O grupo Águas de Portugal (AdP), empresa pública que gere abastecimento e saneamento em todo o território continental, confirmou ter sido alvo de um ciberataque descrito como sendo de elevada complexidade. RGPD à parte, a preocupação imediata do público é uma só: a água que sai da torneira está em causa? Segundo a informação divulgada, não. Ainda assim, o incidente derrubou sistemas informáticos internos, obrigou a limitações no acesso a computadores e colocou uma das mais críticas infraestruturas nacionais no radar das autoridades.
Resposta rápida: A Águas de Portugal foi alvo de um ciberataque de elevada complexidade, detetado na sexta-feira, que afetou sistemas informáticos administrativos e canais de contacto com clientes. A empresa garante que o abastecimento de água e o saneamento não foram comprometidos. A Polícia Judiciária e o Centro Nacional de Cibersegurança investigam. Se é cliente, use os canais telefónicos e presenciais e desconfie de contactos não solicitados que invoquem o incidente.
O que aconteceu
Segundo a RTP, a empresa confirmou publicamente ter sofrido um ataque informático. De acordo com o mesmo relato, a situação foi identificada na última sexta-feira, mas o site da empresa ainda continua em baixo e há problemas nos canais de contacto com os clientes.
A própria AdP enquadrou o sucedido como um episódio grave, mas contido nos sistemas administrativos. O grupo Águas de Portugal confirmou ter sido alvo de um ciberataque de elevada complexidade, incidente que está a ser acompanhado pelas autoridades competentes. A empresa acrescentou que os mecanismos internos de monitorização permitiram detetar rapidamente a atividade maliciosa, tendo sido de imediato ativados os planos de resposta a incidentes e de contenção.
O impacto operacional recaiu sobre a componente digital de gestão. O ataque, considerado de elevada complexidade, foi dirigido aos sistemas de informação do grupo AdP, tendo provocado condicionamentos temporários em processos administrativos e afetado canais de contacto com clientes e parceiros em algumas empresas; o serviço de correio eletrónico foi um dos setores afetados. Em contrapartida, o serviço de apoio ao cliente por telefone e todas as lojas de atendimento presencial estão a funcionar com regularidade.
O abastecimento de água está comprometido?
Esta é a questão que mais preocupa cidadãos e municípios, e a resposta da empresa é clara. A Águas de Portugal diz que está a tentar recuperar alguns serviços e garante que não está em causa nem o saneamento, nem a qualidade, nem o abastecimento de água. Do lado técnico, o incidente não comprometeu o fornecimento de água nem os serviços de saneamento, uma vez que os sistemas críticos permaneceram operacionais.
Esta separação entre os sistemas de gestão administrativa (TI) e os sistemas que controlam a operação física da água (tecnologia operacional, ou OT) é decisiva. Quando um ataque fica confinado à camada administrativa — correio eletrónico, faturação, portais de cliente — os serviços essenciais podem continuar a funcionar, ainda que com constrangimentos no atendimento. A empresa indicou ainda que estão em curso trabalhos de recuperação e reposição gradual dos sistemas informáticos afetados, mantendo-se as medidas necessárias para assegurar a continuidade e fiabilidade dos serviços.
Como medida de precaução, foram impostas restrições internas ao uso de equipamentos. Segundo o relato da imprensa, muitos funcionários de várias empresas do grupo ficaram impedidos de usar o computador, de forma a não agravar a propagação do incidente — uma prática habitual em resposta a incidentes para conter movimentação lateral de um atacante numa rede comprometida.
Quem está a investigar
O caso está entregue às autoridades nacionais competentes. A Polícia Judiciária já está a investigar este caso a par do Centro Nacional de Cibersegurança (CNCS). Até ao momento da publicação, não há reivindicação pública conhecida de autoria nem confirmação oficial de que se tenha tratado de ransomware, exfiltração de dados ou outro vetor específico. Por prudência jornalística, evitamos atribuir o ataque a qualquer grupo enquanto as autoridades não divulgarem conclusões.
O incidente não surge isolado. A empresa junta-se a uma lista mais alargada de entidades que sofreram ataques informáticos nas últimas semanas, entre elas a Universidade de Aveiro, a Metro Mondego e a CCDR Algarve. Este agrupamento temporal reforça a leitura de que o setor público e as infraestruturas críticas portuguesas estão sob pressão sustentada.
