Um ciberataque a uma empresa contratada para construir o site público do Sistema de Informações da República Portuguesa (SIRP) expôs dados pessoais de candidatos às secretas. Os dados, que incluem números de cartão de cidadão, moradas e currículos, estavam à venda num fórum de cibercriminosos. O SIRP garante que nenhuma informação classificada foi comprometida.
O ataque atingiu o servidor de desenvolvimento de uma empresa que prestava serviços ao SIRP, bem como ao Serviço de Informações de Segurança (SIS) e ao Serviço de Informações Estratégicas de Defesa (SIED). Em comunicado à agência Lusa, o SIRP afirma que os três portais não contêm informação classificada e que não houve qualquer intrusão na infraestrutura central dos serviços de informações.
O que se sabe sobre o ataque e os dados roubados?
No dia 6 de outubro, o portal francês FrenchBreaches revelou que um pirata informático estava a vender um vasto conjunto de dados alegadamente pertencentes ao SIRP. O atacante afirmou ter obtido acesso através do domínio sirp.pt e alegou ter roubado 120 GB de dados, distribuídos por 312 144 ficheiros, além do conteúdo de 96 bases de dados e o código-fonte de 180 sites.
Uma amostra de 1.000 registos analisada pelo portal francês continha informação relacionada com candidaturas profissionais. Entre os dados expostos incluem-se:
- Números de cartão de cidadão e de identificação fiscal
- Números de telefone e endereços de email
- Datas de nascimento, género e nacionalidade
- Moradas completas
- Formação académica e experiência profissional
- Cartas de condução, idiomas e competências
- Currículos e outros documentos anexados
Quem é a empresa responsável pelo site?
Embora o SIRP não mencione o nome da empresa cujo servidor foi atacado, o Expresso avançou, citando uma fonte com conhecimento na matéria, que estará em causa a WidgiLabs, uma agência portuguesa de desenvolvimento web. Numa das imagens partilhadas pelo FrenchBreaches é possível ver uma listagem com múltiplos arquivos associados a sites alojados no domínio widgilabs-sites.com, com referências a ambientes de desenvolvimento e teste.
De acordo com o SIRP, o conjunto de dados à venda poderá também incluir informação dos websites de dezenas de entidades, públicas e privadas, que contrataram o mesmo prestador de serviços para a construção dos seus sites.
Como é que os dados dos candidatos foram parar à internet?
Em 2025, o SIRP promoveu um processo de recrutamento para 108 profissionais de várias carreiras, incluindo oficiais de informações. As candidaturas foram recebidas através do seu site público. Segundo o Público, os dados terão sido transferidos pela empresa que desenhou os sites para o servidor de desenvolvimento que foi atacado.
No caso do portal do SIRP, a informação roubada poderá corresponder a alguns elementos de um conjunto limitado de candidaturas submetidas ao serviço.
Que medidas foram tomadas após o ataque?
O SIRP avança que o incidente foi comunicado pela própria empresa afetada e que foram tomadas medidas para limitar o seu impacto. A entidade afirma também ter informado as autoridades competentes e participado o sucedido à Procuradoria-Geral da República (PGR).
Este caso levanta questões sérias sobre a segurança dos dados pessoais dos cidadãos que se candidatam a funções no Estado. Numa altura em que a vigilância e o controlo se intensificam, é legítimo perguntar: se as próprias secretas não conseguem proteger os dados dos candidatos, o que podemos esperar do resto?
A WidgiLabs não respondeu, até ao momento, aos pedidos de esclarecimento da comunicação social.