Ninguém atacou o supermercado

Na madrugada de 2 de novembro, sete lojas Intermarché em Portugal viram os frigoríficos e as arcas aquecer sozinhos, três tiveram de destruir produtos. Três semanas antes, o mesmo tinha acontecido em França, a cerca de 700 supermercados, segundo o Governo francês, com temperaturas a chegar aos 50 °C e princípio de incêndio. Na segunda-feira, Paris atribuiu esse primeiro ataque aos Guardas da Revolução do Irão.

Vai discutir-se muito quem foi sendo que a vaga que atingiu Portugal continua sem autor confirmado. É uma discussão muitíssimo importante à qual os Estados devem estar particularmente atentos. O tema que pertence, também às empresas é outro: como foi possível aceder aos sistemas?

Os equipamentos de refrigeração podem ser geridos por controladores que permitem intervenções à distância, sendo que essa facilidade de manutenção também cria riscos quando os dispositivos ficam acessíveis pela internet sem a proteção adequada. Nos incidentes descritos, há indícios de manipulação remota das funções de controlo de temperatura e de descongelação. O mecanismo exato de acesso, porém, deve ser apurado caso a caso.

Segundo as informações divulgadas pelo Centro Nacional de Cibersegurança sobre o incidente em Portugal, suspeita-se de acesso não autorizado a sistemas de controlo remoto da refrigeração, ligados à prestação de serviços de manutenção. O ataque não precisou de comprometer os sistemas informáticos centrais do supermercado, bastou explorar equipamentos ligados à operação das lojas. É aqui que começa uma responsabilidade que ultrapassa largamente a informática.

Na aviação, importa distinguir incidentes diferentes. Houve ameaças de bomba comunicadas às autoridades e perturbações na operação de voos. Separadamente, foi divulgada uma exposição de dados de reservas de passageiros associada à plataforma Amadeus, utilizada por várias companhias aéreas. O incidente ilustra como uma falha num prestador de serviços pode afetar dados de clientes sem que os sistemas centrais das companhias sejam diretamente comprometidos.

Como Encarregada da Proteção de Dados – (EPD / DPO Data Protection Officer), recordo frequentemente às administrações que a contratação de terceiros não elimina os deveres de diligência e supervisão. No tratamento de dados pessoais, o responsável pelo tratamento mantém obrigações próprias quando recorre a subcontratantes. Na gestão de equipamentos e serviços essenciais, é igualmente necessário identificar e controlar os riscos associados aos fornecedores.

O segundo facto incómodo é que os riscos associados a controladores industriais expostos à internet já eram conhecidos. Os alertas e recomendações técnicas só produzem efeitos quando alguém os recebe, avalia e transforma em medidas concretas. Não basta que a informação exista: tem de haver, em cada organização, uma responsabilidade definida sobre quem tem de agir sobre essa informação.

É por isso que insisto que isto não é apenas um problema de informática. O acesso remoto pode facilitar a manutenção e evitar deslocações desnecessárias. Mas quem, na organização, avaliou os riscos dessa ligação? Quem autorizou o acesso? E quem verificou se existiam mecanismos de proteção adequados?

A lei já não permite que a cibersegurança seja tratada como uma questão exclusivamente técnica. A diretiva NIS 2 foi transposta em Portugal pelo Decreto-Lei n.º 125/2025, em vigor desde 3 de abril de 2026, embora algumas disposições tenham aplicação diferida. O regime atribui aos órgãos de gestão, direção e administração das entidades abrangidas responsabilidades na aprovação e supervisão de medidas de gestão dos riscos de cibersegurança. Prevê exigências de controlo de acessos, continuidade de negócio e segurança da cadeia de abastecimento, incluindo relações com fornecedores. A eventual responsabilidade individual depende dos pressupostos previstos na lei.

Mas existe um desafio que a lei, por si só, não resolve. Nem todas as empresas que integram a cadeia de abastecimento estão diretamente abrangidas pela NIS 2. O enquadramento depende da atividade, da dimensão e dos restantes critérios legais aplicáveis. Mesmo quando um fornecedor não está diretamente abrangido, a sua segurança pode ser decisiva para a entidade que contrata os serviços. Por isso, as organizações sujeitas ao regime têm de avaliar os riscos associados aos seus fornecedores e adotar medidas proporcionais para os gerir.

Isto tem uma consequência prática que muitos gestores ainda não vira, os contratos com fornecedores de refrigeração, elevadores, videovigilância ou climatização também devem integrar a gestão do risco de cibersegurança. É importante definir como se acede aos equipamentos, que controlos se exigem, como se comunicam incidentes e quais são as responsabilidades de cada parte.

Controladores e ligações remotas semelhantes existem em hospitais, unidades farmacêuticas e armazéns. Também foram relatadas interferências em equipamentos de armazenamento de produtos sanguíneos em França. Estes episódios lembram que as consequências de uma intrusão podem ultrapassar a perda de informação e afetar bens e serviços essenciais.

Estes incidentes mostram que um ciberataque não precisa de envolver o roubo de dados ou um pedido de resgate para provocar danos significativos. A sabotagem de equipamentos, a interrupção de serviços e a perda de confiança podem ter consequências graves. A melhor resposta não é o pânico, é ter políticas, processos e procedimentos claros, comunicados, implementados e testados.

Deixo três perguntas para qualquer gestor fazer amanhã de manhã. O que temos ligado à internet que não é um computador? Quem lhe acede de fora, e como? O que fazemos se a nossa organização parar às três da manhã?

Quem não souber responder imediatamente, tem um intenso trabalho para bastante tempo, independentemente de aguardar pela identificação dos responsáveis pelos ataques.