A descoberta de que a palavra-passe de um colaborador está a circular num «log» de infostealer deixou de ser um episódio raro para se tornar um dos cenários mais frequentes com que as equipas de segurança portuguesas têm de lidar. O aviso mais claro veio do próprio regulador técnico nacional: segundo o CNCS, “em 2025, cerca de 80% do código malicioso detetado pelo CERT.PT foi do tipo infostealer”, um tipo de ameaça que recolhe credenciais de contas pessoais ou profissionais, dados guardados nos browsers, emails e outros documentos. O problema é que a reação instintiva — forçar a mudança da palavra-passe — resolve apenas uma parte do risco.
Resposta rápida: Um log de infostealer não contém apenas palavras-passe: inclui frequentemente cookies de sessão que permitem entrar em contas já autenticadas, contornando a autenticação multifator. Por isso, a resposta correta é tratar o caso como um incidente de dispositivo comprometido: isolar e reinstalar a máquina, revogar todas as sessões ativas, rodar credenciais e chaves API, e só depois definir novas palavras-passe. Verifique a exposição do seu domínio através de serviços como o Have I Been Pwned e reporte ao CERT.PT quando aplicável.
O que é, afinal, um «stealer log»
Um log é o pacote de dados que o malware envia para o operador depois de infetar um equipamento. Na definição do Have I Been Pwned, trata-se do resultado de software malicioso em máquinas infetadas que recolhe endereços de email, palavras-passe e o site onde essas credenciais foram introduzidas. Na prática, o conteúdo vai muito além disso: inclui tudo o que estava guardado no browser, tokens de sessão, entradas de autopreenchimento e, em muitos casos, ficheiros locais com chaves de acesso.
A escala é o que torna o problema estrutural. Em 2025, o HIBP integrou o conjunto conhecido como «ALIEN TXTBASE», com 1,5 TB de logs, 23 mil milhões de linhas e 493 milhões de pares únicos de site e endereço de email, afetando 284 milhões de endereços distintos. Mais recentemente, em junho de 2026 foi adicionada ao serviço uma nova coleção acumulada de logs, com 56 milhões de endereços de email únicos e 124 milhões de palavras-passe únicas, também disponibilizadas no Pwned Passwords. Já a empresa de threat intelligence Flashpoint, citada pela Infosecurity Magazine, estima que tenham sido recolhidas 1,7 mil milhões de credenciais por infostealers entre janeiro e junho de 2026, com Vidar, StealC e Lumma como variantes mais prolíficas.
Porque é que trocar a palavra-passe não resolve
Se o log incluir cookies de sessão válidos, o atacante pode reutilizar uma sessão já autenticada e entrar sem passar pelo ecrã de login — e, portanto, sem enfrentar o segundo fator. A nova palavra-passe fica intacta e inútil enquanto a sessão antiga não for invalidada do lado do servidor. É por isso que a sequência importa: primeiro revogar sessões e tokens, depois rodar segredos.
Há um segundo motivo, mais incómodo: a infeção está no equipamento, não na conta. Se a máquina não for tratada, o malware volta a capturar a nova credencial minutos depois de ser definida. O CNCS é explícito quanto ao risco de fundo: estes programas “reduzem o custo inicial de intrusão nas infraestruturas digitais” e colocam “em causa boas práticas de proteção, como o uso de palavras-passe fortes”.
Plano de resposta em sete passos
- Identificar o equipamento. O log costuma indicar o utilizador e os sites visados; sem saber que máquina foi infetada (incluindo portáteis pessoais ou de prestadores), a limpeza é incompleta.
- Isolar e reinstalar. Em caso de infeção confirmada, a recomendação prudente é a reinstalação do sistema, e não apenas a remoção pelo antivírus.
- Revogar sessões e tokens em Microsoft 365, Google Workspace, VPN, SaaS e consolas cloud.
- Rodar segredos: palavras-passe, chaves API, chaves
SSH, certificados e credenciais partilhadas guardadas no browser. - Reinscrever a autenticação multifator do utilizador afetado, preferindo métodos resistentes a phishing, como passkeys ou FIDO2.
- Caçar atividade posterior: acessos a partir de novas geografias, regras de reencaminhamento de email, criação de aplicações OAuth e alterações de MFA.
- Documentar e avaliar obrigações legais de notificação, sobretudo se houve acesso a dados pessoais.
Como monitorizar a exposição do seu domínio
Não é preciso comprar acesso a fóruns criminosos para ter visibilidade. O HIBP permite que os indivíduos consultem os registos associados ao seu endereço na secção de stealer logs do painel e que as organizações vejam os logs que afetam o seu domínio através da API de stealer logs. O acesso aos domínios de sites associados exige um plano Pro ou superior, e todas as APIs de pesquisa por domínio obrigam a que o domínio esteja adicionado e verificado. Para PME sem equipa dedicada, é um controlo de baixo custo com elevado retorno: permite detetar contas comprometidas antes de o acesso ser vendido.