Cronologia conhecida
| Momento | Facto conhecido |
|---|---|
| Sexta-feira | Deteção da atividade maliciosa e ativação dos planos de resposta e contenção |
| Dias seguintes | Site institucional em baixo; correio eletrónico e canais digitais de contacto afetados |
| Em curso | Recuperação e reposição gradual dos sistemas; investigação pela PJ e pelo CNCS |
| Sem data | Sem reivindicação pública de autoria nem confirmação de exfiltração de dados |
Não é a primeira vez que o setor da água é alvo
O setor das águas em Portugal já tinha registado incidentes de relevo. Em janeiro de 2023, a Águas e Energia do Porto — entidade distinta do grupo AdP — foi alvo de um ataque informático. Na altura, a Câmara Municipal do Porto garantiu que todos os serviços essenciais de abastecimento público de água e saneamento estavam perfeitamente assegurados. Esse episódio, contudo, teve impacto real na operação: relatos posteriores indicam que chegou a comprometer o abastecimento de água em algumas zonas da cidade, levando a empresa a reforçar o investimento em cibersegurança.
A tendência é preocupante e transversal à Europa. O setor da água é considerado uma infraestrutura crítica e tem sido cada vez mais visado por grupos de cibercriminosos, com várias empresas de abastecimento na Europa a serem alvo de ataques nos últimos anos, o que reforça a necessidade de investir em proteção e resiliência digital.
A ENISA, a agência europeia de cibersegurança, tem sinalizado esta fragilidade. No seu relatório NIS360 de 2026, o abastecimento de água e as águas residuais figuram na “zona de risco” — setores cuja criticidade excede a maturidade cibernética, lado a lado com a saúde, a ferrovia, o espaço e as administrações públicas.
Porque é que isto importa para si
Para o cidadão comum, o risco mais imediato não é ficar sem água — é ser alvo de fraude. Em incidentes deste tipo, é frequente surgirem tentativas de burla que exploram a confusão: falsos e-mails ou SMS a pedir a “reconfirmação” de dados de faturação, IBAN ou pagamentos. Enquanto os canais digitais da empresa estiverem instáveis, desconfie de qualquer comunicação não solicitada e confirme sempre pelos contactos oficiais.
- Não clique em links de e-mails ou mensagens que aleguem estar relacionados com o incidente ou com a sua fatura de água.
- Prefira o atendimento telefónico e presencial, que a empresa indica estar a funcionar.
- Vigie a sua conta bancária e recibos de débito direto nas próximas semanas.
- Se receber pedidos de pagamento urgentes ou alterações de IBAN, trate-os como suspeitos até confirmação oficial.
Do ponto de vista das organizações e das PME, o caso é um lembrete direto das obrigações que decorrem do novo Regime Jurídico da Cibersegurança (Decreto-Lei n.º 125/2025, que transpõe a NIS2). O abastecimento de água e as águas residuais estão entre os setores abrangidos como serviços essenciais, o que implica requisitos de gestão de risco, medidas de segurança e, sobretudo, deveres de notificação de incidentes ao CNCS/CERT.PT em prazos apertados. A separação entre redes de TI e de OT, a existência de planos de resposta testados e a capacidade de recuperação são precisamente os elementos que o novo regime pretende consolidar. Se um eventual acesso a dados pessoais vier a confirmar-se, aplica-se ainda o RGPD, com dever de notificação à CNPD e, quando exigido, aos titulares dos dados.
Perguntas frequentes
A água da minha torneira está segura para consumo?
Segundo a Águas de Portugal, o abastecimento, o saneamento e a qualidade da água não foram comprometidos, uma vez que os sistemas críticos de operação permaneceram funcionais. O ataque afetou sistemas administrativos e canais digitais, não o tratamento e distribuição de água.
Os meus dados pessoais foram roubados?
Até ao momento não há confirmação oficial de que tenham sido acedidos ou exfiltrados dados pessoais. A investigação está em curso e a empresa comprometeu-se a divulgar desenvolvimentos relevantes. Por prudência, vigie comunicações suspeitas e movimentos na sua conta.
Quem está a investigar o ataque?
A Polícia Judiciária está a investigar o caso em conjunto com o Centro Nacional de Cibersegurança (CNCS). Até à publicação, não é conhecida qualquer reivindicação pública de autoria nem confirmação do vetor específico do ataque.
Como devo contactar a Águas de Portugal enquanto os sistemas não recuperam?
A empresa indicou que o apoio ao cliente por telefone e as lojas de atendimento presencial estão a funcionar com regularidade. Evite depender do correio eletrónico e do site enquanto estiverem instáveis, e desconfie de qualquer contacto não solicitado sobre pagamentos.
Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pela Águas de Portugal, pela RTP, pela Polícia Judiciária e pelo Centro Nacional de Cibersegurança, bem como no relatório NIS360 da ENISA.