Um ciberataque à Direção de Segurança do Tráfego Rodoviário da Letónia (CSDD), a entidade estatal que registra veículos e emite cartas de condução, expôs dados pessoais de cerca de 1,2 milhões de pessoas e de aproximadamente 200 mil pessoas coletivas, retirados de recibos de pagamento acumulados desde 2008. Uma semana depois da divulgação inicial, o caso já provocou a saída do conselho de administração e do conselho de supervisão da entidade, uma investigação criminal da polícia letã e um debate político sobre a proteção da infraestrutura crítica do país — incluindo a hipótese, não confirmada, de envolvimento de um Estado estrangeiro.
Resposta rápida: Atacantes exploraram uma vulnerabilidade num sistema da CSDD exposto à Internet e extraíram dados de recibos de pagamento de 18 anos: nomes, números de identificação, endereços, matrículas e valores pagos. Não foram comprometidas credenciais de clientes, mas o CERT.LV avisa que o conjunto de dados é ideal para fraude e engenharia social altamente credível. Toda a direção da entidade se demitiu e a polícia abriu processo criminal. Para organizações portuguesas, a lição é dupla: superfície exposta e monitorização subcontratada exigem verificação independente.
O que aconteceu na CSDD
A CSDD é uma sociedade anónima de capitais públicos que registra veículos na Letónia, emite cartas de condução, realiza inspeções técnicas e presta outros serviços. O primeiro comunicado, publicado a 13 de agosto, descrevia um ciberataque complicado ao fim de semana, no qual os atacantes conseguiram acesso parcial ao sistema de TI e extraíram, sem autorização, dados históricos de recibos de pagamento de serviços da CSDD que continham também alguns dados pessoais (código pessoal ou número de registo, nome e apelido ou denominação da empresa, pagamento, data de pagamento, matrícula e endereço).
A dimensão real só ficou conhecida a 18 de agosto. Segundo a atualização publicada pelo CERT.LV, entre 8 e 10 de agosto de 2026 o atacante obteve informação contida em recibos de pagamento referentes ao período iniciado em 2008, estando afetados dados de 1,2 milhões de pessoas físicas e de 200 mil pessoas coletivas. A televisão pública letã reportou um número inferior para as entidades — cerca de 150 mil números de registo de pessoas coletivas —, pelo que o valor exato continua a ser precisado pelas autoridades.
Sobre o vetor de entrada, o CERT.LV foi explícito: indicou que o ataque explorou uma vulnerabilidade num sistema da CSDD acessível pela Internet e que, além disso, vários requisitos obrigatórios de cibersegurança não estavam cumpridos. Na avaliação técnica inicial, a instituição sublinhou que a informação obtida indicava um ataque direcionado, com preparação prévia, e que o conjunto de métodos utilizados demonstrava competência técnica dos atacantes.
Cronologia do incidente
| Data (2026) | Acontecimento |
|---|---|
| Noite de 7 para 8 de agosto | Início do ciberataque, detetado por especialistas da própria CSDD |
| 8 a 10 de agosto | Período em que o atacante extrai dados de recibos de pagamento desde 2008 |
| 10 de agosto (à noite) | CSDD notifica o CERT.LV do incidente |
| 13 de agosto | Comunicação pública: acesso parcial ao sistema, credenciais de clientes não afetadas |
| 18 de agosto | CERT.LV confirma 1,2 milhões de pessoas e 200 mil entidades; polícia abre processo criminal |
| 19 de agosto | Conselho de supervisão e conselho de administração da CSDD demitem-se |
O intervalo entre deteção e notificação foi um dos pontos mais criticados. Varis Teivāns, adjunto da direção do CERT.LV, sublinhou que o incidente ocorreu na noite de sábado, 8 de agosto, mas que a CSDD só comunicou o incidente ao CERT.LV na noite de segunda-feira, 10 de agosto, o que explicou pelo facto de ter ocorrido durante o fim de semana. Teivāns acrescentou que o CERT.LV não tinha visibilidade sobre aquela infraestrutura. Já o primeiro-ministro Andris Kulbergs afirmou que a situação era muito mais grave do que tinha sido apresentada e reconheceu que só recebeu informação sobre o ataque na quarta-feira da semana seguinte, através do diretor do Serviço de Proteção da Constituição.