Famílias e vetores a vigiar
| Elemento | Observado |
|---|---|
| Famílias mais prolíficas (1.º semestre de 2026) | Vidar, StealC e Lumma, segundo a Flashpoint |
| Modelo de negócio | Subscrição; a Microsoft associa o grupo Storm-2477 a acessos entre 250 e 1000 dólares por mês |
| Vetores de instalação | Phishing, manipulação de resultados de pesquisa, publicidade maliciosa, programas e jogos, redes sociais |
| Dados recolhidos | Credenciais de VPN e contas profissionais, dados do browser, cookies e tokens, documentos |
Os vetores acima são os identificados pelo CNCS, que aponta o phishing, técnicas de otimização de resultados em motores de pesquisa, conteúdo publicitário, programas e jogos e publicações em redes sociais como motores da instalação de infostealers. Quanto ao modelo criminoso, a Microsoft acompanha o grupo Storm-2477, que oferece acesso ao Lumma por valores entre 250 e 1000 dólares mensais.
As operações policiais ajudam, mas não eliminam o mercado
| Data (2025) | Ação |
|---|---|
| 16 de março a 16 de maio | Microsoft identifica mais de 394 000 computadores Windows infetados com Lumma a nível global |
| 13 de maio | Ordem judicial nos EUA para apreensão de cerca de 2300 domínios ligados ao C2 |
| 19 de maio | Departamento de Justiça e FBI desativam domínios de administração usados pelos afiliados |
| 21 de maio | Redirecionamento de cerca de 1300 domínios para sinkholes; Europol confirma a disrupção |
A Europol confirmou que, entre 16 de março e 16 de maio de 2025, a Microsoft identificou mais de 394 mil computadores Windows infetados pelo Lumma em todo o mundo, no âmbito de uma operação conjunta contra aquela que descreveu como a maior ameaça de infostealer a nível mundial. A cronologia da ação incluiu a apreensão de domínios a 13 de maio, a desativação de domínios de administração a 19 de maio e o redirecionamento de cerca de 1300 domínios para sinkholes a 21 de maio. Ainda assim, analistas notaram uma recuperação rápida da infraestrutura: a SOCRadar observou que estes ressurgimentos se tornaram comuns no mercado de «stealer-as-a-service», onde os atores clonam infraestrutura e reimplantam operações rapidamente.
Porque é que isto importa em Portugal
A ENISA enquadra os infostealers como um elo consolidado da cadeia de fornecimento do cibercrime, ligado a roubo de credenciais, sequestro de sessão e intermediação de acessos, tendo o Lumma sido avaliado como o mais prevalente desde o início de 2025. Para as organizações nacionais, isto tem consequências concretas: uma credencial roubada no portátil pessoal de um colaborador pode transformar-se, semanas depois, num acesso vendido a um grupo de ransomware. Em 2024, as intrusões em ambientes Snowflake atribuídas ao conjunto UNC5537 foram associadas pela Mandiant a credenciais previamente roubadas por infostealers, um exemplo de como uma infeção num posto de trabalho escala para exfiltração em nuvem.
Do ponto de vista legal, o tema cruza duas frentes. Se as credenciais expostas permitirem acesso a dados pessoais, aplica-se o dever de avaliação e eventual notificação previsto no RGPD, incluindo a comunicação à CNPD nos prazos legais quando exista risco para os titulares. Já as entidades abrangidas pelo Regime Jurídico da Cibersegurança, que transpõe a diretiva NIS2, têm de considerar as obrigações de gestão de risco e de notificação de incidentes significativos ao CERT.PT. Uma exposição de credenciais que resulte em acesso não autorizado a sistemas críticos não é um mero incidente de higiene informática.
Para PME, o essencial passa por medidas simples que o CNCS já recomenda: evitar guardar credenciais no browser, remover extensões de origem duvidosa, manter sistema operativo, browser e antimalware atualizados, limitar a utilização de equipamentos pessoais em contexto laboral e sensibilizar os utilizadores para os riscos de software pirateado e de esquemas do tipo ClickFix. Somando a isso a monitorização de logs por domínio e a adoção de passkeys, reduz-se drasticamente o valor comercial de qualquer credencial que venha a ser roubada.
Perguntas frequentes
Basta mudar a palavra-passe quando uma credencial aparece num log?
Não. Se o log incluir cookies de sessão, o atacante pode continuar a usar uma sessão já autenticada, contornando a nova palavra-passe e a autenticação multifator. É necessário revogar sessões e tokens e tratar o equipamento infetado.
Como sei se o domínio da minha empresa está exposto?
O Have I Been Pwned permite às organizações consultar os logs que afetam o seu domínio através de uma API dedicada, mediante verificação prévia da propriedade do domínio e um plano com acesso a dados de stealer logs.
Que dimensão tem o problema em Portugal?
De acordo com o CNCS, cerca de 80% do código malicioso detetado pelo CERT.PT em 2025 foi do tipo infostealer, o que faz deste tipo de malware a principal categoria observada a nível nacional.
Tenho de notificar a CNPD ou o CERT.PT?
Depende do impacto. Se houver risco para os direitos e liberdades dos titulares de dados pessoais, aplicam-se os deveres de notificação do RGPD. As entidades abrangidas pelo Regime Jurídico da Cibersegurança devem ainda avaliar a obrigação de reportar incidentes significativos ao CERT.PT.
Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pelo CNCS/CERT.PT, pela Europol, pela ENISA, pelo serviço Have I Been Pwned e por investigadores de segurança.