Números de telemóvel, endereços de correio eletrónico e moradas de altas figuras do Estado português — e de centenas de milhares de cidadãos comuns — estão acessíveis através de plataformas comerciais que agregam e vendem dados pessoais. O caso, revelado esta semana pelo jornal Expresso, foi identificado por um consultor de cibersegurança que entregou um relatório às autoridades e está agora a ser investigado pela Polícia Judiciária. Entre os visados encontram-se o Presidente da República, o primeiro-ministro, responsáveis dos serviços de informações e das forças de segurança, magistrados e gestores de grandes empresas.
Resposta rápida: Dados de contacto e moradas de figuras do Estado e de muitos cidadãos portugueses estão disponíveis em plataformas online de agregação e venda de informação. A denúncia partiu de um especialista em cibersegurança, chegou ao Centro Nacional de Cibersegurança e a Polícia Judiciária investiga. O maior perigo não é cada dado isolado, mas o cruzamento de informação, que facilita phishing, fraude e roubo de identidade. Reveja as suas definições de privacidade e desconfie de contactos que usem dados seus para parecerem legítimos.
O que foi exposto e quem está em causa
De acordo com o que foi divulgado publicamente, os dados pessoais de centenas de milhares de portugueses estão disponíveis através de plataformas comerciais de agregação de contactos. A informação abrange nomes, números de telefone, endereços de e-mail e, em muitos casos, moradas residenciais.
Entre os visados estão figuras de topo do Estado. Segundo o noticiado, estão em causa informações relacionadas com o Presidente da República, António José Seguro; o primeiro-ministro, Luís Montenegro; dois ministros do Executivo; o secretário-geral do SIRP, Vítor Sereno; o diretor nacional da PSP, Luís Carrilho; o responsável pelo departamento operacional do Centro Nacional de Cibersegurança; três banqueiros e os CEO de duas das maiores empresas portuguesas. A lista alegadamente inclui também magistrados e responsáveis das forças de segurança e dos serviços de informações.
A plataforma concreta onde a informação estava acessível não foi identificada publicamente. O nome da plataforma foi omitido pelo Expresso, que avançou o caso na sua edição desta sexta-feira.
Como o problema foi detetado
A situação foi identificada por um especialista externo. A denúncia chegou ao Centro Nacional de Cibersegurança através de Andrea Mavilla, especialista italiano em cibersegurança, que alertou que os dados acessíveis nesta plataforma poderiam comprometer a segurança nacional. Segundo o relatado, o consultor terá entregado um relatório às autoridades portuguesas.
A facilidade de acesso terá sido demonstrada de forma prática. Num vídeo com menos de um minuto, o especialista copiou o nome de uma juíza a partir do site do Supremo Tribunal, colou-o na plataforma e obteve todas as informações listadas. O Expresso terá ainda cruzado dados de várias personalidades partilhados pelo investigador. O semanário verificou-os um a um e todos estavam corretos.
O consultor sublinhou que a gravidade específica do caso português está no potencial de correlação. O risco não estaria apenas na presença de um número de telefone ou de um e-mail, mas na possibilidade de ligar todas essas informações entre si e mapear setores inteiros do Estado.
Porque é que a agregação de dados é perigosa
Muitos dos dados individualmente considerados podem já circular publicamente ou ter origem em fugas anteriores. O problema surge quando plataformas os consolidam num único perfil pesquisável e vendável. Isoladamente, um número de telefone diz pouco; combinado com o nome, a função, o e-mail e a morada, permite construir um retrato detalhado de uma pessoa — e, quando aplicado a cargos sensíveis, de estruturas inteiras.
Este tipo de perfil é matéria-prima para engenharia social. Com dados verificados e específicos, um atacante pode montar campanhas de phishing e smishing muito mais credíveis, personificar contactos de confiança ou preparar tentativas de fraude e de roubo de identidade. Não é um risco teórico: o próprio CNCS tem alertado para esta tendência. O último relatório anual do Centro sublinha que o phishing, o smishing e outras formas de engenharia social se mantêm entre as ameaças mais recorrentes, e destaca a intensificação da ameaça dos infostealers e da comercialização de credenciais.
