Ciberataque expõe dados não classificados do SIRP

Ciberataque atingiu servidor de desenvolvimento do prestador

Um ciberataque contra uma empresa de informática que prestou serviços ao Sistema de Informações da República Portuguesa (SIRP) permitiu a piratas informáticos acederem a dados não classificados das secretas portuguesas e de outras entidades, confirmou o SIRP.

"O acervo de dados terá sido obtido através de um ciberataque ao servidor de desenvolvimento (utilizado para testes) do prestador de serviços que, durante o ano de 2025, foi contratado para desenhar os 'websites' públicos do SIRP, SIS [Serviço de Informações e Segurança] e do Serviço de Informações Estratégicas de Defesa [SIED]", disse hoje à Lusa fonte oficial do SIRP, salientando que estes três portais "não contêm informação classificada".

O esclarecimento foi divulgado depois de, na quarta-feira, um fórum de cibercrime ter anunciado a venda de um acervo de 120 'gigabytes' de dados do SIRP. Segundo o serviço, o conjunto poderá também abranger "informação dos 'websites' de dezenas de entidades, públicas e privadas, que contrataram o mesmo prestador de serviços para a respetiva construção" dos 'sites'.

Dados do SIRP e candidaturas submetidas

No que respeita ao SIRP, cujo portal disponibiliza informação pública, os dados em causa deverão corresponder a "alguns elementos de um conjunto limitado de candidaturas submetidas" ao serviço. A empresa contratada em 2025 "terá transferido" esses elementos para uma instância sob a sua responsabilidade.

"Não houve qualquer intrusão na infraestrutura e sistemas informáticos do SIRP ou dos Centros de Dados do SIS e do SIED", sublinhou, por escrito, a mesma fonte. Esta acrescentou que os servidores dos 'websites' públicos destes serviços "são totalmente segregados daqueles utilizados na atividade dos Serviços".

"Não existe qualquer evidência ou indício do comprometimento de informação classificada ou operacional. Como tal, qualquer referência a um eventual acesso a informação classificada não tem fundamento", frisou.

Caso comunicado à PGR

A própria empresa alvo do ataque comunicou o incidente ao SIRP, que adotou todas as medidas destinadas a mitigar a situação. Os factos foram igualmente participados à Procuradoria-Geral da República (PGR).

"O SIRP continuará a avaliar a situação e desenvolverá todas as diligências que se afigurem necessárias", assegurou.

De acordo com o portal especializado Pplware, que avançou com a notícia sobre o anúncio de venda dos dados, os piratas informáticos alegam possuir 120 'gigabytes' de informação repartida por 312.144 ficheiros. O conjunto inclui 96 bases de dados, o código-fonte de 180 'sites', documentos privados, 'e-mails', dados pessoais e informação relativa a sistemas e aplicações.

Apesar de a mensagem indicar que o domínio sirp.pt, associado ao SIRP, teria sido o alvo do ciberataque, o serviço garantiu à Lusa que o seu 'website' público "não foi alvo de ciberataque".