O fornecedor que devia ter visto o ataque
Um dos elementos centrais é a cadeia de fornecimento. O presidente do conselho de administração da CSDD, Aivars Aksenoks, explicou que a entidade tem um contrato de cinco anos com a empresa de telecomunicações e tecnologia Tet, que fornece a infraestrutura, a sua manutenção e monitorização contínua, incluindo proteção de firewall e monitorização de incidentes, mas que, quando o ciberataque ocorreu, a CSDD não recebeu qualquer notificação da Tet. Aksenoks referiu ainda que a empresa recebe mensalmente um montante substancial por essa monitorização e que o ataque foi descoberto pelos próprios especialistas da CSDD e travado em poucas horas.
Do lado do prestador, houve uma delimitação de responsabilidades: segundo o The Record, o presidente da empresa, Uldis Tatarcuks, defendeu que os investigadores precisam primeiro de determinar como e quando os atacantes obtiveram acesso, que sistemas foram comprometidos e onde falharam as medidas de segurança, tendo a empresa afirmado ser responsável apenas por certas partes da infraestrutura de TI da CSDD e não por toda a rede. O ministro dos Transportes, Rihards Kozlovskis, abriu uma investigação interna em regime acelerado para determinar todas as circunstâncias e os responsáveis pelo ciberataque e pela fuga massiva de dados, devendo essa investigação avaliar também o contrato da CSDD com a Tet para prestação de serviços de cibersegurança.
Demissões, investigação criminal e hipótese estatal
A pressão política escalou rapidamente. Aksenoks disse na quarta-feira, em entrevista à televisão pública, que só pretendia sair depois de concluídas as averiguações, mas, após a renúncia do conselho de supervisão, anunciou que o conselho de administração também decidiu abandonar funções a partir de 20 de agosto. O conselho de supervisão era presidido por Kristiāns Godiņš, com os membros independentes Jānis Brazovskis e Māris Macijevskis; no conselho de administração, além de Aksenoks, estavam Dace Benhena e Jānis Liepiņš. O Presidente da República considerou que a reputação da CSDD e a confiança pública na instituição ficaram abaladas e que a direção não podia continuar em funções nestas circunstâncias. Apesar da turbulência, a CSDD continua a prestar serviços presencialmente e em ambiente digital.
No plano judicial, a polícia confirmou a 18 de agosto que abriu processo criminal com base em dois artigos da lei penal letã — acesso arbitrário a um sistema automatizado de processamento de dados e ações ilegais com dispositivos que afetam recursos desses sistemas. Quanto à atribuição, prevalece a cautela: o primeiro-ministro afirmou não ser possível excluir que se trate de um ataque híbrido, uma operação conduzida por outro Estado hostil, e que o caso é possivelmente classificável como ataque à infraestrutura crítica do país. Nenhum atacante concreto foi identificado até ao momento, e não é claro com que finalidade os dados foram obtidos, não havendo informação de que tenha ocorrido uma divulgação pública dos dados.
O incidente não é isolado no país. Em junho, a empresa estatal de silvicultura LVM sofreu um ataque de ransomware que perturbou a sua plataforma de cartografia, a aplicação de caça e os sistemas de troca de informação com empreiteiros e clientes, e o chefe do Governo deu uma série de instruções para que, após os incidentes da CSDD e da LVM, a proteção da infraestrutura crítica do Estado fosse imediatamente avaliada e reforçada.
Porque é que dados “banais” são perigosos
Não houve exposição de senhas — as autoridades indicaram que nomes de utilizador e palavras-passe de clientes não foram afetados, não sendo necessária qualquer ação adicional do lado dos clientes nesse aspeto. O risco está na combinação de campos. O CERT.LV alertou para a possibilidade de os dados obtidos serem usados em tentativas de fraude direcionada, pedindo especial atenção a e-mails, SMS ou outras comunicações aparentemente enviadas em nome da CSDD. Teivāns ilustrou o cenário: notou que o conjunto de dados não inclui números de telefone, mas que os fraudulentos conseguem obtê-los de outras formas e podem apresentar-se como uma destas instituições ou como entidades financeiras, abordando a vítima de forma mais credível ao mencionar o endereço correto e outros detalhes.
