Um grupo de extorsão digital conhecido como Panzer terá incluído a Direção-Geral de Estatísticas da Educação e Ciência (DGEEC) na sua lista de alegadas vítimas, afirmando ter exfiltrado cerca de 45 GB de dados e ameaçando divulgá-los caso não haja contacto dentro de um prazo de 21 dias. A alegação circula desde a última semana em fóruns e canais de acompanhamento de ciberameaças, mas — e este é o ponto essencial — não existe, até ao momento da publicação deste artigo, confirmação oficial da DGEEC, do Ministério da Educação, Ciência e Inovação, do Centro Nacional de Cibersegurança (CNCS) ou da Comissão Nacional de Proteção de Dados (CNPD). A Cibersegurança.PT não conseguiu validar de forma independente nem o volume de dados nem a natureza da informação alegadamente subtraída.
Resposta rápida: O grupo Panzer, um operador de ransomware emergente com atividade intensa em agosto de 2026, alega ter roubado dados a um organismo público português da área da educação e ameaça publicá-los. A listagem num site de extorsão é uma alegação, não uma prova: só confirmação oficial ou notificação às autoridades permite avaliar o impacto real. Se lida com dados educativos, ative desde já vigilância reforçada sobre acessos, credenciais e correio eletrónico, e prepare o dever de notificação ao CNCS e à CNPD caso o incidente se confirme.
O que é uma listagem em site de extorsão — e o que não é
Os grupos de ransomware modernos operam sites de fuga na rede Tor onde publicam nomes de organizações, amostras de ficheiros e contadores decrescentes. Investigadores que acompanham este ecossistema alertam repetidamente para o mesmo: a listagem é uma tática de pressão. Estes grupos publicam o nome de uma organização acompanhado de uma amostra de alegados dados roubados para forçar o pagamento, e a listagem em si não constitui prova de que houve uma violação, de que os dados foram efetivamente exfiltrados ou de que os ficheiros são genuínos — muitas destas publicações acabam por ser recicladas de incidentes anteriores, exageradas ou mesmo fabricadas.
Isto não significa que se deva ignorar a alegação. Significa que o tratamento jornalístico e a resposta técnica devem separar claramente três planos: o que o grupo afirma, o que está verificado por terceiros e o que a entidade visada confirma. No caso da DGEEC — serviço central da administração direta do Estado com a missão de garantir a produção e análise estatística da educação e ciência e de assegurar o funcionamento do sistema integrado de informação do ministério — a sensibilidade potencial é elevada, porque falamos de bases de dados que atravessam o percurso escolar e académico de milhões de pessoas.
Quem é o Panzer e porque é que o nome apareceu tantas vezes em agosto
O Panzer é um operador relativamente recente. A informação pública disponível aponta o seu surgimento para meados de 2025 e descreve um modelo de dupla extorsão: cifra dos sistemas da vítima e ameaça simultânea de publicação dos dados roubados caso o resgate não seja pago. Entre as vítimas anteriores contam-se instituições de ensino, prestadores de cuidados de saúde e pequenas e médias empresas na Europa e no Sudeste Asiático, com um modo de operação que passa por acesso inicial via phishing ou serviços de acesso remoto expostos, seguido de movimentação lateral, exfiltração e publicação no site de fugas quando as negociações falham.
Há ainda sinais de profissionalização. Segundo publicações de monitorização da dark web, a operação lançou um programa de recrutamento de afiliados, oferecendo acesso a uma plataforma de gestão, lockers multiplataforma e uma repartição de receitas de 80% para o afiliado e 20% para os operadores, deduzida automaticamente de cada pagamento — uma alegação que as próprias fontes classificam como não verificada.
