Um ataque informático a um fornecedor de alojamento de e-mail que pertence ao partido alemão Alternative für Deutschland (AfD) resultou na publicação de centenas de milhares de mensagens internas e anexos. O serviço Have I Been Pwned (HIBP) confirmou agora que o conjunto de dados contém cerca de 345 mil endereços de e-mail únicos. Segundo a reconstrução feita por uma investigadora independente com base em relatos dos atacantes, a intrusão terá começado num site de WordPress mal protegido, usado em campanhas eleitorais, e os atacantes voltaram a entrar nos servidores cinco dias depois de a primeira intrusão ter sido detetada.
Resposta rápida: Em setembro de 2026, atacantes entraram nos servidores da Alternita Dienstleistungs GmbH, a empresa da AfD que aloja o e-mail do partido, e retiraram cerca de 300 GB de mensagens, que foram publicadas em outubro. O HIBP contou 345 mil endereços únicos nos dados. Não há nenhuma CVE associada: segundo os relatos, o ponto de entrada foi um WordPress mal protegido, e os atacantes deixaram código malicioso que não foi removido. A lição para qualquer organização: isolar os sites secundários dos servidores críticos e, depois de um incidente, procurar ativamente mecanismos de persistência deixados pelos atacantes.
O que foi confirmado
Segundo a ficha publicada pelo Have I Been Pwned, em setembro de 2026 a AfD sofreu uma violação de dados que expôs 345 mil endereços de e-mail únicos. No mês seguinte foram publicadas online centenas de gigabytes de dados, com centenas de milhares de e-mails e anexos, resumos gerados por IA pesquisáveis e ficheiros originais descarregáveis. Este número não corresponde ao número de caixas de correio comprometidas. Trata-se do total de endereços distintos que aparecem nas mensagens, entre remetentes, destinatários e contactos citados.
O partido reconheceu o incidente em declarações à imprensa alemã. Segundo a agência dpa, a AfD afirmou que, durante um ataque a um fornecedor de alojamento, foram copiadas ilegalmente partes de algumas caixas de correio, a maioria das quais sem uso há anos, e acrescentou que as caixas de correio atuais da direção federal não foram afetadas. O partido disse também que o ataque foi rapidamente detetado e travado e que todos os utilizadores foram informados. A agência federal alemã de segurança informática, o BSI, confirmou que está em contacto com a AfD.
O fornecedor atacado é uma empresa do próprio partido. Segundo o HIBP, a AfD atribuiu a violação a um ataque a um fornecedor de alojamento, identificado em notícias posteriores como a Alternita Dienstleistungs GmbH. A empresa foi fundada em 2021 e oferece, entre outros, alojamento de servidores, web e e-mail.
Como terá decorrido o ataque
Até agora, nenhuma autoridade publicou uma análise forense oficial. A reconstrução mais detalhada é a da investigadora e jornalista Lilith Wittmann, feita com o ativista conhecido como Hoodinformatik. Baseia-se em relatos dos atacantes e de pessoas próximas das empresas que prestam serviços à AfD. Segundo o relatório publicado por Wittmann, as duas partes concordam que o ponto de entrada foi uma instância de WordPress insuficientemente protegida no endereço “wahlkampf.afd.de”, o portal de campanha do partido.
A partir daí, os atacantes instalaram um pacote de software (WP-Console) que lhes deu acesso à linha de comandos do servidor. Com esse acesso, chegaram ao sistema de e-mail. Este é o ponto mais relevante para quem gere infraestrutura: um site de marketing, aparentemente sem importância, partilhava ambiente ou ligações de confiança com os servidores de correio.
O segundo erro foi não limpar o sistema por completo. Segundo os atacantes, citados por Wittmann, o ataque foi detetado a 9 de setembro e interrompido depois de retirados cerca de 180 gigabytes. No entanto, ficou nos servidores código malicioso que os fornecedores da AfD não detetaram depois do ataque. Com esse acesso, voltaram a retirar dados a 14 de setembro. Nessa segunda intrusão, foram retiradas de novo as mesmas caixas de correio, pelo que só saíram mais 120 gigabytes.
Há uma divergência sobre o volume de dados. O The Register refere mais de um terabyte, mas o relatório de Wittmann aponta para cerca de 300 GB no total e o HIBP fala em “centenas de gigabytes”. Os órgãos de comunicação que analisaram o ficheiro publicado referem cerca de 280 GB.
Cronologia do incidente
| Data (2026) | Acontecimento | Fonte |
|---|---|---|
| Até 9 de setembro | Entrada pelo WordPress em wahlkampf.afd.de, instalação do WP-Console e saída de cerca de 180 GB | Atacantes, via L. Wittmann |
| 9 de setembro | Ataque detetado e travado pelo fornecedor | Fontes próximas do fornecedor |
| 14 de setembro | Segunda saída de dados (cerca de 120 GB) através de código malicioso não removido | Atacantes, via L. Wittmann |
| Meados de outubro | Registo do site anónimo usado para divulgar os dados | dpa |
| 19-20 de outubro | Publicação do índice com cerca de 421 mil e-mails; a AfD confirma o ataque | Imprensa alemã, AfD |
| 27 de outubro | O HIBP adiciona 345 mil endereços únicos | Have I Been Pwned |
O que foi divulgado e quem reivindica o ataque
Segundo a análise do coletivo de jornalismo de investigação Correctiv, um grupo de hackers que se apresenta como Hexane publicou cerca de 420 mil e-mails, muitos com anexos. O grupo afirma que o ficheiro inclui também cerca de 49 mil documentos, 165 bases de dados e 39 mil anexos. O Correctiv encontrou cerca de 25 mil registos com nomes, moradas e contas de e-mail, embora a sua autenticidade não seja inequivocamente verificável.
