A Noruega passou a segunda-feira e a terça-feira desta semana a tentar recuperar o acesso aos seus próprios serviços públicos digitais. A Agência Norueguesa de Digitalização (Digitaliseringsdirektoratet, ou Digdir) confirmou que um ataque distribuído de negação de serviço (DDoS) começou na segunda-feira e visou a infraestrutura do seu parceiro de TI, a Vivicta, tendo o organismo trabalhado com o fornecedor para estabilizar os sistemas afetados. O ataque começou às 03:38 da madrugada de segunda-feira e, mais de 30 horas depois, continuava a provocar perturbações em alguns serviços. Não houve intrusão nem roubo de dados: o alvo foi a disponibilidade — e, num país onde praticamente tudo depende de uma única porta de autenticação, isso foi suficiente para bloquear cidadãos, empresas e parte do sistema de saúde.
Resposta rápida: Um ataque DDoS iniciado a 24 de agosto contra a infraestrutura do operador Vivicta afetou dez serviços digitais públicos noruegueses, incluindo o ID-porten, o MinID, o Altinn e o eInnsyn. É o terceiro incidente do género em cerca de dois meses e, segundo a Digdir, duas a três vezes mais intenso do que o anterior; não há indícios de acesso a dados. Para organizações em Portugal, a lição é operacional: a disponibilidade dos serviços críticos depende de fornecedores terceiros e exige proteção anti-DDoS, planos de contingência de autenticação e comunicação alternativa aos utilizadores.
O que ficou inacessível
O incidente perturbou dez serviços digitais usados para verificar a identidade das pessoas, iniciar sessão em serviços públicos, trocar dados e documentos entre organismos do Estado e empresas, consultar registos públicos e gerir acessos de funcionários. Entre os serviços afetados durante a semana estiveram o ID-porten, o MinID, o Altinn e o eInnsyn.
O elo central é o ID-porten. Trata-se do serviço de identificação digital que funciona como porta de entrada para milhares de serviços públicos noruegueses, permitindo às pessoas autenticarem-se através de mecanismos como o BankID e o MinID, e conta com mais de 4,5 milhões de utilizadores. Quando esse ponto único falha, o efeito propaga-se em cascata: a perturbação chegou também a partes da infraestrutura de saúde norueguesa, porque vários serviços de saúde dependem do ID-porten para autenticação. A Norsk helsenett comunicou problemas de autenticação com o HelseID através do ID-porten, recomendou o recurso a fornecedores de identidade alternativos e avisou que os utilizadores poderiam ter dificuldades nas farmácias online e na autenticação contra o sistema de receitas eletrónicas.
Num incidente anterior, em agosto, o mesmo padrão tinha ficado bem visível: o ataque afetou, entre outros, o início de sessão em serviços como o Helsenorge, o NAV e a autoridade tributária, além dos restantes serviços públicos que usam o ID-porten.
Cronologia: o terceiro ataque em dois meses
Este não é um caso isolado, mas uma sequência. A Digdir foi alvo de perturbações significativas nos serviços públicos de TI na segunda-feira, na terceira ocorrência do género neste verão. Segundo a imprensa norueguesa, é o terceiro incidente DDoS a afetar os serviços da Digdir desde junho.
