A empresa portuguesa de engenharia LP Group encontra-se no centro de um incidente de cibersegurança depois de o grupo de ransomware Nova ter reivindicado a responsabilidade por uma intrusão nos seus sistemas. O coletivo criminoso alega ter exfiltrado cerca de 10 GB de dados sensíveis da organização, fundada em 2006 e especializada em engenharia de especialidades para obras de grande dimensão em Portugal.
O incidente
O grupo Nova publicou a reivindicação do ataque num fórum da dark web, tornando pública a sua alegada intrusão nos sistemas da LP Group. Os atacantes afirmam ter comprometido dados internos da empresa, embora a natureza específica dos 10 GB de informação exfiltrada não tenha sido confirmada de forma independente. O vetor de ataque — ou seja, o método utilizado para entrar nos sistemas — permanece desconhecido.
A administração da LP Group não emitiu qualquer comunicado público para esclarecer a situação ou confirmar a extensão do incidente. A empresa não respondeu aos pedidos de contacto de órgãos de comunicação especializados que tentaram obter esclarecimentos.
Quem é o grupo Nova
O Nova é um coletivo de ransomware conhecido por utilizar táticas de dupla extorsão: além de encriptar os dados das vítimas, rouba informação sensível e ameaça publicá-la online caso o resgate não seja pago. Esta abordagem aumenta a pressão sobre as organizações atacadas, que enfrentam não apenas a perda de acesso aos seus próprios sistemas, mas também o risco de exposição pública de dados confidenciais — de colaboradores, clientes ou parceiros.
Este modelo de negócio criminoso, designado Ransomware-as-a-Service (RaaS), tornou-se dominante no panorama de ciberameaças global. Os criadores do ransomware licenciam o seu software a afiliados que executam os ataques e partilham uma percentagem dos resgates obtidos — o que permite que grupos com menos capacidade técnica realizem ataques sofisticados contra organizações em qualquer setor.
Contexto: ransomware contra empresas portuguesas
O ataque à LP Group insere-se num padrão preocupante de ataques de ransomware a empresas portuguesas de média dimensão. Estudos do ECO revelam que empresas portuguesas chegam a pagar resgates depois de ataques informáticos e perdem os dados na mesma, evidenciando que o pagamento não garante a recuperação da informação. As PMEs e empresas do setor da construção e engenharia são alvos frequentes porque, em geral, têm menos recursos dedicados à cibersegurança do que as grandes corporações.
De acordo com o CNCS, os incidentes de segurança informática em Portugal aumentaram significativamente nos últimos anos, com os ataques de ransomware a representar uma fatia crescente dos casos mais graves reportados ao CERT.PT.
Obrigações legais em caso de violação de dados
Se o incidente envolver dados pessoais de colaboradores, clientes ou parceiros da LP Group, a empresa fica obrigada, ao abrigo do RGPD, a notificar a Comissão Nacional de Proteção de Dados (CNPD) no prazo de 72 horas após tomar conhecimento da violação. Caso o risco para os titulares dos dados seja elevado, a notificação deve ser extensível às próprias pessoas afetadas.
O incumprimento desta obrigação pode resultar em coimas significativas, para além das consequências reputacionais já associadas ao próprio incidente.
Como as organizações devem responder
- Isolar os sistemas afetados imediatamente para conter a propagação.
- Não pagar o resgate — o pagamento não garante a recuperação dos dados e financia atividade criminosa.
- Contactar o CERT.PT e as autoridades competentes (Polícia Judiciária — UNC3T).
- Notificar a CNPD se houver dados pessoais envolvidos, dentro do prazo legal de 72 horas.
- Recorrer a especialistas forenses para preservar evidências e identificar o vetor de ataque.
Esta informação tem carácter noticioso e baseia-se em dados divulgados publicamente. A Cibersegurança.PT tentou obter confirmação adicional junto da LP Group, sem resposta até à publicação.