Passar para o Conteúdo Principal

Há pouco tempo, uma autarquia nossa cliente teve uma surpresa desagradável logo de manhã. No site do município, no topo da página principal, tinha aparecido uma notícia que ninguém daquela equipa escreveu. Alguém de fora entrou na plataforma e deixou lá a sua marca. É o que se costuma chamar de defacement: a desfiguração de uma página pública para mostrar que se esteve lá dentro.

 O primeiro instinto foi o previsível. "Fomos hackeados, alguém partiu o sistema." Quando fomos perceber o que se tinha passado, a explicação era outra, e bem mais banal. Ninguém partiu software. Ninguém explorou uma falha no código. Alguém apanhou o utilizador e a palavra-passe de uma conta com acesso ao backoffice e entrou como se fosse o dono dessas credenciais. Não havia segundo fator de autenticação, por isso não houve nada a travar essa entrada.

Vale a pena guardar esta ideia, porque é o coração do assunto: o ataque não venceu a tecnologia. Venceu pelo elo mais fraco, que quase sempre é o mesmo, a credencial de uma pessoa.

Há um pormenor que interessa às autarquias que usam plataformas como esta: o software não cedeu. Não se encontrou nenhuma fraqueza na aplicação, nada que fosse preciso corrigir no código. O que falhou foi a fechadura à entrada, a forma como o sistema confirma que quem está a entrar é mesmo quem diz ser. A distinção não é um detalhe técnico, muda o sítio onde temos de pôr atenção. De pouco serve uma plataforma sólida se a porta se abre com uma chave que anda perdida por aí. 

O ataque mais eficaz raramente é o mais sofisticado

Quando imaginamos um ataque informático, pensamos em código, firewalls furadas, gente encapuzada a quebrar sistemas. O dia a dia é bem menos cinematográfico. A maneira mais fácil de entrar num sistema costuma não ser atacá-lo de frente, mas convencer alguém a entregar a chave.

Chama-se a isto engenharia social. Um e-mail que parece vir do fornecedor da plataforma e pede para confirmar a palavra-passe. Uma página de login falsa, igual à verdadeira. Uma palavra-passe reutilizada num serviço pessoal que, entretanto, teve uma fuga de dados. Qualquer um destes caminhos coloca uma credencial válida na mão de quem não devia tê-la. E, a partir daí, o sistema não distingue o intruso do funcionário verdadeiro. Foi assim que aconteceu na tal autarquia.

Convém dizer que estes ataques nem sempre são pessoais ou dirigidos. Muitas vezes são oportunistas: alguém testa milhares de credenciais que andam à venda e experimenta onde elas funcionam. Um site de um município é um alvo apetecível, porque é público, é visível e tem a credibilidade de uma instituição. Uma notícia falsa publicada nessa página chega a muita gente antes de alguém dar por ela.

Quem entra pelo backoffice não é um cidadão

Aqui entra uma distinção que muda tudo. Quem acede ao backoffice de uma plataforma pública não é um utilizador qualquer. É um administrador. 

O cidadão que entra num portal para ver o estado de um processo mexe apenas nos seus próprios dados. O funcionário que entra no backoffice pode ter à frente os dados de milhares de pessoas e a capacidade de publicar, alterar ou apagar informação, incluindo, como se viu, o que aparece na página principal do município. É aquilo a que a segurança informática chama um acesso privilegiado, e um acesso privilegiado pede uma proteção à altura. 

É também sobre isto que a lei portuguesa se pronuncia, e há mais tempo do que se pensa. 

O que a lei já exigia, muito antes da moda da cibersegurança

A Resolução do Conselho de Ministros n.º 41/2018 fixou os requisitos técnicos mínimos de segurança para os sistemas de informação de toda a administração pública, direta e indireta. No anexo dessa resolução há uma regra que não se presta a interpretações: para todos os administradores, a autenticação de dois fatores é obrigatória. E a palavra-passe de um administrador tem de ter, no mínimo, 13 caracteres e ser complexa.

