Uma fuga de milhares de documentos internos de uma das mais prestigiadas universidades técnicas da Rússia veio expor aquilo que investigadores descrevem como uma linha de montagem de operacionais de ciberoperações militares. O material, analisado por um consórcio internacional de jornalistas e, mais tarde, por analistas de threat intelligence, aponta para um departamento oculto na Universidade Técnica Estatal Bauman, em Moscovo, que preparava alunos para unidades associadas ao GRU — incluindo as que a comunidade de segurança conhece pelos nomes APT28 e Sandworm. O caso voltou a circular esta semana depois de ter sido destacado no blogue de Bruce Schneier.
Resposta rápida: Documentos internos da Universidade Bauman, em Moscovo, indicam a existência de um “Departamento n.º 4” que treinava pessoal para componentes do Estado-Maior russo e encaminhava diplomados para unidades ligadas ao GRU. A fuga não revela nova campanha, nem novo malware, nem indicadores de compromisso inéditos: o seu valor é de contexto estratégico. Para organizações em Portugal, a conclusão prática é de higiene defensiva — reforçar autenticação resistente a phishing, corrigir sistemas expostos e vigiar acessos a contas de nuvem. Entidades abrangidas pelo Regime Jurídico da Cibersegurança devem revisitar a sua avaliação de risco face a ameaças ligadas a Estados.
O que foi divulgado — e por quem
A investigação jornalística original assenta num acervo considerável: o The Insider, em conjunto com o Le Monde, o Der Spiegel, o The Guardian, o Delfi e o VSquare, analisou mais de 2000 documentos internos da Universidade Bauman, incluindo currículos, contratos, material de propaganda, apresentações, fotografias de aulas e listas de estudantes, diplomados e docentes relativos aos anos de 2022 a 2024.
Semanas depois, a equipa da DomainTools Investigations (DTI) publicou uma análise técnica autónoma. Os documentos, examinados pelo consórcio de meios de comunicação, descrevem uma unidade dissimulada conhecida como Departamento n.º 4 (Кафедра № 4) dentro do Centro de Formação Militar da Bauman; a DTI reviu separadamente o acervo que circulou através do fórum de cibercrime “DarkForums RU”. Uma conta do fórum com o nome “Losyash” poderá ter contribuído para distribuir o material, embora o seu papel na obtenção ou primeira publicação dos registos permaneça por confirmar. A publicação única dessa conta limitava-se a anunciar dados militares russos e a apresentar duas ligações para descarregar 1,8 GB de informação.
Quanto à autenticidade, os analistas são prudentes mas convergentes: a investigação ainda não determinou que contas terão sido comprometidas para exfiltrar os ficheiros dos sistemas da universidade, mas as evidências levam os investigadores a considerar que não se trata de uma operação de intoxicação informativa.
Um departamento ausente do organigrama público
O detalhe mais revelador é organizativo. Segundo a investigação, o Departamento n.º 4, também designado “Preparação Especial”, funcionava dentro do Centro de Formação Militar da universidade mas não figurava na estrutura pública da instituição. Na página do Centro de Formação Militar, o Departamento 4 estava convenientemente ausente.
A leitura da DTI vai além da etiqueta simplista de “escola de hackers“: os ficheiros mostram que o departamento era substancialmente mais amplo do que essa descrição, funcionando como instituição de geração de forças ao serviço de várias componentes do Estado-Maior russo — o material interno indica que preparava oficiais para a Direção Principal, a Direção Operacional Principal e a 8.ª Direção, organizações associadas a informações militares, planeamento operacional, comunicações classificadas, criptografia e proteção da informação. O acervo revela, em suma, um sistema institucional repetível para produzir operadores, analistas, planeadores, defensores e pessoal de reserva.
Sobre volumes, convém citar em vez de arredondar. O departamento terá formado cerca de 250 alunos de carreira e de reserva ao longo de seis anos letivos, repartidos por três especialidades principais: serviço especial de informações, efeitos e proteção técnico-informacional, e proteção de tecnologias de informação. A investigação jornalística refere ainda números anuais bastante superiores para o conjunto da formação de reservistas: “em 2024, no 4.º departamento, foram formados 1563 reservistas e 429 candidatos a oficiais contratados em 14 especialidades relevantes para o exército”, lê-se na investigação.
O que se ensinava
O currículo descrito nos documentos combina competências ofensivas e defensivas — o que ajuda a explicar a amplitude das operações russas conhecidas.
- Ataques a palavras-passe, exploração de vulnerabilidades de software, spearphishing, desenvolvimento de troianos, técnicas de DDoS, testes de intrusão, vigilância técnica e reconhecimento eletrónico.
- Criação de malware, propaganda e manipulação informativa, criptografia, análise de código, deteção de intrusões e inspeção de hardware.
- Instrução em sala combinada com exercícios de atacante contra defensor e colocações militares supervisionadas.
Ligações a unidades do GRU — e os limites da atribuição
O trabalho jornalístico identificou diplomados colocados na Unidade Militar 26165 (associada ao APT28) e na Unidade Militar 74455 (associada ao Sandworm), e ligou oficiais superiores — incluindo o antigo comandante da Unidade 26165, Viktor Netyksho — à supervisão dos estudantes. O material associa ainda diplomados e supervisores às unidades 26165, 74455 e 29155.
