A fotografia publicada este domingo pelo Primeiro-Ministro do Qatar, Sheikh Mohammed bin Abdulrahman Al Thani, mostra o Vice-Presidente norte-americano JD Vance a trabalhar num portátil, com o Primeiro-Ministro do Qatar a apontar para o ecrã e Jared Kushner de pé, a observar por cima dos ombros de ambos. Uma imagem aparentemente protocolar (talvez “photo oped”), tirada à margem das negociações EUA-Irão na Suíça. Mas quem olhar com atenção encontra não uma, nem duas… mas três violações de cibersegurança numa única fotografia.

1. O cartão que não devia ali estar e que não pertence a quem o usou:

O cartão de acesso inserido no portátil exibe a fotografia de uma mulher, e não do Vice-Presidente, levantando a suspeita de que Vance estava a utilizar as credenciais de outra pessoa para aceder ao sistema. Nos EUA, o Common Access Card (CAC) é uma credencial de identificação pessoal e intransmissível, emitida pelo Departamento de Defesa. Utilizá-lo em nome de outra pessoa não é uma irregularidade menor: é uma violação direta das políticas federais de cibersegurança, sujeita a consequências disciplinares que podem incluir a suspensão de privilégios de acesso, revogação da clearance de segurança e despedimento. Este cenário seria tratado com a máxima seriedade em qualquer organização federal ou contratante do DoD: o cartão seria confiscado imediatamente e o titular ficaria sujeito a horas de formação obrigatória de segurança: e isto no melhor cenário!…

A ironia que aqui encontramos é que, apesar deste amadorismo, o sistema funciona. O portátil HP do governo norte-americano exige precisamente um cartão físico para autenticar o utilizador: uma boa prática de segurança que combina o princípio do “algo que tens” com “algo que sabes” (o PIN associado ao cartão). A imagem permite confirmar que se trata de um portátil HP de nível corporativo com autenticação por smart card, concebido para ambientes de elevada segurança. O mecanismo de proteção existia. Foi simplesmente contornado com o cartão de outra pessoa: deitando toda a lógica de auditoria e rastreabilidade que justifica a existência do sistema.

Fica por responder uma pergunta técnica igualmente relevante: o portátil estava ligado à rede Wi-Fi do hotel? Se sim, a superfície de ataque alarga-se consideravelmente. Redes hoteleiras, mesmo em contextos de diplomacia internacional, não são equivalentes a redes classificadas: exactamente o oposto!

2. e 3. Um diplomata estrangeiro a ver o ecrã e um civil sem clearance espreitando ao topo:

A segunda e terceira violações são igualmente graves. O ecrã do portátil governamental estava visível para o Primeiro-Ministro do Qatar: um representante de um Estado estrangeiro, parceiro estratégico, mas não aliado no mesmo sentido que um Estado-membro da NATO. Simultaneamente, Jared Kushner, cidadão privado sem cargo governamental formal e sem clearance de segurança conhecida, estava a observar o ecrã por detrás de Vance, numa reunião de negociações sensíveis envolvendo o Irão. O facto de a fotografia ter sido publicada pelo próprio Primeiro-Ministro do Qatar – e não por um denunciante – é, em si mesmo, um sinal geopolítico que vários analistas não deixaram de notar.

A questão de fundo não é de malícia, mas de cultura de segurança. Ou da sua ausência…

O que Portugal pode aprender com este incidente?

Do lado positivo, o episódio de Lucerna confirma algo que Portugal deveria tomar como referência: os EUA equipam os seus funcionários governamentais com dispositivos que só autenticam mediante cartão físico, integrando assim o factor de posse como camada obrigatória de acesso. Esta abordagem, combinada com PIN e, idealmente, verificação biométrica ou MFA adicional, representa o estado da arte para proteção de equipamentos de alto risco. A questão que fica em aberto – e que o incidente de Vance torna pertinente – é se esses sistemas exigem também impressão digital ou um segundo fator de autenticação independente. Se a resposta for negativa, o cartão físico de outra pessoa é, por definição, suficiente para comprometer o acesso: e isso é uma lacuna muito grave.

Neste campo, o Governo aprovou em julho de 2025 uma proposta de lei de novo regime jurídico de cibersegurança, com o objetivo declarado de elevar Portugal ao grupo de países com regimes mais exigentes nesta matéria. Mas intenções legislativas não substituem protocolos operacionais. E há um episódio recente que ilustra bem a distância entre o discurso e a prática.

O Hotel Epic Sana:

Durante semanas, o Primeiro-Ministro português Luís Montenegro residiu no Hotel Epic Sana, em Lisboa, enquanto decorria a obra de ampliação dos apartamentos que adquiriu na Travessa do Possolo, na Lapa. O próprio confirmou ter negociado o alojamento a 250 euros por noite com o grupo hoteleiro Sana. A questão que nunca foi respondida publicamente – e que a Visão teve o mérito de colocar – é a das implicações de segurança: os seguranças do Primeiro-Ministro também ficavam alojados no mesmo hotel? O espaço era também utilizado como local de trabalho? 

Um governante que trabalha a partir de um hotel de cinco estrelas com rede Wi-Fi partilhada, sem que existam protocolos públicos conhecidos sobre segmentação de rede, proteção de comunicações ou gestão de dispositivos em ambiente não controlado, é um vetor de risco: independentemente de quem paga a conta.

Recomendações CpC ao Governo português:

O episódio americano, precisamente por envolver a administração que mais investe em segurança governamental do mundo, é um argumento poderoso a favor de medidas concretas em Portugal:

1. Todos os dispositivos utilizados por membros do Governo e altos dirigentes do Estado em contexto de trabalho remoto ou em deslocação devem exigir autenticação multifator obrigatória: incluindo um fator físico (cartão, chave FIDO2) e, sempre que possível, verificação biométrica. A Chave Móvel Digital, hoje disponível como autenticador, deveria ser explorada como componente MFA para acesso a sistemas governamentais sensíveis.

2. Deve ser estabelecido um protocolo formal para situações em que membros do Governo trabalham fora de instalações governamentais: seja num hotel, numa residência privada ou em deslocação internacional. Esse protocolo deve incluir obrigações sobre redes utilizadas, dispositivos permitidos e restrições de visualização por terceiros.

3. A partilha ou cedência de credenciais de acesso a equipamentos governamentais deve ser tratada como infração grave no regime disciplinar aplicável a titulares de cargos políticos e a funcionários públicos com acesso a informação classificada.

4. Qualquer reunião com representantes de Estados estrangeiros que envolva o manuseamento de equipamentos com acesso a sistemas governamentais deve seguir um protocolo de OPSEC equivalente ao que os EUA – pelo menos no papel… – já exigem.

O que a fotografia de Lucerna demonstra não é que os americanos ou que os membros a atual Administração são descuidados por natureza. Demonstra que mesmo os sistemas mais robustos falham quando a cultura de segurança não acompanha a tecnologia.

Nota:
Texto elaborado com base em fontes abertas. As alegadas violações de OPSEC são objeto de debate público nos EUA e não foram confirmadas oficialmente pelas autoridades norte-americanas.