O volume de reivindicações no último mês é o dado mais objetivo. A tabela seguinte reúne alegações registadas por plataformas de acompanhamento de ransomware em agosto de 2026 — todas elas alegações dos atacantes, salvo indicação em contrário.
| Data | Alegada vítima | Notas |
|---|---|---|
| 5 de agosto | Surakarta University (Indonésia) | Reivindicação sem confirmação independente |
| 5 de agosto | Festina Group | Alegada exfiltração de 160 GB |
| 8–9 de agosto | Siam Oil Product (Tailândia) e Daily Trust (Nigéria) | Setores de energia e comunicação social |
| 11 de agosto | Xpress Tech (EUA) | Reivindicação sem confirmação pública |
| 17 de agosto | DL E&C (Coreia do Sul) | Construção e engenharia |
| 17 de agosto | Doimo Cucine (Itália) | Reivindicação sem confirmação pública |
| 17 de agosto | Governo de Castela-Mancha (Espanha) | Ataque confirmado oficialmente |
| 21 de agosto | Nteitalia (Itália) | Reivindicação sem confirmação pública |
| 24 de agosto | Senvibe e Governo da Voivodina (Sérvia) | Reivindicações recentes |
Os registos públicos sustentam esta cronologia: a Universidade de Surakarta foi listada a 5 de agosto, o Festina Group foi reivindicado no mesmo dia com alegação de 160 GB exfiltrados, seguindo-se, entre 8 e 9 de agosto, as publicações relativas à Siam Oil Product e ao Daily Trust, a Xpress Tech a 11 de agosto, a DL E&C e a Doimo Cucine a 17 de agosto, a Nteitalia a 21 e a Senvibe e o Governo da Voivodina a 24 de agosto.
O precedente espanhol: quando a alegação se confirmou
O caso mais instrutivo é o de Castela-Mancha, precisamente por envolver uma administração pública e dados escolares. O Governo regional confirmou ter sofrido um ciberataque depois de o grupo Panzer ter reivindicado a intrusão e afirmado ter subtraído cerca de 3 GB de informação dos sistemas da administração regional. De acordo com a Direção-Geral de Infraestruturas das Telecomunicações e Cibersegurança do governo autonómico, o ataque ocorreu e foram acionados os protocolos de atuação necessários, com informação às autoridades competentes e às pessoas potencialmente afetadas.
Repare-se na discrepância: o grupo alegou 3 GB num caso confirmado e volumes muito superiores noutros. Números anunciados por criminosos servem sobretudo de alavanca negocial e devem ser lidos como tal — na mesma janela temporal, o grupo reivindicou também o roubo de 320 GB à empresa nigeriana Daily Trust.
O setor da educação está debaixo de fogo na Europa
A alegação sobre um organismo estatístico da educação surge num contexto europeu preocupante. Em França, o ministério da Educação Nacional confirmou que o acesso fraudulento ocorreu na noite de 25 de julho de 2026, na sequência da usurpação de uma conta profissional, e visou o sistema de informação dedicado à formação do pessoal. Os dados suscetíveis de terem sido exfiltrados dizem respeito a agentes do ministério em funções desde 2001, incluindo elementos de identidade e informação profissional e, para parte deles, morada, número de telefone e número de segurança social. Publicações posteriores deram conta da colocação online desses dados e reivindicaram a posse de informação relativa a alunos, mantendo o ministério as perícias técnicas para determinar a natureza e extensão exatas dos dados exfiltrados.
A lição é transversal: uma única conta comprometida basta para expor arquivos com décadas de registos. Não é preciso um exploit sofisticado — basta uma credencial reutilizada, sem autenticação multifator, num portal exposto à Internet.
O que fazer agora: medidas concretas
Para organismos públicos, escolas, agrupamentos e fornecedores de software educativo, estas são as ações prioritárias enquanto a situação não é esclarecida:
- Rever autenticações bem-sucedidas e falhadas em VPN, webmail e portais de gestão nos últimos 90 dias, com foco em geografias e horários anómalos.
- Impor autenticação multifator resistente a phishing em todos os acessos remotos e contas privilegiadas, sem exceções para contas de serviço.
