Um dos clubes mais conhecidos do rugby europeu tornou-se o exemplo mais recente de que nenhuma organização é demasiado “desportiva” para interessar ao cibercrime. O Stade Français Paris, emblema do Top 14 francês, confirmou ter sido alvo de um ciberataque que afetou parte do seu sistema de informação, restaurou o ambiente informático a partir de cópias de segurança consideradas limpas e apresentou queixa às autoridades. Em paralelo, o grupo de ransomware Qilin reivindicou o ataque, colocou o clube no seu portal de extorsão com uma contagem decrescente e já expôs imagens de documentos de identificação atribuídos a jogadores. O caso é uma aula prática sobre extorsão dupla — e sobre o que separa uma recuperação bem-sucedida de uma crise de dados pessoais.
Resposta rápida: O Stade Français Paris confirmou a 6 de agosto de 2026 um ciberataque a parte do seu sistema de informação, com queixa apresentada e restauro a partir de backups saudáveis. O grupo Qilin reivindicou a intrusão, publicou amostras que incluem documentos de identidade e impôs um prazo para publicação dos dados. Se gere uma organização com dados de colaboradores ou associados, valide hoje três coisas: cópias de segurança testadas e isoladas, autenticação multifator em todos os acessos remotos e um plano escrito de notificação à CNPD em 72 horas.
O que o clube confirmou (e o que continua por confirmar)
Em comunicado, o clube do Top 14 confirmou ter sofrido um ciberataque que afetou uma parte do seu sistema de informação, tendo apresentado queixa e informado as autoridades. O Stade Français acrescentou que foram implementadas medidas imediatas de contenção, investigação e restauro, para proteger os sistemas afetados e assegurar a continuidade das atividades.
Do ponto de vista operacional, a resposta parece ter funcionado. O clube indicou que ativou um dispositivo de gestão de crise com apoio de peritos independentes em cibersegurança, informou as autoridades, apresentou queixa e restaurou o ambiente informático a partir de cópias de segurança saudáveis, garantindo que as suas atividades, a bilheteira e a loja online funcionam normalmente. O clube reconheceu ainda ter tomado conhecimento da publicação online de uma amostra de dados atribuída aos atacantes e prossegue as investigações para identificar com precisão as informações e as pessoas afetadas.
Há, porém, um ponto essencial que continua em aberto: o vetor de entrada. O clube não divulgou como ocorreu a intrusão, e o serviço de monitorização French Breaches sublinhou que nenhum elemento público permite verificar de forma independente a autenticidade dos dados reivindicados, a sua origem exata ou as circunstâncias técnicas do comprometimento. Não existe, até ao momento, informação verificada sobre encriptação de sistemas, volume de dados exfiltrados ou número de titulares afetados.
Cronologia conhecida do incidente
| Data | Acontecimento |
|---|---|
| 5 de agosto de 2026 | Clube surge no portal de extorsão do Qilin com contagem decrescente antes da publicação anunciada dos dados |
| 5 a 6 de agosto de 2026 | São exibidas 18 fotografias como “prova”, várias com passaportes e cartões de identidade apresentados como sendo de jogadores |
| 6 de agosto de 2026 | O Stade Français Paris confirma publicamente o ataque, informa autoridades e apresenta queixa |
| 6 de agosto de 2026 | Clube afirma ter restaurado o ambiente informático a partir de cópias de segurança saudáveis; bilheteira e loja online operacionais |
| 15 de agosto de 2026 | Prazo alegadamente imposto pelos atacantes para pagamento, sob ameaça de divulgação dos dados |
Sobre a listagem no portal criminoso, o clube parisiense aparece desde 5 de agosto de 2026 no site de extorsão do grupo, com um contador de 246 horas e 21 minutos até à publicação anunciada dos dados roubados, e foram exibidas 18 fotografias como prova, várias mostrando passaportes e cartões de identidade apresentados como pertencendo a jogadores. Segundo o jornal L’Équipe, os cibercriminosos inscreveram o clube na sua plataforma de extorsão e reclamam um resgate antes de 15 de agosto de 2026, ameaçando divulgar os dados obtidos. O montante exigido não foi tornado público.
Quem é o Qilin e porque aparece em tantos incidentes
O Qilin é hoje uma das operações de ransomware-as-a-service mais prolíficas do mundo. Surgiu em julho de 2022 como Agenda e foi rebatizado para Qilin no final desse ano. A empresa de resposta a incidentes MOXFIVE contabiliza cerca de 1500 vítimas reivindicadas desde o arranque da operação, mais de 500 só em 2026, o que a torna a operação de ransomware mais ativa no seu conjunto de dados. O modelo explica o volume: a maturidade do modelo RaaS assenta em ecossistemas especializados com afiliados, corretores de acesso inicial e outros fornecedores clandestinos, o que permite às marcas de ransomware expandir-se rapidamente e lançar campanhas em simultâneo.
Quanto ao modus operandi dos afiliados — e sem qualquer ligação confirmada a este caso concreto — a investigação recente da Arctic Wolf Labs é elucidativa. Após explorarem a vulnerabilidade CVE-2026-0257, os atacantes estabeleceram sessões VPN a partir de sistemas Kali Linux e garantiram persistência com chaves de registo Run, tarefas agendadas e ferramentas de administração remota como AnyDesk, Ngrok, LogMeIn e MeshAgent, recolhendo credenciais através de despejo da memória do LSASS e extração da base de dados do Active Directory (NTDS) para movimento lateral com PsExec e RDP. Os investigadores notam que a variabilidade das táticas pós-exploração — de operações só de encriptação a extorsão dupla completa — mostra que o comprometimento do perímetro é o ponto crítico para os defensores. Telemetria recente indica que os afiliados do Qilin obtêm frequentemente o primeiro acesso através de abuso de contas válidas, credenciais roubadas de VPN e RDP, registos de infostealers e vulnerabilidades em dispositivos de fronteira.
