Um conjunto de falhas críticas na extensão de assinatura Connective, peça central da autenticação com cartão de identidade eletrónico na Bélgica, permitia que qualquer site visitado pelo utilizador lesse os dados do cartão, encenasse um pedido falso de PIN e, no cenário mais grave, executasse código no computador da vítima sem qualquer clique adicional. As vulnerabilidades foram apresentadas publicamente na conferência DEF CON 34 e já se encontram corrigidas, mas o caso levanta questões incómodas sobre a segurança do software que serve de ponte entre os navegadores e os cartões de identidade nacionais — um modelo tecnológico também usado em Portugal.
Resposta rápida: A extensão Connective, da Nitro Software Belgium, usada por milhões de utilizadores belgas para autenticação e assinatura com eID, não validava a origem dos pedidos vindos das páginas web. Isso permitia leitura silenciosa de dados de cartões, captura do PIN e execução remota de código a partir de um simples download disfarçado de PDF. O fabricante concluiu as correções a 22 de julho de 2026 e não foram atribuídos identificadores CVE. Quem usa extensões de assinatura digital deve confirmar que estão atualizadas e remover as que não utiliza.
Uma extensão discreta no centro de um ecossistema nacional
O sistema em causa é composto por duas peças: uma extensão de navegador e um native host instalado no computador. As páginas web comunicam com a extensão, que reencaminha as mensagens para o componente nativo, e é este que fala com os leitores de cartões ligados à máquina para concluir tarefas como a assinatura digital; a extensão é essencialmente uma camada de comunicação, usada tanto para autenticação em sites como para assinar documentos.
A dimensão do alvo explica a gravidade. Segundo a equipa de investigação, a extensão Connective é utilizada por 8 dos 10 maiores bancos da Bélgica e por mais de 60 organismos públicos, e em 2021 foi indicado que era usada em mais de 60 serviços governamentais e em mais de mil empresas, com mais de 2 milhões de utilizadores. O número de mais de 2 milhões de utilizadores consta da própria página da extensão na Chrome Web Store.
Há ainda um detalhe relevante em termos regulatórios: a empresa responsável, a Nitro Software Belgium, é um Prestador Qualificado de Serviços de Confiança inscrito na Lista Confiável eIDAS da UE, o nível de confiança mais elevado previsto no regulamento.
A falha de base: ninguém verificava quem estava a pedir
O investigador James Arnott, fundador da empresa de cibersegurança Bay Area Labs, verificou que o software não confirmava qual o site que estava a comunicar com o computador do utilizador. Sem essas verificações, qualquer página ou anúncio incorporado podia interagir diretamente com a aplicação Connective — sem consentimento e sem sinal visível para a vítima.
A partir dessa falha de arquitetura, a investigação identificou três consequências práticas. Segundo o resumo da apresentação na DEF CON, qualquer site visitado podia ler os dados do cartão eID e do cartão Maestro e recuperar o PIN do eID, que o binário devolvia à página dentro de um token que transportava simultaneamente o criptograma e a chave para o decifrar; e qualquer site podia desencadear execução remota de código (RCE) do tip drive-by, levando o binário nativo a carregar e executar uma biblioteca fornecida pelo atacante, sendo que o utilizador apenas veria o descarregamento de um ficheiro, por exemplo um PDF.
É este último cenário que a equipa considera o mais grave. Segundo a investigação, a RCE não exigia configurações invulgares e nada impedia que se propagasse como um verme, roubando tokens de sessão e enviando o link por e-mail ou mensagem a outros utilizadores com a extensão e o componente nativo instalados; não era necessária qualquer ação insegura do utilizador, bastava visitar um site. A execução de código funcionava, aliás, independentemente de o cartão eID estar ou não inserido no leitor.
O efeito dominó: quando a fraqueza está na ponta do cidadão
O impacto não ficou confinado ao computador da vítima. A comprometimento do sistema eID afetou o modelo de confiança do ecossistema digital belga, incluindo portais governamentais como o CSAM.be e fornecedores de identidade de terceiros como o itsme; embora esses serviços não tivessem falhas próprias, a dependência das assinaturas eID significava que um atacante com capacidade de assinatura roubada poderia registar ou tomar o controlo de contas de identidade digital.
Este é o padrão que interessa retirar do caso: a criptografia do cartão não foi quebrada, o chip não foi clonado e os portais públicos não foram invadidos. O elo fraco foi o software intermediário instalado em milhões de máquinas domésticas, que traduzia pedidos de páginas web em operações com o cartão sem verificar quem os fazia.
Cronologia da divulgação e das correções
| Data | Acontecimento |
|---|---|
| 8 de maio de 2026 | Primeira correção: verificação de origem através de servidor remoto para aprovar pedidos antes da execução de comandos |
| 19 de maio de 2026 | Fabricante contacta a equipa de investigação a pedir o adiamento da divulgação pública |
| 22 de julho de 2026 | Verificações de origem remotas aplicadas, bloqueando leitura silenciosa de eID e captura do PIN |
| Agosto de 2026 | Divulgação pública na DEF CON 34, acompanhada de artigo técnico |
A primeira correção foi parcial. A Nitro lançou a 8 de maio de 2026 uma verificação de origem através de um servidor remoto, mas isso não resolveu a RCE nem a fuga do pinToken: significou apenas que só sites aprovados poderiam explorar essas fraquezas. Só a partir de 22 de julho é que as verificações de origem remotas passaram a impedir qualquer site de ler silenciosamente eIDs e de fazer phishing do PIN, e a correção completa chegou 146 dias após o primeiro relatório. De acordo com a SecurityWeek, a empresa atribuiu uma recompensa de 200 dólares pela comunicação das falhas, tendo a aplicação final das medidas de segurança ficado concluída no final de julho.