| Data (2026) | Evento |
|---|---|
| 20–22 de junho | A Vivicta, fornecedora da Digdir, foi alvo de um DDoS; não houve violação de segurança, mas os serviços estiveram indisponíveis desde as 13:00 de sábado, 20 de junho, até à manhã seguinte |
| 3 de agosto, ~01:00 | Novo DDoS contra o ID-porten, operado no parceiro Vivicta, segundo atualização da própria Digdir |
| 4 de agosto | A operação estabilizou e normalizou ao longo da manhã de terça-feira |
| 24 de agosto, 03:38 | Início do terceiro ataque de negação de serviço contra a Digdir |
| 24 de agosto, ~08:25 | A Vivicta confirma que se trata de um ataque de negação de serviço; a partir das 07:25 as soluções começam a recuperar e mais utilizadores conseguem autenticar-se no ID-porten |
| 24 de agosto, 16:09 | O ataque prossegue, mas as soluções estão estáveis com as limitações impostas, com avaliação contínua sobre quando aliviar restrições |
| Noite de 24 para 25 | Agravamento ao longo da noite; a Digdir informa antes da meia-noite que entra na madrugada com limitações |
| 25 de agosto, 08:15 | O porta-voz Are Kvistad afirma à NTB que o ataque é duas a três vezes maior do que o anterior, mas que foi possível manter em larga medida as soluções em funcionamento, e que já durava 30 horas |
| 25 de agosto, ~12:30 | Comunicado indica soluções estáveis e trabalho contínuo para limitar consequências, embora alguns serviços mantenham perturbações |
O porta-voz da Digdir explicou que os ataques DDoS tendem a surgir em vagas, o que significa que pessoas e empresas podem continuar a sentir atrasos e problemas ocasionais de autenticação enquanto os técnicos trabalham nos sistemas.
Sem intrusão, sem dados comprometidos — mas com impacto real
A Digdir declarou que os atacantes não obtiveram acesso a informação sensível armazenada nos sistemas afetados. A agência reforçou que a finalidade deste tipo de ataque é atingir a disponibilidade e não invadir os sistemas, e que não existem indicações de violação de segurança ou de que dados pessoais tenham sido expostos. Num dos incidentes anteriores, a Digdir referiu ainda que tanto a autoridade de proteção de dados (Datatilsynet) como a autoridade nacional de segurança (NSM) foram notificadas por rotina.
Quanto à atribuição, não há, para já, responsabilização pública confirmada. Um assessor sénior do serviço de segurança policial norueguês (PST) disse à TV 2 que o organismo está a acompanhar a situação e em diálogo com outras autoridades. As avaliações abertas de ameaça dos serviços de segurança apontam que atores estatais podem conduzir ataques informáticos contra as autoridades norueguesas, destacando em particular a Rússia, a China, o Irão e a Coreia do Norte — o que enquadra o risco, mas não identifica os responsáveis por este caso concreto.
Vale a pena notar o debate público que o tema gerou na Noruega. Um diretor de departamento de cibersegurança operacional da NSM já tinha descrito este tipo de ataques como perturbadores mas não perigosos, afirmando num comunicado datado de 4 de agosto que a negação de serviço é «irritante». A NSM classifica os ataques de negação de serviço como tecnicamente pouco avançados e habitualmente orientados para chamar a atenção mais do que para causar danos. Contudo, quando o alvo é a autenticação central de um Estado, a indisponibilidade prolongada deixa de ser apenas incómodo: torna-se num problema de acesso a receitas médicas, prestações sociais e obrigações fiscais.
Medidas concretas de mitigação para organizações
As recomendações técnicas seguem uma lógica conhecida e alinhada com o que as autoridades nórdicas divulgam publicamente. Balanceadores de carga e WAF são normalmente muito mais robustos do que servidores web isolados e dispõem de mecanismos dedicados de mitigação, os sites expostos podem ser encaminhados através de serviços anti-DDoS e o fornecedor upstream consegue frequentemente travar parte dos ataques volumétricos. É igualmente aconselhado praticar o uso desses mecanismos e definir previamente quem decide sobre medidas como o bloqueio geográfico. Em termos práticos:
- Contratar e testar proteção anti-DDoS (scrubbing, CDN,
rate limiting) e validar quem, no fornecedor, aciona a mitigação fora de horas. - Mapear dependências de terceiros: identificar que serviços críticos param se cair um único operador de rede, IdP ou alojamento.
- Prever autenticação alternativa e canais de acesso de reserva (por exemplo, aplicação móvel, segundo fornecedor de identidade, atendimento presencial ou telefónico).
- Manter uma página de estado e listas de comunicação alojadas fora da infraestrutura principal, para informar clientes durante a indisponibilidade.
- Ensaiar o cenário «serviço indisponível 30 horas em vagas sucessivas», e não apenas «serviço indisponível 30 minutos».
