A Publica, o fundo de pensões dos trabalhadores da administração federal suíça, confirmou uma fuga de dados. A origem não foi um ataque direto ao fundo, mas sim a um fornecedor externo de software. O comunicado oficial foi publicado em Berna a 8 de outubro de 2026 e indica que, no final de setembro, um fornecedor externo de software da Publica foi vítima de um ciberataque. A empresa visada é a PK Softech, que tem outros fundos de pensões suíços como clientes. Por isso, o incidente já ultrapassou a Publica e tornou-se um exemplo claro do risco da cadeia de fornecimento num setor que guarda dados financeiros e pessoais muito sensíveis.
Resposta rápida: No final de setembro, um ataque com malware à PK Softech, fornecedora de software de gestão de pensões, levou ao roubo de dados da Publica, o fundo de pensões federal suíço. Os dados que podem ter saído incluem nomes, números de segurança social (AHV), salários, saldos de reforma e informação sobre cônjuges. As poupanças de reforma não foram afetadas e o Ministério Público federal suíço está a investigar. Quem tiver sido afetado deve desconfiar de emails, chamadas e mensagens invulgares, mesmo quando estas mostram dados pessoais verdadeiros.
O que aconteceu
Segundo a comunicação oficial da administração federal suíça, a empresa apresentou queixa-crime logo que detetou o ataque e informou as entidades federais competentes, a Publica e os restantes clientes. O Ministério Público da Confederação abriu uma investigação. A mesma nota diz que nenhum outro organismo federal tem relações comerciais com a empresa.
No primeiro comunicado, o fornecedor não era identificado. Pouco depois, a própria empresa publicou uma declaração. Segundo o portal suíço inside-it.ch, a PK Softech, sediada em Reinach (Basileia-Campo), explicou que desconhecidos usaram software malicioso para entrar numa parte da sua infraestrutura informática. Acrescentou que desligou de imediato o ambiente afetado da rede, chamou especialistas externos, avisou as autoridades e apresentou queixa. A PK Softech admitiu também que, com o que se sabe hoje, é de presumir que saíram dados dos seus sistemas.
A relação entre as duas entidades vem de longe. A PK Softech fornece uma aplicação de gestão previdencial à Publica desde 2017. Ganhou na altura um contrato de 12,6 milhões de francos para fornecer, configurar e implementar um sistema de gestão de segurados e pensionistas.
Que dados podem ter sido expostos
A emissora pública SRF cita informação que a Publica enviou aos segurados. Com o que se sabe até agora, os dados em causa são especialmente sensíveis: nome, morada, número AHV, salário, saldo de reforma e dados sobre cônjuges ou companheiros podem ter sido expostos. A lista divulgada inclui também data de nascimento, telefones e emails (profissionais e pessoais) e estado civil.
Ainda não se sabe quantas pessoas foram afetadas. Segundo a SRF, não está claro se estão em causa todos os cerca de 66 mil segurados ativos e cerca de 40 mil pensionistas, ou só uma parte. Outros meios de comunicação usam números do site do fundo: no final de 2025 a Publica tinha quase 70 mil segurados e 41 600 pensionistas. A diferença pode explicar-se por datas de referência distintas. Em qualquer caso, estes valores dizem respeito a todos os segurados do fundo e não ao número confirmado de vítimas. O fundo garante que o dinheiro das pensões não foi afetado e está seguro.
O efeito dominó noutros fundos de pensões
Nos dias seguintes, ficou claro que o problema não se limitava ao fundo federal. A 9 de outubro, o cantão de Berna informou que uma fornecedora externa de software da Caixa de Pensões de Berna (BPK) e da Caixa de Seguros dos Professores de Berna (BLVK) foi alvo de um ciberataque no final de setembro. Segundo a agência Keystone-SDA, trata-se da mesma empresa que tem a Publica como cliente. Nos fundos bernenses, não há para já sinais de roubo de dados, mas os responsáveis dizem que essa hipótese não pode ser totalmente afastada. Estes dois fundos somam mais de 63 mil segurados e mais de 28 mil pensionistas.
O diretor da BPK, André Matthey, disse que muitos outros fundos de pensões foram afetados pelo ataque. Segundo ele, a empresa de software sabe que saíram dados, mas ainda não sabe se incluem dados pessoais. Acrescentou que, segundo a empresa, a quantidade de dados roubados foi relativamente pequena. A imprensa suíça noticia que outros clientes da PK Softech estão a verificar se os dados dos seus segurados foram afetados. A lista de clientes divulgada pela imprensa ainda não foi confirmada por fontes oficiais.
