A Universidade de Aveiro (UA) confirmou ter detetado um acesso indevido aos seus sistemas de informação, que resultou na exposição de dados pessoais e institucionais. O reitor, Artur Silva, comunicou o incidente à comunidade académica na madrugada de 29 de julho, num email em que pede a alteração imediata da palavra-passe do Utilizador Universal e reitera o repúdio da instituição pelo que classifica como um “ato criminoso”.
Resposta rápida: A Universidade de Aveiro detetou um acesso indevido aos seus sistemas de informação, com exposição de dados pessoais e institucionais. O reitor comunicou o incidente por email à comunidade académica na madrugada de 29 de julho, pedindo a alteração imediata da palavra-passe do Utilizador Universal. A instituição diz estar a apurar a extensão dos dados afetados e a implementar medidas de mitigação. Se recebeu este alerta da UA, mude já a sua palavra-passe e desconfie de contactos suspeitos que a peçam.
O que a Universidade de Aveiro comunicou
Segundo o email enviado a estudantes, docentes e trabalhadores não-docentes, a UA “detetou um acesso indevido aos seus sistemas de informação, do qual resultou a exposição a dados pessoais e institucionais”. A instituição afirma estar a “apurar a extensão da informação abrangida” e a “encetar todas as medidas necessárias para mitigar os possíveis danos causados”. Até ao momento, a Universidade não divulgou publicamente que categorias específicas de dados foram comprometidas nem qual foi o vetor de acesso utilizado pelos atacantes.
A reitoria classifica o incidente como um “ato criminoso” e afirma repudiá-lo, lamentando os constrangimentos causados à comunidade académica.
O que é pedido à comunidade académica
A UA solicitou a toda a comunidade que altere de imediato a palavra-passe do Utilizador Universal, a credencial única que dá acesso aos serviços internos da instituição. A recomendação é para uma palavra-passe “forte e diferente das que usa noutros serviços”, evitando reutilizá-la noutras plataformas.
A instituição pede ainda atenção redobrada a “mensagens ou e-mails suspeitos que solicitem credenciais de acesso” e recomenda que ninguém forneça dados pessoais ou de acesso em resposta a contactos não solicitados. Situações anómalas devem ser reportadas ao Gabinete de Cibersegurança da UA, através do endereço [email protected].
Um segundo alerta na mesma semana
Este incidente surge dias depois de o próprio Gabinete de Cibersegurança da UA ter alertado a comunidade para um aumento de tentativas de phishing dirigidas a projetos financiados por fundos europeus, com emails fraudulentos a tentar desviar pagamentos entre consórcios de investigação. Não há, por ora, indicação pública de qualquer ligação entre os dois episódios, mas a coincidência de datas reforça a pressão sobre a instituição para reforçar as suas defesas.
O que fazer se for afetado
- Altere já a palavra-passe do Utilizador Universal, seguindo as recomendações da própria UA: forte, única, e diferente da que usa noutros serviços.
- Ative a autenticação multifator nos serviços da UA que a disponibilizem.
- Desconfie de emails, chamadas ou mensagens que peçam credenciais, dados pessoais ou pagamentos, mesmo que pareçam vir da própria Universidade.
- Reporte qualquer contacto suspeito ao Gabinete de Cibersegurança da UA ([email protected]).
- Se for docente, investigador ou trabalhador não-docente com acesso a dados de terceiros, verifique se recebeu instruções adicionais específicas da sua unidade orgânica.
O que diz a lei
Uma exposição de dados pessoais como a descrita pela UA é, à luz do RGPD, uma potencial violação de dados pessoais, com o dever de a instituição notificar a CNPD no prazo de 72 horas após ter conhecimento do incidente, e de comunicar diretamente os titulares afetados sempre que exista risco elevado para os seus direitos e liberdades.
Como entidade do setor público e frequentemente enquadrada como entidade essencial ou importante, a UA está também sujeita ao Regime Jurídico da Cibersegurança (Decreto-Lei n.º 125/2025, que transpõe a Diretiva NIS2), que impõe deveres de gestão de risco e prazos apertados de notificação de incidentes significativos ao CNCS.
Perguntas frequentes
Que dados foram expostos no ataque à Universidade de Aveiro?
A UA ainda não divulgou publicamente quais as categorias exatas de dados afetadas. No comunicado enviado à comunidade académica, a instituição refere apenas exposição de “dados pessoais e institucionais” e diz estar a apurar a extensão exata da informação comprometida.
Tenho de mudar a palavra-passe mesmo que não tenha recebido nenhum aviso?
Se é membro da comunidade académica da UA (estudante, docente ou trabalhador não-docente), a própria instituição recomenda a todos que alterem a palavra-passe do Utilizador Universal como medida de precaução, independentemente de terem recebido comunicação individual sobre exposição dos seus dados específicos.
Como sei se um contacto que recebi é legítimo ou tentativa de fraude?
A UA nunca deve pedir a sua palavra-passe ou dados de acesso por email, telefone ou mensagem. Em caso de dúvida sobre a legitimidade de um contacto, não responda nem forneça informação — confirme diretamente através do Gabinete de Cibersegurança da UA ([email protected]).
Que obrigações legais tem a UA depois deste incidente?
Enquanto responsável pelo tratamento de dados pessoais, a UA deve notificar a CNPD no prazo de 72 horas após tomar conhecimento da violação, e informar diretamente os titulares dos dados sempre que haja risco elevado. Como entidade abrangida pelo Regime Jurídico da Cibersegurança que transpõe a NIS2, tem ainda deveres de notificação ao CNCS.
Esta informação tem caráter noticioso e baseia-se num comunicado divulgado publicamente pela Universidade de Aveiro e em informação relatada pela Rádio Universitária de Aveiro (Rádio RIA).