Uma das principais plataformas de administração eletrónica da Polónia está fora de serviço desde a noite de terça-feira, 10 de novembro de 2026. O ePUAP foi alvo de um ciberataque que o Governo diz ter detetado e travado, e a desconexão que se seguiu foi uma opção preventiva do Ministério dos Assuntos Digitais. O regresso ao funcionamento pleno continua sem data.
Resposta rápida: O ePUAP, plataforma polaca de comunicação eletrónica com a administração pública, está desligado desde a noite de 10 de novembro de 2026, após um ciberataque que o Governo afirma ter travado. Segundo o ministério, o sistema não foi comprometido e a desconexão foi preventiva. Não há autoria atribuída nem indicação pública de fuga de dados. Para as organizações portuguesas, o caso é um bom motivo para rever planos de continuidade e canais alternativos.
O que aconteceu
O anúncio partiu do vice-primeiro-ministro e ministro dos Assuntos Digitais, Krzysztof Gawkowski, numa publicação na rede X pouco antes das 21h00 locais. Nas palavras do governante, o ataque foi «detetado e travado». A estabilidade do sistema terá sido preservada pela reação imediata das equipas de segurança, de acordo com a mesma mensagem.
O apuramento do incidente ficou também a cargo da Agência de Segurança Interna (ABW), e o ministro afastou riscos para a infraestrutura do Centralny Ośrodek Informatyki (COI). É este organismo estatal que mantém os principais serviços digitais do país, ePUAP incluído.
A explicação para a indisponibilidade chegou já depois das 23h00, pela voz de Marek Gieorgica, diretor do gabinete de comunicação do ministério, em declarações à agência PAP: os atacantes não comprometeram o sistema nem perturbaram o seu funcionamento, e a desconexão resultou de uma decisão interna de precaução.
Cronologia conhecida
| Momento (hora da Polónia) | Acontecimento |
|---|---|
| 10 de novembro, pouco antes das 21h00 | Publicação do ministro Gawkowski na rede X dá a conhecer o ataque ao ePUAP |
| 10 de novembro, depois das 23h00 | Decisão de desligar o ePUAP por precaução |
| 11 de novembro, manhã | Ministério condiciona a reposição ao fim dos trabalhos do COI e não avança data |
| 11 de novembro, 14h30 | Aviso de indisponibilidade das caixas eletrónicas mantém-se no portal |
O que está afetado
O ePUAP é o sistema nacional através do qual se entregam requerimentos e documentos aos organismos públicos polacos. Quem acede ao portal encontra um aviso de indisponibilidade das caixas de correio eletrónicas, que abrange tanto cidadãos como serviços do Estado. O The Record acrescenta um possível efeito colateral: perturbações temporárias no Perfil de Confiança (Profil Zaufany), a identidade digital com que os polacos entram nos serviços públicos e assinam documentos.
O impacto direto sobre cidadãos e empresas é atenuado por uma mudança recente. O canal eletrónico para contactar os serviços públicos passou a ser, desde o início do ano, o e-Doręczenia, lembra o portal especializado CyberDefence24. As caixas do ePUAP sobrevivem em situações específicas, como a correspondência entre organismos e a comunicação com os tribunais administrativos.
O que falta esclarecer
Sobre o vetor de entrada e a autoria, o silêncio oficial mantém-se. Uma eventual exposição de dados de utilizadores também não consta de nenhuma comunicação conhecida. Até ao momento não foram publicados identificadores CVE, indicadores de comprometimento (IOCs) nem qualquer descrição técnica do ataque, pelo que não é possível classificar o incidente.
Um país sob pressão constante
Dados da Microsoft citados pela televisão pública TVP World colocam a Polónia no grupo dos dez países mais visados por grupos ligados ao Estado russo entre julho de 2025 e junho de 2026. O episódio tem antecedentes. Os registos do Estado, onde se inclui o sistema de identificação PESEL, estiveram condicionados em 2025 por um incidente que a imprensa local associou a um ataque de negação de serviço (DDoS).
No mesmo dia do ataque, o Governo polaco inscreveu na sua agenda legislativa as linhas gerais de um projeto de lei do Ministério dos Assuntos Digitais para reforçar a proteção de dados e a cibersegurança.
Porque importa em Portugal
Portugal depende igualmente de plataformas centrais de identidade e serviços públicos digitais, como a Chave Móvel Digital e o portal gov.pt. O caso polaco mostra que a indisponibilidade pode resultar de uma decisão defensiva, mesmo quando o ataque não chega a causar danos.
A administração pública está abrangida pelo Regime Jurídico da Cibersegurança (Decreto-Lei n.º 125/2025, que transpõe a NIS2), que exige gestão de risco, continuidade de atividade e notificação de incidentes significativos ao CNCS/CERT.PT. Se houver dados pessoais afetados, aplica-se ainda o RGPD, com notificação à CNPD em 72 horas. Algumas medidas práticas para PME e organismos públicos:
- Confirmar que o plano de continuidade prevê canais alternativos quando uma plataforma pública ou um fornecedor crítico fica indisponível.
- Definir previamente quem decide desligar um sistema por precaução e com que critérios.
- Preparar uma comunicação clara aos utilizadores sobre o que funciona e o que não funciona.
- Alertar os colaboradores para mensagens fraudulentas que exploram falhas de serviços públicos.
Perguntas frequentes
O que é o ePUAP?
É a plataforma eletrónica de serviços da administração pública polaca. Serve para entregar documentos e requerimentos online e assiná-los com o Perfil de Confiança, a identidade digital apoiada pelo Estado.
O sistema foi comprometido?
Segundo o ministério polaco, não. A indisponibilidade deve-se a uma escolha consciente dos administradores, e não a uma quebra das defesas. A investigação ainda decorre.
Quem está por detrás do ataque?
Não se sabe. As autoridades polacas não atribuíram o ataque nem explicaram como foi executado. O caso está a ser investigado com a participação da Agência de Segurança Interna (ABW).
Quando volta o ePUAP a funcionar?
Não há data. A reposição total só avança quando a equipa do COI terminar os trabalhos e afastar qualquer ameaça ao funcionamento do sistema.
Esta informação tem caráter noticioso e baseia-se em declarações públicas do Ministério dos Assuntos Digitais da Polónia, reportadas por The Record, TVP World e CyberDefence24.