Quem submeteu pedidos através dos formulários online dos SMAS de Sintra pode ter dados pessoais e bancários nas mãos de terceiros. Em causa está um incidente de segurança no sítio de Internet dos Serviços Municipalizados de Água e Saneamento, conhecido publicamente a 10 de novembro de 2026. Tanto a CNPD como o CNCS já têm conhecimento do caso. A entidade garante que a maioria dos clientes ficou de fora, mas não revelou quantas pessoas foram atingidas.
Resposta rápida: Do site dos SMAS de Sintra saiu uma cópia de informação introduzida na área de formulários. Nome, contactos, morada, NIF, número do documento de identificação e IBAN estão entre os dados possíveis, conforme o pedido que cada munícipe submeteu. As autorizações de débito direto e os históricos de pagamentos não apresentam sinais de extração. Se é cliente, desconfie de chamadas, SMS ou emails inesperados a pedir dados ou pagamentos e confirme sempre pelos canais oficiais.
O que aconteceu no site dos SMAS de Sintra
O alvo foi o sítio de Internet da entidade, mais concretamente a zona onde os munícipes preenchem formulários, e a informação ali introduzida acabou copiada, segundo a confirmação dada por fonte oficial ao Correio da Manhã. Na comunicação remetida aos clientes afetados, os serviços admitem que os registos preenchidos nesses formulários possam estar na posse de terceiros, conclusão a que chegou a análise técnica.
As versões não coincidem em tudo. A informação inicial do jornal, apoiada em fontes não identificadas, apontava para dados de pagamento das faturas da água, incluindo IBAN, débitos diretos e endereços eletrónicos. A posição oficial é mais restrita: segundo os serviços, “a maior parte dos clientes não foram afetados”. Fora do perímetro conhecido ficam as autorizações de débito direto e os históricos de pagamentos, para os quais não surgiram sinais de extração.
A resposta técnica descrita pela entidade passou por conter a intrusão, reforçar a segurança e eliminar os mecanismos de acesso indevido que foram encontrados. A natureza desses mecanismos não foi especificada. A investigação técnica ainda não está fechada, com trabalhos adicionais destinados a impedir que a falha se repita. Não foram divulgados a data da intrusão, o vetor de ataque, a autoria, identificadores CVE ou indicadores de comprometimento.
Que dados podem ter sido copiados
O leque de dados em risco varia de pessoa para pessoa, porque depende do formulário utilizado. Vários pedidos feitos à distância, como a celebração de contrato, obrigam o munícipe a anexar um documento de identificação, o que ajuda a perceber a sensibilidade da informação que ali circula. A lista conhecida refere o número do documento de identificação. Não está confirmado se os ficheiros anexados foram também copiados.
| Ponto | O que se sabe |
|---|---|
| Sistema afetado | Área de formulários do sítio de Internet dos SMAS de Sintra |
| Dados potencialmente copiados | Nome, contactos, morada, NIF, número do documento de identificação e IBAN, consoante o pedido submetido |
| Sem indícios de extração | Autorizações de débito direto e históricos de pagamentos |
| Uso indevido | Nenhum caso conhecido pela entidade até ao momento |
| Autoridades informadas | CNPD e CNCS |
| Por divulgar | Data do ataque, número de titulares afetados, vetor de intrusão e autoria |
Com nome, NIF, morada e IBAN reunidos, um burlão consegue montar contactos muito credíveis em nome da entidade gestora da água, do banco ou de outro serviço. O perigo imediato é a engenharia social: chamadas e mensagens que usam dados verdadeiros para obter códigos, pagamentos ou mais informação.
O que deve fazer se é cliente
- Valide antes de responder. Chamadas, mensagens ou pedidos inesperados de dados pessoais, bancários ou pagamentos devem ser confirmados junto dos canais oficiais, de acordo com a recomendação dos próprios serviços.
- Desconfie de SMS com ligações. Num esclarecimento de 2023 sobre avisos de pagamento, os serviços garantiam que as suas mensagens chegam identificadas e sem qualquer hiperligação.
- Vigie a conta bancária. Consulte o extrato e a lista de autorizações de débito direto ativas, e conteste junto do banco qualquer movimento que não reconheça.
- Não reenvie documentos nem códigos. Nenhuma entidade legítima pede por telefone ou mensagem códigos de autenticação, credenciais de homebanking ou novas cópias do cartão de cidadão.
- Peça esclarecimentos. Dúvidas sobre os seus direitos seguem para o encarregado de proteção de dados, no endereço
[email protected], indicado na página de proteção de dados dos SMAS. - Reporte tentativas de burla. O CERT.PT, equipa de resposta a incidentes do CNCS, aceita reportes de particulares e de organizações através do canal de notificação voluntária.
Porque é que este caso importa
O incidente toca dois regimes legais. Do lado da proteção de dados, o RGPD obriga o responsável pelo tratamento a notificar a autoridade de controlo em 72 horas após ter conhecimento de uma violação de dados pessoais. Obriga também a avisar os titulares quando o risco para os seus direitos é elevado. Cada titular atingido está a receber um contacto individual.
Do lado da cibersegurança, água potável e águas residuais constam dos setores críticos do Decreto-Lei n.º 125/2025, publicado a 4 de dezembro de 2025, que aprovou o Regime Jurídico da Cibersegurança e transpôs a NIS2. Um incidente significativo tem de chegar à autoridade de cibersegurança competente em 24 horas, com atualização até às 72 horas. Não é público se este caso foi classificado como significativo.
Para autarquias, PME e outras organizações, a lição é prática. Um formulário web recolhe frequentemente NIF, IBAN e cópias de documentos, mas tende a ficar fora do perímetro mais protegido. Vale a pena rever que dados são pedidos, onde ficam guardadas as submissões e durante quanto tempo, e quem lhes pode aceder.
Perguntas frequentes
Que dados foram expostos no ataque aos SMAS de Sintra?
Depende do formulário que cada pessoa preencheu. A lista conhecida inclui nome, contactos, morada, NIF, número do documento de identificação e IBAN. Segundo a entidade, não há indícios de extração de autorizações de débito direto nem de históricos de pagamentos.
Como sei se fui afetado?
Os SMAS de Sintra estão a contactar individualmente os titulares afetados. Se tiver dúvidas, confirme junto dos canais oficiais ou do encarregado de proteção de dados da entidade, e não através de ligações recebidas por mensagem.
Com o meu IBAN, podem tirar-me dinheiro da conta?
O IBAN, por si só, não dá acesso à conta. Pode, no entanto, ser usado em tentativas de débito direto indevido ou para tornar uma burla mais convincente. Acompanhe o extrato e as autorizações de débito ativas e conteste junto do banco o que não reconhecer.
A quem posso recorrer?
Ao encarregado de proteção de dados dos SMAS de Sintra para exercer os seus direitos, à CNPD para apresentar queixa e ao CERT.PT para reportar tentativas de phishing ou burla. Em caso de prejuízo financeiro, contacte de imediato o banco e as autoridades policiais.
Esta informação tem caráter noticioso e baseia-se em declarações de fonte oficial dos SMAS de Sintra divulgadas pelo Correio da Manhã, em informação institucional dos SMAS de Sintra, no Decreto-Lei n.º 125/2025 e em orientações do CNCS.