O Serviço Público Federal (SPF) Finanças, a autoridade tributária da Bélgica conhecida em neerlandês como FOD Financiën, confirmou ter sido alvo de um ciberataque. Desligou por precaução os principais portais fiscais, MyMinfin, Tax-on-web e Biztax, a poucos dias de um prazo de entrega de declarações. Segundo a administração belga, a intrusão foi detetada e contida em poucas horas, e até agora não há sinais de que tenham sido roubados dados. A reposição dos serviços, porém, ainda não tem data marcada e o prazo fiscal de 31 de outubro passou para 16 de novembro.
Resposta rápida: O fisco belga sofreu um ciberataque na noite de 27 para 28 de outubro e desligou os portais MyMinfin, Tax-on-web e Biztax para isolar os sistemas que podiam estar comprometidos. A entidade diz que o atacante não conseguiu alterar aplicações nem aceder a dados, e o prazo para declarações com rendimentos específicos passou de 31 de outubro para 16 de novembro. O caso mostra a uma organização portuguesa porque deve ter pronto um plano de isolamento rápido e de reposição em ambiente limpo, tal como pede o novo regime de cibersegurança.
O que confirmou a administração fiscal belga
A primeira comunicação saiu na quarta-feira, 28 de outubro, através do portal oficial de notícias do Governo federal belga. Nela, o SPF Finanças informou que os seus serviços digitais estavam a ser alvo de um ciberataque e que o MyMinfin e outros serviços tinham ficado temporariamente inacessíveis por precaução, para limitar os riscos e permitir as intervenções técnicas necessárias à segurança dos sistemas.
No mesmo comunicado, a entidade garantia que até ao momento não havia indícios de fuga de dados nem de que tivessem sido roubados dados, um ponto que continuava a ser investigado e acompanhado de perto. Acrescentava ainda que grande parte das restantes aplicações se mantinha disponível, com funcionalidade total ou parcial.
O MyMinfin é o portal central da relação entre contribuintes e fisco na Bélgica. A agência noticiosa The Record descreve-o como a principal plataforma online do país para gerir assuntos fiscais e financeiros. O Tax-on-web serve para entregar a declaração de IRS dos particulares e o Biztax é a plataforma usada pelas empresas.
Ataque travado em horas, reposição lenta
A 29 de outubro foram divulgados mais pormenores. Segundo declarações do SPF Finanças citadas pelo diário belga La Libre, o ataque aconteceu na noite de terça para quarta-feira e a intrusão foi detetada em poucas horas, como explicou o porta-voz Francis Adyns. O fisco registou várias tentativas de alterar o seu ambiente digital.
A administração afirma que o atacante não chegou longe o suficiente dentro da rede para alterar sistemas ou chegar aos dados. Os elementos que podiam estar infetados foram isolados, os serviços MyMinfin, Tax-on-web e Biztax saíram do ar e a intrusão foi travada com sucesso.
Conter o ataque foi rápido. Repor os serviços está a ser bem mais lento. O SPF Finanças explicou que os serviços têm de ser repostos num ambiente isolado, um processo demorado e feito com as cautelas necessárias para afastar qualquer novo risco. A entidade não sabe ainda quando as plataformas voltarão a estar online. É um procedimento habitual em resposta a incidentes: antes de ligar de novo os sistemas, confirma-se que não ficaram mecanismos de persistência deixados pelo atacante.
Segundo o mesmo jornal, a Polícia Federal e o Centro para a Cibersegurança da Bélgica (CCB) participam na investigação para identificar os autores da intrusão. Não se sabe ainda quem está por trás do ataque nem como entrou. As autoridades belgas não identificaram os responsáveis nem revelaram como os atacantes poderão ter acedido aos sistemas do Estado.
Cronologia do incidente
| Data | Acontecimento |
|---|---|
| 21 de outubro de 2026 | Alerta de segurança internacional sobre vulnerabilidades críticas no PHP; o SPF Finanças desliga vários sites por precaução |
| Noite de 27 para 28 de outubro | Ciberataque contra o ambiente digital do SPF Finanças; deteção de tentativas de alteração dos sistemas |
| 28 de outubro | Comunicado oficial: MyMinfin e outros serviços ficam offline; prometido adiamento de prazos |
| 29 de outubro | Atualização: ataque travado, MyMinfin, Tax-on-web e Biztax isolados; Polícia Federal e CCB investigam |
| 31 de outubro | Prazo original para declarações com rendimentos específicos |
| 16 de novembro | Novo prazo anunciado para essas declarações |
Prazo fiscal adiado para 16 de novembro
O ataque chegou numa altura sensível do calendário fiscal belga. No primeiro comunicado, o SPF Finanças reconheceu os efeitos nos prazos e prometeu um prazo suficiente para a entrega das declarações com rendimentos específicos. A data concreta veio no dia seguinte: o prazo para declarar rendimentos especiais, inicialmente fixado em 31 de outubro, passou para 16 de novembro.
Este prazo abrange sobretudo trabalhadores independentes e contribuintes com rendimentos de origem estrangeira, que costumam entregar a declaração mais tarde do que os restantes. O serviço telefónico do fisco belga continuou a funcionar durante a interrupção.
