A Norad, a agência norueguesa de cooperação para o desenvolvimento, confirmou ter sido alvo de um ciberataque ao seu portal de candidaturas a financiamento. Os atacantes podem ter tido acesso aos nomes e endereços de correio eletrónico dos 20 614 utilizadores registados no Grant Portal, ou seja, todos os utilizadores da plataforma. Também extraíram informação relativa a candidaturas apresentadas por pelo menos três organizações. A agência reconhece que, entre os dados expostos, podem estar nomes de candidatos que trabalham em zonas de conflito e em Estados autoritários.
Resposta rápida: O ataque ao portal de financiamento da Norad foi detetado a 30 de outubro. Os atacantes entraram com 27 contas legítimas comprometidas e podem ter acedido aos nomes e e-mails dos 20 614 utilizadores, para além de documentos de candidatura de pelo menos três organizações. Ainda não se sabe quem está por trás do ataque. Quem esteja registado no portal deve contar com tentativas de phishing direcionado e, por precaução, mudar as palavras-passe reutilizadas e ativar a autenticação multifator.
O que aconteceu no Grant Portal
O Grant Portal é a plataforma onde organizações de todo o mundo submetem candidaturas a financiamento norueguês para a ajuda ao desenvolvimento. Segundo o comunicado oficial da Norad, o portal tem 20 614 utilizadores de todo o mundo, que representam 12 511 organizações diferentes, e está em funcionamento desde 2017.
Segundo a agência, a entrada não exigiu explorar nenhuma vulnerabilidade de software: os atacantes acederam ao portal fazendo login com 27 contas de utilizador que usaram de forma abusiva. A Norad não explicou como foram obtidas as credenciais destas contas, nem se havia autenticação multifator. Também não se sabe durante quanto tempo os intrusos estiveram dentro do sistema. A agência indicou apenas que a intrusão foi detetada a 30 de outubro.
Para além dos dados de contacto, houve documentos de candidatura comprometidos. A Norad confirmou que foi comprometida informação de candidaturas de três organizações sediadas fora da Noruega e admite que possam existir outras organizações afetadas.
De 27 contas a 20 614 utilizadores: a evolução do caso
Em poucos dias, o incidente revelou-se muito maior do que se pensava. Na primeira comunicação, a agência norueguesa falava apenas das contas usadas pelos atacantes. Como escreveu a publicação tecnológica norueguesa digi.no, na terça-feira a Norad indicava que o ataque dizia respeito apenas a 27 utilizadores, cujas contas os piratas usaram para entrar no sistema. No dia seguinte, a agência alargou o âmbito a todos os utilizadores registados.
| Data | Acontecimento |
|---|---|
| 30 de outubro de 2026 | Deteção do ataque ao Grant Portal da Norad. No mesmo dia, a Universidade de Tromsø (UiT) anuncia um ataque dirigido contra os seus sistemas. |
| 3 de novembro de 2026 (terça-feira) | Primeira comunicação pública. A Norad avisa os titulares das 27 contas usadas no ataque. |
| 4 de novembro de 2026 | A Norad admite possível acesso aos nomes e e-mails dos 20 614 utilizadores e confirma dados de candidaturas de três organizações. |
| 5 de novembro de 2026 | Cobertura internacional. Prossegue a investigação, com apoio de especialistas externos. |
Há uma diferença de formulação a assinalar. Alguns meios internacionais escrevem que os dados de todos os utilizadores foram “roubados”. O comunicado oficial da Norad, porém, fala de acesso possível aos nomes e e-mails dos 20 614 utilizadores e reserva a palavra “extraíram” para os documentos de candidatura das três organizações. Neste artigo seguimos a formulação da fonte primária.
Porque é que uma lista de nomes e e-mails pode ser perigosa
À primeira vista, nomes e endereços de e-mail parecem dados de baixo risco. Aqui, o problema é a ligação entre as pessoas e as organizações que pedem financiamento a um governo estrangeiro. “Não podemos excluir que tenham sido extraídos nomes de candidatos em zonas de conflito ou em Estados autoritários”, disse Torger Kjeldstad, diretor de digitalização da Norad, à publicação norueguesa Panorama Nyheter. Por razões de segurança, a Norad não revela em que países trabalham estas pessoas, e as consequências para os parceiros afetados ainda não são claras.
Torgeir Waterhouse, especialista norueguês em tecnologia, mostrou-se preocupado com a possibilidade de estes dados chegarem a regimes que vigiam a própria população. Nesse caso, defende, basta ter uma ligação à Norad para correr um risco de segurança. Para ativistas de direitos humanos ou pequenas organizações da sociedade civil, a simples presença numa lista de candidatos a fundos noruegueses pode servir de pretexto para perseguição.
Há também um risco mais imediato e mais comum: phishing muito convincente. Quem tem nomes, e-mails e a confirmação de que essas pessoas se candidataram a financiamento da Norad pode fazer-se passar pela agência e enviar falsos pedidos de documentação, falsas notificações de aprovação ou links para páginas de login fraudulentas.
