Os ataques de ransomware contra entidades governamentais atingiram um novo patamar no primeiro semestre de 2026: em média, um organismo público foi comprometido por dia em todo o mundo. Segundo dados divulgados pela empresa de investigação Comparitech, foram registados 187 ataques entre janeiro e junho de 2026, um aumento de 13% face aos 165 incidentes contabilizados no segundo semestre de 2025. A tendência confirma o que o Centro Nacional de Cibersegurança (CNCS) tem vindo a alertar em Portugal: a Administração Pública mantém-se entre os alvos mais expostos.
Resposta rápida: A Comparitech registou 187 ataques de ransomware a organismos públicos no primeiro semestre de 2026, uma média de um por dia e mais 13% do que no semestre anterior. O grupo The Gentlemen destacou-se como o mais ativo neste setor. Em Portugal, com o novo Regime Jurídico da Cibersegurança (Decreto-Lei n.º 125/2025) já em vigor, as entidades abrangidas devem reforçar cópias de segurança, autenticação multifator e planos de resposta a incidentes, e notificar incidentes significativos ao CNCS em 24 horas.
O que revelam os números da Comparitech
De acordo com o estudo publicado a 16 de julho, a Comparitech contabilizou 187 ataques de ransomware a entidades governamentais em todo o mundo entre janeiro e junho de 2026. Distribuídos por 182 dias, estes números traduzem-se numa média de aproximadamente um incidente por dia. Dos 187 ataques registados, 89 foram confirmados pelas próprias entidades visadas, enquanto os restantes foram reivindicados por grupos criminosos nos respetivos sítios de fuga de dados, sem confirmação pública das vítimas.
A distribuição trimestral mostra uma atividade elevada mas com ligeira desaceleração no segundo trimestre. Foram registados 102 ataques no primeiro trimestre e 85 no segundo, dos quais 89 confirmados e 98 não confirmados no total do semestre. É importante contextualizar: no primeiro semestre de 2025 a mesma empresa tinha contabilizado 208 ataques a organismos públicos, pelo que os valores oscilam ao longo do tempo, em parte porque muitas reivindicações só surgem semanas ou meses após o ataque.
Onde os ataques se concentram
Geograficamente, os Estados Unidos continuam a ser o principal alvo. Os EUA concentraram 58 ataques, cerca de 31% do total global, seguidos da Alemanha com nove, França com oito e África do Sul com seis incidentes. Curiosamente, apesar de liderarem em números absolutos, os ataques a agências governamentais norte-americanas caíram 23% entre o segundo semestre de 2025 e o primeiro de 2026.
No que toca aos grupos responsáveis, um nome domina esta edição do relatório. O The Gentlemen foi o grupo mais prolífico contra organismos públicos, reivindicando 22 ataques, seguido do Qilin com 21, do LockBit com 14, do APT73/BASHE com 12 e do INC com 10. Entre os ataques confirmados, o The Gentlemen liderou com 10 incidentes, à frente do Qilin com nove, do LockBit com sete e do INC com seis. O salto do The Gentlemen é notável: o grupo passou de um único ataque a agências governamentais no segundo semestre de 2025 para 22 no semestre seguinte, embora parte dessa subida se explique pelo facto de o grupo apenas ter emergido em setembro de 2025.
Resgates mais baixos, impacto igualmente elevado
Um dado aparentemente positivo esconde nuances importantes. A exigência mediana de resgate caiu para 100 mil dólares no primeiro semestre de 2026, uma descida acentuada face aos 500 mil dólares do semestre anterior. No entanto, valores mais baixos não significam menor perigo. Vários casos ilustram a gravidade dos episódios: o Land and Agricultural Development Bank da África do Sul recusou uma exigência de 3,1 milhões de dólares após um ataque em janeiro de 2026, tendo os sistemas sido restaurados apenas em abril.
Outros exemplos reforçam o padrão de dupla extorsão — cifra dos sistemas e ameaça de divulgação de dados. O município norueguês de Lørenskog foi confrontado com um pedido de 1,18 milhões de dólares (20 BTC) sobre dados alegadamente furtados num ataque de abril de 2026, e nos EUA o condado de Passaic recebeu uma exigência de 800 mil dólares do grupo Medusa em março de 2026. Quanto ao impacto em dados pessoais, o número de pessoas afetadas por fugas de dados na sequência de ataques a entidades governamentais situava-se em pouco menos de 179 mil.
| Indicador (H1 2026) | Valor |
|---|---|
| Ataques a organismos públicos | 187 (89 confirmados) |
| Variação face a H2 2025 | +13% (de 165) |
| Média diária | ≈ 1 ataque/dia |
| País mais visado | EUA (58 ataques, 31%) |
| Grupo mais ativo | The Gentlemen (22 reivindicações) |
| Exigência mediana de resgate | 100 mil USD (descida face a 500 mil) |
O quadro mais amplo: ransomware em máximos históricos
Os ataques ao setor público inserem-se numa tendência global de crescimento. No conjunto de todos os setores, a Comparitech registou 4.217 ataques de ransomware no primeiro semestre de 2026, uma média de 23 por dia e mais 11% do que no segundo semestre de 2025. Ao nível global, o Qilin foi o grupo mais prolífico com 641 vítimas, seguido do The Gentlemen com 464 e do Akira com 317. A indústria transformadora mantém-se como o alvo empresarial mais atingido.
