Um técnico informático que trabalhava no coração dos sistemas do Ministério da Justiça foi condenado a nove anos e seis meses de prisão por ter transformado o seu acesso privilegiado num esquema de burla contra cidadãos comuns. O Juízo Central Criminal de Lisboa condenou o arguido pela prática de noventa e dois crimes de abuso de poder, furto, abuso de cartão de garantia ou de cartão, dispositivo ou dados de pagamento agravado, burla informática qualificada, falsificação de documento, falsidade informática agravada e acesso ilegítimo agravado. A decisão foi entretanto confirmada pelo Supremo Tribunal de Justiça, encerrando um caso que expõe os riscos das ameaças internas em infraestruturas críticas do Estado.
Resposta rápida: Um técnico informático do IGFEJ usou credenciais de colegas do IRN para criar Chaves Móveis Digitais em nome de nove cidadãos, sem que estes soubessem, e com elas abriu contas bancárias e contraiu empréstimos, lesando as vítimas em 36.614,68 euros. Foi condenado a 9 anos e 6 meses de prisão por 92 crimes, com decisão confirmada pelo Supremo. Vigie regularmente a sua identidade digital e as consultas ao seu Cartão de Cidadão; ative alertas e desconfie de comunicações inesperadas de bancos ou entidades públicas.
Um acesso legítimo transformado em arma
O caso não envolveu qualquer sofisticação técnica de intrusão externa. O arguido não precisou de explorar uma vulnerabilidade nem de contornar defesas: já estava dentro. Segundo a acusação, entre novembro de 2021 e junho de 2023, o arguido, funcionário público que exercia funções como técnico informático do Instituto de Gestão Financeira e Equipamentos da Justiça (IGFEJ), usou credenciais de dois funcionários do Instituto de Registos e Notariado (IRN), a que tinha acesso mercê das suas funções, para aceder ao sistema informático interno do Ciclo de Vida do Cartão de Cidadão e criar chaves móveis digitais de nove cidadãos.
O IGFEJ é o organismo que gere os recursos financeiros, patrimoniais e tecnológicos do Ministério da Justiça. Ou seja, o técnico exercia funções precisamente no braço tecnológico do ministério, o que lhe conferia proximidade e acesso a sistemas sensíveis onde se cruzam dados de identidade dos cidadãos. Foi essa posição de confiança que abusou.
Como funcionou o esquema
A Chave Móvel Digital (CMD) é o mecanismo de autenticação eletrónica que o Estado disponibiliza para o cidadão se identificar online junto de serviços públicos e privados. Ao criar e controlar CMD em nome de terceiros, o arguido passou, na prática, a poder personificar digitalmente as vítimas. Ainda com base na acusação, o arguido, sem conhecimento desses cidadãos, utilizou tais chaves móveis digitais para se autenticar eletronicamente junto de várias entidades públicas e privadas, abrir contas bancárias e contrair empréstimos financeiros, sempre em nome das vítimas, em seu prejuízo e das instituições mutuantes, tendo obtido benefícios patrimoniais no valor de 36.614,68 €.
O tribunal deu como provado o mesmo enquadramento apurado pela investigação. O Tribunal deu como provado que o arguido, técnico informático do IGFEJ, usou, entre novembro de 2021 e junho de 2023, credenciais de dois funcionários do Instituto de Registos e Notariado (IRN), para aceder ao sistema informático interno e criar chaves móveis digitais de nove cidadãos. E foi mais longe na descrição da conduta: o arguido utilizou tais chaves móveis digitais, sem conhecimento desses cidadãos, para se autenticar eletronicamente junto de várias entidades públicas e privadas, abriu contas bancárias e contraiu empréstimos financeiros, sempre em nome das vítimas, em seu prejuízo e das instituições mutuantes.
De acordo com o relato do processo, foram nove os cidadãos lesados; o arguido contraiu créditos bancários e empréstimos, prejudicando as vítimas num total de 36.614,68 euros. Em fase de acusação, o Ministério Público sublinhou ainda que houve tentativas frustradas de obter mais. Acresce que, apesar de ter encetado esforços nesse sentido, o arguido não logrou obter, por motivos que lhe foram alheios, uma vantagem adicional.
Cronologia do caso
| Data | Acontecimento |
|---|---|
| Nov. 2021 – jun. 2023 | Período em que o técnico usou credenciais de colegas do IRN para criar CMD de nove cidadãos e obter vantagens patrimoniais |
| Dezembro de 2023 | Detenção pela Polícia Judiciária, com buscas na residência e no local de trabalho, no IGFEJ, em Lisboa |
| Junho de 2024 | Dedução de acusação pelo DCIAP |
| Início de 2025 | Condenação em primeira instância pelo Juízo Central Criminal de Lisboa a 9 anos e 6 meses de prisão |
| 2026 | Confirmação da condenação pelo Supremo Tribunal de Justiça |
A investigação teve origem em denúncias das próprias entidades públicas envolvidas. O processo iniciou-se com denúncia apresentada pela Agência para a Modernização Administrativa (AMA), pelo IRN e pelo IGFEJ. A detenção foi concretizada pela Polícia Judiciária e, quanto à medida de coação, o arguido esteve em prisão preventiva, tendo a detenção ocorrido em dezembro de 2023.
