O Anna’s Archive, o motor de busca que agrega catálogos de bibliotecas-sombra como a LibGen, a Sci-Hub e a Z-Library, esteve indisponível durante vários dias em meados de agosto e regressou entretanto à normalidade. A explicação avançada pelos próprios operadores não foi mais uma suspensão de domínio ordenada por um tribunal norte-americano, mas sim aquilo que descreveram como um ataque coordenado contra a sua infraestrutura de rede. O episódio acontece num ano em que o projeto acumulou sentenças por revelia que ultrapassam os 340 milhões de dólares e perdeu vários dos seus domínios principais — sem que isso o tenha retirado da Internet.
Resposta rápida: O Anna’s Archive esteve offline em meados de agosto de 2026 e os operadores atribuíram a falha a um alegado ataque coordenado à infraestrutura, dizendo ter mitigado os vetores usados. Em paralelo, o projeto foi condenado este ano em 322 milhões de dólares num processo da indústria musical e em 19,5 milhões num processo de treze editoras, com injunções dirigidas a registrars, registos de domínios e alojamentos. Para o utilizador comum, o risco prático não é jurídico mas técnico: a rotação constante de domínios cria terreno fértil para clones falsos, phishing e ficheiros com malware. Se procura literatura científica, use fontes legítimas como a b-on, o RCAAP ou repositórios institucionais.
O que aconteceu em agosto
Em meados de agosto, o Anna’s Archive esteve inacessível durante um período prolongado, o que levou muitos utilizadores a temer nova ofensiva judicial, num contexto de forte pressão legal desde janeiro, quando o site perdeu o domínio .org. Segundo o TorrentFreak, a indisponibilidade terá resultado de um assalto coordenado à infraestrutura de rede do serviço e não de uma ação legal.
A comunicação oficial do projeto foi curta e pouco detalhada. Numa mensagem publicada pela conta associada aos operadores, estes pediram desculpa pelos problemas, disseram suspeitar de um ataque coordenado e afirmaram ter mitigado os vetores de ataque, recordando ainda que as subscrições já incluem um a dois dias extra por mês para compensar períodos de indisponibilidade. Não foi divulgada a natureza técnica do incidente — se terá envolvido negação de serviço distribuída, saturação de proxies ou exploração de outro vetor — nem foram publicados indicadores de comprometimento. Nesta fase, não há qualquer atribuição confirmada. Hipóteses como a ação de um grupo antipirataria ou de uma operação de burla que tenta capitalizar o tráfego de pesquisa do site foram levantadas, mas nenhuma está confirmada.
Cronologia de um ano de cerco
| Data | Acontecimento |
|---|---|
| Dezembro de 2025 | O projeto anuncia ter recolhido dados em massa do Spotify, publicando 256 milhões de linhas de metadados e anunciando a intenção de divulgar 86 milhões de ficheiros áudio |
| Janeiro de 2026 | Suspensão do domínio annas-archive.org, seguida dias depois do domínio .se, na sequência de uma providência preliminar |
| Fevereiro de 2026 | Divulgação de parte dos ficheiros; os queixosos acusam o site de desrespeitar a providência |
| Meados de abril de 2026 | Sentença por revelia de 322 milhões de dólares a favor do Spotify e das grandes editoras discográficas |
| 19 de maio de 2026 | Sentença por revelia de 19,5 milhões de dólares a favor de treze editoras e injunção global dirigida a mais de vinte intermediários técnicos |
| Meados de agosto de 2026 | Indisponibilidade prolongada atribuída pelos operadores a um alegado ataque coordenado |
O ponto de viragem foi o dito «backup» do Spotify: em dezembro de 2025, o Anna’s Archive terá recolhido perto de 300 terabytes de dados do serviço de streaming, publicando 256 milhões de linhas de metadados de faixas e anunciando planos para divulgar 86 milhões de ficheiros áudio, correspondentes a cerca de 37% do catálogo mas a 99,6% das reproduções na plataforma. Em meados de janeiro de 2026, o domínio principal annas-archive.org foi suspenso, seguido dias depois do .se, na sequência de uma providência cautelar obtida pelo Spotify e pelas grandes editoras discográficas.