Cronologia do incidente
| Data | Acontecimento |
|---|---|
| 2017 | A PK Softech começa a fornecer a aplicação de gestão de segurados e pensionistas à Publica |
| Final de setembro de 2026 | A PK Softech deteta acesso não autorizado com malware a parte da sua infraestrutura, desliga o ambiente afetado e apresenta queixa-crime |
| 8 de outubro de 2026 | A administração federal suíça e a Publica confirmam publicamente a fuga de dados. A PK Softech publica a sua própria declaração |
| 8 de outubro de 2026 | A Publica avisa os segurados (os pensionistas recebem também carta) e alerta para possíveis burlas |
| 9 de outubro de 2026 | O cantão de Berna informa que a BPK e a BLVK usam o mesmo fornecedor. Para já não há indícios de roubo de dados |
| 12 de outubro de 2026 | A imprensa suíça noticia que outros fundos clientes estão a avaliar se foram afetados |
O que ainda não se sabe
Até à data de publicação, as entidades envolvidas não disseram como os atacantes entraram, que família de malware foi usada nem se existe um grupo de ransomware a reivindicar o ataque. Também não divulgaram identificadores CVE nem indicadores de comprometimento (IOCs). A Publica não quis dizer se recebeu pedidos de resgate, se houve ameaça de publicar os dados ou se já há sinais de uso indevido, alegando que a investigação está em curso. A Publica comprometeu-se a dar novas informações quando houver novidades.
Como se proteger depois de uma fuga deste tipo
A Publica admite que os dados possivelmente roubados podem ser usados em tentativas de burla e aconselha mais atenção a emails, chamadas e mensagens invulgares. Quando os atacantes têm dados verdadeiros, como o salário, o saldo de reforma ou o nome do cônjuge, o phishing dirigido fica muito mais convincente. Estas recomendações aplicam-se a qualquer fuga semelhante:
- Não confie numa mensagem só porque esta mostra dados pessoais corretos. Esses podem ser exatamente os dados roubados.
- Confirme qualquer pedido de alteração do IBAN, de atualização de dados ou de pagamento através dos contactos oficiais do fundo, e nunca através dos contactos que vêm na própria mensagem.
- Ative a autenticação multifator nos portais de pensões e na banca online.
- Esteja atento a tentativas de roubo de identidade, como pedidos de crédito ou contas abertas em seu nome.
Para as organizações, o caso lembra algumas boas práticas: fazer o inventário de que fornecedores têm cópias de dados de produção, limitar essas cópias ao estritamente necessário, exigir nos contratos prazos de notificação de incidentes e auditar regularmente a segurança dos prestadores de serviços críticos.
Porque é que isto importa em Portugal
Este incidente mostra bem o risco da cadeia de fornecimento. Os atacantes não precisaram de quebrar as defesas do fundo de pensões. Bastou-lhes comprometer um fornecedor especializado que serve vários clientes do mesmo setor. Em Portugal, a resposta legal a este risco está no Regime Jurídico da Cibersegurança (Decreto-Lei n.º 125/2025, que transpõe a diretiva NIS2). Este regime obriga as entidades abrangidas a gerir os riscos ligados aos fornecedores e prestadores de serviços e a notificar incidentes significativos ao CNCS/CERT.PT.
Em matéria de proteção de dados, o RGPD estabelece que o responsável pelo tratamento continua a responder pelos dados que entrega a subcontratantes. Por isso, os contratos têm de prever garantias de segurança adequadas. Em caso de violação de dados, o responsável tem de notificar a CNPD e, quando o risco for elevado, informar os titulares dos dados. A Suíça não pertence à União Europeia e tem a sua própria lei de proteção de dados. Mesmo assim, as lições aplicam-se diretamente a fundos de pensões, seguradoras, autarquias e PME portuguesas que entregam dados de trabalhadores ou clientes a fornecedores de software de gestão.
Perguntas frequentes
O fundo de pensões Publica foi atacado diretamente?
Não. O ataque atingiu a PK Softech, fornecedora externa de software de gestão de pensões, que guardava dados da Publica nos seus sistemas.
Que dados podem ter sido roubados?
Segundo a informação enviada aos segurados, podem estar em causa nomes, datas de nascimento, números AHV, moradas, contactos, salários, saldos de reforma, estado civil e dados de cônjuges ou companheiros.
As pensões e as poupanças estão em risco?
A Publica e os fundos de Berna garantem que as poupanças de reforma estão seguras e que as pensões continuam a ser pagas normalmente. O principal risco é o uso indevido dos dados pessoais em burlas.
Que lições podem as organizações portuguesas tirar deste caso?
Devem mapear os fornecedores que têm acesso a dados, reduzir as cópias de dados de produção, exigir nos contratos prazos de notificação de incidentes e cumprir as obrigações de gestão do risco de fornecedores previstas no Decreto-Lei n.º 125/2025 e no RGPD.
Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pela Administração Federal Suíça, pela SRF, pelo inside-it.ch (que cita a declaração da PK Softech) e pelo cantão de Berna.