A administração federal suíça revelou esta semana que os servidores SharePoint operados pelo Bundesamt für Informatik und Telekommunikation (BIT) — o organismo federal de informática e telecomunicações — foram alvo de um ciberataque que comprometeu cerca de 200 contas. Segundo o BIT, os atacantes desconhecidos terão explorado vulnerabilidades no software SharePoint da Microsoft, cujas falhas foram divulgadas em meados de julho. O acesso via Internet para utilizadores externos à administração federal foi bloqueado e os servidores afetados estão a ser reconstruídos preventivamente.
Resposta rápida: O organismo federal de informática suíço (BIT) detetou um ataque aos seus servidores SharePoint internos, com cerca de 200 contas de utilizador e técnicas comprometidas. O BIT afirma não ter indícios de exfiltração de dados e está a repor palavras-passe e a reconstruir os sistemas. Se gere servidores SharePoint on-premises, aplique de imediato as atualizações de segurança da Microsoft de julho de 2025, rode as chaves criptográficas ASP.NET e procure indicadores de comprometimento.
O que aconteceu
De acordo com o comunicado do BIT, os responsáveis de segurança detetaram anomalias nos servidores SharePoint no final de julho e bloquearam o acesso à Internet. Foram comprometidas cerca de 200 contas, entre contas de utilizador e contas técnicas, cujas credenciais foram imediatamente repostas. O BIT afirma que, segundo os seus próprios dados, não conseguiu detetar qualquer saída de dados.
A instância afetada está a ser tratada com uma medida drástica: os servidores SharePoint atingidos estão a ser reconstruídos preventivamente de raiz. Trata-se de plataformas Microsoft onde ficheiros, informação e páginas web são armazenados e partilhados de forma centralizada. O próprio BIT sublinha que na plataforma SharePoint não podem ser guardadas informações confidenciais nem dados pessoais especialmente protegidos.
As análises prosseguem com apoio externo. O BIT está a ser apoiado pelo Bundesamt für Cybersicherheit (BACS) e pela Microsoft nos trabalhos de investigação, que ainda decorrem. O acesso via Internet para pessoas externas à administração federal permanece bloqueado até à conclusão destes trabalhos, enquanto o pessoal interno pode continuar a aceder aos documentos por canais alternativos.
As vulnerabilidades por trás do ataque
O BIT indica que os atacantes exploraram, presumivelmente, vulnerabilidades no SharePoint da Microsoft, tendo o fabricante alertado para várias dessas falhas em meados de julho. O BIT operava os servidores nos próprios centros de dados da Confederação e, de acordo com o organismo, começou de imediato a instalar as atualizações de segurança disponibilizadas.
O contexto técnico remete para a onda de exploração conhecida como «ToolShell», divulgada em julho de 2025. A Microsoft explicou que estas vulnerabilidades afetam apenas servidores SharePoint on-premises e não o SharePoint Online do Microsoft 365, tendo lançado atualizações abrangentes para todas as versões suportadas (Subscription Edition, 2019 e 2016). As atualizações abrangentes cobriam a CVE-2025-53770, relacionada com a anterior CVE-2025-49704, e a falha de contorno de segurança CVE-2025-53771, associada à CVE-2025-49706.
A gravidade não é trivial. A agência norte-americana CISA descreveu a cadeia de exploração como permitindo acesso não autenticado a sistemas e acesso autenticado por spoofing de rede, possibilitando aos atacantes aceder por completo aos conteúdos do SharePoint, incluindo sistemas de ficheiros e configurações internas, e executar código na rede. Mais recentemente, observaram-se atores a cifrar ficheiros e a distribuir o ransomware Warlock em sistemas comprometidos.
Quanto à atribuição, a Microsoft associou parte da atividade a atores estatais chineses. A empresa afirmou ter observado dois atores nomeados como Linen Typhoon e Violet Typhoon a explorar as falhas contra servidores SharePoint expostos à Internet, além de um terceiro ator com base na China, designado Storm-2603, a explorá-las para implantar ransomware. No caso suíço, porém, a autoria mantém-se por esclarecer e está a ser objeto das investigações em curso.
Cronologia do incidente
| Data | Acontecimento |
|---|---|
| Meados de julho de 2025 | A Microsoft divulga várias vulnerabilidades no SharePoint (cadeia «ToolShell») |
| 28 de julho | Responsáveis de segurança detetam anomalias nos servidores SharePoint do BIT |
| 31 de julho | Os peritos descobrem que credenciais de cerca de 200 contas foram comprometidas |
| Início de agosto | O BIT comunica publicamente o ataque, repõe palavras-passe e reconstrói os servidores |
Partilha de indicadores e proteção de infraestruturas críticas
Um aspeto relevante da resposta suíça foi a colaboração para proteger outras entidades. Para proteger operadores de infraestruturas críticas na Suíça, o BIT afirma ter partilhado proativamente, através da plataforma do BACS, todos os indicadores técnicos relevantes sobre o ciberataque com esses operadores. Esta partilha de indicadores de comprometimento (IOCs) é uma prática de referência que permite a outras organizações detetarem sinais do mesmo ataque nos seus próprios ambientes.