- Documentar e treinar o processo de notificação às autoridades competentes, com prazos e responsáveis definidos.
Porque é que isto importa em Portugal
Portugal tem exatamente o mesmo tipo de arquitetura de dependência: Chave Móvel Digital, autenticação.gov, Portal das Finanças, SNS 24 e serviços da Segurança Social concentram milhões de acessos em plataformas comuns e em fornecedores de TI partilhados. Um ataque à disponibilidade dirigido ao operador — e não à aplicação — produz o mesmo efeito de cascata visto na Noruega, sem qualquer necessidade de explorar uma vulnerabilidade de software.
É precisamente aqui que entra o novo enquadramento legal nacional. O Regime Jurídico da Cibersegurança, aprovado pelo Decreto-Lei n.º 125/2025 e que transpõe a Diretiva NIS2, coloca a gestão de riscos da cadeia de fornecimento, a continuidade de atividade e a notificação de incidentes significativos ao CNCS no centro das obrigações das entidades abrangidas — administração pública, saúde, banca, energia, transportes, infraestruturas digitais e prestadores de serviços de TIC, incluindo muitas PME que fornecem estas cadeias. Um DDoS que interrompa serviços essenciais durante dezenas de horas é, tipicamente, um incidente com impacto relevante na disponibilidade, logo sujeito a comunicação e a articulação com o CERT.PT.
Há também uma dimensão de proteção de dados que convém não confundir. Um ataque de negação de serviço afeta a disponibilidade, um dos pilares da segurança do tratamento previsto no RGPD, pelo que a inexistência de exfiltração não dispensa a avaliação interna do incidente e a decisão fundamentada sobre a necessidade de notificar a CNPD. A autoridade norueguesa de proteção de dados segue um raciocínio equivalente: em muitos casos as consequências de um ataque de negação de serviço para a privacidade são mínimas e não têm impacto na proteção de dados, mas algumas formas destes ataques podem, ainda assim, ter consequências para a privacidade. A conclusão prática para gestores portugueses é simples: a resiliência não se demonstra com a ausência de fugas de dados, mas com a capacidade de manter — ou repor rapidamente — o acesso dos cidadãos e clientes aos serviços de que dependem.
Perguntas frequentes
O que é um ataque DDoS e porque é tão difícil de travar?
Um ataque DDoS ocorre quando um servidor ou uma rede é inundado com tráfego artificial, impedindo os utilizadores legítimos de acederem normalmente aos serviços. A dificuldade não está na sofisticação técnica, mas no volume e na origem distribuída do tráfego, que chega em vagas e pode saturar a ligação do fornecedor antes de atingir a aplicação.
Houve roubo de dados pessoais dos cidadãos noruegueses?
Segundo a Digdir, os atacantes não obtiveram acesso a informação sensível armazenada nos sistemas afetados, e a agência sublinhou que o objetivo deste tipo de ataque é atingir a disponibilidade, não invadir as soluções, não havendo indícios de violação de segurança nem de exposição de dados pessoais.
Quem está por trás do ataque?
Não existe, até ao momento, atribuição pública confirmada por parte das autoridades norueguesas. O PST indicou à TV 2 que acompanha a situação e mantém diálogo com outros organismos do Estado. Qualquer identificação de responsáveis antes de comunicação oficial deve ser tratada como especulação.
Que obrigações teria uma organização portuguesa num caso semelhante?
Se estiver abrangida pelo Regime Jurídico da Cibersegurança (Decreto-Lei n.º 125/2025), deve gerir os riscos da cadeia de fornecedores, garantir continuidade de atividade e notificar incidentes significativos ao CNCS, articulando a resposta com o CERT.PT. Em paralelo, precisa de avaliar internamente se o incidente afetou a segurança de dados pessoais e se justifica notificação à CNPD.
Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pela Digitaliseringsdirektoratet (Digdir), pela Nasjonal sikkerhetsmyndighet (NSM), pela Datatilsynet, pela Norsk helsenett e por relatos da imprensa norueguesa.