O ministro da Defesa Nacional, Nuno Melo, revelou na segunda-feira, 2 de novembro, que o seu telemóvel foi comprometido. Terceiros usaram o seu número para enviar mensagens no WhatsApp em seu nome, incluindo pelo menos um pedido de transferência de dinheiro. Segundo o próprio, o aparelho já não recebia atualizações de software, e terá sido por essa falha que os atacantes entraram. O problema foi resolvido com a troca do equipamento. O caso surge poucas semanas depois de a PSP ter alertado para sequestros de contas de WhatsApp em telemóveis desatualizados, um esquema já detetado em Itália e Espanha.
Resposta rápida: O telemóvel do ministro da Defesa, que já não recebia atualizações, foi comprometido e usado para pedir dinheiro aos contactos através do WhatsApp. Ainda não se sabe exatamente como o ataque foi feito. Se o seu telemóvel já não recebe atualizações do sistema operativo, está mais exposto. Atualize o sistema e a aplicação, verifique os dispositivos associados ao WhatsApp, ative a verificação em dois passos e confirme sempre por outro meio qualquer pedido de dinheiro.
O que aconteceu ao telemóvel do ministro
Segundo declarações à agência Lusa, citadas pela TSF, Nuno Melo explicou que o ataque envolveu o “desvio de comunicações” e a duplicação de contactos, o que permitiu a terceiros enviar mensagens através da aplicação WhatsApp fazendo-se passar pelo governante. O ministro estava em Atenas quando falou à Lusa. Explicou que foi informado de que o ataque terá explorado as vulnerabilidades do telemóvel, por este já não permitir instalar atualizações de software.
Nuno Melo só soube do ataque por acaso. O ataque foi descoberto quando o assessor de imprensa que acompanhava o governante recebeu uma mensagem suspeita. Segundo fonte oficial do Ministério da Defesa Nacional, a mensagem enviada em nome de Nuno Melo solicitava uma transferência de dinheiro, tendo sido acionados os protocolos de segurança após a deteção do ataque informático, atribuído a um vírus.
Ainda faltam detalhes importantes. Até ao momento, não está esclarecido de que forma os atacantes conseguiram utilizar o número de Nuno Melo. Também não foi divulgado publicamente o modelo do equipamento, o sistema operativo nem quantos contactos receberam mensagens fraudulentas. O ministério também não indicou se alguém chegou a transferir dinheiro.
Um aparelho sem atualizações é uma porta aberta
O ministro resumiu o problema assim: “Enquanto a atualização não é feita, há um espaço aberto a intrusões.” O próprio WhatsApp chama a atenção para este risco. Na página de sistemas operativos suportados, a empresa indica que suporta atualmente telemóveis Android com sistema 6.0 ou mais recente e iPhones com iOS 15.1 ou mais recente; a partir de 30 de novembro de 2026, só serão suportadas as versões iOS 15.5 e seguintes. Explica ainda que, todos os anos, avalia quais os dispositivos e sistemas mais antigos e com menos utilizadores, e que estes dispositivos podem não ter as atualizações de segurança mais recentes.
A plataforma também já começou a agir. O WhatsApp começou a impedir gradualmente o login de alguns usuários em celulares com versões muito antigas do Android ou do iOS, segundo o WABetaInfo, e o aviso apresentado aos utilizadores refere que sistemas desatualizados podem deixar o aparelho mais exposto a malwares. Para quem usa telemóveis sem suporte do fabricante, a solução costuma ser trocar de equipamento, como fez o ministro.
Um esquema que as autoridades já tinham sinalizado
Em setembro, a PSP alertou para um esquema que permite que os burlões assumam total controlo das contas sem que sejam pedidos códigos de acesso. Neste esquema, quem é contactado recebe uma mensagem com um pedido urgente de dinheiro por parte de um familiar ou amigo, mas estes não ficam visíveis no telemóvel do verdadeiro titular. Os primeiros casos deste tipo de ataque foram identificados em Itália, em Maio, tendo posteriormente sido registadas ocorrências em Espanha. Na altura, em Portugal, ainda não há registo de participações semelhantes, mas a PSP considerou a ameaça relevante.
De acordo com a informação divulgada pela PSP, o alerta refere uma vulnerabilidade existente em versões do iOS anteriores à 16.7.12, que, em conjunto com uma falha do WhatsApp, poderá permitir a exploração da conta. A PSP recomendou sobretudo a confirmação de pedidos de dinheiro através de um canal alternativo ao Whatsapp e a atualização regular dos dispositivos móveis.
As autoridades não estabeleceram oficialmente uma ligação entre o caso do ministro e este esquema. O desfecho é parecido: um aparelho sem atualizações, mensagens enviadas em nome do titular e pedidos de dinheiro aos contactos. Mas o vetor técnico usado contra o telemóvel de Nuno Melo continua por confirmar.
As vulnerabilidades conhecidas por detrás deste tipo de ataque
O alerta da PSP corresponde a duas falhas documentadas pelos fabricantes em 2025. Num aviso de segurança, o WhatsApp descreveu a CVE-2025-55177 como uma autorização incompleta das mensagens de sincronização de dispositivos associados no WhatsApp para iOS anterior à v2.25.21.73, WhatsApp Business para iOS v2.25.21.78 e WhatsApp para Mac v2.25.21.78. A empresa admitiu que esta falha, em combinação com uma vulnerabilidade do sistema operativo das plataformas Apple (CVE-2025-43300), poderá ter sido explorada num ataque sofisticado contra utilizadores específicos.