Um mês agitado para a administração pública belga
Este não foi o primeiro incidente de outubro a afetar a administração pública belga. Segundo a The Record, o ataque acontece depois de um alerta de segurança, no início do mês, que levou as autoridades a desligar temporariamente vários sites públicos por causa de uma vulnerabilidade de software. Na altura, o SPF Finanças disse ter desligado muitos dos seus sites por precaução devido a um «problema de segurança internacional», sem dar mais pormenores.
Esse episódio coincidiu com a correção de duas falhas críticas no PHP, a 21 de outubro. Nesse dia, o Ministério dos Negócios Estrangeiros belga desligou os seus sites e indicou que o Centro para a Cibersegurança da Bélgica não tinha registado ataques a sites belgas. Até agora, nenhuma fonte oficial ligou esse alerta ao ataque desta semana contra o fisco, e nenhuma ligação deve ser presumida.
Também nessa semana, segundo a imprensa tecnológica belga, um fornecedor externo de software foi alvo de um ciberataque que deixou mais de 100 municípios sem conseguir assinar documentos digitais. Também aqui não foi divulgada qualquer ligação ao caso do SPF Finanças.
O que ainda não se sabe
Até à publicação deste artigo, as autoridades belgas não divulgaram:
- o tipo de ataque (ransomware, intrusão dirigida ou outro) nem o vetor de entrada;
- identificadores CVE, versões de software afetadas ou indicadores de comprometimento (IOCs);
- qualquer reivindicação de autoria por grupos criminosos ou atribuição a um Estado;
- uma data prevista para o regresso do MyMinfin, do Tax-on-web e do Biztax.
A garantia de que não houve fuga de dados assenta na análise feita até agora pela própria entidade, que diz continuar a investigar. Os contribuintes belgas devem desconfiar de mensagens que usem o incidente como isco, por exemplo SMS ou emails a pedir que «revalidem» a conta ou que prometam reembolsos. Este tipo de esquema costuma surgir quando um caso destes ganha visibilidade.
Lições práticas para organizações portuguesas
O caso belga mostra várias boas práticas de resposta a incidentes que qualquer entidade, pública ou privada, pode aplicar:
- Monitorização contínua: neste caso, o atacante foi detetado por estar a tentar alterar o ambiente. Ter registos centralizados e alertas para alterações fora do normal faz diferença;
- Isolamento rápido: aceitar desligar serviços críticos, mesmo perto de um prazo, para travar a progressão do atacante;
- Reposição em ambiente limpo: repor os sistemas a partir de cópias de segurança verificadas e de uma infraestrutura isolada, e não apenas «reiniciar»;
- Comunicação transparente: informar cedo, dizer o que se sabe e o que não se sabe, e dar respostas concretas a quem é afetado, como o novo prazo;
- Planos de continuidade: manter canais alternativos, como o atendimento telefónico, para os serviços essenciais.
Porque é que isto importa em Portugal
Em Portugal, as autoridades fiscais e os organismos da Administração Pública estão abrangidos pelo Regime Jurídico da Cibersegurança (Decreto-Lei n.º 125/2025, que transpõe a NIS2). Este regime exige medidas de gestão de risco, planos de continuidade e notificação de incidentes significativos ao CNCS dentro de prazos apertados. Na lógica da NIS2, isso significa um alerta precoce nas primeiras 24 horas e uma notificação mais completa até às 72 horas. A resposta belga, com isolamento imediato, comunicação pública logo no primeiro dia e envolvimento do centro nacional de cibersegurança e da polícia, corresponde ao que se espera de uma entidade essencial.
Há também a questão da proteção de dados. Se se confirmasse acesso a dados pessoais de contribuintes, a entidade teria de avaliar a notificação da violação à autoridade de controlo e, em certos casos, aos próprios titulares, como obriga o RGPD. Em Portugal, essa autoridade é a CNPD. Para as PME, que dependem cada vez mais de portais públicos para cumprir obrigações fiscais, o episódio lembra que convém não deixar entregas para a última hora e acompanhar sempre os canais oficiais quando há interrupções. Os incidentes podem ser comunicados ao CERT.PT, a equipa de resposta do CNCS.
Perguntas frequentes
Que serviços do fisco belga foram afetados?
O SPF Finanças desligou por precaução o portal MyMinfin, o Tax-on-web (declarações de particulares) e o Biztax (declarações de empresas). Segundo a entidade, grande parte das restantes aplicações continuou disponível, com funcionalidade total ou parcial.
Houve roubo de dados dos contribuintes?
Segundo o SPF Finanças, não há até agora indícios de fuga ou roubo de dados. A entidade diz que o ataque foi travado antes de conseguir alterar sistemas ou aceder a dados, mas a investigação continua.
Qual é o novo prazo para as declarações afetadas?
O prazo para declarações com rendimentos específicos, que terminava a 31 de outubro, passou para 16 de novembro, segundo o SPF Finanças. Não há ainda data para a reposição completa dos portais.
Que obrigações teria uma entidade portuguesa num caso semelhante?
Ao abrigo do Decreto-Lei n.º 125/2025, as entidades abrangidas têm de notificar incidentes significativos ao CNCS dentro dos prazos legais. Se houver dados pessoais envolvidos, aplicam-se também as obrigações de notificação do RGPD à CNPD.
Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pelo SPF Finanças (comunicado em francês), pela FOD Financiën (comunicado em neerlandês), pelo La Libre e pela The Record.