa seja limitado pela necessidade de proximidade física e emparelhamento, a exposição de dados como localização GPS, gravações de áudio e listas de contactos toca diretamente no direito à proteção de dados. Ao abrigo do RGPD, o tratamento destes dados pessoais recolhidos por sistemas veiculares está sujeito a obrigações de segurança, e uma exploração deste tipo poderia configurar uma violação de dados com dever de notificação à CNPD.
O caso ilustra ainda a importância da recente legislação europeia sobre resiliência da cadeia de fornecimento digital. O novo Regime Jurídico da Cibersegurança (Decreto-Lei n.º 125/2025, que transpõe a Diretiva NIS2 para Portugal) reforça as exigências de gestão de risco e de comunicação de incidentes a operadores de setores considerados essenciais e importantes, incluindo o transporte e o fabrico. Paralelamente, o Cyber Resilience Act europeu impõe requisitos de segurança e de gestão de vulnerabilidades a produtos com elementos digitais ao longo do seu ciclo de vida — precisamente o tipo de exigência que casos como este tornam evidente, dado que a falha reside num componente de terceiros distribuído por múltiplos fabricantes. Em caso de dúvida sobre boas práticas de cibersegurança, o CNCS e o CERT.PT são os pontos de referência nacionais para cidadãos e organizações.
Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pela PCA Cyber Security, pela OpenSynergy e por investigadores e publicações de segurança que analisaram a vulnerabilidade.
A própria PCA classifica o cenário como um «1-click RCE». A PerfektBlue é sobretudo um RCE de 1 clique porque, na maioria das vezes, requer enganar o utilizador para permitir o emparelhamento com um dispositivo do atacante. Contudo, alguns fabricantes configuram os sistemas de infoentretenimento para emparelhar sem qualquer confirmação. Ou seja, a exposição real varia conforme a implementação de cada marca, sobretudo em modos de emparelhamento «Just Works».
Uma vez comprometido o sistema multimédia, as consequências podem ser significativas para a privacidade. Uma vez estabelecida a ligação, o atacante pode comprometer a unidade de infoentretenimento (IVI). Isto concede acesso a funcionalidades sensíveis como localização GPS, microfones e listas de contactos. É importante notar que a IVI não controla diretamente sistemas críticos de segurança como a direção ou a travagem. A hipótese de movimento lateral para funções críticas do veículo existe, mas depende da arquitetura e de vulnerabilidades adicionais.
A PCA demonstrou a exploração em sistemas de produção reais. A PCA explorou com sucesso a cadeia em sistemas de produção: o IVI Mercedes-Benz NTG6, confirmado em bancada de teste; o Volkswagen ICAS3, usado no ID.4; e o Škoda MIB3, confirmado num Superb 3.
Cronologia da divulgação responsável
O processo de divulgação estendeu-se por mais de um ano, com atrasos que ilustram os riscos da cadeia de fornecimento no setor automóvel.
| Data | Acontecimento |
|---|---|
| 17 maio 2024 | PCA reporta as falhas à equipa de segurança da OpenSynergy |
| 15 julho 2024 | OpenSynergy confirma as vulnerabilidades e inicia trabalho nos patches |
| Setembro 2024 | Correções concluídas e fornecidas aos clientes da OpenSynergy |
| Março 2025 | Início da divulgação responsável pública por parte da PCA |
| 7 julho 2025 | Publicação oficial do aviso PerfektBlue |
A sequência é confirmada pelas fontes. A 15 de julho de 2024, a OpenSynergy confirmou as vulnerabilidades e começou a trabalhar nas correções. Os patches foram concluídos em setembro de 2024. No entanto, a distribuição às marcas foi mais lenta. Apesar das correções de setembro de 2024, atrasos na cadeia de fornecimento automóvel deixaram alguns fabricantes por atualizar até junho de 2025. Houve inclusivamente um fabricante que, à data limite acordada, alegava não ter recebido notificação: a 23 de junho, o OEM afetado reportou que não tinha recebido qualquer notificação oficial ou patch sobre as vulnerabilidades através da sua cadeia de fornecimento. Em resposta, a PCA decidiu avançar com a publicação, optando por não revelar publicamente a identidade do OEM.
Além das três marcas assumidas, a investigação aponta para um alcance mais vasto. As vulnerabilidades podem ser encadeadas para executar código arbitrário em automóveis de pelo menos três grandes fabricantes — Mercedes-Benz, Volkswagen e Škoda. Para além destes três, foi confirmado que um quarto fabricante de equipamento original (OEM), não identificado, também está afetado.
Como se proteger
- Instale as atualizações de software do veículo assim que o fabricante ou concessionário as disponibilizar.
- Desative o Bluetooth do carro quando não estiver a utilizá-lo. Desativar o Bluetooth remove o principal vetor de ataque, reduzindo significativamente o risco.
- Não aceite pedidos de emparelhamento Bluetooth inesperados no sistema multimédia.
- Confirme junto da marca se o seu modelo é afetado e se já recebeu o patch correspondente.
Porque é que isto importa em Portugal
Para os condutores em Portugal, a PerfektBlue é um lembrete de que o automóvel moderno é, na prática, um computador sobre rodas — e que a segurança do software importa tanto como a mecânica. Embora o risco prático de roubo em massa seja limitado pela necessidade de proximidade física e emparelhamento, a exposição de dados como localização GPS, gravações de áudio e listas de contactos toca diretamente no direito à proteção de dados. Ao abrigo do RGPD, o tratamento destes dados pessoais recolhidos por sistemas veiculares está sujeito a obrigações de segurança, e uma exploração deste tipo poderia configurar uma violação de dados com dever de notificação à CNPD.
O caso ilustra ainda a importância da recente legislação europeia sobre resiliência da cadeia de fornecimento digital. O novo Regime Jurídico da Cibersegurança (Decreto-Lei n.º 125/2025, que transpõe a Diretiva NIS2 para Portugal) reforça as exigências de gestão de risco e de comunicação de incidentes a operadores de setores considerados essenciais e importantes, incluindo o transporte e o fabrico. Paralelamente, o Cyber Resilience Act europeu impõe requisitos de segurança e de gestão de vulnerabilidades a produtos com elementos digitais ao longo do seu ciclo de vida — precisamente o tipo de exigência que casos como este tornam evidente, dado que a falha reside num componente de terceiros distribuído por múltiplos fabricantes. Em caso de dúvida sobre boas práticas de cibersegurança, o CNCS e o CERT.PT são os pontos de referência nacionais para cidadãos e organizações.
Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pela PCA Cyber Security, pela OpenSynergy e por investigadores e publicações de segurança que analisaram a vulnerabilidade.
Ao contrário do que sugerem algumas manchetes alarmistas, o ataque não é trivial de executar à distância. Para explorar a PerfektBlue, um atacante tem de estar dentro do alcance Bluetooth (cerca de 5 a 7 metros) e emparelhar com sucesso com o sistema de infoentretenimento do veículo. Isto limita significativamente a escala de potenciais ataques. O emparelhamento é normalmente a barreira principal, embora dependa da configuração de cada fabricante.
A própria PCA classifica o cenário como um «1-click RCE». A PerfektBlue é sobretudo um RCE de 1 clique porque, na maioria das vezes, requer enganar o utilizador para permitir o emparelhamento com um dispositivo do atacante. Contudo, alguns fabricantes configuram os sistemas de infoentretenimento para emparelhar sem qualquer confirmação. Ou seja, a exposição real varia conforme a implementação de cada marca, sobretudo em modos de emparelhamento «Just Works».
Uma vez comprometido o sistema multimédia, as consequências podem ser significativas para a privacidade. Uma vez estabelecida a ligação, o atacante pode comprometer a unidade de infoentretenimento (IVI). Isto concede acesso a funcionalidades sensíveis como localização GPS, microfones e listas de contactos. É importante notar que a IVI não controla diretamente sistemas críticos de segurança como a direção ou a travagem. A hipótese de movimento lateral para funções críticas do veículo existe, mas depende da arquitetura e de vulnerabilidades adicionais.
A PCA demonstrou a exploração em sistemas de produção reais. A PCA explorou com sucesso a cadeia em sistemas de produção: o IVI Mercedes-Benz NTG6, confirmado em bancada de teste; o Volkswagen ICAS3, usado no ID.4; e o Škoda MIB3, confirmado num Superb 3.
Cronologia da divulgação responsável
O processo de divulgação estendeu-se por mais de um ano, com atrasos que ilustram os riscos da cadeia de fornecimento no setor automóvel.
| Data | Acontecimento |
|---|---|
| 17 maio 2024 | PCA reporta as falhas à equipa de segurança da OpenSynergy |
| 15 julho 2024 | OpenSynergy confirma as vulnerabilidades e inicia trabalho nos patches |
| Setembro 2024 | Correções concluídas e fornecidas aos clientes da OpenSynergy |
| Março 2025 | Início da divulgação responsável pública por parte da PCA |
| 7 julho 2025 | Publicação oficial do aviso PerfektBlue |
A sequência é confirmada pelas fontes. A 15 de julho de 2024, a OpenSynergy confirmou as vulnerabilidades e começou a trabalhar nas correções. Os patches foram concluídos em setembro de 2024. No entanto, a distribuição às marcas foi mais lenta. Apesar das correções de setembro de 2024, atrasos na cadeia de fornecimento automóvel deixaram alguns fabricantes por atualizar até junho de 2025. Houve inclusivamente um fabricante que, à data limite acordada, alegava não ter recebido notificação: a 23 de junho, o OEM afetado reportou que não tinha recebido qualquer notificação oficial ou patch sobre as vulnerabilidades através da sua cadeia de fornecimento. Em resposta, a PCA decidiu avançar com a publicação, optando por não revelar publicamente a identidade do OEM.
Além das três marcas assumidas, a investigação aponta para um alcance mais vasto. As vulnerabilidades podem ser encadeadas para executar código arbitrário em automóveis de pelo menos três grandes fabricantes — Mercedes-Benz, Volkswagen e Škoda. Para além destes três, foi confirmado que um quarto fabricante de equipamento original (OEM), não identificado, também está afetado.
Como se proteger
- Instale as atualizações de software do veículo assim que o fabricante ou concessionário as disponibilizar.
- Desative o Bluetooth do carro quando não estiver a utilizá-lo. Desativar o Bluetooth remove o principal vetor de ataque, reduzindo significativamente o risco.
- Não aceite pedidos de emparelhamento Bluetooth inesperados no sistema multimédia.
- Confirme junto da marca se o seu modelo é afetado e se já recebeu o patch correspondente.