O que torna esta regra interessante é a comparação. Para um utilizador comum, a mesma resolução pede uma palavra-passe de pelo menos 9 caracteres e limita-se a recomendar o duplo fator. Para o administrador, o duplo fator sobe de recomendação a obrigação. Já em 2018, portanto, o legislador tinha percebido que proteger o acesso de quem gere um sistema não é a mesma coisa que proteger o acesso de quem apenas o consulta.

 E não era uma intenção para o futuro. O prazo para aplicar estes requisitos terminou em 2019. Estão em vigor, e por cumprir em muitos lados, há vários anos.

 A camada europeia que veio reforçar tudo

Mais recentemente, o Decreto-Lei n.º 125/2025 transpôs para Portugal a diretiva europeia conhecida por NIS2 e criou o novo Regime Jurídico da Cibersegurança. Entre as medidas que passam a ser obrigatórias para as entidades abrangidas, e a administração pública é uma delas, está a autenticação multifator. Deixou de ser uma boa prática aconselhada para passar a ser exigência, com contraordenações associadas.

O regulamento que acompanha este regime, da responsabilidade do Centro Nacional de Cibersegurança, dedica um anexo específico às entidades públicas e volta a colocar o controlo de acessos e a autenticação multifator no centro das medidas a implementar. 

Existe um período de adaptação. O regime entrou em vigor em abril de 2026, com alguma tolerância antes de as coimas começarem a ser aplicadas a quem esteja a organizar-se. Esse tempo serve para pôr a casa em ordem, não para empurrar o problema com a barriga. 

2FA e MFA: o mesmo, com anos de diferença

Uma dúvida que aparece muitas vezes: a resolução de 2018 fala em "2FA" (dois fatores) e o regime de 2025 fala em "autenticação multifator" (MFA).

É a mesma ideia, apenas com a terminologia de cada época. O duplo fator é a forma mínima do multifator, por isso ativar dois fatores no backoffice responde às duas exigências de uma só vez. 

Para quem trabalha, tudo isto se resume a um gesto. Depois da palavra-passe, confirmar quem é com um código no telemóvel, uma notificação aprovada com a impressão digital, ou um método equivalente. Uns segundos por dia. No caso da autarquia por onde começámos, teriam sido esses segundos a separar um susto de uma notícia falsa exposta aos olhos de toda a gente.

O que fazer com isto na sua entidade

O ponto de partida é simples: identificar quem tem acesso ao backoffice das plataformas do município e garantir que todas essas contas têm dupla autenticação ativa. Todas, incluindo as de editores ocasionais e as de fornecedores externos que, de vez em quando, entram para fazer uma alteração. Basta uma conta esquecida para o esforço não valer de nada.

 O passo é mais pequeno do que parece. Não obriga a trocar de plataforma nem a formar toda a gente de novo. Obriga a olhar para os acessos de administração com outros olhos e a tratar a palavra-passe como aquilo que ela é: uma proteção necessária, mas insuficiente sozinha. Vale ainda rever, de tempos a tempos, quem continua mesmo a precisar desse acesso. As contas de quem mudou de funções ou já saiu são um risco silencioso, e das mais fáceis de esquecer.

Por trás de cada acesso ao backoffice estão dados de pessoas que confiam na administração pública. Candidaturas a concursos, pedidos entregues numa junta, informação pessoal de quem usa os serviços. Quando essa porta cede, não é só o site do município que fica exposto. É a confiança de quem lá deixou os seus dados.

Uma notícia falsa até é o cenário simpático. Quem entra com uma conta de administrador podia ter feito bem pior sem que ninguém desse por isso de imediato. O caso que contámos acabou bem, com a página reposta no mesmo dia e os acessos corrigidos logo a seguir. Foi um aviso barato para uma lição que podia ter saído cara.

A dupla autenticação não elimina todos os riscos, mas fecha aquele que continua a ser o mais explorado de todos: uma palavra-passe apanhada a alguém que confiou de mais numa mensagem. 

A lei já apontou o caminho, em 2018 e agora com mais força. Para a maioria das entidades, o obstáculo não é técnico nem é financeiro. É só ainda não ter passado à ação. E, como esta história deixou claro, mais vale agir antes de a notícia falsa aparecer no site do que depois.

Conte connosco para ajudar no que for preciso.

Para estar a par de todas as nossas novidades, subscreva a nossa newsletter.