Em abril, o juiz Jed Rakoff, do tribunal federal do Distrito Sul de Nova Iorque, proferiu sentença por revelia contra os operadores desconhecidos do site, atribuindo os 322 milhões de dólares pedidos: o máximo legal de 150 mil dólares por cerca de 50 obras, acrescido de uma componente relativa à contornagem de medidas técnicas ao abrigo do DMCA, calculada em 2500 dólares por cada um de 120 mil ficheiros musicais. Um mês depois, treze editoras — incluindo a Penguin Random House, a Elsevier e a HarperCollins — obtiveram uma segunda sentença por revelia, de 19,5 milhões de dólares, alegando que o site se tornou um repositório central de dados de treino para empresas de inteligência artificial.
Porque é que as injunções não desligam o site
A parte juridicamente mais relevante não é o valor das indemnizações — dificilmente cobráveis a operadores anónimos — mas a arquitetura das injunções. A decisão de maio ordena a «todos os registos e registrars de domínios» que desativem permanentemente os domínios do site e impeçam a sua transferência, estendendo-se ainda a alojadores internacionais e nomeando expressamente mais de vinte empresas e organizações. Entre as entidades identificadas estão a Cloudflare, a Njalla e a DDoS-Guard, bem como os registos responsáveis pelos domínios ativos, incluindo a TELE Greenland/Tusass (.gl), o PKNIC (.pk) e a autoridade reguladora das telecomunicações de Granada (.gd).
Na prática, o efeito tem sido limitado. A leitura do TorrentFreak é que os tribunais norte-americanos esbarraram nas fronteiras jurisdicionais da Internet e não conseguem alcançar domínios registados fora da sua jurisdição. O site acabou por assentar em domínios .gl, .pk e .gd, associados a registrars e registos fora dos Estados Unidos que, aparentemente, não cumprem as ordens judiciais americanas. Do ponto de vista técnico, a resiliência vem da própria arquitetura: o backend assenta em Flask, MariaDB e Elasticsearch, alojado em servidores baratos e intermediado por fornecedores distintos, com múltiplos proxies e servidores aplicacionais redundantes para que a queda de um fornecedor não derrube o serviço. O site usou inicialmente a camada gratuita da Cloudflare como cache e proteção anti-DDoS, mas, após as ordens judiciais de janeiro de 2026, a Cloudflare desativou os nameservers de vários domínios e pelo menos alguns passaram para a DDoS-Guard.
O risco real para quem procura o site
É aqui que a história deixa de ser sobre direitos de autor e passa a ser sobre cibersegurança. Sempre que um domínio é suspenso na sequência de queixas de titulares de direitos, o projeto responde registando novos domínios, normalmente em poucos dias. Essa rotação permanente destrói o principal sinal de confiança de que os utilizadores dispõem — o endereço conhecido — e cria uma oportunidade evidente para terceiros. Domínios com nomes semelhantes, páginas «espelho» não oficiais e resultados patrocinados em motores de busca são vetores clássicos para:
- Distribuição de instaladores e «leitores de PDF» com
malware, incluindo infostealers que recolhem credenciais e cookies de sessão. - Páginas de phishing que imitam ecrãs de subscrição ou donativo e capturam dados de cartão.
- Falsos captchas e técnicas de ClickFix, que induzem a vítima a colar comandos no terminal ou na caixa Executar do Windows.
- Redes de publicidade agressiva e redirecionamentos para burlas de investimento ou de suporte técnico.