- Procurar sinais clássicos de preparação de cifra e de exfiltração, como execução de
vssadmin.exe,wmic.exe,bcdedit.exeoudiskshadow.execom parâmetros de eliminação de cópias sombra, e uso não autorizado de ferramentas de acesso remoto (RMM) e de compressão de ficheiros. - Atualizar e auditar appliances de fronteira (VPN, firewalls, gateways), historicamente entre os vetores de acesso inicial mais explorados por operações deste tipo.
- Validar cópias de segurança offline e imutáveis, e testar efetivamente a restauração — não apenas a existência do backup.
- Monitorizar credenciais institucionais em fugas e infostealers, forçando reposição de palavras-passe onde houver exposição.
- Preparar comunicação e notificação: uma resposta atrasada agrava sempre o dano reputacional e legal.
Para cidadãos, estudantes e encarregados de educação: não há, neste momento, indicação de que seja necessária qualquer ação específica. A prudência normal aplica-se — desconfiar de mensagens que invoquem o incidente para pedir dados ou pagamentos, ativar autenticação em dois passos nas contas de correio eletrónico e nunca reutilizar palavras-passe entre serviços escolares e pessoais.
Porque é que isto importa em Portugal
Se um incidente desta natureza se confirmar num organismo da administração pública portuguesa, entram em jogo dois regimes cumulativos. Por um lado, o Regime Jurídico da Cibersegurança, aprovado pelo Decreto-Lei n.º 125/2025 que transpõe a diretiva NIS2, impõe às entidades abrangidas — incluindo administração pública — obrigações de gestão de risco, registo junto do CNCS e notificação de incidentes significativos em prazos apertados, com um alerta inicial nas primeiras horas seguido de relatórios subsequentes. Por outro, o RGPD obriga à notificação da CNPD em 72 horas quando há violação de dados pessoais com risco para os titulares e, se o risco for elevado, à comunicação aos próprios titulares.
O CNCS, através do CERT.PT, é o ponto de contacto nacional para reportar e coordenar a resposta a incidentes, e participa em redes europeias de partilha — como ficou visível noutros casos recentes, em que o organismo tomou conhecimento de ataques através da Rede Europeia de CSIRT e do EU-CyCLONE. Para escolas, universidades e PME que prestam serviços ao setor educativo, a mensagem prática é dupla: verificar se estão abrangidas pelo novo regime e registar-se, e não esperar por uma listagem num site de extorsão para descobrir que não têm visibilidade sobre os seus próprios acessos.
Perguntas frequentes
A DGEEC confirmou o roubo de dados?
Não. Até ao momento da publicação deste artigo não existe confirmação oficial da DGEEC, do ministério de tutela, do CNCS ou da CNPD. A informação disponível resulta de uma alegação atribuída ao grupo de extorsão Panzer, que não foi validada de forma independente.
Devo mudar as minhas palavras-passe por causa disto?
Não há indicação de exposição confirmada de credenciais. Ainda assim, é sempre boa prática ativar autenticação em dois passos e evitar reutilizar palavras-passe entre serviços escolares, profissionais e pessoais, sobretudo no correio eletrónico.
O que é o grupo Panzer?
É uma operação de ransomware emergente, associada a um modelo de dupla extorsão, com forte atividade de reivindicações durante agosto de 2026 em vários países e setores. Um dos casos por si reivindicados, envolvendo o Governo de Castela-Mancha, foi confirmado oficialmente pelas autoridades espanholas.
Que prazos legais se aplicam se o incidente for confirmado?
O Regime Jurídico da Cibersegurança exige notificação de incidentes significativos ao CNCS em prazos curtos, com alerta inicial e relatórios subsequentes. Em paralelo, o RGPD impõe a notificação da CNPD no prazo de 72 horas quando existe violação de dados pessoais com risco para os titulares.
Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente por autoridades públicas nacionais e europeias, plataformas de acompanhamento de grupos de ransomware e comunicações oficiais das entidades visadas. As alegações atribuídas a grupos criminosos não foram verificadas de forma independente.