Porque é que isto importa em Portugal
Para os condutores em Portugal, a PerfektBlue é um lembrete de que o automóvel moderno é, na prática, um computador sobre rodas — e que a segurança do software importa tanto como a mecânica. Embora o risco prático de roubo em massa seja limitado pela necessidade de proximidade física e emparelhamento, a exposição de dados como localização GPS, gravações de áudio e listas de contactos toca diretamente no direito à proteção de dados. Ao abrigo do RGPD, o tratamento destes dados pessoais recolhidos por sistemas veiculares está sujeito a obrigações de segurança, e uma exploração deste tipo poderia configurar uma violação de dados com dever de notificação à CNPD.
O caso ilustra ainda a importância da recente legislação europeia sobre resiliência da cadeia de fornecimento digital. O novo Regime Jurídico da Cibersegurança (Decreto-Lei n.º 125/2025, que transpõe a Diretiva NIS2 para Portugal) reforça as exigências de gestão de risco e de comunicação de incidentes a operadores de setores considerados essenciais e importantes, incluindo o transporte e o fabrico. Paralelamente, o Cyber Resilience Act europeu impõe requisitos de segurança e de gestão de vulnerabilidades a produtos com elementos digitais ao longo do seu ciclo de vida — precisamente o tipo de exigência que casos como este tornam evidente, dado que a falha reside num componente de terceiros distribuído por múltiplos fabricantes. Em caso de dúvida sobre boas práticas de cibersegurança, o CNCS e o CERT.PT são os pontos de referência nacionais para cidadãos e organizações.
Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pela PCA Cyber Security, pela OpenSynergy e por investigadores e publicações de segurança que analisaram a vulnerabilidade.
Isoladamente, várias destas falhas têm risco reduzido; o perigo surge da combinação. A PerfektBlue consiste em quatro vulnerabilidades. Apenas uma das quatro envolve corrupção de memória. As outras exploram má gestão de protocolo. Combinadas, permitem a execução remota de código (RCE) após estabelecer uma ligação Bluetooth. Os protocolos afetados são camadas centrais da comunicação Bluetooth, nomeadamente L2CAP, RFCOMM e AVRCP.
Como funciona o ataque e quais os seus limites
Ao contrário do que sugerem algumas manchetes alarmistas, o ataque não é trivial de executar à distância. Para explorar a PerfektBlue, um atacante tem de estar dentro do alcance Bluetooth (cerca de 5 a 7 metros) e emparelhar com sucesso com o sistema de infoentretenimento do veículo. Isto limita significativamente a escala de potenciais ataques. O emparelhamento é normalmente a barreira principal, embora dependa da configuração de cada fabricante.
A própria PCA classifica o cenário como um «1-click RCE». A PerfektBlue é sobretudo um RCE de 1 clique porque, na maioria das vezes, requer enganar o utilizador para permitir o emparelhamento com um dispositivo do atacante. Contudo, alguns fabricantes configuram os sistemas de infoentretenimento para emparelhar sem qualquer confirmação. Ou seja, a exposição real varia conforme a implementação de cada marca, sobretudo em modos de emparelhamento «Just Works».
Uma vez comprometido o sistema multimédia, as consequências podem ser significativas para a privacidade. Uma vez estabelecida a ligação, o atacante pode comprometer a unidade de infoentretenimento (IVI). Isto concede acesso a funcionalidades sensíveis como localização GPS, microfones e listas de contactos. É importante notar que a IVI não controla diretamente sistemas críticos de segurança como a direção ou a travagem. A hipótese de movimento lateral para funções críticas do veículo existe, mas depende da arquitetura e de vulnerabilidades adicionais.
A PCA demonstrou a exploração em sistemas de produção reais. A PCA explorou com sucesso a cadeia em sistemas de produção: o IVI Mercedes-Benz NTG6, confirmado em bancada de teste; o Volkswagen ICAS3, usado no ID.4; e o Škoda MIB3, confirmado num Superb 3.
Cronologia da divulgação responsável
O processo de divulgação estendeu-se por mais de um ano, com atrasos que ilustram os riscos da cadeia de fornecimento no setor automóvel.
| Data | Acontecimento |
|---|---|
| 17 maio 2024 | PCA reporta as falhas à equipa de segurança da OpenSynergy |
| 15 julho 2024 | OpenSynergy confirma as vulnerabilidades e inicia trabalho nos patches |
| Setembro 2024 | Correções concluídas e fornecidas aos clientes da OpenSynergy |
| Março 2025 | Início da divulgação responsável pública por parte da PCA |
| 7 julho 2025 | Publicação oficial do aviso PerfektBlue |
A sequência é confirmada pelas fontes. A 15 de julho de 2024, a OpenSynergy confirmou as vulnerabilidades e começou a trabalhar nas correções. Os patches foram concluídos em setembro de 2024. No entanto, a distribuição às marcas foi mais lenta. Apesar das correções de setembro de 2024, atrasos na cadeia de fornecimento automóvel deixaram alguns fabricantes por atualizar até junho de 2025. Houve inclusivamente um fabricante que, à data limite acordada, alegava não ter recebido notificação: a 23 de junho, o OEM afetado reportou que não tinha recebido qualquer notificação oficial ou patch sobre as vulnerabilidades através da sua cadeia de fornecimento. Em resposta, a PCA decidiu avançar com a publicação, optando por não revelar publicamente a identidade do OEM.
Além das três marcas assumidas, a investigação aponta para um alcance mais vasto. As vulnerabilidades podem ser encadeadas para executar código arbitrário em automóveis de pelo menos três grandes fabricantes — Mercedes-Benz, Volkswagen e Škoda. Para além destes três, foi confirmado que um quarto fabricante de equipamento original (OEM), não identificado, também está afetado.
Como se proteger
- Instale as atualizações de software do veículo assim que o fabricante ou concessionário as disponibilizar.
- Desative o Bluetooth do carro quando não estiver a utilizá-lo. Desativar o Bluetooth remove o principal vetor de ataque, reduzindo significativamente o risco.
- Não aceite pedidos de emparelhamento Bluetooth inesperados no sistema multimédia.
- Confirme junto da marca se o seu modelo é afetado e se já recebeu o patch correspondente.
Porque é que isto importa em Portugal
Para os condutores em Portugal, a PerfektBlue é um lembrete de que o automóvel moderno é, na prática, um computador sobre rodas — e que a segurança do software importa tanto como a mecânica. Embora o risco prático de roubo em massa seja limitado pela necessidade de proximidade física e emparelhamento, a exposição de dados como localização GPS, gravações de áudio e listas de contactos toca diretamente no direito à proteção de dados. Ao abrigo do RGPD, o tratamento destes dados pessoais recolhidos por sistemas veiculares está sujeito a obrigações de segurança, e uma exploração deste tipo poderia configurar uma violação de dados com dever de notificação à CNPD.
O caso ilustra ainda a importância da recente legislação europeia sobre resiliência da cadeia de fornecimento digital. O novo Regime Jurídico da Cibersegurança (Decreto-Lei n.º 125/2025, que transpõe a Diretiva NIS2 para Portugal) reforça as exigências de gestão de risco e de comunicação de incidentes a operadores de setores considerados essenciais e importantes, incluindo o transporte e o fabrico. Paralelamente, o Cyber Resilience Act europeu impõe requisitos de segurança e de gestão de vulnerabilidades a produtos com elementos digitais ao longo do seu ciclo de vida — precisamente o tipo de exigência que casos como este tornam evidente, dado que a falha reside num componente de terceiros distribuído por múltiplos fabricantes. Em caso de dúvida sobre boas práticas de cibersegurança, o CNCS e o CERT.PT são os pontos de referência nacionais para cidadãos e organizações.
Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pela PCA Cyber Security, pela OpenSynergy e por investigadores e publicações de segurança que analisaram a vulnerabilidade.
A cadeia é composta por quatro identificadores CVE com níveis de gravidade variáveis. Os investigadores contaram quatro falhas no Blue SDK, com as designações CVE-2024-45431 a CVE-2024-45434. Variam em criticidade, com a primeira a receber uma classificação «baixa» de 3,5 em 10 no Common Vulnerability Scoring System e a última uma «alta» de 8,0. A falha mais grave é o ponto de partida do ataque: a cadeia começa com a CVE-2024-45434, um Use-After-Free no AVRCP.
| CVE | Descrição | CVSS |
|---|---|---|
CVE-2024-45431 | Validação incorreta do CID remoto de um canal L2CAP | 3,5 (baixa) |
CVE-2024-45432 | Chamada de função com parâmetro incorreto em RFCOMM | 5,7 |
CVE-2024-45433 | Terminação incorreta de função em RFCOMM | 5,7 |
CVE-2024-45434 | Use-After-Free no serviço AVRCP | 8,0 (alta) |
Isoladamente, várias destas falhas têm risco reduzido; o perigo surge da combinação. A PerfektBlue consiste em quatro vulnerabilidades. Apenas uma das quatro envolve corrupção de memória. As outras exploram má gestão de protocolo. Combinadas, permitem a execução remota de código (RCE) após estabelecer uma ligação Bluetooth. Os protocolos afetados são camadas centrais da comunicação Bluetooth, nomeadamente L2CAP, RFCOMM e AVRCP.
Como funciona o ataque e quais os seus limites
Ao contrário do que sugerem algumas manchetes alarmistas, o ataque não é trivial de executar à distância. Para explorar a PerfektBlue, um atacante tem de estar dentro do alcance Bluetooth (cerca de 5 a 7 metros) e emparelhar com sucesso com o sistema de infoentretenimento do veículo. Isto limita significativamente a escala de potenciais ataques. O emparelhamento é normalmente a barreira principal, embora dependa da configuração de cada fabricante.
A própria PCA classifica o cenário como um «1-click RCE». A PerfektBlue é sobretudo um RCE de 1 clique porque, na maioria das vezes, requer enganar o utilizador para permitir o emparelhamento com um dispositivo do atacante. Contudo, alguns fabricantes configuram os sistemas de infoentretenimento para emparelhar sem qualquer confirmação. Ou seja, a exposição real varia conforme a implementação de cada marca, sobretudo em modos de emparelhamento «Just Works».
Uma vez comprometido o sistema multimédia, as consequências podem ser significativas para a privacidade. Uma vez estabelecida a ligação, o atacante pode comprometer a unidade de infoentretenimento (IVI). Isto concede acesso a funcionalidades sensíveis como localização GPS, microfones e listas de contactos. É importante notar que a IVI não controla diretamente sistemas críticos de segurança como a direção ou a travagem. A hipótese de movimento lateral para funções críticas do veículo existe, mas depende da arquitetura e de vulnerabilidades adicionais.