As mensagens vão de março de 2013 a setembro de 2026. Além de assuntos correntes do partido, o ficheiro tem dados pessoais sensíveis: atas, extratos bancários, cópias de documentos de identificação, reuniões de estratégia e fotografias privadas. Inicialmente, o site de divulgação mostrava apenas resumos gerados por IA e não as mensagens originais, o que levantou dúvidas sobre a fiabilidade do conteúdo.
Não se sabe quem está por trás do grupo. Os próprios dizem ser duas pessoas, sem financiamento estatal, sem ligação a grupos ou partidos conhecidos e sem receber dinheiro pelo ataque. A empresa de threat intelligence CybelAngel refere que o perfil do autor num fórum da dark web foi criado na véspera da publicação e que não encontrou ligações a grupos de hacking ou ransomware conhecidos. Nada disto foi confirmado de forma independente.
Indicadores e dados técnicos conhecidos
Este incidente não tem nenhuma CVE nem pontuação CVSS associada. O que se sabe aponta para falhas de configuração e de gestão, e não para uma vulnerabilidade específica de um produto. Os elementos técnicos públicos são poucos:
| Tipo | Elemento | Observação |
|---|---|---|
| Ponto de entrada | wahlkampf.afd.de (WordPress) | Segundo os atacantes e fontes próximas do fornecedor |
| Ferramenta | WP-Console | Plugin que dá acesso à linha de comandos do servidor |
| Site de divulgação | hexane.cc | Índice com resumos gerados por IA e distribuição por torrent |
| Volume | ~280-300 GB | Estimativas divergentes consoante a fonte |
Medidas para evitar um cenário semelhante
- Separar ambientes: sites de campanha, microsites e blogues não devem estar no mesmo servidor nem na mesma rede que o e-mail ou outros sistemas críticos.
- Controlar os plugins: bloquear a instalação de plugins pelo painel de administração (por exemplo, com
DISALLOW_FILE_MODSnowp-config.php) e vigiar o aparecimento de ferramentas como consolas web ou gestores de ficheiros. - Fazer inventário dos ativos expostos: subdomínios esquecidos são alvos fáceis. Rever regularmente os registos DNS e desligar o que já não é usado.
- Responder ao incidente até ao fim: travar a saída de dados não basta. É preciso procurar web shells, tarefas agendadas, contas novas e chaves SSH, ou reconstruir os servidores a partir de imagens limpas.
- Minimizar os dados: caixas de correio inativas há anos, com documentos de identificação e extratos bancários, devem ser arquivadas de forma segura ou apagadas.
- Proteger as contas: autenticação multifator no e-mail e na administração, e redefinição de credenciais depois de qualquer suspeita de intrusão.
Porque é que isto importa em Portugal
Este caso ocorreu na Alemanha, mas o padrão é comum em organizações portuguesas de todas as dimensões: um site secundário, mantido por um prestador ou por voluntários, partilha infraestrutura com sistemas críticos. O Regime Jurídico da Cibersegurança (Decreto-Lei n.º 125/2025, que transpõe a NIS2) obriga as entidades abrangidas a gerir o risco da cadeia de fornecimento e a notificar incidentes significativos ao CNCS. Este caso mostra bem o que acontece quando um prestador de alojamento, mesmo sendo uma empresa do próprio grupo, falha na contenção.
Do lado da proteção de dados, o RGPD classifica as opiniões políticas como categoria especial de dados (artigo 9.º). Qualquer violação tem de ser notificada à CNPD no prazo de 72 horas sempre que exista risco para os titulares. Guardar durante anos caixas de correio com cópias de documentos de identificação e dados bancários vai contra o princípio da limitação da conservação. Isto vale para partidos, associações, autarquias e PME. Quem quiser saber se o seu endereço aparece nesta ou noutras fugas de dados pode consultar o HIBP. Incidentes que afetem organizações nacionais podem ser comunicados ao CERT.PT.
Perguntas frequentes
Quantas contas foram comprometidas no ataque à AfD?
O HIBP encontrou 345 mil endereços de e-mail únicos nos dados, mas esse número não corresponde ao das caixas de correio atacadas. Os atacantes e a imprensa alemã falam de cerca de dez caixas de correio, de onde saíram cerca de 420 mil mensagens.
Foi explorada alguma vulnerabilidade com CVE?
Não há nenhuma CVE associada. Segundo os relatos, o ponto de entrada foi um site WordPress mal protegido, onde os atacantes instalaram um plugin que lhes deu acesso à linha de comandos do servidor.
Porque é que houve uma segunda intrusão?
Segundo os atacantes, o código malicioso que deixaram nos servidores não foi detetado depois da primeira intrusão, a 9 de setembro. Isso permitiu-lhes voltar a retirar dados a 14 de setembro.
Que lições se aplicam às organizações portuguesas?
Separar os sites secundários dos sistemas críticos, controlar os plugins, eliminar dados antigos e, depois de um incidente, procurar mecanismos de persistência. As entidades abrangidas pelo Decreto-Lei n.º 125/2025 e pelo RGPD têm também obrigações de notificação.
Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente por Have I Been Pwned, Lilith Wittmann, Correctiv e CybelAngel.