Um novo estudo académico veio expor um problema silencioso que afeta a relação digital entre cidadãos e autarquias em Portugal: apesar de os municípios oferecerem cada vez mais serviços em linha, muitos dos seus portais continuam a apresentar vulnerabilidades de segurança que poderiam ser exploradas por atacantes. Segundo a coordenadora do estudo, Delfina Soares, em alguns casos “não seria preciso ser um hacker muito sofisticado” para provocar perturbações nos sistemas e aceder aos dados ali guardados.
Resposta rápida: A edição de 2025 do Índice da Presença na Internet das Câmaras Municipais (IPIC), do Gávea da Universidade do Minho, incluiu pela primeira vez uma avaliação dedicada à cibersegurança dos 308 portais municipais. O estudo detetou autarquias com um número elevado de vulnerabilidades, algumas exploráveis sem técnicas avançadas. Se é cidadão, prefira ligações seguras (HTTPS) e desconfie de sítios com avisos de certificado; se representa um município, reforce atualizações, autenticação forte e cópias de segurança.
O que diz o estudo e quem o fez
O alerta parte da mais recente edição do Índice da Presença na Internet das Câmaras Municipais (IPIC) 2025, um estudo que, na sua versão jornalística, surge com o título “Presença na Internet das Câmaras Municipais Portuguesas em 2025”. A investigação foi coordenada por Delfina Soares e conduzida pelo Gávea — Observatório da Sociedade da Informação, da Universidade do Minho, com a colaboração da Unidade Operacional de Governação Eletrónica da Universidade das Nações Unidas e da Agência para a Reforma Tecnológica do Estado.
Trata-se de um trabalho com longa tradição: desde 1999, a presença das câmaras municipais portuguesas na Internet tem sido objeto de estudo do Gávea, que, através da publicação Índice de Presença na Internet das Câmaras Municipais, apresenta a avaliação dos sítios Web dos 308 municípios portugueses. O índice é elaborado de dois em dois anos e tem como principal objetivo analisar a evolução da presença dos municípios portugueses na Internet, através de um conjunto de indicadores agrupados em quatro critérios.
Na edição de 2025, o estudo avaliou os websites das câmaras municipais com base em quatro critérios: Conteúdos (C1), Acessibilidade e Usabilidade (C2), Serviços Online (C3) e Participação (C4). A novidade desta edição está precisamente no reforço da vertente de segurança.
Pela primeira vez, uma lupa sobre a cibersegurança
A grande diferença face a edições anteriores é a componente de segurança. Pela primeira vez, o estudo incluiu uma avaliação dedicada à cibersegurança dos websites das 308 câmaras municipais portuguesas, analisando diversos indicadores relacionados com a segurança das comunicações e a exposição a vulnerabilidades conhecidas.
Ainda assim, importa contextualizar o peso desta dimensão no índice global. A cibersegurança foi um dos 17 indicadores avaliados, valendo 5%, e a pontuação média nacional deste indicador foi de 0,660 numa escala de 0 a 1. O relatório não divulga a classificação individual de cada município apenas para o indicador de cibersegurança — uma opção prudente, dado que expor publicamente quais os portais mais frágeis poderia servir de mapa a potenciais atacantes.
As conclusões são claras quanto ao risco: o estudo identificou autarquias com um elevado número de vulnerabilidades e a investigadora Delfina Soares alerta que, em alguns municípios, a quantidade de vulnerabilidades detetadas foi significativa. Segundo a análise, estas falhas poderão provocar perturbações nos sistemas ou permitir o acesso a informação armazenada nos portais.
Mais serviços digitais, mais superfície de ataque
O estudo estabelece uma ligação direta entre a expansão dos serviços em linha e o aumento da exposição. Os investigadores alertam que, à medida que os municípios disponibilizam mais serviços digitais aos cidadãos, torna-se essencial reforçar continuamente a proteção dos seus portais e infraestruturas digitais.
De facto, os municípios têm vindo a aumentar o número de serviços digitais, permitindo aos cidadãos tratar em linha de processos como licenças, pagamentos, pedidos de informação ou marcações. O reverso é conhecido: a expansão destas plataformas tornou também os sistemas municipais mais expostos a ataques informáticos. Por outras palavras, cada novo formulário, área reservada ou serviço de pagamento acrescenta pontos que precisam de ser protegidos.
Apesar disso, o estudo não descreve um cenário de colapso. Embora os resultados representem uma melhoria comparativamente com a avaliação realizada em 2023, os investigadores entendem que o progresso continua a ser insuficiente. A modernização avança, mas a um ritmo que a equipa considera lento face às necessidades.
O ranking: quem lidera e quem fica para trás
No plano da qualidade global da presença digital, há municípios que se destacam. O ranking global do IPIC 2025 é liderado pela Câmara Municipal de Valongo, seguindo-se Águeda e Coimbra, com Valongo a liderar o ranking nacional com uma pontuação de 0,773. Braga surge na quinta posição e o Porto na sexta, enquanto Lisboa ocupa apenas o 12.º lugar.