A PCA demonstrou a exploração em sistemas de produção reais. A PCA explorou com sucesso a cadeia em sistemas de produção: o IVI Mercedes-Benz NTG6, confirmado em bancada de teste; o Volkswagen ICAS3, usado no ID.4; e o Škoda MIB3, confirmado num Superb 3.
Cronologia da divulgação responsável
O processo de divulgação estendeu-se por mais de um ano, com atrasos que ilustram os riscos da cadeia de fornecimento no setor automóvel.
| Data | Acontecimento |
|---|---|
| 17 maio 2024 | PCA reporta as falhas à equipa de segurança da OpenSynergy |
| 15 julho 2024 | OpenSynergy confirma as vulnerabilidades e inicia trabalho nos patches |
| Setembro 2024 | Correções concluídas e fornecidas aos clientes da OpenSynergy |
| Março 2025 | Início da divulgação responsável pública por parte da PCA |
| 7 julho 2025 | Publicação oficial do aviso PerfektBlue |
A sequência é confirmada pelas fontes. A 15 de julho de 2024, a OpenSynergy confirmou as vulnerabilidades e começou a trabalhar nas correções. Os patches foram concluídos em setembro de 2024. No entanto, a distribuição às marcas foi mais lenta. Apesar das correções de setembro de 2024, atrasos na cadeia de fornecimento automóvel deixaram alguns fabricantes por atualizar até junho de 2025. Houve inclusivamente um fabricante que, à data limite acordada, alegava não ter recebido notificação: a 23 de junho, o OEM afetado reportou que não tinha recebido qualquer notificação oficial ou patch sobre as vulnerabilidades através da sua cadeia de fornecimento. Em resposta, a PCA decidiu avançar com a publicação, optando por não revelar publicamente a identidade do OEM.
Além das três marcas assumidas, a investigação aponta para um alcance mais vasto. As vulnerabilidades podem ser encadeadas para executar código arbitrário em automóveis de pelo menos três grandes fabricantes — Mercedes-Benz, Volkswagen e Škoda. Para além destes três, foi confirmado que um quarto fabricante de equipamento original (OEM), não identificado, também está afetado.
Como se proteger
- Instale as atualizações de software do veículo assim que o fabricante ou concessionário as disponibilizar.
- Desative o Bluetooth do carro quando não estiver a utilizá-lo. Desativar o Bluetooth remove o principal vetor de ataque, reduzindo significativamente o risco.
- Não aceite pedidos de emparelhamento Bluetooth inesperados no sistema multimédia.
- Confirme junto da marca se o seu modelo é afetado e se já recebeu o patch correspondente.
Porque é que isto importa em Portugal
Para os condutores em Portugal, a PerfektBlue é um lembrete de que o automóvel moderno é, na prática, um computador sobre rodas — e que a segurança do software importa tanto como a mecânica. Embora o risco prático de roubo em massa seja limitado pela necessidade de proximidade física e emparelhamento, a exposição de dados como localização GPS, gravações de áudio e listas de contactos toca diretamente no direito à proteção de dados. Ao abrigo do RGPD, o tratamento destes dados pessoais recolhidos por sistemas veiculares está sujeito a obrigações de segurança, e uma exploração deste tipo poderia configurar uma violação de dados com dever de notificação à CNPD.
O caso ilustra ainda a importância da recente legislação europeia sobre resiliência da cadeia de fornecimento digital. O novo Regime Jurídico da Cibersegurança (Decreto-Lei n.º 125/2025, que transpõe a Diretiva NIS2 para Portugal) reforça as exigências de gestão de risco e de comunicação de incidentes a operadores de setores considerados essenciais e importantes, incluindo o transporte e o fabrico. Paralelamente, o Cyber Resilience Act europeu impõe requisitos de segurança e de gestão de vulnerabilidades a produtos com elementos digitais ao longo do seu ciclo de vida — precisamente o tipo de exigência que casos como este tornam evidente, dado que a falha reside num componente de terceiros distribuído por múltiplos fabricantes. Em caso de dúvida sobre boas práticas de cibersegurança, o CNCS e o CERT.PT são os pontos de referência nacionais para cidadãos e organizações.
Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pela PCA Cyber Security, pela OpenSynergy e por investigadores e publicações de segurança que analisaram a vulnerabilidade.
A cadeia é composta por quatro identificadores CVE com níveis de gravidade variáveis. Os investigadores contaram quatro falhas no Blue SDK, com as designações CVE-2024-45431 a CVE-2024-45434. Variam em criticidade, com a primeira a receber uma classificação «baixa» de 3,5 em 10 no Common Vulnerability Scoring System e a última uma «alta» de 8,0. A falha mais grave é o ponto de partida do ataque: a cadeia começa com a CVE-2024-45434, um Use-After-Free no AVRCP.
| CVE | Descrição | CVSS |
|---|---|---|
CVE-2024-45431 | Validação incorreta do CID remoto de um canal L2CAP | 3,5 (baixa) |
CVE-2024-45432 | Chamada de função com parâmetro incorreto em RFCOMM | 5,7 |
CVE-2024-45433 | Terminação incorreta de função em RFCOMM | 5,7 |
CVE-2024-45434 | Use-After-Free no serviço AVRCP | 8,0 (alta) |
Isoladamente, várias destas falhas têm risco reduzido; o perigo surge da combinação. A PerfektBlue consiste em quatro vulnerabilidades. Apenas uma das quatro envolve corrupção de memória. As outras exploram má gestão de protocolo. Combinadas, permitem a execução remota de código (RCE) após estabelecer uma ligação Bluetooth. Os protocolos afetados são camadas centrais da comunicação Bluetooth, nomeadamente L2CAP, RFCOMM e AVRCP.
Como funciona o ataque e quais os seus limites
Ao contrário do que sugerem algumas manchetes alarmistas, o ataque não é trivial de executar à distância. Para explorar a PerfektBlue, um atacante tem de estar dentro do alcance Bluetooth (cerca de 5 a 7 metros) e emparelhar com sucesso com o sistema de infoentretenimento do veículo. Isto limita significativamente a escala de potenciais ataques. O emparelhamento é normalmente a barreira principal, embora dependa da configuração de cada fabricante.
A própria PCA classifica o cenário como um «1-click RCE». A PerfektBlue é sobretudo um RCE de 1 clique porque, na maioria das vezes, requer enganar o utilizador para permitir o emparelhamento com um dispositivo do atacante. Contudo, alguns fabricantes configuram os sistemas de infoentretenimento para emparelhar sem qualquer confirmação. Ou seja, a exposição real varia conforme a implementação de cada marca, sobretudo em modos de emparelhamento «Just Works».
Uma vez comprometido o sistema multimédia, as consequências podem ser significativas para a privacidade. Uma vez estabelecida a ligação, o atacante pode comprometer a unidade de infoentretenimento (IVI). Isto concede acesso a funcionalidades sensíveis como localização GPS, microfones e listas de contactos. É importante notar que a IVI não controla diretamente sistemas críticos de segurança como a direção ou a travagem. A hipótese de movimento lateral para funções críticas do veículo existe, mas depende da arquitetura e de vulnerabilidades adicionais.
A PCA demonstrou a exploração em sistemas de produção reais. A PCA explorou com sucesso a cadeia em sistemas de produção: o IVI Mercedes-Benz NTG6, confirmado em bancada de teste; o Volkswagen ICAS3, usado no ID.4; e o Škoda MIB3, confirmado num Superb 3.
Cronologia da divulgação responsável
O processo de divulgação estendeu-se por mais de um ano, com atrasos que ilustram os riscos da cadeia de fornecimento no setor automóvel.
| Data | Acontecimento |
|---|---|
| 17 maio 2024 | PCA reporta as falhas à equipa de segurança da OpenSynergy |
| 15 julho 2024 | OpenSynergy confirma as vulnerabilidades e inicia trabalho nos patches |
| Setembro 2024 | Correções concluídas e fornecidas aos clientes da OpenSynergy |
| Março 2025 | Início da divulgação responsável pública por parte da PCA |
| 7 julho 2025 | Publicação oficial do aviso PerfektBlue |
A sequência é confirmada pelas fontes. A 15 de julho de 2024, a OpenSynergy confirmou as vulnerabilidades e começou a trabalhar nas correções. Os patches foram concluídos em setembro de 2024. No entanto, a distribuição às marcas foi mais lenta. Apesar das correções de setembro de 2024, atrasos na cadeia de fornecimento automóvel deixaram alguns fabricantes por atualizar até junho de 2025. Houve inclusivamente um fabricante que, à data limite acordada, alegava não ter recebido notificação: a 23 de junho, o OEM afetado reportou que não tinha recebido qualquer notificação oficial ou patch sobre as vulnerabilidades através da sua cadeia de fornecimento. Em resposta, a PCA decidiu avançar com a publicação, optando por não revelar publicamente a identidade do OEM.
Além das três marcas assumidas, a investigação aponta para um alcance mais vasto. As vulnerabilidades podem ser encadeadas para executar código arbitrário em automóveis de pelo menos três grandes fabricantes — Mercedes-Benz, Volkswagen e Škoda. Para além destes três, foi confirmado que um quarto fabricante de equipamento original (OEM), não identificado, também está afetado.
Como se proteger
- Instale as atualizações de software do veículo assim que o fabricante ou concessionário as disponibilizar.
- Desative o Bluetooth do carro quando não estiver a utilizá-lo. Desativar o Bluetooth remove o principal vetor de ataque, reduzindo significativamente o risco.
- Não aceite pedidos de emparelhamento Bluetooth inesperados no sistema multimédia.
- Confirme junto da marca se o seu modelo é afetado e se já recebeu o patch correspondente.
Porque é que isto importa em Portugal
Para os condutores em Portugal, a PerfektBlue é um lembrete de que o automóvel moderno é, na prática, um computador sobre rodas — e que a segurança do software importa tanto como a mecânica. Embora o risco prático de roubo em massa seja limitado pela necessidade de proximidade física e emparelhamento, a exposição de dados como localização GPS, gravações de áudio e listas de contactos toca diretamente no direito à proteção de dados. Ao abrigo do RGPD, o tratamento destes dados pessoais recolhidos por sistemas veiculares está sujeito a obrigações de segurança, e uma exploração deste tipo poderia configurar uma violação de dados com dever de notificação à CNPD.