Recomendações comunicadas às populações afetadas:
- Não abrir os links indicados nas mensagens ou e-mails recebidos e verificar a informação atual no site oficial ou na aplicação móvel da entidade.
- Prestar atenção não só ao conteúdo da mensagem, mas também à qualidade da língua e da ortografia, em especial na grafia de nomes, endereços e outros dados.
- Qualquer pessoa tem direito a saber se os seus dados pessoais foram afetados e quais as categorias de dados envolvidas, podendo apresentar o pedido à CSDD.
- Em caso de afetação dos dados, existe o direito de apresentar reclamação à autoridade de supervisão — a Inspeção Estatal de Dados, em Riga.
Do lado defensivo, a entidade afirmou ter fechado o vetor utilizado: declarou que os métodos e canais usados pelos atacantes foram identificados e totalmente bloqueados e que a colaboração estreita com o CERT.LV continuaria para analisar as consequências. A robustez desse trabalho foi testada dias depois: segundo o The Record, a agência enfrentou nova tentativa de ciberataque durante o fim de semana, tendo conseguido bloqueá-la após as melhorias de segurança introduzidas depois da primeira intrusão. A entidade restringiu também o acesso a um serviço que permitia consultar informação sobre um veículo, incluindo marca e modelo, a partir da matrícula.
O que isto significa para Portugal
O caso letão é um manual de erros que a legislação portuguesa hoje procura evitar. Com o Regime Jurídico da Cibersegurança (Decreto-Lei n.º 125/2025, que transpõe a NIS2), entidades de setores como transportes, administração pública, energia ou saúde estão sujeitas a requisitos mínimos de gestão de risco, à obrigação de notificar incidentes significativos ao CNCS/CERT.PT em prazos curtos e — ponto decisivo neste caso — à gestão da segurança na cadeia de fornecedores. Um contrato de monitorização subcontratada não transfere a responsabilidade do operador: exige métricas, testes de deteção e provas de que os alertas chegam efetivamente a quem decide.
Há ainda a dimensão de proteção de dados. Uma extração de 18 anos de recibos com números de identificação e endereços constitui uma violação de dados pessoais que, à luz do RGPD, obriga à notificação da autoridade de controlo em 72 horas e, quando o risco para os titulares é elevado, à comunicação aos próprios titulares — em Portugal, com supervisão da CNPD. Para PME, o alerta prático é outro: arquivos históricos de faturação e recibos, muitas vezes esquecidos em bases de dados legadas ligadas a sistemas expostos à Internet, valem tanto para um atacante como os dados operacionais do dia. Reduzir prazos de retenção, segmentar arquivos e testar de facto a deteção — em vez de assumir que o fornecedor está a olhar — são medidas de custo baixo e efeito imediato.
Perguntas frequentes
Que dados foram comprometidos no ataque à CSDD?
Dados de recibos de pagamento desde 2008, incluindo código pessoal ou número de registo, nome e apelido ou nome da empresa, valor e data do pagamento, matrícula do veículo e endereço. As autoridades indicaram que nomes de utilizador e palavras-passe de clientes não foram afetados.
Já se sabe quem esteve por trás do ciberataque?
Não. Nenhum atacante concreto foi identificado e a polícia letã abriu processo criminal. O primeiro-ministro admitiu não poder excluir a hipótese de uma operação conduzida por outro Estado, mas essa atribuição não está confirmada.
Porque é que toda a direção da CSDD se demitiu?
Após a revelação da dimensão da fuga, o conselho de supervisão entregou carta de renúncia ao ministro dos Transportes e o ministro pediu também a saída de todos os membros do conselho de administração, que anunciaram a demissão a partir de 20 de agosto. Está em curso uma investigação interna acelerada.
Que lições retirar para organizações portuguesas?
Reduzir a exposição de sistemas à Internet e corrigir vulnerabilidades rapidamente, verificar de forma independente a eficácia da monitorização subcontratada, definir circuitos de notificação que funcionem também aos fins de semana e limitar a retenção de arquivos históricos com dados pessoais.
Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pelo CERT.LV, pela CSDD, pela televisão pública letã LSM e por autoridades governamentais da Letónia.