Ciberataque à administração de Berlim: dados de 1,4 milhões de registos publicados após recusa em pagar resgate: Contexto para Portugal

A televisão pública alemã noticiou, a 5 de setembro de 2026, que o grupo de ransomware Rhysida publicou na dark web dados da administração do Estado de Berlim, depois de a cidade se ter recusado a pagar um resgate de 30 bitcoin (mais de 2 milhões de euros).

O ataque à rede informática que serve a administração pública do Estado de Berlim, teve lugar em meados de agosto de 2026.  No decurso deste ataque, os atacantes conseguiram exfiltrar grandes volumes de dados antes de serem detetados, estando ativos na rede estatal durante apenas sete dias entre a intrusão e a contenção do incidente.

O grupo responsável identificou-se como Rhysida, uma organização de ransomware-as-a-service ativa desde 2023, já associada pelas autoridades norte-americanas e por investigadores de cibersegurança a ataques de grande visibilidade noutros países (como, em 2023, o ataque à British Library, no Reino Unido). Nas suas comunicações com o governo de Berlim, o grupo exigiu 30 bitcoin, o equivalente a cerca de dois milhões de euros, sob ameaça de publicar os dados roubados caso o resgate não fosse pago.

O Presidente da Câmara de Berlim, confirmou que a cidade estava a ser alvo de uma tentativa de extorsão cibernética. O Senado de Berlim reiterou, que o Estado não pagaria o resgate, antecipando que isso significaria, com elevada probabilidade, que os dados acabariam por ser vendidos a terceiros ou publicados, no todo ou em parte.

O ultimato dos atacantes terminou na tarde de sexta-feira, 4 de setembro de 2026. Nesse mesmo dia, o grupo Rhysida publicou no seu site na dark web uma mensagem a encerrar o que descreveu como um “leilão” dos dados, tornando-os acessíveis a qualquer pessoa: “Todos os ficheiros foram carregados numa área de acesso público, divirtam-se a explorar, caçadores de dados!”.

Quanto à dimensão dos dados publicados, há alguma variação entre fontes, própria da fase inicial de um incidente deste tipo: a rbb24 refere cerca de 1,4 milhões de ficheiros distribuídos por vários pacotes; outras publicações especializadas alemãs (como o IT-Administrator) indicam um número mais preciso de 1.439.893 ficheiros, com um volume total na ordem dos 5,8 terabytes. Não é ainda claro, com base nas fontes consultadas pela CpC, se este volume corresponde à totalidade dos dados roubados em agosto ou apenas a uma parte.

Sobre o conteúdo dos dados, as autoridades e a imprensa alemãs já identificaram, entre outros: partes de processos de pessoal, documentos digitalizados de identificação, recibos de vencimento, certificados de trabalho e documentação contratual de funcionários públicos; e, num registo potencialmente mais sensível do ponto de vista da segurança: informação relativa a projetos de construção pública (incluindo obras junto à Chancelaria Federal alemã ) e dados referentes a infraestruturas críticas. O porta-voz do Chaos Computer Club (a mais conhecida associação de ativistas digitais na Alemanha), Joachim Selzer, declarou à agência de notícias alemã DPA que o conjunto de dados publicado parece estar “completo e acessível a todos” e que “muitas destas pequenas coisas que podem ser interessantes para efeitos de roubo de identidade”.

As autoridades alemãs confirmaram que peritos forenses de IT, contratados pelo Estado federado, estão a analisar os dados publicados, e que qualquer cidadão identificado como afetado será notificado pelas administrações “de forma proporcional ao risco e nos termos da lei”: uma formulação que remete  diretamente as obrigações de notificação de titulares de dados previstas no Regulamento Geral de Proteção de Dados (RGPD), aplicável na Alemanha assim como em Portugal. Aos cidadãos com indícios de que os seus dados foram publicados ou utilizados para fins criminosos foi recomendado apresentar queixa às autoridades. Obviamente, este incidente aumenta exponencialmente o risco de estes documentos serem usados em esquemas de roubo de identidade através de assinaturas digitalizadas em contratos ou de dados bancários eventualmente incluídos nos ficheiros.