Acresce um problema de disponibilidade que afeta o utilizador legítimo de informação: quando um recurso é bloqueado ao nível do DNS, deixa de haver forma simples de distinguir um bloqueio de uma falha real ou de um ataque. Alguns operadores bloqueiam o acesso ao Anna’s Archive ao nível do DNS, prática descrita como comum na Alemanha, no Reino Unido, em Itália e em partes do Sudeste Asiático. Para quem trabalha em investigação, a recomendação prudente é recorrer a canais legítimos — a b-on, o RCAAP, os repositórios institucionais das universidades portuguesas, o DOAJ ou os serviços de empréstimo interbibliotecas.
Porque é que isto importa em Portugal
Há três leituras úteis para organizações portuguesas. A primeira é de gestão de risco em ambiente de trabalho: colaboradores que descarregam materiais técnicos a partir de espelhos não oficiais introduzem ficheiros de origem incerta na rede da empresa, contornando o controlo de endpoint. Uma política de utilização aceitável clara, filtragem de DNS ao nível corporativo e bloqueio de execução de binários descarregados por navegador reduzem substancialmente essa superfície de exposição.
A segunda é de continuidade. O caso demonstra, com uma nitidez pouco comum, o que separa uma infraestrutura resiliente de uma frágil: redundância de fornecedores, separação entre camada de proxy e camada aplicacional, e capacidade de recuperar em horas. São exatamente os princípios que o Regime Jurídico da Cibersegurança, aprovado pelo Decreto-Lei n.º 125/2025 que transpõe a Diretiva NIS2, exige às entidades abrangidas em matéria de continuidade de negócio, gestão de fornecedores e notificação de incidentes ao CNCS/CERT.PT. Um ataque de negação de serviço prolongado contra um serviço essencial não é um incidente hipotético: é uma das categorias que obriga a comunicação dentro dos prazos legais.
A terceira é a proteção de dados. Se um colaborador usa credenciais corporativas ou o cartão da empresa num clone fraudulento, o resultado pode ser um incidente com dados pessoais, com as obrigações de notificação à CNPD previstas no RGPD quando houver risco para os titulares. É um lembrete de que a fronteira entre «pirataria» e «cibersegurança» é ténue: o que começa como uma pesquisa por um manual técnico pode acabar em credenciais comprometidas.
Perguntas frequentes
O Anna’s Archive foi pirateado?
Não há qualquer indicação pública de comprometimento de dados. Os operadores afirmaram suspeitar de um ataque coordenado à infraestrutura e dizer ter mitigado os vetores usados, sem divulgar detalhes técnicos, indicadores de comprometimento ou atribuição. Não existe confirmação independente da natureza do incidente.
Quanto é que o site foi condenado a pagar?
Em abril de 2026, um tribunal federal de Nova Iorque proferiu sentença por revelia de 322 milhões de dólares a favor do Spotify e das grandes editoras discográficas. Em maio, treze editoras obtiveram uma segunda sentença de 19,5 milhões de dólares. São valores em dólares e, tratando-se de operadores anónimos, a cobrança é considerada improvável.
Por que motivo o site continua acessível apesar das ordens judiciais?
Porque as injunções norte-americanas dependem da cooperação de intermediários técnicos e o site migrou para domínios geridos por registos fora da jurisdição dos Estados Unidos. A arquitetura, com proxies e servidores redundantes distribuídos por vários fornecedores, permite ainda recuperar rapidamente quando um deles cessa o serviço.
Que riscos de segurança existem para quem procura estes domínios?
A rotação constante de endereços favorece clones fraudulentos, páginas de phishing, publicidade maliciosa e ficheiros com malware. Para empresas, o risco agrava-se com credenciais corporativas comprometidas e ficheiros de origem desconhecida na rede interna. Recomenda-se o recurso a fontes legítimas como a b-on, o RCAAP e os repositórios institucionais.
Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente por tribunais federais dos Estados Unidos, pelos operadores do Anna’s Archive e por publicações especializadas que acompanham o caso.