O caso ilustra ainda a importância da recente legislação europeia sobre resiliência da cadeia de fornecimento digital. O novo Regime Jurídico da Cibersegurança (Decreto-Lei n.º 125/2025, que transpõe a Diretiva NIS2 para Portugal) reforça as exigências de gestão de risco e de comunicação de incidentes a operadores de setores considerados essenciais e importantes, incluindo o transporte e o fabrico. Paralelamente, o Cyber Resilience Act europeu impõe requisitos de segurança e de gestão de vulnerabilidades a produtos com elementos digitais ao longo do seu ciclo de vida — precisamente o tipo de exigência que casos como este tornam evidente, dado que a falha reside num componente de terceiros distribuído por múltiplos fabricantes. Em caso de dúvida sobre boas práticas de cibersegurança, o CNCS e o CERT.PT são os pontos de referência nacionais para cidadãos e organizações.
Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pela PCA Cyber Security, pela OpenSynergy e por investigadores e publicações de segurança que analisaram a vulnerabilidade.
A designação «PerfektBlue» descreve o encadeamento das falhas. A PerfektBlue consiste em quatro vulnerabilidades que, se combinadas, poderiam potencialmente permitir a um atacante executar código arbitrário após estabelecer uma ligação Bluetooth. As descobertas foram feitas sem acesso ao código-fonte: a deteção das falhas no BlueSDK foi possível através da análise de um binário compilado do produto de software.
As quatro vulnerabilidades e a sua gravidade
A cadeia é composta por quatro identificadores CVE com níveis de gravidade variáveis. Os investigadores contaram quatro falhas no Blue SDK, com as designações CVE-2024-45431 a CVE-2024-45434. Variam em criticidade, com a primeira a receber uma classificação «baixa» de 3,5 em 10 no Common Vulnerability Scoring System e a última uma «alta» de 8,0. A falha mais grave é o ponto de partida do ataque: a cadeia começa com a CVE-2024-45434, um Use-After-Free no AVRCP.
| CVE | Descrição | CVSS |
|---|---|---|
CVE-2024-45431 | Validação incorreta do CID remoto de um canal L2CAP | 3,5 (baixa) |
CVE-2024-45432 | Chamada de função com parâmetro incorreto em RFCOMM | 5,7 |
CVE-2024-45433 | Terminação incorreta de função em RFCOMM | 5,7 |
CVE-2024-45434 | Use-After-Free no serviço AVRCP | 8,0 (alta) |
Isoladamente, várias destas falhas têm risco reduzido; o perigo surge da combinação. A PerfektBlue consiste em quatro vulnerabilidades. Apenas uma das quatro envolve corrupção de memória. As outras exploram má gestão de protocolo. Combinadas, permitem a execução remota de código (RCE) após estabelecer uma ligação Bluetooth. Os protocolos afetados são camadas centrais da comunicação Bluetooth, nomeadamente L2CAP, RFCOMM e AVRCP.
Como funciona o ataque e quais os seus limites
Ao contrário do que sugerem algumas manchetes alarmistas, o ataque não é trivial de executar à distância. Para explorar a PerfektBlue, um atacante tem de estar dentro do alcance Bluetooth (cerca de 5 a 7 metros) e emparelhar com sucesso com o sistema de infoentretenimento do veículo. Isto limita significativamente a escala de potenciais ataques. O emparelhamento é normalmente a barreira principal, embora dependa da configuração de cada fabricante.
A própria PCA classifica o cenário como um «1-click RCE». A PerfektBlue é sobretudo um RCE de 1 clique porque, na maioria das vezes, requer enganar o utilizador para permitir o emparelhamento com um dispositivo do atacante. Contudo, alguns fabricantes configuram os sistemas de infoentretenimento para emparelhar sem qualquer confirmação. Ou seja, a exposição real varia conforme a implementação de cada marca, sobretudo em modos de emparelhamento «Just Works».
Uma vez comprometido o sistema multimédia, as consequências podem ser significativas para a privacidade. Uma vez estabelecida a ligação, o atacante pode comprometer a unidade de infoentretenimento (IVI). Isto concede acesso a funcionalidades sensíveis como localização GPS, microfones e listas de contactos. É importante notar que a IVI não controla diretamente sistemas críticos de segurança como a direção ou a travagem. A hipótese de movimento lateral para funções críticas do veículo existe, mas depende da arquitetura e de vulnerabilidades adicionais.
A PCA demonstrou a exploração em sistemas de produção reais. A PCA explorou com sucesso a cadeia em sistemas de produção: o IVI Mercedes-Benz NTG6, confirmado em bancada de teste; o Volkswagen ICAS3, usado no ID.4; e o Škoda MIB3, confirmado num Superb 3.
Cronologia da divulgação responsável
O processo de divulgação estendeu-se por mais de um ano, com atrasos que ilustram os riscos da cadeia de fornecimento no setor automóvel.
| Data | Acontecimento |
|---|---|
| 17 maio 2024 | PCA reporta as falhas à equipa de segurança da OpenSynergy |
| 15 julho 2024 | OpenSynergy confirma as vulnerabilidades e inicia trabalho nos patches |
| Setembro 2024 | Correções concluídas e fornecidas aos clientes da OpenSynergy |
| Março 2025 | Início da divulgação responsável pública por parte da PCA |
| 7 julho 2025 | Publicação oficial do aviso PerfektBlue |
A sequência é confirmada pelas fontes. A 15 de julho de 2024, a OpenSynergy confirmou as vulnerabilidades e começou a trabalhar nas correções. Os patches foram concluídos em setembro de 2024. No entanto, a distribuição às marcas foi mais lenta. Apesar das correções de setembro de 2024, atrasos na cadeia de fornecimento automóvel deixaram alguns fabricantes por atualizar até junho de 2025. Houve inclusivamente um fabricante que, à data limite acordada, alegava não ter recebido notificação: a 23 de junho, o OEM afetado reportou que não tinha recebido qualquer notificação oficial ou patch sobre as vulnerabilidades através da sua cadeia de fornecimento. Em resposta, a PCA decidiu avançar com a publicação, optando por não revelar publicamente a identidade do OEM.
Além das três marcas assumidas, a investigação aponta para um alcance mais vasto. As vulnerabilidades podem ser encadeadas para executar código arbitrário em automóveis de pelo menos três grandes fabricantes — Mercedes-Benz, Volkswagen e Škoda. Para além destes três, foi confirmado que um quarto fabricante de equipamento original (OEM), não identificado, também está afetado.
Como se proteger
- Instale as atualizações de software do veículo assim que o fabricante ou concessionário as disponibilizar.
- Desative o Bluetooth do carro quando não estiver a utilizá-lo. Desativar o Bluetooth remove o principal vetor de ataque, reduzindo significativamente o risco.
- Não aceite pedidos de emparelhamento Bluetooth inesperados no sistema multimédia.
- Confirme junto da marca se o seu modelo é afetado e se já recebeu o patch correspondente.
Porque é que isto importa em Portugal
Para os condutores em Portugal, a PerfektBlue é um lembrete de que o automóvel moderno é, na prática, um computador sobre rodas — e que a segurança do software importa tanto como a mecânica. Embora o risco prático de roubo em massa seja limitado pela necessidade de proximidade física e emparelhamento, a exposição de dados como localização GPS, gravações de áudio e listas de contactos toca diretamente no direito à proteção de dados. Ao abrigo do RGPD, o tratamento destes dados pessoais recolhidos por sistemas veiculares está sujeito a obrigações de segurança, e uma exploração deste tipo poderia configurar uma violação de dados com dever de notificação à CNPD.
O caso ilustra ainda a importância da recente legislação europeia sobre resiliência da cadeia de fornecimento digital. O novo Regime Jurídico da Cibersegurança (Decreto-Lei n.º 125/2025, que transpõe a Diretiva NIS2 para Portugal) reforça as exigências de gestão de risco e de comunicação de incidentes a operadores de setores considerados essenciais e importantes, incluindo o transporte e o fabrico. Paralelamente, o Cyber Resilience Act europeu impõe requisitos de segurança e de gestão de vulnerabilidades a produtos com elementos digitais ao longo do seu ciclo de vida — precisamente o tipo de exigência que casos como este tornam evidente, dado que a falha reside num componente de terceiros distribuído por múltiplos fabricantes. Em caso de dúvida sobre boas práticas de cibersegurança, o CNCS e o CERT.PT são os pontos de referência nacionais para cidadãos e organizações.
Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pela PCA Cyber Security, pela OpenSynergy e por investigadores e publicações de segurança que analisaram a vulnerabilidade.
A designação «PerfektBlue» descreve o encadeamento das falhas. A PerfektBlue consiste em quatro vulnerabilidades que, se combinadas, poderiam potencialmente permitir a um atacante executar código arbitrário após estabelecer uma ligação Bluetooth. As descobertas foram feitas sem acesso ao código-fonte: a deteção das falhas no BlueSDK foi possível através da análise de um binário compilado do produto de software.
As quatro vulnerabilidades e a sua gravidade
A cadeia é composta por quatro identificadores CVE com níveis de gravidade variáveis. Os investigadores contaram quatro falhas no Blue SDK, com as designações CVE-2024-45431 a CVE-2024-45434. Variam em criticidade, com a primeira a receber uma classificação «baixa» de 3,5 em 10 no Common Vulnerability Scoring System e a última uma «alta» de 8,0. A falha mais grave é o ponto de partida do ataque: a cadeia começa com a CVE-2024-45434, um Use-After-Free no AVRCP.
| CVE | Descrição | CVSS |
|---|---|---|
CVE-2024-45431 | Validação incorreta do CID remoto de um canal L2CAP | 3,5 (baixa) |
CVE-2024-45432 | Chamada de função com parâmetro incorreto em RFCOMM | 5,7 |
CVE-2024-45433 | Terminação incorreta de função em RFCOMM | 5,7 |
CVE-2024-45434 | Use-After-Free no serviço AVRCP | 8,0 (alta) |
Isoladamente, várias destas falhas têm risco reduzido; o perigo surge da combinação. A PerfektBlue consiste em quatro vulnerabilidades. Apenas uma das quatro envolve corrupção de memória. As outras exploram má gestão de protocolo. Combinadas, permitem a execução remota de código (RCE) após estabelecer uma ligação Bluetooth. Os protocolos afetados são camadas centrais da comunicação Bluetooth, nomeadamente L2CAP, RFCOMM e AVRCP.