| Identificador | Produto | Natureza | Versões corrigidas |
|---|---|---|---|
CVE-2025-55177 | WhatsApp (iOS e Mac) | Autorização incompleta na sincronização de dispositivos associados; CVSS 5,4 (classificação da Meta) | WhatsApp iOS 2.25.21.73; WhatsApp Business iOS e Mac 2.25.21.78 |
CVE-2025-43300 | Apple iOS, iPadOS e macOS (ImageIO) | Escrita fora dos limites de memória ao processar imagens maliciosas; consta do catálogo KEV da CISA | iOS/iPadOS 15.8.5, 16.7.12 e 18.6.2; iPadOS 17.7.10; macOS 13.7.8, 14.7.8 e 15.6.1 |
Segundo o NIST, a falha da Apple foi corrigida no iOS 15.8.5 e iPadOS 15.8.5, iOS 16.7.12 e iPadOS 16.7.12, iOS 18.6.2 e iPadOS 18.6.2, iPadOS 17.7.10, macOS Sequoia 15.6.1, macOS Sonoma 14.7.8 e macOS Ventura 13.7.8. A versão 16.7.12 destinou-se a modelos mais antigos: iPhone 8, iPhone 8 Plus, iPhone X, iPad (5.ª geração), iPad Pro de 9,7 polegadas e iPad Pro de 12,9 polegadas (1.ª geração). Quem não instalou estas atualizações continua exposto.
| Data | Acontecimento |
|---|---|
| 20 de agosto de 2025 | A Apple corrige a CVE-2025-43300 |
| 29 de agosto de 2025 | Publicação da CVE-2025-55177 (WhatsApp) |
| 15 de setembro de 2025 | A Apple lança o iOS 16.7.12 para modelos antigos |
| Maio de 2026 | Primeiros casos de sequestro de contas em Itália, seguidos de Espanha |
| 8 de setembro de 2026 | O WhatsApp passa a exigir Android 6.0 ou posterior |
| Setembro de 2026 | A PSP alerta para o esquema em Portugal |
| 2 de novembro de 2026 | Nuno Melo revela o comprometimento do seu telemóvel |
| 30 de novembro de 2026 | O WhatsApp passa a exigir iOS 15.5 ou posterior |
Como proteger a sua conta de WhatsApp
Quando há suspeita de que a conta foi comprometida, o INCIBE, o organismo espanhol de cibersegurança, recomenda verificar a área “Dispositivos associados” do WhatsApp e terminar as sessões que não sejam reconhecidas. As recomendações das várias autoridades resumem-se nos seguintes passos:
- Confirmar a versão do sistema operativo (no iPhone, em
Definições > Geral > Atualização de software) e instalar todas as atualizações disponíveis, tanto do sistema como do WhatsApp. - Abrir
Dispositivos associadosno WhatsApp e terminar qualquer sessão que não reconheça. - Ativar a verificação em dois passos, com PIN, e nunca partilhar esse PIN nem códigos recebidos por SMS.
- Confirmar sempre por telefone, ou por outro canal, qualquer pedido de dinheiro recebido por mensagem, mesmo que venha de um contacto conhecido.
- Substituir os equipamentos que o fabricante deixou de atualizar, sobretudo os usados por decisores e por quem tem acesso a informação sensível.
Porque é que este caso importa em Portugal
O caso mostra que mesmo um membro do Governo pode ser vítima de um esquema muito comum. Basta um telemóvel sem atualizações. A conta de mensagens de um decisor tem valor que vai além da burla imediata. Dá acesso a uma rede de contactos de confiança, que pode ser usada para fraude, recolha de informação ou ataques mais dirigidos.
Para as organizações, a questão é de governação. O Regime Jurídico da Cibersegurança (Decreto-Lei n.º 125/2025, que transpõe a NIS2) exige que as entidades abrangidas giram os riscos dos seus ativos, e isso inclui os dispositivos móveis dos dirigentes. Ter um inventário de equipamentos, definir prazos de fim de vida e exigir atualizações são medidas básicas. Se o telemóvel comprometido tiver dados pessoais de terceiros, pode ainda tratar-se de uma violação de dados ao abrigo do RGPD, a avaliar e, se for o caso, notificar à CNPD.
Os cidadãos que recebam mensagens suspeitas devem guardar as provas e apresentar queixa às autoridades policiais. Os incidentes também podem ser reportados ao CNCS/CERT.PT. Para PME e famílias, a lição é simples: um telemóvel que já não recebe atualizações de segurança não é seguro.
Perguntas frequentes
Como foi atacado o telemóvel de Nuno Melo?
Segundo o ministro, o ataque terá explorado vulnerabilidades de um telemóvel que já não recebia atualizações de software. Isso permitiu desviar comunicações e enviar mensagens no WhatsApp em seu nome. O vetor técnico exato não foi divulgado.
É possível roubar uma conta de WhatsApp sem a vítima partilhar códigos?
Sim. Segundo a PSP, em telemóveis desatualizados há falhas conhecidas que podem permitir o controlo da conta sem que a vítima clique em ligações ou partilhe códigos. É o caso da combinação das falhas CVE-2025-55177 (WhatsApp) e CVE-2025-43300 (Apple).
Como sei se alguém tem acesso à minha conta?
Abra a secção Dispositivos associados no WhatsApp e termine as sessões que não reconheça. Desconfie também se algum contacto disser que recebeu mensagens suas que não aparecem no seu telemóvel.
O que devo fazer se receber um pedido de dinheiro de um contacto conhecido?
Não faça a transferência sem confirmar o pedido por outro meio, por exemplo com uma chamada de voz para o número habitual. Se confirmar que é burla, guarde as provas, avise o contacto e apresente queixa às autoridades.
Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pela agência Lusa, via TSF, pelo WhatsApp (avisos de segurança), pela Central de Ajuda do WhatsApp e pelo NIST (NVD).