Quem está por trás do ataque e o que fizeram as autoridades
O autor do ataque continua desconhecido. Ainda não se sabe quem está por trás do ataque, mas a Autoridade Nacional de Segurança norueguesa (NSM) confirmou que tem características em comum com outros ciberataques recentes. Nem a Norad nem a NSM disseram a que ataques se referem.
Nessa mesma sexta-feira, a Universidade de Tromsø também foi atacada. A administração da universidade descreveu o atacante como um ator com muitos recursos. Na terça-feira à tarde a situação estava estável e o funcionamento estava a voltar ao normal. Não há confirmação oficial de qualquer ligação entre os dois incidentes, e a coincidência das datas não permite tirar conclusões.
Quanto à resposta institucional, a Norad notificou a autoridade norueguesa de proteção de dados (Datatilsynet) e a NSM e apresentou queixa à polícia. A agência ativou uma equipa de gestão de crise e está a contratar especialistas externos em cibersegurança para perceber todo o alcance do ataque. Apesar disso, Kjeldstad disse que “deverá ser seguro” continuar a usar os serviços da Norad enquanto a investigação decorre.
O que devem fazer os utilizadores afetados e as organizações
Não foram publicados indicadores técnicos de comprometimento (IOCs) nem há qualquer CVE associado: o acesso fez-se com credenciais válidas. Por isso, as medidas de mitigação passam sobretudo pela gestão de identidades e pela atenção a contactos suspeitos:
- Desconfiar de mensagens que pareçam vir da Norad, sobretudo se pedirem documentos, dados bancários ou um novo login. Confirme sempre por um canal oficial que já conhece.
- Mudar a palavra-passe do portal e de qualquer outro serviço onde tenha usado a mesma combinação.
- Ativar a autenticação multifator sempre que exista, de preferência com uma aplicação de autenticação ou uma chave física.
- Para as organizações que gerem portais semelhantes: vigiar padrões de login anómalos (origens geográficas pouco habituais, muitos acessos em pouco tempo, contas inativas que voltam a ser usadas), limitar o que cada conta pode consultar e exigir multifator a todos os utilizadores externos.
O caso mostra um padrão conhecido. Um pequeno número de contas comprometidas, sejam elas obtidas por phishing, malware de roubo de credenciais ou reutilização de palavras-passe, pode bastar para expor a base de utilizadores inteira de uma plataforma, se as permissões de cada conta forem mais amplas do que deviam.
Porque é que isto importa em Portugal
Organizações portuguesas da sociedade civil, ONG para o desenvolvimento e consultoras que preparam candidaturas internacionais usam com frequência portais de financiamento estrangeiros e europeus. Qualquer pessoa registada no Grant Portal da Norad deve, desde já, contar com tentativas de engenharia social.
O incidente serve também de aviso às entidades públicas que gerem plataformas de candidatura a fundos. Ao abrigo do Regime Jurídico da Cibersegurança (Decreto-Lei n.º 125/2025, que transpõe a diretiva NIS2), as entidades abrangidas têm de adotar medidas de gestão de risco, incluindo controlo de acessos e autenticação forte, e notificar incidentes significativos ao CNCS/CERT.PT. Quando estão em causa dados pessoais, o RGPD obriga a notificar a CNPD no prazo de 72 horas e, se houver risco elevado, a informar também os titulares, tal como a Norad fez junto da autoridade norueguesa. Este caso mostra que o risco de uma fuga de dados não depende só da sensibilidade de cada campo, mas também do contexto: o mesmo e-mail pode não valer nada numa lista de newsletters e pôr alguém em perigo numa lista de candidatos a financiamento estrangeiro.
Perguntas frequentes
Que dados podem ter sido expostos no ataque à Norad?
Os nomes e endereços de e-mail dos 20 614 utilizadores registados no Grant Portal, de 12 511 organizações. Foi ainda extraída informação de candidaturas de pelo menos três organizações sediadas fora da Noruega.
Como é que os atacantes entraram no portal?
Segundo a Norad, fizeram login com 27 contas de utilizador legítimas que usaram de forma abusiva. A agência não explicou como foram obtidas as credenciais nem durante quanto tempo os atacantes mantiveram o acesso.
Já se sabe quem está por trás do ataque?
Não. A Autoridade Nacional de Segurança norueguesa (NSM) confirmou apenas que o ataque tem características em comum com outros ciberataques recentes, sem dizer quais nem apontar responsáveis.
O que devo fazer se estiver registado no portal da Norad?
Desconfie de e-mails que pareçam vir da Norad, sobretudo se pedirem documentos ou um novo login. Mude a palavra-passe do portal e de outros serviços onde a tenha reutilizado e ative a autenticação multifator sempre que possível.
Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pela Norad, pela digi.no, pela Panorama Nyheter e pela Help Net Security.