Como funciona o ataque e quais os seus limites
Ao contrário do que sugerem algumas manchetes alarmistas, o ataque não é trivial de executar à distância. Para explorar a PerfektBlue, um atacante tem de estar dentro do alcance Bluetooth (cerca de 5 a 7 metros) e emparelhar com sucesso com o sistema de infoentretenimento do veículo. Isto limita significativamente a escala de potenciais ataques. O emparelhamento é normalmente a barreira principal, embora dependa da configuração de cada fabricante.
A própria PCA classifica o cenário como um «1-click RCE». A PerfektBlue é sobretudo um RCE de 1 clique porque, na maioria das vezes, requer enganar o utilizador para permitir o emparelhamento com um dispositivo do atacante. Contudo, alguns fabricantes configuram os sistemas de infoentretenimento para emparelhar sem qualquer confirmação. Ou seja, a exposição real varia conforme a implementação de cada marca, sobretudo em modos de emparelhamento «Just Works».
Uma vez comprometido o sistema multimédia, as consequências podem ser significativas para a privacidade. Uma vez estabelecida a ligação, o atacante pode comprometer a unidade de infoentretenimento (IVI). Isto concede acesso a funcionalidades sensíveis como localização GPS, microfones e listas de contactos. É importante notar que a IVI não controla diretamente sistemas críticos de segurança como a direção ou a travagem. A hipótese de movimento lateral para funções críticas do veículo existe, mas depende da arquitetura e de vulnerabilidades adicionais.
A PCA demonstrou a exploração em sistemas de produção reais. A PCA explorou com sucesso a cadeia em sistemas de produção: o IVI Mercedes-Benz NTG6, confirmado em bancada de teste; o Volkswagen ICAS3, usado no ID.4; e o Škoda MIB3, confirmado num Superb 3.
Cronologia da divulgação responsável
O processo de divulgação estendeu-se por mais de um ano, com atrasos que ilustram os riscos da cadeia de fornecimento no setor automóvel.
| Data | Acontecimento |
|---|---|
| 17 maio 2024 | PCA reporta as falhas à equipa de segurança da OpenSynergy |
| 15 julho 2024 | OpenSynergy confirma as vulnerabilidades e inicia trabalho nos patches |
| Setembro 2024 | Correções concluídas e fornecidas aos clientes da OpenSynergy |
| Março 2025 | Início da divulgação responsável pública por parte da PCA |
| 7 julho 2025 | Publicação oficial do aviso PerfektBlue |
A sequência é confirmada pelas fontes. A 15 de julho de 2024, a OpenSynergy confirmou as vulnerabilidades e começou a trabalhar nas correções. Os patches foram concluídos em setembro de 2024. No entanto, a distribuição às marcas foi mais lenta. Apesar das correções de setembro de 2024, atrasos na cadeia de fornecimento automóvel deixaram alguns fabricantes por atualizar até junho de 2025. Houve inclusivamente um fabricante que, à data limite acordada, alegava não ter recebido notificação: a 23 de junho, o OEM afetado reportou que não tinha recebido qualquer notificação oficial ou patch sobre as vulnerabilidades através da sua cadeia de fornecimento. Em resposta, a PCA decidiu avançar com a publicação, optando por não revelar publicamente a identidade do OEM.
Além das três marcas assumidas, a investigação aponta para um alcance mais vasto. As vulnerabilidades podem ser encadeadas para executar código arbitrário em automóveis de pelo menos três grandes fabricantes — Mercedes-Benz, Volkswagen e Škoda. Para além destes três, foi confirmado que um quarto fabricante de equipamento original (OEM), não identificado, também está afetado.
Como se proteger
- Instale as atualizações de software do veículo assim que o fabricante ou concessionário as disponibilizar.
- Desative o Bluetooth do carro quando não estiver a utilizá-lo. Desativar o Bluetooth remove o principal vetor de ataque, reduzindo significativamente o risco.
- Não aceite pedidos de emparelhamento Bluetooth inesperados no sistema multimédia.
- Confirme junto da marca se o seu modelo é afetado e se já recebeu o patch correspondente.
Porque é que isto importa em Portugal
Para os condutores em Portugal, a PerfektBlue é um lembrete de que o automóvel moderno é, na prática, um computador sobre rodas — e que a segurança do software importa tanto como a mecânica. Embora o risco prático de roubo em massa seja limitado pela necessidade de proximidade física e emparelhamento, a exposição de dados como localização GPS, gravações de áudio e listas de contactos toca diretamente no direito à proteção de dados. Ao abrigo do RGPD, o tratamento destes dados pessoais recolhidos por sistemas veiculares está sujeito a obrigações de segurança, e uma exploração deste tipo poderia configurar uma violação de dados com dever de notificação à CNPD.
O caso ilustra ainda a importância da recente legislação europeia sobre resiliência da cadeia de fornecimento digital. O novo Regime Jurídico da Cibersegurança (Decreto-Lei n.º 125/2025, que transpõe a Diretiva NIS2 para Portugal) reforça as exigências de gestão de risco e de comunicação de incidentes a operadores de setores considerados essenciais e importantes, incluindo o transporte e o fabrico. Paralelamente, o Cyber Resilience Act europeu impõe requisitos de segurança e de gestão de vulnerabilidades a produtos com elementos digitais ao longo do seu ciclo de vida — precisamente o tipo de exigência que casos como este tornam evidente, dado que a falha reside num componente de terceiros distribuído por múltiplos fabricantes. Em caso de dúvida sobre boas práticas de cibersegurança, o CNCS e o CERT.PT são os pontos de referência nacionais para cidadãos e organizações.
Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pela PCA Cyber Security, pela OpenSynergy e por investigadores e publicações de segurança que analisaram a vulnerabilidade.
Segundo a PCA Cyber Security, empresa especializada em segurança automóvel, o alcance potencial é considerável. De acordo com a OpenSynergy, o BlueSDK foi integrado em cerca de 350 milhões de automóveis e está presente em mais de mil milhões de dispositivos embebidos em todo o mundo, incluindo produtos de consumo, móveis, industriais e médicos. Convém, ainda assim, distinguir a base instalada da pilha de software do número efetivo de veículos comprovadamente vulneráveis, que a investigação confirmou apenas num conjunto restrito de modelos.
A designação «PerfektBlue» descreve o encadeamento das falhas. A PerfektBlue consiste em quatro vulnerabilidades que, se combinadas, poderiam potencialmente permitir a um atacante executar código arbitrário após estabelecer uma ligação Bluetooth. As descobertas foram feitas sem acesso ao código-fonte: a deteção das falhas no BlueSDK foi possível através da análise de um binário compilado do produto de software.
As quatro vulnerabilidades e a sua gravidade
A cadeia é composta por quatro identificadores CVE com níveis de gravidade variáveis. Os investigadores contaram quatro falhas no Blue SDK, com as designações CVE-2024-45431 a CVE-2024-45434. Variam em criticidade, com a primeira a receber uma classificação «baixa» de 3,5 em 10 no Common Vulnerability Scoring System e a última uma «alta» de 8,0. A falha mais grave é o ponto de partida do ataque: a cadeia começa com a CVE-2024-45434, um Use-After-Free no AVRCP.
| CVE | Descrição | CVSS |
|---|---|---|
CVE-2024-45431 | Validação incorreta do CID remoto de um canal L2CAP | 3,5 (baixa) |
CVE-2024-45432 | Chamada de função com parâmetro incorreto em RFCOMM | 5,7 |
CVE-2024-45433 | Terminação incorreta de função em RFCOMM | 5,7 |
CVE-2024-45434 | Use-After-Free no serviço AVRCP | 8,0 (alta) |
Isoladamente, várias destas falhas têm risco reduzido; o perigo surge da combinação. A PerfektBlue consiste em quatro vulnerabilidades. Apenas uma das quatro envolve corrupção de memória. As outras exploram má gestão de protocolo. Combinadas, permitem a execução remota de código (RCE) após estabelecer uma ligação Bluetooth. Os protocolos afetados são camadas centrais da comunicação Bluetooth, nomeadamente L2CAP, RFCOMM e AVRCP.
Como funciona o ataque e quais os seus limites
Ao contrário do que sugerem algumas manchetes alarmistas, o ataque não é trivial de executar à distância. Para explorar a PerfektBlue, um atacante tem de estar dentro do alcance Bluetooth (cerca de 5 a 7 metros) e emparelhar com sucesso com o sistema de infoentretenimento do veículo. Isto limita significativamente a escala de potenciais ataques. O emparelhamento é normalmente a barreira principal, embora dependa da configuração de cada fabricante.
A própria PCA classifica o cenário como um «1-click RCE». A PerfektBlue é sobretudo um RCE de 1 clique porque, na maioria das vezes, requer enganar o utilizador para permitir o emparelhamento com um dispositivo do atacante. Contudo, alguns fabricantes configuram os sistemas de infoentretenimento para emparelhar sem qualquer confirmação. Ou seja, a exposição real varia conforme a implementação de cada marca, sobretudo em modos de emparelhamento «Just Works».
Uma vez comprometido o sistema multimédia, as consequências podem ser significativas para a privacidade. Uma vez estabelecida a ligação, o atacante pode comprometer a unidade de infoentretenimento (IVI). Isto concede acesso a funcionalidades sensíveis como localização GPS, microfones e listas de contactos. É importante notar que a IVI não controla diretamente sistemas críticos de segurança como a direção ou a travagem. A hipótese de movimento lateral para funções críticas do veículo existe, mas depende da arquitetura e de vulnerabilidades adicionais.
A PCA demonstrou a exploração em sistemas de produção reais. A PCA explorou com sucesso a cadeia em sistemas de produção: o IVI Mercedes-Benz NTG6, confirmado em bancada de teste; o Volkswagen ICAS3, usado no ID.4; e o Škoda MIB3, confirmado num Superb 3.
Cronologia da divulgação responsável
O processo de divulgação estendeu-se por mais de um ano, com atrasos que ilustram os riscos da cadeia de fornecimento no setor automóvel.
| Data | Acontecimento |
|---|---|
| 17 maio 2024 | PCA reporta as falhas à equipa de segurança da OpenSynergy |
| 15 julho 2024 | OpenSynergy confirma as vulnerabilidades e inicia trabalho nos patches |
| Setembro 2024 | Correções concluídas e fornecidas aos clientes da OpenSynergy |
| Março 2025 | Início da divulgação responsável pública por parte da PCA |
| 7 julho 2025 | Publicação oficial do aviso PerfektBlue |
A sequência é confirmada pelas fontes. A 15 de julho de 2024, a OpenSynergy confirmou as vulnerabilidades e começou a trabalhar nas correções. Os patches foram concluídos em setembro de 2024. No entanto, a distribuição às marcas foi mais lenta. Apesar das correções de setembro de 2024, atrasos na cadeia de fornecimento automóvel deixaram alguns fabricantes por atualizar até junho de 2025. Houve inclusivamente um fabricante que, à data limite acordada, alegava não ter recebido notificação: a 23 de junho, o OEM afetado reportou que não tinha recebido qualquer notificação oficial ou patch sobre as vulnerabilidades através da sua cadeia de fornecimento. Em resposta, a PCA decidiu avançar com a publicação, optando por não revelar publicamente a identidade do OEM.