Como se proteger: medidas concretas
O CNCS descreve o ransomware como software malicioso que, depois de instalado, furta e/ou cifra dados relevantes, tornando o sistema inoperacional, com os atacantes a exigirem depois um resgate, normalmente em criptomoedas. Entre os vetores mais comuns, o CNCS destaca a exploração de vulnerabilidades técnicas em software de uso generalizado e o abuso de formas de acesso remoto como o RDP. As medidas prioritárias incluem:
- Manter cópias de segurança (backups) offline ou imutáveis e testar regularmente a sua restauração.
- Ativar autenticação multifator (MFA) em todos os acessos, sobretudo remotos e privilegiados. Restringir ou proteger o
RDP. - Aplicar atualizações de segurança com prontidão, com particular atenção a vulnerabilidades exploradas em campanhas de ransomware.
- Segmentar a rede para limitar o movimento lateral e conter a propagação de um ataque.
- Formar colaboradores contra phishing e engenharia social, ainda entre os principais pontos de entrada.
- Ter um plano de resposta a incidentes testado, com procedimentos claros de comunicação e recuperação.
Porque importa para Portugal
O panorama internacional ecoa a realidade nacional. Na 6.ª edição do Relatório de Cibersegurança, o CNCS identificou a Administração Pública, os operadores de serviços essenciais e os prestadores de serviços digitais como setores particularmente vulneráveis, num ano de 2024 marcado por incidentes de grande impacto como ransomware, ataques DDoS e fugas de credenciais. Segundo o relatório mais recente, as câmaras municipais têm sido um alvo preferencial, com um aumento de 9,4 pontos percentuais nos incidentes desde 2021, e em 2024 cerca de 25% dos municípios reportaram ter detetado incidentes.
Este contexto ganha relevância acrescida com o novo enquadramento legal. O Decreto-Lei n.º 125/2025, publicado a 4 de dezembro de 2025 e em vigor desde 3 de abril de 2026, transpõe a Diretiva NIS2 e aprova o novo Regime Jurídico da Cibersegurança em Portugal. O diploma alarga significativamente o universo de entidades abrangidas, incluindo entidades essenciais, importantes e públicas relevantes. Entre as obrigações centrais está a notificação de incidentes: a comunicação inicial deve ocorrer em 24 horas e o relatório final em 30 dias.
O quadro foi entretanto concretizado pelo Regulamento do Regime Jurídico da Cibersegurança (Regulamento n.º 756/2026), em vigor desde 23 de junho de 2026, que estabelece o funcionamento da plataforma eletrónica, as regras de comunicação com o CNCS e as medidas mínimas de segurança. A par das obrigações da NIS2, importa lembrar que uma fuga de dados pessoais na sequência de um ataque de ransomware aciona também as obrigações do RGPD, incluindo a eventual notificação à CNPD e aos titulares dos dados. Para cidadãos, PME e organismos públicos, a mensagem é clara: o ransomware deixou de ser um risco pontual para se tornar uma ameaça diária, e a resiliência mede-se sobretudo pela capacidade de prevenir, detetar e recuperar.
Perguntas frequentes
Quantos ataques de ransomware atingiram organismos públicos em 2026?
Segundo a Comparitech, foram registados 187 ataques de ransomware contra entidades governamentais no primeiro semestre de 2026 — uma média de um por dia — face a 165 no semestre anterior, um aumento de 13%.
Os valores de resgate estão a descer?
Sim, a exigência mediana de resgate caiu para 100 mil dólares no primeiro semestre de 2026, face a 500 mil dólares no semestre anterior. No entanto, valores mais baixos não significam menor perigo: vários casos envolveram semanas ou meses de interrupção de serviços.
O que é a dupla extorsão em ataques de ransomware?
É uma técnica em que os atacantes não só cifram os sistemas da vítima, tornando-os inacessíveis, como também roubam dados antes da cifra e ameaçam divulgá-los publicamente caso o resgate não seja pago, duplicando a pressão sobre a organização visada.
Que obrigações legais têm as entidades públicas portuguesas perante um ataque de ransomware?
O Regime Jurídico da Cibersegurança, que transpõe a NIS2 e está em vigor desde 3 de abril de 2026, impõe deveres de gestão de risco e notificação de incidentes significativos ao CNCS. Se houver exposição de dados pessoais, aciona-se ainda o dever de notificação à CNPD ao abrigo do RGPD.
Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pela Comparitech, pelo Centro Nacional de Cibersegurança (CNCS) e no Decreto-Lei n.º 125/2025.