Documentos de identidade: o dano que não se resolve com backups
Este incidente ilustra bem a assimetria da extorsão dupla. Restaurar servidores a partir de cópias limpas resolve a indisponibilidade; não resolve a exposição. Passaportes, cartões de cidadão e títulos de residência são documentos de longa duração, difíceis de “revogar”, e alimentam fraude de identidade, abertura de contas e esquemas de engenharia social altamente credíveis contra os próprios titulares e as suas famílias.
Vale a pena registar o apelo do clube à contenção mediática. O Stade Français pediu prudência no tratamento do caso, alertando que difundir ou reproduzir dados não verificados, ou informações resultantes do ciberataque, pode lesar as pessoas visadas e complicar o trabalho já em curso. É uma preocupação legítima: a revitimização através da republicação de documentos é um risco real em fugas desta natureza.
Medidas concretas para organizações portuguesas
- Cópias de segurança testadas e isoladas. Aplique a regra 3-2-1 com pelo menos uma cópia imutável ou offline e faça restauros de ensaio periódicos — foi o que permitiu ao clube retomar operações.
- MFA resistente a phishing em todos os acessos remotos, incluindo VPN, RDP, webmail e consolas de administração.
- Correção prioritária de equipamentos de fronteira (VPN, firewalls, portais de acesso remoto), que continuam a ser porta de entrada preferencial de afiliados de ransomware.
- Minimização de dados. Pergunte porque é que cópias de passaportes e cartões de cidadão estão armazenadas em partilhas de rede — e durante quanto tempo. O que não existe não pode ser exfiltrado.
- Deteção de exfiltração: alertas para transferências volumosas para serviços de armazenamento na nuvem e para instalação não autorizada de ferramentas de acesso remoto.
- Plano de crise escrito, com contactos de peritos externos, seguradora, autoridades e um modelo pré-aprovado de comunicação a titulares de dados.
Porque é que isto importa em Portugal
Um clube desportivo profissional é, na prática, uma PME com uma marca desproporcionalmente visível: gere contratos, dados clínicos de atletas, documentos de identificação de jogadores estrangeiros, bases de sócios, bilhética e comércio eletrónico. Em Portugal, uma organização nas mesmas circunstâncias enfrentaria desde logo as obrigações do RGPD: notificação da violação de dados pessoais à CNPD no prazo de 72 horas sempre que exista risco para os direitos e liberdades dos titulares, e comunicação direta aos visados quando o risco for elevado — o que é claramente o caso quando circulam cópias de documentos de identificação.
Acresce o novo enquadramento nacional de cibersegurança. Com a entrada em vigor do Regime Jurídico da Cibersegurança (Decreto-Lei n.º 125/2025, que transpõe a NIS2), um universo alargado de entidades passou a ter deveres de gestão de risco, de registo junto do CNCS e de notificação de incidentes significativos em prazos apertados. Mesmo as organizações que não estejam formalmente abrangidas ganham em alinhar-se com esses requisitos: são, no essencial, boas práticas de continuidade de negócio. O CERT.PT, no âmbito do CNCS, é o ponto de contacto para apoio na resposta a incidentes, e recomenda-se sempre a apresentação de queixa junto das autoridades competentes — em Portugal, o Ministério Público e a Polícia Judiciária.
Por fim, a mensagem menos técnica e mais estratégica: pagar não devolve os dados. Uma vez exfiltradas cópias de documentos de identidade, a única resposta útil é reduzir a superfície de exposição antes do incidente e preparar a comunicação e o apoio às pessoas afetadas depois dele.
Perguntas frequentes
O Stade Français Paris perdeu o acesso aos seus sistemas?
O clube afirmou ter restaurado o ambiente informático a partir de cópias de segurança consideradas saudáveis e garantiu que as atividades, a bilheteira e a loja online funcionam normalmente. Não foi divulgado publicamente o detalhe técnico do impacto nem o vetor de entrada.
Que dados foram expostos?
Os atacantes publicaram 18 imagens como prova, várias mostrando passaportes e cartões de identidade apresentados como pertencendo a jogadores. O clube mantém investigações em curso para determinar com precisão as informações e as pessoas afetadas, e não existe verificação pública independente da autenticidade ou origem dos dados reivindicados.
O que é o grupo Qilin?
É uma operação de ransomware-as-a-service que surgiu em 2022 como Agenda e se tornou uma das mais ativas a nível mundial, com centenas de vítimas reivindicadas em 2026 segundo empresas de resposta a incidentes. Opera com afiliados que executam as intrusões e recorre frequentemente a credenciais roubadas e a falhas em equipamentos de acesso remoto.
O que deve fazer uma organização portuguesa perante um caso semelhante?
Deve conter o incidente, preservar registos para análise forense, acionar peritos externos, notificar a CNPD em 72 horas se houver risco para os titulares, comunicar aos visados quando o risco for elevado, apresentar queixa às autoridades e articular-se com o CERT.PT. Entidades abrangidas pelo Regime Jurídico da Cibersegurança devem ainda cumprir os prazos de notificação de incidentes significativos.
Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pelo Stade Français Paris, por serviços de monitorização de fugas de dados e por investigadores de segurança, incluindo a Arctic Wolf Labs e a MOXFIVE.