Além das três marcas assumidas, a investigação aponta para um alcance mais vasto. As vulnerabilidades podem ser encadeadas para executar código arbitrário em automóveis de pelo menos três grandes fabricantes — Mercedes-Benz, Volkswagen e Škoda. Para além destes três, foi confirmado que um quarto fabricante de equipamento original (OEM), não identificado, também está afetado.
Como se proteger
- Instale as atualizações de software do veículo assim que o fabricante ou concessionário as disponibilizar.
- Desative o Bluetooth do carro quando não estiver a utilizá-lo. Desativar o Bluetooth remove o principal vetor de ataque, reduzindo significativamente o risco.
- Não aceite pedidos de emparelhamento Bluetooth inesperados no sistema multimédia.
- Confirme junto da marca se o seu modelo é afetado e se já recebeu o patch correspondente.
Porque é que isto importa em Portugal
Para os condutores em Portugal, a PerfektBlue é um lembrete de que o automóvel moderno é, na prática, um computador sobre rodas — e que a segurança do software importa tanto como a mecânica. Embora o risco prático de roubo em massa seja limitado pela necessidade de proximidade física e emparelhamento, a exposição de dados como localização GPS, gravações de áudio e listas de contactos toca diretamente no direito à proteção de dados. Ao abrigo do RGPD, o tratamento destes dados pessoais recolhidos por sistemas veiculares está sujeito a obrigações de segurança, e uma exploração deste tipo poderia configurar uma violação de dados com dever de notificação à CNPD.
O caso ilustra ainda a importância da recente legislação europeia sobre resiliência da cadeia de fornecimento digital. O novo Regime Jurídico da Cibersegurança (Decreto-Lei n.º 125/2025, que transpõe a Diretiva NIS2 para Portugal) reforça as exigências de gestão de risco e de comunicação de incidentes a operadores de setores considerados essenciais e importantes, incluindo o transporte e o fabrico. Paralelamente, o Cyber Resilience Act europeu impõe requisitos de segurança e de gestão de vulnerabilidades a produtos com elementos digitais ao longo do seu ciclo de vida — precisamente o tipo de exigência que casos como este tornam evidente, dado que a falha reside num componente de terceiros distribuído por múltiplos fabricantes. Em caso de dúvida sobre boas práticas de cibersegurança, o CNCS e o CERT.PT são os pontos de referência nacionais para cidadãos e organizações.
Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pela PCA Cyber Security, pela OpenSynergy e por investigadores e publicações de segurança que analisaram a vulnerabilidade.
O epicentro da falha não está numa marca de automóveis, mas sim numa peça de software partilhada por muitas delas. Estas vulnerabilidades afetam o BlueSDK da OpenSynergy, uma pilha Bluetooth amplamente utilizada em sistemas de infoentretenimento automóvel. As falhas permitem a execução remota de código (RCE) sobre Bluetooth Classic em milhões de veículos de fabricantes que incluem Volkswagen, Mercedes-Benz, Škoda e outros. Este tipo de dependência de componentes de terceiros é uma característica central dos riscos da cadeia de fornecimento de software.
Segundo a PCA Cyber Security, empresa especializada em segurança automóvel, o alcance potencial é considerável. De acordo com a OpenSynergy, o BlueSDK foi integrado em cerca de 350 milhões de automóveis e está presente em mais de mil milhões de dispositivos embebidos em todo o mundo, incluindo produtos de consumo, móveis, industriais e médicos. Convém, ainda assim, distinguir a base instalada da pilha de software do número efetivo de veículos comprovadamente vulneráveis, que a investigação confirmou apenas num conjunto restrito de modelos.
A designação «PerfektBlue» descreve o encadeamento das falhas. A PerfektBlue consiste em quatro vulnerabilidades que, se combinadas, poderiam potencialmente permitir a um atacante executar código arbitrário após estabelecer uma ligação Bluetooth. As descobertas foram feitas sem acesso ao código-fonte: a deteção das falhas no BlueSDK foi possível através da análise de um binário compilado do produto de software.
As quatro vulnerabilidades e a sua gravidade
A cadeia é composta por quatro identificadores CVE com níveis de gravidade variáveis. Os investigadores contaram quatro falhas no Blue SDK, com as designações CVE-2024-45431 a CVE-2024-45434. Variam em criticidade, com a primeira a receber uma classificação «baixa» de 3,5 em 10 no Common Vulnerability Scoring System e a última uma «alta» de 8,0. A falha mais grave é o ponto de partida do ataque: a cadeia começa com a CVE-2024-45434, um Use-After-Free no AVRCP.
| CVE | Descrição | CVSS |
|---|---|---|
CVE-2024-45431 | Validação incorreta do CID remoto de um canal L2CAP | 3,5 (baixa) |
CVE-2024-45432 | Chamada de função com parâmetro incorreto em RFCOMM | 5,7 |
CVE-2024-45433 | Terminação incorreta de função em RFCOMM | 5,7 |
CVE-2024-45434 | Use-After-Free no serviço AVRCP | 8,0 (alta) |
Isoladamente, várias destas falhas têm risco reduzido; o perigo surge da combinação. A PerfektBlue consiste em quatro vulnerabilidades. Apenas uma das quatro envolve corrupção de memória. As outras exploram má gestão de protocolo. Combinadas, permitem a execução remota de código (RCE) após estabelecer uma ligação Bluetooth. Os protocolos afetados são camadas centrais da comunicação Bluetooth, nomeadamente L2CAP, RFCOMM e AVRCP.
Como funciona o ataque e quais os seus limites
Ao contrário do que sugerem algumas manchetes alarmistas, o ataque não é trivial de executar à distância. Para explorar a PerfektBlue, um atacante tem de estar dentro do alcance Bluetooth (cerca de 5 a 7 metros) e emparelhar com sucesso com o sistema de infoentretenimento do veículo. Isto limita significativamente a escala de potenciais ataques. O emparelhamento é normalmente a barreira principal, embora dependa da configuração de cada fabricante.
A própria PCA classifica o cenário como um «1-click RCE». A PerfektBlue é sobretudo um RCE de 1 clique porque, na maioria das vezes, requer enganar o utilizador para permitir o emparelhamento com um dispositivo do atacante. Contudo, alguns fabricantes configuram os sistemas de infoentretenimento para emparelhar sem qualquer confirmação. Ou seja, a exposição real varia conforme a implementação de cada marca, sobretudo em modos de emparelhamento «Just Works».
Uma vez comprometido o sistema multimédia, as consequências podem ser significativas para a privacidade. Uma vez estabelecida a ligação, o atacante pode comprometer a unidade de infoentretenimento (IVI). Isto concede acesso a funcionalidades sensíveis como localização GPS, microfones e listas de contactos. É importante notar que a IVI não controla diretamente sistemas críticos de segurança como a direção ou a travagem. A hipótese de movimento lateral para funções críticas do veículo existe, mas depende da arquitetura e de vulnerabilidades adicionais.
A PCA demonstrou a exploração em sistemas de produção reais. A PCA explorou com sucesso a cadeia em sistemas de produção: o IVI Mercedes-Benz NTG6, confirmado em bancada de teste; o Volkswagen ICAS3, usado no ID.4; e o Škoda MIB3, confirmado num Superb 3.
Cronologia da divulgação responsável
O processo de divulgação estendeu-se por mais de um ano, com atrasos que ilustram os riscos da cadeia de fornecimento no setor automóvel.
| Data | Acontecimento |
|---|---|
| 17 maio 2024 | PCA reporta as falhas à equipa de segurança da OpenSynergy |
| 15 julho 2024 | OpenSynergy confirma as vulnerabilidades e inicia trabalho nos patches |
| Setembro 2024 | Correções concluídas e fornecidas aos clientes da OpenSynergy |
| Março 2025 | Início da divulgação responsável pública por parte da PCA |
| 7 julho 2025 | Publicação oficial do aviso PerfektBlue |
A sequência é confirmada pelas fontes. A 15 de julho de 2024, a OpenSynergy confirmou as vulnerabilidades e começou a trabalhar nas correções. Os patches foram concluídos em setembro de 2024. No entanto, a distribuição às marcas foi mais lenta. Apesar das correções de setembro de 2024, atrasos na cadeia de fornecimento automóvel deixaram alguns fabricantes por atualizar até junho de 2025. Houve inclusivamente um fabricante que, à data limite acordada, alegava não ter recebido notificação: a 23 de junho, o OEM afetado reportou que não tinha recebido qualquer notificação oficial ou patch sobre as vulnerabilidades através da sua cadeia de fornecimento. Em resposta, a PCA decidiu avançar com a publicação, optando por não revelar publicamente a identidade do OEM.
Além das três marcas assumidas, a investigação aponta para um alcance mais vasto. As vulnerabilidades podem ser encadeadas para executar código arbitrário em automóveis de pelo menos três grandes fabricantes — Mercedes-Benz, Volkswagen e Škoda. Para além destes três, foi confirmado que um quarto fabricante de equipamento original (OEM), não identificado, também está afetado.
Como se proteger
- Instale as atualizações de software do veículo assim que o fabricante ou concessionário as disponibilizar.
- Desative o Bluetooth do carro quando não estiver a utilizá-lo. Desativar o Bluetooth remove o principal vetor de ataque, reduzindo significativamente o risco.
- Não aceite pedidos de emparelhamento Bluetooth inesperados no sistema multimédia.
- Confirme junto da marca se o seu modelo é afetado e se já recebeu o patch correspondente.
Porque é que isto importa em Portugal
Para os condutores em Portugal, a PerfektBlue é um lembrete de que o automóvel moderno é, na prática, um computador sobre rodas — e que a segurança do software importa tanto como a mecânica. Embora o risco prático de roubo em massa seja limitado pela necessidade de proximidade física e emparelhamento, a exposição de dados como localização GPS, gravações de áudio e listas de contactos toca diretamente no direito à proteção de dados. Ao abrigo do RGPD, o tratamento destes dados pessoais recolhidos por sistemas veiculares está sujeito a obrigações de segurança, e uma exploração deste tipo poderia configurar uma violação de dados com dever de notificação à CNPD.