Dois pontos merecem nota para quem faz gestão de vulnerabilidades: não parece ter sido atribuído qualquer CVE e o fabricante não respondeu de imediato ao pedido de comentário da publicação que noticiou o caso. A ausência de identificador CVE torna mais difícil rastrear a falha em inventários de software e em processos automatizados de correção. Não são conhecidos indicadores de compromisso (IOC) públicos associados a exploração real, nem existe, até ao momento, confirmação pública de que as falhas tenham sido abusadas por atacantes.
O que fazer, na prática
- Confirmar que a extensão e o componente nativo de assinatura instalados estão na versão mais recente — no caso da Connective, as proteções essenciais só ficaram completas a partir de 22 de julho de 2026.
- Remover extensões de assinatura ou de leitura de cartões que já não sejam necessárias; cada componente que fala com hardware criptográfico aumenta a superfície de ataque.
- Retirar o cartão do leitor quando não está a ser usado. Não protege contra a execução de código, mas reduz a janela de operações de autenticação ou assinatura não autorizadas.
- Desconfiar de qualquer janela de PIN que apareça fora de um processo de assinatura que tenha sido iniciado pelo próprio utilizador, sobretudo se o texto for invulgar.
- Em contexto organizacional, gerir extensões por política (listas de permissão via MDM ou consola de administração do navegador) e incluí-las no inventário de software sujeito a gestão de vulnerabilidades.
Porque é que isto interessa em Portugal
Portugal usa uma arquitetura conceptualmente semelhante: o plugin Autenticação.Gov permite realizar a autenticação com o Cartão de Cidadão sem instalar componentes no navegador e a instalação da aplicação Autenticação.gov para computador inclui o middleware do Cartão de Cidadão, camada de software entre o computador e o cartão. Há, no entanto, uma diferença importante em termos de escrutínio: o código-fonte do plugin Autenticação.Gov é disponibilizado publicamente em repositório da administração pública, o que permite auditoria independente — algo que não acontece com soluções fechadas. Nada nesta investigação aponta falhas nas soluções portuguesas; o que se transpõe é o risco arquitetural, não o defeito concreto.
O peso jurídico destas assinaturas ajuda a perceber o que está em jogo: a assinatura digital do Autenticação.gov tem a mesma validade legal que uma assinatura à mão e pode ser feita com Cartão de Cidadão ou Chave Móvel Digital, com certificação garantida pelo Estado português. Uma capacidade de assinatura roubada não é, por isso, apenas um problema técnico: é a possibilidade de vincular alguém a um contrato.
O calendário europeu torna o tema ainda mais oportuno. O Regulamento (UE) 2024/1183, que altera o Regulamento eIDAS, obriga os Estados-Membros a disponibilizar aos seus cidadãos, residentes e empresas uma carteira europeia de identidade digital baseada nas mesmas especificações, até ao final de 2026. Toda a confiança do modelo continuará a depender do software no dispositivo do utilizador — a mesma camada que falhou neste caso.
Para entidades abrangidas pelo Regime Jurídico da Cibersegurança (Decreto-Lei n.º 125/2025, que transpõe a NIS2), o caso é um exercício útil sobre segurança da cadeia de fornecimento: bancos e organismos públicos não escreveram o código vulnerável, mas exigiam a sua instalação aos utilizadores. A gestão de risco de terceiros, a exigência contratual de prazos de correção e a notificação de incidentes ao CNCS/CERT.PT são precisamente os mecanismos que este tipo de dependência obriga a formalizar. Do ponto de vista do RGPD, a exposição de dados de identificação e de elementos de cartões de pagamento configuraria uma violação de dados pessoais com potencial risco elevado, com deveres de notificação à CNPD e, se aplicável, aos titulares. Para PME, a lição prática é mais simples: as extensões de navegador instaladas nos postos de trabalho são software de terceiros com acesso privilegiado ao que o utilizador faz — e merecem o mesmo tratamento que qualquer outra aplicação crítica.
Perguntas frequentes
O meu Cartão de Cidadão ou a Chave Móvel Digital estão em risco por causa desta falha?
Não. As vulnerabilidades divulgadas dizem respeito à extensão e ao componente nativo da Connective, usados sobretudo na Bélgica, e não às soluções portuguesas de autenticação. O risco a retirar é conceptual: qualquer software que faça a ponte entre páginas web e cartões com chip deve validar rigorosamente a origem dos pedidos.
Como sei se tenho a extensão Connective instalada?
Pode verificar a lista de extensões do navegador (em navegadores baseados em Chromium, através de chrome://extensions) e a lista de programas instalados no sistema operativo, onde o componente nativo aparece separadamente. Se não utiliza serviços belgas de assinatura ou autenticação, o mais seguro é remover ambos.
Há indícios de que as falhas tenham sido exploradas por atacantes?
Não é conhecida publicamente qualquer confirmação de exploração real, nem foram divulgados indicadores de compromisso. As falhas foram comunicadas ao fabricante ao abrigo de divulgação responsável e corrigidas antes da apresentação pública, embora sem atribuição de identificadores CVE.
O que devem fazer as organizações portuguesas que dependem de extensões de assinatura?
Devem inventariar as extensões em uso, restringir instalações por política de gestão centralizada, acompanhar as versões e correções dos fornecedores e incluir estes componentes nos processos de gestão de vulnerabilidades e de risco de fornecedores, com prazos de correção definidos contratualmente.
Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pela equipa de investigação Am I Being Pwned, pela DEF CON 34, pela SecurityWeek e pela Comissão Europeia, bem como em documentação oficial do Autenticação.gov.