Aqui entra a cautela metodológica que qualquer leitura séria exige: os relatórios não estabelecem que todos os diplomados listados participaram numa operação identificada, pelo que as afetações devem ser descritas como colocações reportadas em unidades e não como prova de envolvimento operacional individual.
| Data | Marco |
|---|---|
| 2022–2024 | Período coberto pelos documentos internos analisados pelo consórcio |
| Maio de 2026 | Publicação da investigação conjunta (The Insider, Le Monde, Der Spiegel, The Guardian, Delfi, VSquare) |
| Julho de 2026 | Última atividade registada da conta de fórum associada à distribuição do acervo |
| Finais de agosto de 2026 | Relatório técnico da DomainTools Investigations sobre o acervo |
| 1 de setembro de 2026 | Caso destacado no blogue de Bruce Schneier, reacendendo a discussão |
Não há IOCs novos — e isso é o ponto
É importante gerir expectativas de quem procura acionáveis imediatos. Os registos não identificam uma nova campanha de vítimas nem um novo implante; descrevem antes como competências técnicas, planeamento operacional e trabalho de informações são desenvolvidos em conjunto, ajudando a explicar a persistência e o alcance da atividade cibernética ligada às forças armadas russas. Não há, portanto, hashes, domínios ou endereços IP inéditos a introduzir em regras de deteção.
O valor defensivo é outro: a fuga reforça a necessidade de acompanhar as operações russas como ameaça combinada — espionagem, atividade destrutiva, reconhecimento militar, vigilância técnica e campanhas de influência podem apoiar-se em canais de pessoal relacionados e em doutrina sobreposta. Em termos práticos, isso significa priorizar o que já se sabe sobre estes atores: a análise do NCSC britânico ao malware AUTHENTIC ANTICS mostra que foi concebido para permitir acesso persistente a contas Microsoft na nuvem, misturando-se com atividade legítima. Autenticação multifator resistente a phishing, revisão de aplicações e tokens OAuth, correção prioritária de equipamentos de fronteira e retenção de registos suficientes continuam a ser as medidas com melhor retorno.
O contexto europeu: sanções e ameaça híbrida
As unidades referidas nos documentos não são desconhecidas de Bruxelas. A União Europeia já adotou medidas restritivas contra três unidades do GRU (29155, 26165 e 74455) e vários indivíduos ligados ao serviço. Em dezembro de 2025, o Conselho listou membros da unidade 29155 do GRU e do grupo de ameaça Cadet Blizzard, elevando para 59 indivíduos e 17 entidades o total abrangido pelas medidas restritivas relativas às atividades desestabilizadoras da Rússia.
Porque é que isto importa em Portugal
Portugal não está fora do mapa destas campanhas: a lógica da ameaça híbrida é oportunista e explora cadeias de fornecimento, prestadores de serviços geridos e entidades de menor maturidade para chegar a alvos maiores. Para as PME, a lição não é preparar-se para um ataque de Estado dirigido, mas reconhecer que as técnicas ensinadas — phishing dirigido, credenciais roubadas, exploração de sistemas expostos — são exatamente as mesmas que a criminalidade comum utiliza todos os dias.
No plano regulatório, o enquadramento nacional já mudou. O Regime Jurídico da Cibersegurança, aprovado pelo Decreto-Lei n.º 125/2025, de 4 de dezembro, entrou em vigor a 3 de abril de 2026 e concretiza a transposição da Diretiva NIS2. O Regulamento n.º 756/2026, de 22 de junho, veio desenvolver essas obrigações, definindo as regras de funcionamento da plataforma eletrónica MyCiber, os procedimentos de registo e qualificação, as obrigações de notificação de incidentes e o Quadro Nacional de Referência para a Cibersegurança. Com o novo regime, o CNCS reforça o seu papel de autoridade nacional de cibersegurança no apoio a entidades públicas e privadas.
Há ainda uma dimensão de proteção de dados a considerar: intrusões com motivação de espionagem envolvem, quase sempre, acesso a dados pessoais de colaboradores, clientes ou cidadãos, o que ativa deveres de notificação ao abrigo do RGPD perante a CNPD, em paralelo com a comunicação de incidentes ao CERT.PT. Documentar previamente quem decide, em que prazo e com que evidências é a diferença entre uma resposta ordenada e uma improvisação sob pressão.
Perguntas frequentes
Esta fuga revela novos ataques em curso?
Não. Os documentos são de natureza institucional — currículos, listas de alunos, correspondência administrativa e planos de estágio. Não identificam vítimas novas, nem malware inédito, nem indicadores de compromisso utilizáveis diretamente em deteção.
Os documentos são autênticos?
Foram analisados por um consórcio de meios internacionais e, separadamente, por analistas de threat intelligence, que consideram a coerência interna dos ficheiros consistente com material genuíno. Ainda assim, não é público como o acervo foi obtido, pelo que se recomenda leitura crítica.
A minha PME deve preocupar-se com o APT28 ou o Sandworm?
Provavelmente não como alvo direto, mas as técnicas descritas coincidem com as usadas por criminosos comuns. Reforçar a autenticação multifator, corrigir sistemas expostos à internet, limitar privilégios e formar as pessoas contra phishing continua a ser a resposta correta.
O que muda com o Regime Jurídico da Cibersegurança neste contexto?
As entidades abrangidas passam a ter de se registar na plataforma MyCiber, adotar medidas mínimas de cibersegurança e notificar incidentes ao CNCS nos prazos previstos. Ameaças ligadas a Estados devem constar explicitamente da análise de risco e dos planos de resposta.
Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pelo consórcio jornalístico liderado pelo The Insider, pela DomainTools Investigations, pelo Conselho da União Europeia, pelo NCSC do Reino Unido e pelo Centro Nacional de Cibersegurança.