O caso ilustra ainda a importância da recente legislação europeia sobre resiliência da cadeia de fornecimento digital. O novo Regime Jurídico da Cibersegurança (Decreto-Lei n.º 125/2025, que transpõe a Diretiva NIS2 para Portugal) reforça as exigências de gestão de risco e de comunicação de incidentes a operadores de setores considerados essenciais e importantes, incluindo o transporte e o fabrico. Paralelamente, o Cyber Resilience Act europeu impõe requisitos de segurança e de gestão de vulnerabilidades a produtos com elementos digitais ao longo do seu ciclo de vida — precisamente o tipo de exigência que casos como este tornam evidente, dado que a falha reside num componente de terceiros distribuído por múltiplos fabricantes. Em caso de dúvida sobre boas práticas de cibersegurança, o CNCS e o CERT.PT são os pontos de referência nacionais para cidadãos e organizações.
Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pela PCA Cyber Security, pela OpenSynergy e por investigadores e publicações de segurança que analisaram a vulnerabilidade.
Investigadores da PCA Cyber Security revelaram um conjunto de quatro vulnerabilidades numa das pilhas de Bluetooth mais utilizadas na indústria automóvel, batizadas em conjunto de «PerfektBlue», que podem ser encadeadas para executar código remotamente nos sistemas de infoentretenimento de veículos de vários fabricantes. A notícia tem circulado na imprensa portuguesa, mas os detalhes técnicos foram confirmados junto das fontes originais. Investigadores de cibersegurança descobriram um conjunto de quatro falhas de segurança na pilha Bluetooth BlueSDK da OpenSynergy que, se exploradas com sucesso, poderiam permitir a execução remota de código em milhões de veículos de transporte de diferentes fabricantes.
Resposta rápida: A PerfektBlue é uma cadeia de quatro falhas (CVE-2024-45431 a CVE-2024-45434) na pilha Bluetooth BlueSDK da OpenSynergy, presente em sistemas de infoentretenimento de marcas como Mercedes-Benz, Volkswagen e Škoda. Explorada, permite execução remota de código no sistema multimédia após emparelhamento por Bluetooth, com o atacante a curta distância. A OpenSynergy disponibilizou correções em setembro de 2024, mas atrasos na cadeia de fornecimento deixaram alguns fabricantes por atualizar. Mantenha o software do veículo atualizado e desative o Bluetooth quando não o usar.
O que é a PerfektBlue e onde está o problema
O epicentro da falha não está numa marca de automóveis, mas sim numa peça de software partilhada por muitas delas. Estas vulnerabilidades afetam o BlueSDK da OpenSynergy, uma pilha Bluetooth amplamente utilizada em sistemas de infoentretenimento automóvel. As falhas permitem a execução remota de código (RCE) sobre Bluetooth Classic em milhões de veículos de fabricantes que incluem Volkswagen, Mercedes-Benz, Škoda e outros. Este tipo de dependência de componentes de terceiros é uma característica central dos riscos da cadeia de fornecimento de software.
Segundo a PCA Cyber Security, empresa especializada em segurança automóvel, o alcance potencial é considerável. De acordo com a OpenSynergy, o BlueSDK foi integrado em cerca de 350 milhões de automóveis e está presente em mais de mil milhões de dispositivos embebidos em todo o mundo, incluindo produtos de consumo, móveis, industriais e médicos. Convém, ainda assim, distinguir a base instalada da pilha de software do número efetivo de veículos comprovadamente vulneráveis, que a investigação confirmou apenas num conjunto restrito de modelos.
A designação «PerfektBlue» descreve o encadeamento das falhas. A PerfektBlue consiste em quatro vulnerabilidades que, se combinadas, poderiam potencialmente permitir a um atacante executar código arbitrário após estabelecer uma ligação Bluetooth. As descobertas foram feitas sem acesso ao código-fonte: a deteção das falhas no BlueSDK foi possível através da análise de um binário compilado do produto de software.
As quatro vulnerabilidades e a sua gravidade
A cadeia é composta por quatro identificadores CVE com níveis de gravidade variáveis. Os investigadores contaram quatro falhas no Blue SDK, com as designações CVE-2024-45431 a CVE-2024-45434. Variam em criticidade, com a primeira a receber uma classificação «baixa» de 3,5 em 10 no Common Vulnerability Scoring System e a última uma «alta» de 8,0. A falha mais grave é o ponto de partida do ataque: a cadeia começa com a CVE-2024-45434, um Use-After-Free no AVRCP.
| CVE | Descrição | CVSS |
|---|---|---|
CVE-2024-45431 | Validação incorreta do CID remoto de um canal L2CAP | 3,5 (baixa) |
CVE-2024-45432 | Chamada de função com parâmetro incorreto em RFCOMM | 5,7 |
CVE-2024-45433 | Terminação incorreta de função em RFCOMM | 5,7 |
CVE-2024-45434 | Use-After-Free no serviço AVRCP | 8,0 (alta) |
Isoladamente, várias destas falhas têm risco reduzido; o perigo surge da combinação. A PerfektBlue consiste em quatro vulnerabilidades. Apenas uma das quatro envolve corrupção de memória. As outras exploram má gestão de protocolo. Combinadas, permitem a execução remota de código (RCE) após estabelecer uma ligação Bluetooth. Os protocolos afetados são camadas centrais da comunicação Bluetooth, nomeadamente L2CAP, RFCOMM e AVRCP.
Como funciona o ataque e quais os seus limites
Ao contrário do que sugerem algumas manchetes alarmistas, o ataque não é trivial de executar à distância. Para explorar a PerfektBlue, um atacante tem de estar dentro do alcance Bluetooth (cerca de 5 a 7 metros) e emparelhar com sucesso com o sistema de infoentretenimento do veículo. Isto limita significativamente a escala de potenciais ataques. O emparelhamento é normalmente a barreira principal, embora dependa da configuração de cada fabricante.
A própria PCA classifica o cenário como um «1-click RCE». A PerfektBlue é sobretudo um RCE de 1 clique porque, na maioria das vezes, requer enganar o utilizador para permitir o emparelhamento com um dispositivo do atacante. Contudo, alguns fabricantes configuram os sistemas de infoentretenimento para emparelhar sem qualquer confirmação. Ou seja, a exposição real varia conforme a implementação de cada marca, sobretudo em modos de emparelhamento «Just Works».
Uma vez comprometido o sistema multimédia, as consequências podem ser significativas para a privacidade. Uma vez estabelecida a ligação, o atacante pode comprometer a unidade de infoentretenimento (IVI). Isto concede acesso a funcionalidades sensíveis como localização GPS, microfones e listas de contactos. É importante notar que a IVI não controla diretamente sistemas críticos de segurança como a direção ou a travagem. A hipótese de movimento lateral para funções críticas do veículo existe, mas depende da arquitetura e de vulnerabilidades adicionais.
A PCA demonstrou a exploração em sistemas de produção reais. A PCA explorou com sucesso a cadeia em sistemas de produção: o IVI Mercedes-Benz NTG6, confirmado em bancada de teste; o Volkswagen ICAS3, usado no ID.4; e o Škoda MIB3, confirmado num Superb 3.
Cronologia da divulgação responsável
O processo de divulgação estendeu-se por mais de um ano, com atrasos que ilustram os riscos da cadeia de fornecimento no setor automóvel.
| Data | Acontecimento |
|---|---|
| 17 maio 2024 | PCA reporta as falhas à equipa de segurança da OpenSynergy |
| 15 julho 2024 | OpenSynergy confirma as vulnerabilidades e inicia trabalho nos patches |
| Setembro 2024 | Correções concluídas e fornecidas aos clientes da OpenSynergy |
| Março 2025 | Início da divulgação responsável pública por parte da PCA |
| 7 julho 2025 | Publicação oficial do aviso PerfektBlue |
A sequência é confirmada pelas fontes. A 15 de julho de 2024, a OpenSynergy confirmou as vulnerabilidades e começou a trabalhar nas correções. Os patches foram concluídos em setembro de 2024. No entanto, a distribuição às marcas foi mais lenta. Apesar das correções de setembro de 2024, atrasos na cadeia de fornecimento automóvel deixaram alguns fabricantes por atualizar até junho de 2025. Houve inclusivamente um fabricante que, à data limite acordada, alegava não ter recebido notificação: a 23 de junho, o OEM afetado reportou que não tinha recebido qualquer notificação oficial ou patch sobre as vulnerabilidades através da sua cadeia de fornecimento. Em resposta, a PCA decidiu avançar com a publicação, optando por não revelar publicamente a identidade do OEM.
Além das três marcas assumidas, a investigação aponta para um alcance mais vasto. As vulnerabilidades podem ser encadeadas para executar código arbitrário em automóveis de pelo menos três grandes fabricantes — Mercedes-Benz, Volkswagen e Škoda. Para além destes três, foi confirmado que um quarto fabricante de equipamento original (OEM), não identificado, também está afetado.
Como se proteger
- Instale as atualizações de software do veículo assim que o fabricante ou concessionário as disponibilizar.
- Desative o Bluetooth do carro quando não estiver a utilizá-lo. Desativar o Bluetooth remove o principal vetor de ataque, reduzindo significativamente o risco.
- Não aceite pedidos de emparelhamento Bluetooth inesperados no sistema multimédia.
- Confirme junto da marca se o seu modelo é afetado e se já recebeu o patch correspondente.
Porque é que isto importa em Portugal
Para os condutores em Portugal, a PerfektBlue é um lembrete de que o automóvel moderno é, na prática, um computador sobre rodas — e que a segurança do software importa tanto como a mecânica. Embora o risco prático de roubo em massa seja limitado pela necessidade de proximidade física e emparelhamento, a exposição de dados como localização GPS, gravações de áudio e listas de contactos toca diretamente no direito à proteção de dados. Ao abrigo do RGPD, o tratamento destes dados pessoais recolhidos por sistemas veiculares está sujeito a obrigações de segurança, e uma exploração deste tipo poderia configurar uma violação de dados com dever de notificação à CNPD.
O caso ilustra ainda a importância da recente legislação europeia sobre resiliência da cadeia de fornecimento digital. O novo Regime Jurídico da Cibersegurança (Decreto-Lei n.º 125/2025, que transpõe a Diretiva NIS2 para Portugal) reforça as exigências de gestão de risco e de comunicação de incidentes a operadores de setores considerados essenciais e importantes, incluindo o transporte e o fabrico. Paralelamente, o Cyber Resilience Act europeu impõe requisitos de segurança e de gestão de vulnerabilidades a produtos com elementos digitais ao longo do seu ciclo de vida — precisamente o tipo de exigência que casos como este tornam evidente, dado que a falha reside num componente de terceiros distribuído por múltiplos fabricantes. Em caso de dúvida sobre boas práticas de cibersegurança, o CNCS e o CERT.PT são os pontos de referência nacionais para cidadãos e organizações.
Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pela PCA Cyber Security, pela OpenSynergy e por investigadores e publicações de segurança que analisaram a vulnerabilidade.
Investigadores da PCA Cyber Security revelaram um conjunto de quatro vulnerabilidades numa das pilhas de Bluetooth mais utilizadas na indústria automóvel, batizadas em conjunto de «PerfektBlue», que podem ser encadeadas para executar código remotamente nos sistemas de infoentretenimento de veículos de vários fabricantes. A notícia tem circulado na imprensa portuguesa, mas os detalhes técnicos foram confirmados junto das fontes originais. Investigadores de cibersegurança descobriram um conjunto de quatro falhas de segurança na pilha Bluetooth BlueSDK da OpenSynergy que, se exploradas com sucesso, poderiam permitir a execução remota de código em milhões de veículos de transporte de diferentes fabricantes.
Resposta rápida: A PerfektBlue é uma cadeia de quatro falhas (CVE-2024-45431 a CVE-2024-45434) na pilha Bluetooth BlueSDK da OpenSynergy, presente em sistemas de infoentretenimento de marcas como Mercedes-Benz, Volkswagen e Škoda. Explorada, permite execução remota de código no sistema multimédia após emparelhamento por Bluetooth, com o atacante a curta distância. A OpenSynergy disponibilizou correções em setembro de 2024, mas atrasos na cadeia de fornecimento deixaram alguns fabricantes por atualizar. Mantenha o software do veículo atualizado e desative o Bluetooth quando não o usar.
O que é a PerfektBlue e onde está o problema
O epicentro da falha não está numa marca de automóveis, mas sim numa peça de software partilhada por muitas delas. Estas vulnerabilidades afetam o BlueSDK da OpenSynergy, uma pilha Bluetooth amplamente utilizada em sistemas de infoentretenimento automóvel. As falhas permitem a execução remota de código (RCE) sobre Bluetooth Classic em milhões de veículos de fabricantes que incluem Volkswagen, Mercedes-Benz, Škoda e outros. Este tipo de dependência de componentes de terceiros é uma característica central dos riscos da cadeia de fornecimento de software.
Segundo a PCA Cyber Security, empresa especializada em segurança automóvel, o alcance potencial é considerável. De acordo com a OpenSynergy, o BlueSDK foi integrado em cerca de 350 milhões de automóveis e está presente em mais de mil milhões de dispositivos embebidos em todo o mundo, incluindo produtos de consumo, móveis, industriais e médicos. Convém, ainda assim, distinguir a base instalada da pilha de software do número efetivo de veículos comprovadamente vulneráveis, que a investigação confirmou apenas num conjunto restrito de modelos.
A designação «PerfektBlue» descreve o encadeamento das falhas. A PerfektBlue consiste em quatro vulnerabilidades que, se combinadas, poderiam potencialmente permitir a um atacante executar código arbitrário após estabelecer uma ligação Bluetooth. As descobertas foram feitas sem acesso ao código-fonte: a deteção das falhas no BlueSDK foi possível através da análise de um binário compilado do produto de software.
As quatro vulnerabilidades e a sua gravidade
A cadeia é composta por quatro identificadores CVE com níveis de gravidade variáveis. Os investigadores contaram quatro falhas no Blue SDK, com as designações CVE-2024-45431 a CVE-2024-45434. Variam em criticidade, com a primeira a receber uma classificação «baixa» de 3,5 em 10 no Common Vulnerability Scoring System e a última uma «alta» de 8,0. A falha mais grave é o ponto de partida do ataque: a cadeia começa com a CVE-2024-45434, um Use-After-Free no AVRCP.
| CVE | Descrição | CVSS |
|---|---|---|
CVE-2024-45431 | Validação incorreta do CID remoto de um canal L2CAP | 3,5 (baixa) |
CVE-2024-45432 | Chamada de função com parâmetro incorreto em RFCOMM | 5,7 |
CVE-2024-45433 | Terminação incorreta de função em RFCOMM | 5,7 |
CVE-2024-45434 | Use-After-Free no serviço AVRCP | 8,0 (alta) |
Isoladamente, várias destas falhas têm risco reduzido; o perigo surge da combinação. A PerfektBlue consiste em quatro vulnerabilidades. Apenas uma das quatro envolve corrupção de memória. As outras exploram má gestão de protocolo. Combinadas, permitem a execução remota de código (RCE) após estabelecer uma ligação Bluetooth. Os protocolos afetados são camadas centrais da comunicação Bluetooth, nomeadamente L2CAP, RFCOMM e AVRCP.
Como funciona o ataque e quais os seus limites
Ao contrário do que sugerem algumas manchetes alarmistas, o ataque não é trivial de executar à distância. Para explorar a PerfektBlue, um atacante tem de estar dentro do alcance Bluetooth (cerca de 5 a 7 metros) e emparelhar com sucesso com o sistema de infoentretenimento do veículo. Isto limita significativamente a escala de potenciais ataques. O emparelhamento é normalmente a barreira principal, embora dependa da configuração de cada fabricante.
A própria PCA classifica o cenário como um «1-click RCE». A PerfektBlue é sobretudo um RCE de 1 clique porque, na maioria das vezes, requer enganar o utilizador para permitir o emparelhamento com um dispositivo do atacante. Contudo, alguns fabricantes configuram os sistemas de infoentretenimento para emparelhar sem qualquer confirmação. Ou seja, a exposição real varia conforme a implementação de cada marca, sobretudo em modos de emparelhamento «Just Works».
Uma vez comprometido o sistema multimédia, as consequências podem ser significativas para a privacidade. Uma vez estabelecida a ligação, o atacante pode comprometer a unidade de infoentretenimento (IVI). Isto concede acesso a funcionalidades sensíveis como localização GPS, microfones e listas de contactos. É importante notar que a IVI não controla diretamente sistemas críticos de segurança como a direção ou a travagem. A hipótese de movimento lateral para funções críticas do veículo existe, mas depende da arquitetura e de vulnerabilidades adicionais.
A PCA demonstrou a exploração em sistemas de produção reais. A PCA explorou com sucesso a cadeia em sistemas de produção: o IVI Mercedes-Benz NTG6, confirmado em bancada de teste; o Volkswagen ICAS3, usado no ID.4; e o Škoda MIB3, confirmado num Superb 3.
Cronologia da divulgação responsável
O processo de divulgação estendeu-se por mais de um ano, com atrasos que ilustram os riscos da cadeia de fornecimento no setor automóvel.
| Data | Acontecimento |
|---|---|
| 17 maio 2024 | PCA reporta as falhas à equipa de segurança da OpenSynergy |
| 15 julho 2024 | OpenSynergy confirma as vulnerabilidades e inicia trabalho nos patches |
| Setembro 2024 | Correções concluídas e fornecidas aos clientes da OpenSynergy |
| Março 2025 | Início da divulgação responsável pública por parte da PCA |
| 7 julho 2025 | Publicação oficial do aviso PerfektBlue |
A sequência é confirmada pelas fontes. A 15 de julho de 2024, a OpenSynergy confirmou as vulnerabilidades e começou a trabalhar nas correções. Os patches foram concluídos em setembro de 2024. No entanto, a distribuição às marcas foi mais lenta. Apesar das correções de setembro de 2024, atrasos na cadeia de fornecimento automóvel deixaram alguns fabricantes por atualizar até junho de 2025. Houve inclusivamente um fabricante que, à data limite acordada, alegava não ter recebido notificação: a 23 de junho, o OEM afetado reportou que não tinha recebido qualquer notificação oficial ou patch sobre as vulnerabilidades através da sua cadeia de fornecimento. Em resposta, a PCA decidiu avançar com a publicação, optando por não revelar publicamente a identidade do OEM.
Além das três marcas assumidas, a investigação aponta para um alcance mais vasto. As vulnerabilidades podem ser encadeadas para executar código arbitrário em automóveis de pelo menos três grandes fabricantes — Mercedes-Benz, Volkswagen e Škoda. Para além destes três, foi confirmado que um quarto fabricante de equipamento original (OEM), não identificado, também está afetado.
Como se proteger
- Instale as atualizações de software do veículo assim que o fabricante ou concessionário as disponibilizar.
- Desative o Bluetooth do carro quando não estiver a utilizá-lo. Desativar o Bluetooth remove o principal vetor de ataque, reduzindo significativamente o risco.
- Não aceite pedidos de emparelhamento Bluetooth inesperados no sistema multimédia.
- Confirme junto da marca se o seu modelo é afetado e se já recebeu o patch correspondente.
Porque é que isto importa em Portugal
Para os condutores em Portugal, a PerfektBlue é um lembrete de que o automóvel moderno é, na prática, um computador sobre rodas — e que a segurança do software importa tanto como a mecânica. Embora o risco prático de roubo em massa seja limitado pela necessidade de proximidade física e emparelhamento, a exposição de dados como localização GPS, gravações de áudio e listas de contactos toca diretamente no direito à proteção de dados. Ao abrigo do RGPD, o tratamento destes dados pessoais recolhidos por sistemas veiculares está sujeito a obrigações de segurança, e uma exploração deste tipo poderia configurar uma violação de dados com dever de notificação à CNPD.
O caso ilustra ainda a importância da recente legislação europeia sobre resiliência da cadeia de fornecimento digital. O novo Regime Jurídico da Cibersegurança (Decreto-Lei n.º 125/2025, que transpõe a Diretiva NIS2 para Portugal) reforça as exigências de gestão de risco e de comunicação de incidentes a operadores de setores considerados essenciais e importantes, incluindo o transporte e o fabrico. Paralelamente, o Cyber Resilience Act europeu impõe requisitos de segurança e de gestão de vulnerabilidades a produtos com elementos digitais ao longo do seu ciclo de vida — precisamente o tipo de exigência que casos como este tornam evidente, dado que a falha reside num componente de terceiros distribuído por múltiplos fabricantes. Em caso de dúvida sobre boas práticas de cibersegurança, o CNCS e o CERT.PT são os pontos de referência nacionais para cidadãos e organizações.
Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pela PCA Cyber Security, pela OpenSynergy e por investigadores e publicações de segurança que analisaram a vulnerabilidade.