Infraestruturas críticas continuam na mira para ciberataques, alerta relatório do CNCS

A entrada em vigor do Regulamento n.º 756/2026, que operacionaliza o Regime Jurídico da Cibersegurança em Portugal, marca um dos principais desenvolvimentos identificados pelo mais recente relatório do Observatório de Cibersegurança do Centro Nacional de Cibersegurança (CNCS). O documento evidencia igualmente uma escalada das ameaças dirigidas a infraestruturas críticas, campanhas de ciberespionagem mais sofisticadas e o crescimento de ataques que exploram vulnerabilidades conhecidas e técnicas avançadas de engenharia social.

Com a publicação do regulamento, começa a contar o prazo de 24 meses para que as entidades abrangidas implementem as medidas previstas no Regime Jurídico da Cibersegurança. Paralelamente, passa a ser obrigatória a identificação das organizações na plataforma MyCiber, que servirá de ponto de contacto com o CNCS, a ANACOM e o Gabinete Nacional de Segurança.

O relatório acompanha também a evolução das políticas europeias de soberania tecnológica, uma vez que a Comissão Europeia apresentou novas iniciativas para reforçar a produção de semicondutores, regular infraestruturas cloud e de Inteligência Artificial e promover soluções open source. Em paralelo, os EUA suspenderam temporariamente o acesso de cidadãos estrangeiros aos modelos de IA mais avançados da Anthropic por motivos de segurança nacional, ilustrando a crescente dimensão geopolítica da IA.

Infraestruturas críticas sob crescente pressão

Entre os incidentes analisados destaca-se uma tentativa de cibersabotagem contra a rede elétrica polaca, que terá sido neutralizada antes de provocar um apagão de grande dimensão. No mesmo país foram também comprometidos sistemas de controlo industrial associados ao tratamento de águas, evidenciando a crescente exposição das infraestruturas operacionais (OT) a ataques com motivações geopolíticas.

Na Alemanha, um ataque de negação de serviço distribuída (DDoS) afetou os serviços digitais da Deutsche Bahn, comprometendo temporariamente sistemas de venda de bilhetes e consulta de horários. Já na Irlanda, um grupo hacktivista associado ao Irão reivindicou um ataque destrutivo contra a empresa de tecnologia médica Stryker, recorrendo a um malware do tipo wiper para apagar dados.

APT28 intensifica campanhas de ciberespionagem

O relatório dedica especial atenção à atividade do grupo APT28 (Fancy Bear). Os investigadores identificaram uma campanha de ciberespionagem que explorou uma vulnerabilidade no Microsoft Office apenas 24 horas após a sua divulgação pública, tendo como principais alvos entidades governamentais, militares e diplomáticas europeias.

Foi ainda revelada uma exposição acidental de parte da infraestrutura de comando e controlo do grupo, permitindo conhecer melhor os seus métodos operacionais, técnicas de persistência e os alvos privilegiados das suas campanhas, sobretudo organizações ligadas à NATO e ao apoio à Ucrânia.

O documento refere igualmente a exploração contínua de uma vulnerabilidade crítica no WinRAR, apesar da existência de correção desde julho de 2025, bem como a utilização de uma cadeia de exploração para iOS baseada em múltiplas vulnerabilidades zero-day, utilizada por diferentes atores estatais e privados.

Engenharia social continua a evoluir

No domínio do cibercrime, o CNCS destaca o crescimento das campanhas baseadas na técnica ClickFix. Uma das campanhas mais recentes utiliza falsos ecrãs de erro semelhantes ao conhecido Blue Screen of Death (BSOD) do Windows para induzir os utilizadores a executar manualmente código malicioso.

O relatório assinala também o reaparecimento do LummaStealer, um dos infostealers mais ativos dos últimos anos, bem como uma operação internacional coordenada pela Europol que desmantelou uma infraestrutura de serviços DDoS-for-hire utilizada por mais de 75 mil utilizadores.

Entre os incidentes de exposição de dados, o documento destaca uma base de dados com informação de mais de 45 milhões de cidadãos franceses e um ciberataque à agência francesa France Titres, que comprometeu dados de cerca de 11,7 milhões de contas.

Por fim, o relatório alerta para o aumento dos ataques à cadeia de fornecimento de software, referindo o comprometimento da ferramenta open source Trivy, incidente que acabou por servir de vetor inicial para uma intrusão na infraestrutura AWS da Comissão Europeia, culminando na exfiltração de vários gigabytes de informação.