Um dos dados mais interessantes é que a dimensão não determina o desempenho. O Top 10 integra municípios de diferentes dimensões — grandes, médios e pequenos — demonstrando que uma boa presença digital não depende apenas da dimensão da autarquia. O estudo destaca ainda o desempenho de municípios de menor dimensão, como Sabrosa, Murça e Proença-a-Nova, que demonstram que a aposta na transformação digital permite competir com os grandes centros urbanos.
| Posição | Município |
|---|---|
| 1.º | Valongo (pontuação 0,773) |
| 2.º | Águeda |
| 3.º | Coimbra |
| 4.º | Porto de Mós |
| 5.º | Braga |
| 6.º | Porto |
| 12.º | Lisboa |
No agregado nacional, os números confirmam a evolução gradual. O valor médio nacional do IPIC em 2025 foi de 0,487, superior aos 0,479 registados em 2023. Ainda assim, a pontuação média dos municípios permanece abaixo dos 50% da classificação máxima, revelando que a modernização digital das autarquias continua a avançar a um ritmo considerado insuficiente.
Como reduzir o risco: boas práticas para as autarquias
Embora o estudo não publique a lista de vulnerabilidades específicas por município, as recomendações de higiene digital para o setor público são bem conhecidas e aplicáveis a qualquer câmara que queira reforçar a proteção do seu portal:
- Manter o
software, os sistemas de gestão de conteúdos e os componentes de terceiros permanentemente atualizados, aplicando correções de segurança logo que disponíveis. - Reforçar a autenticação, com palavras-passe complexas e autenticação multifator (MFA) nos acessos administrativos.
- Garantir comunicações cifradas (HTTPS) e certificados válidos em todos os serviços expostos.
- Assegurar cópias de segurança regulares e um plano de recuperação testado, essenciais para retomar serviços após um incidente.
- Realizar avaliações de segurança periódicas para identificar e corrigir vulnerabilidades conhecidas antes de serem exploradas.
Porque é que isto importa em Portugal
Os portais municipais tratam dados pessoais de cidadãos — desde pedidos de licenças a pagamentos e marcações — o que coloca a sua segurança no cruzamento entre a proteção de dados e a cibersegurança de infraestruturas públicas. Um incidente num portal camarário pode afetar diretamente a disponibilidade de serviços essenciais e a confidencialidade da informação dos munícipes, com implicações ao abrigo do RGPD.
A dimensão regulatória é hoje ainda mais relevante. Com a entrada em vigor do novo Regime Jurídico da Cibersegurança que transpõe a diretiva NIS2, muitas entidades da administração pública passam a estar sujeitas a obrigações reforçadas de gestão de risco e de notificação de incidentes. O Centro Nacional de Cibersegurança (CNCS) e o CERT.PT desempenham um papel central no apoio e coordenação de resposta a incidentes que afetem organismos públicos, incluindo autarquias. Neste contexto, um estudo que mapeia a maturidade digital e as fragilidades de segurança dos 308 municípios funciona como um instrumento útil para priorizar investimentos e reforçar a resiliência do setor local.
Perguntas frequentes
O que é o estudo IPIC 2025?
É a mais recente edição do Índice da Presença na Internet das Câmaras Municipais, um estudo do Gávea da Universidade do Minho que avalia, desde 1999 e de dois em dois anos, a presença digital dos 308 municípios portugueses. A edição de 2025 acrescentou uma avaliação dedicada à cibersegurança.
Os portais das câmaras foram efetivamente atacados?
O estudo não reporta ataques concretos, mas sim vulnerabilidades detetadas que poderiam ser exploradas. A coordenadora refere que, em alguns casos, não seria preciso um atacante muito sofisticado para provocar perturbações nos sistemas ou aceder a dados armazenados.
Que municípios têm os melhores portais?
No ranking global do IPIC 2025, Valongo lidera com 0,773, seguido de Águeda e Coimbra. Braga é quinto e o Porto sexto, enquanto Lisboa surge no 12.º lugar. O estudo sublinha que a qualidade digital não depende da dimensão do município.
O que pode um cidadão fazer para se proteger?
Verifique se o portal usa ligação segura (HTTPS) e não ignore avisos de certificado inválido. Evite introduzir dados sensíveis em páginas suspeitas e, em caso de dúvida sobre um serviço em linha, contacte diretamente a autarquia pelos canais oficiais.
Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pelo Gávea — Observatório da Sociedade da Informação da Universidade do Minho (estudo IPIC 2025), pela UNU-EGOV e pela Agência para a Reforma Tecnológica do Estado, bem como em declarações da coordenadora do estudo à imprensa.