Vale a pena recordar que os produtos SharePoint já tinham colocado a Suíça em alerta. Vulnerabilidades em produtos Microsoft SharePoint Server, a par de Ivanti Connect Secure e Fortinet FortiManager, estiveram ligadas a dezenas de incidentes que centros de cibersegurança tiveram de tratar, num sinal de como estas plataformas se tornaram um alvo prioritário.
Como mitigar em servidores SharePoint on-premises
- Aplicar sem demora as atualizações de segurança abrangentes da Microsoft para o SharePoint Server (Subscription Edition, 2019 e 2016).
- Rodar as chaves de máquina ASP.NET (
ValidationKeyeDecryptionKey) para invalidar chaves eventualmente exfiltradas — só instalar o patch pode não bastar. - Configurar o
AMSI(Antimalware Scan Interface) no SharePoint e implantar soluções antivírus/EDR em todos os servidores. - Evitar expor o SharePoint diretamente à Internet e bloquear o acesso externo à administração central do SharePoint.
- Procurar webshells (
.aspx) e reforçar a monitorização de tráfego para a funcionalidadeToolPane.
A CISA recomenda configurar o AMSI no SharePoint conforme indicado pela Microsoft, implantar antivírus em todos os servidores e usar EDR para defesa contra atividade pós-exploração. Investigadores de segurança sublinham que, além da atualização urgente, é essencial rodar as chaves de máquina ASP.NET para desvalidar chaves comprometidas, precisamente porque os ataques observados extraíam essas chaves para forjar cargas _VIEWSTATE e obter acesso persistente.
Porque é que isto importa para Portugal
Embora o incidente seja suíço, a lição é diretamente transponível para as organizações portuguesas. Muitas PME e entidades públicas ainda operam servidores SharePoint on-premises expostos à Internet — exatamente o cenário visado por esta cadeia de vulnerabilidades. O caso demonstra que instalar o patch pode não ser suficiente se os atacantes já tiverem obtido credenciais ou chaves criptográficas antes da correção.
Em Portugal, entidades abrangidas pelo Regime Jurídico da Cibersegurança (Decreto-Lei n.º 125/2025, que transpõe a NIS2) têm obrigações de gestão de risco e de notificação de incidentes ao CNCS/CERT.PT — e este tipo de exploração ativa de vulnerabilidades enquadra-se plenamente nesses deveres. A rápida partilha de IOCs feita pelas autoridades suíças ilustra a lógica de cooperação que o CERT.PT também promove entre operadores nacionais.
Do ponto de vista da proteção de dados, ainda que o BIT afirme não ter guardado dados pessoais sensíveis na plataforma afetada, qualquer comprometimento de contas obriga a avaliar o risco para os titulares. Ao abrigo do RGPD, uma violação de dados pessoais que represente risco para os direitos e liberdades das pessoas deve ser notificada à autoridade de controlo — em Portugal, a CNPD — em regra no prazo de 72 horas.
Perguntas frequentes
O que foi comprometido no ataque ao BIT suíço?
Foram comprometidas cerca de 200 contas nos servidores SharePoint operados pelo BIT, entre contas de utilizador e contas técnicas. O organismo repôs de imediato as palavras-passe e afirma não ter indícios de saída de dados, estando os servidores afetados a ser reconstruídos preventivamente.
Que vulnerabilidades do SharePoint foram exploradas?
Os atacantes terão explorado vulnerabilidades divulgadas pela Microsoft em meados de julho, associadas à cadeia «ToolShell» que afeta servidores SharePoint on-premises. Entre os identificadores figuram a CVE-2025-53770 e a CVE-2025-53771, ligadas às anteriores CVE-2025-49704 e CVE-2025-49706.
O SharePoint Online (Microsoft 365) foi afetado?
Não. A Microsoft esclareceu que estas vulnerabilidades afetam apenas servidores SharePoint on-premises e não o SharePoint Online integrado no Microsoft 365. As organizações que usam apenas a versão em nuvem não estão expostas a esta cadeia específica.
O que devem fazer as organizações portuguesas com SharePoint on-premises?
Devem aplicar de imediato as atualizações da Microsoft, rodar as chaves de máquina ASP.NET, configurar o AMSI, implantar EDR/antivírus e evitar expor o SharePoint diretamente à Internet. Recomenda-se ainda procurar webshells e reportar qualquer incidente ao CNCS/CERT.PT.
Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pelo Bundesamt für Informatik und Telekommunikation (BIT), pelo Bundesamt für Cybersicherheit (BACS), pela Microsoft e pela CISA.