A ameaça interna: o inimigo com crachá
Este caso é um exemplo de manual daquilo a que a área de segurança chama “insider threat” — a ameaça que parte de dentro da organização. Ao contrário de um atacante externo, o colaborador com acesso legítimo já conhece os sistemas, sabe onde estão os dados sensíveis e move-se sem levantar suspeitas. O ponto crítico aqui foi duplo: por um lado, a possibilidade de um único técnico reutilizar credenciais de colegas; por outro, a aparente ausência de controlos que detetassem, em tempo útil, a criação anómala de Chaves Móveis Digitais.
Há aqui lições de higiene de segurança que valem para qualquer organização, pública ou privada:
- Princípio do menor privilégio: cada colaborador deve ter apenas os acessos estritamente necessários às suas funções, e nada mais.
- Credenciais individuais e não partilháveis: a partilha de
utilizadorepalavra-passeentre colegas destrói a rastreabilidade e abre a porta ao abuso. - Registo e monitorização de acessos (logging): operações sensíveis, como a criação ou alteração de meios de autenticação, devem gerar alertas e ser auditadas.
- Segregação de funções: ações críticas não devem depender de uma só pessoa sem supervisão ou dupla validação.
- Deteção de comportamentos anómalos: padrões incomuns de utilização de credenciais devem ser sinalizados automaticamente.
O que os cidadãos podem fazer para se proteger
Para o cidadão, o mais perturbador deste caso é que as vítimas nada fizeram de errado — o abuso ocorreu do lado de dentro do sistema. Ainda assim, há medidas concretas de vigilância que ajudam a detetar precocemente o uso indevido da identidade digital:
- Verifique periodicamente o estado da sua Chave Móvel Digital e o número de telemóvel a ela associado no portal
autenticacao.gov.pt. - Ative notificações e alertas de movimentos junto do seu banco e reveja regularmente o seu histórico de crédito.
- Desconfie de mensagens inesperadas de bancos ou entidades públicas a confirmar contas ou empréstimos que não reconhece; podem ser um sinal de que a sua identidade está a ser usada.
- Ao detetar qualquer irregularidade, apresente queixa às autoridades e comunique de imediato às instituições envolvidas.
Porque é que isto importa em Portugal
O caso toca em vários pilares do enquadramento legal português e europeu. Desde logo, o Regulamento Geral sobre a Proteção de Dados (RGPD): dados pessoais tratados no âmbito de um serviço público foram desviados da sua finalidade e usados contra os próprios titulares, o que impõe às entidades públicas deveres reforçados de segurança, controlo de acessos e capacidade de auditoria. O abuso de credenciais internas para aceder a dados de identidade dos cidadãos é exatamente o tipo de risco que as medidas técnicas e organizativas do RGPD procuram mitigar.
Depois, há a dimensão da cibersegurança das infraestruturas do Estado. Com a entrada em vigor do novo Regime Jurídico da Cibersegurança (Decreto-Lei n.º 125/2025), que transpõe para a ordem interna a Diretiva NIS2, aumentam as exigências de gestão de risco, controlo de acessos e resposta a incidentes para entidades essenciais e importantes — incluindo a Administração Pública. Casos como este reforçam a importância de as organizações públicas seguirem as orientações do Centro Nacional de Cibersegurança (CNCS) e do CERT.PT em matéria de gestão de identidades e monitorização de acessos privilegiados.
Por fim, a mensagem para PME e organizações em geral é clara: a segurança não termina na fronteira externa da rede. Um colaborador com acesso legítimo e más intenções pode causar danos comparáveis aos de um ataque sofisticado. Investir na gestão de acessos, na rastreabilidade e numa cultura de segurança interna é tão decisivo quanto proteger o perímetro contra ameaças externas.
Perguntas frequentes
O que fez o técnico informático condenado neste caso?
Entre novembro de 2021 e junho de 2023, um técnico informático do IGFEJ usou credenciais de dois funcionários do IRN para acedar ao sistema interno e criar Chaves Móveis Digitais em nome de nove cidadãos, sem o seu conhecimento, usando-as depois para abrir contas bancárias e contrair empréstimos em nome das vítimas.
Qual foi a pena aplicada?
Nove anos e seis meses de prisão, por noventa e dois crimes que incluem abuso de poder, furto, burla informática qualificada, falsificação de documento e acesso ilegítimo agravado. A decisão foi confirmada pelo Supremo Tribunal de Justiça.
Qual foi o prejuízo causado às vítimas?
As nove pessoas lesadas sofreram um prejuízo total de 36.614,68 euros, resultante de créditos bancários e empréstimos contraídos em seu nome sem o seu conhecimento.
Que lições de cibersegurança este caso traz para organizações do Estado?
O caso expõe o risco de ameaças internas em infraestruturas críticas: um único acesso privilegiado mal supervisionado permitiu fraude prolongada. O RGPD e o Regime Jurídico da Cibersegurança, que transpõe a NIS2, reforçam a necessidade de controlo de acessos, segregação de funções e auditoria contínua a quem gere sistemas sensíveis do Estado.
Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pelo Departamento Central de Investigação e Ação Penal (DCIAP)/Ministério Público e por decisões judiciais tornadas públicas.