Investigação e enquadramento
O caso está a ser tratado pelas autoridades competentes. A Polícia Judiciária está a investigar a exposição destes dados, na sequência da denúncia entregue ao Centro Nacional de Cibersegurança.
Convém distinguir os papéis das entidades envolvidas. O CNCS atua como coordenador operacional e autoridade nacional em matéria de cibersegurança junto das entidades do Estado, gerindo incidentes no ciberespaço de interesse nacional através do CERT.PT. A responsabilidade pela proteção de dados pessoais cabe à Comissão Nacional de Proteção de Dados (CNPD), que é a autoridade de controlo nacional com a responsabilidade de fiscalizar o cumprimento do RGPD e da Lei n.º 58/2019.
O que pode fazer para se proteger
- Desconfie de contactos não solicitados que usem dados corretos seus (nome, morada, função) para parecerem legítimos — a exatidão da informação não prova a autenticidade do interlocutor.
- Nunca confirme códigos, palavras-passe ou dados bancários por telefone, SMS ou e-mail, mesmo que o remetente pareça conhecer os seus dados.
- Ative a autenticação em dois fatores (2FA) nas contas críticas — e-mail, banca e redes sociais — de preferência com aplicação autenticadora em vez de SMS.
- Reveja as definições de privacidade das suas redes sociais e limite a informação de contacto pública.
- Se identificar dados seus expostos numa plataforma, pode exercer os seus direitos ao abrigo do RGPD, incluindo o direito ao apagamento, e apresentar queixa à CNPD.
- Verifique se os seus e-mails constam de fugas conhecidas e altere palavras-passe reutilizadas.
Porque é que isto importa em Portugal
Este episódio não é apenas um problema de figuras públicas. O facto de estarem em causa centenas de milhares de cidadãos comuns mostra que a economia de agregação e venda de dados atinge toda a gente, com ou sem cargo. Para as PME, o alerta é duplo: os seus colaboradores podem ser alvo de fraudes dirigidas (como o comprometimento de e-mail empresarial) e as próprias organizações têm de garantir que não são elas a fonte de exposição indevida de dados.
O caso surge num momento de reforço do quadro legal. Com a entrada em vigor do Regime Jurídico da Cibersegurança que transpõe a diretiva NIS2, muitas entidades passam a estar obrigadas a medidas de gestão de risco e a notificação de incidentes. Paralelamente, a exposição de dados pessoais convoca a proteção conferida pelo RGPD e a supervisão da CNPD. Para cidadãos, PME e organismos públicos, a lição é a mesma: a informação que parece inofensiva, quando cruzada, transforma-se numa arma de engenharia social — e a resiliência começa na desconfiança informada.
Perguntas frequentes
Os meus dados também podem estar nestas plataformas?
É possível. O caso divulgado envolve centenas de milhares de cidadãos, não apenas figuras públicas. Muitos dados agregados têm origem em registos públicos e fugas anteriores. Reveja as suas definições de privacidade e considere exercer o direito ao apagamento junto das plataformas e da CNPD.
Qual é o verdadeiro risco de ter o número e a morada expostos?
O maior perigo não é cada dado isolado, mas o cruzamento de vários dados num único perfil. Isso permite a criminosos criar campanhas de phishing e fraude muito credíveis, personificar contactos de confiança e tentar o roubo de identidade.
Que entidades estão a tratar do caso em Portugal?
A denúncia chegou ao Centro Nacional de Cibersegurança e a Polícia Judiciária está a investigar. A proteção de dados pessoais é da competência da CNPD, autoridade que fiscaliza o cumprimento do RGPD.
O que devo fazer se receber um contacto que já sabe os meus dados?
Desconfie mesmo que os dados estejam corretos, porque a exatidão não prova a legitimidade. Não confirme códigos, palavras-passe nem dados bancários. Contacte a entidade por canais oficiais e ative a autenticação em dois fatores nas suas contas críticas.
Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pelo jornal Expresso e por outros meios, bem como em informação oficial do Centro Nacional de Cibersegurança e da Comissão Nacional de Proteção de Dados.