Segundo o Senado de Berlim, o grupo Rhysida é considerado, com base em informação disponível às autoridades alemãs, uma organização “altamente profissional”, associada a diversos ciberataques contra alvos no norte e sul da Europa, na Alemanha e nos Estados Unidos nos últimos anos. As autoridades alemãs afirmam não ter indícios de ligação à Rússia ou ao Estado russo, mas também não a excluem. É de notar, que o ataque ocorre poucos dias antes de eleições em Berlim (marcadas para 20 de setembro de 2026) mas não encontrámos provas de motivação política por trás do ataque ou um controlo estrangeiro direto. Tudo indica que o Rhysida é financeiramente motivado o que, contudo, não quer dizer que este enorme manancial de dados não seja aproveitado por serviços de informações hostis para os seus próprios propósitos.

Não é possível, até à data desta publicação, confirmar o vetor de acesso inicial utilizado pelos atacantes:ou seja, como conseguiram entrar na rede da administração de Berlim.

Impacto e relevância para Portugal

Este caso é relevante para Portugal por três razões:

1. Um incidente com o mesmo padrão já aconteceu em Portugal, mas numa escala municipal: Em 2023, a Câmara Municipal de Gondomar foi alvo de um ataque de ransomware em tudo semelhante ao de Berlim: os atacantes exfiltraram dados sensíveis dos cidadãos (incluindo cópias de cartões de cidadão, passaportes, processos de habitação e processos de licenciamento de obras) exigiram um resgate (700 mil euros em bitcoin) e, perante a recusa (correta) de pagamento, colocaram os dados a leilão na dark web. A autarquia ficou durante meses sem acesso completo aos seus sistemas informáticos, obrigando os serviços a funcionar em papel. Casos mais recentes, como o ataque informático à Câmara Municipal de Serpa em 2026, confirmam que este tipo de incidente continua a ocorrer em autarquias portuguesas. Segundo o portal especializado ransomware.live, Portugal contabiliza pelo menos 71 vítimas de ransomware tornadas públicas, e, de acordo com dados citados pelo ECO, o país registou 28 ataques de ransomware em 2025. um número comparativamente mais baixo do que Espanha ou França, mas de forma alguma nulo, com o grupo Qilin identificado como o mais ativo contra alvos portugueses, sobretudo no setor industrial.

2. A administração local portuguesa partilha exatamente o mesmo perfil de risco que a administração de Berlim: sistemas informáticos que concentram dados pessoais sensíveis de milhares de cidadãos (identificação, saúde, habitação, apoios sociais, processos de recursos humanos de funcionários públicos), orçamentos de IT tipicamente mais limitados do que os de ministérios centrais ou de grandes empresas, e uma dependência crescente de sistemas digitais para serviços que, há uma década, ainda corriam em papel. Um ataque bem-sucedido contra uma câmara municipal portuguesa de maior dimensão, ou contra uma rede partilhada de serviços intermunicipais, teria potencial para reproduzir à escala portuguesa exatamente o tipo de exposição que Berlim está agora a viver publicamente.

3. Portugal está, neste preciso momento, a atravessar a fase de implementação de um novo enquadramento legal que torna este tipo de incidente diretamente relevante para a responsabilização de autarquias e entidades públicas: o Decreto-Lei n.º 125/2025, que transpõe para a ordem jurídica portuguesa a Diretiva europeia NIS2 e cria o novo Regime Jurídico da Cibersegurança, entrou em vigor a 3 de abril de 2026 (120 dias após a sua publicação, com um período de implementação adicional de 24 meses para certas disposições). Este diploma classifica os municípios (incluindo câmaras municipais, serviços municipalizados (nomeadamente de água e saneamento) e empresas municipais que prestem serviços essenciais) como entidades essenciais no setor “Administração Pública”, com todas as obrigações reforçadas que isso implica. Entre essas obrigações contam-se a implementação de medidas de gestão de risco (análise de risco, resposta a incidentes, continuidade de negócio, gestão de cópias de segurança, segurança da cadeia de aprovisionamento), a designação de um responsável de segurança da informação como ponto de contacto permanente com o CNCS, a aprovação e supervisão pessoal das medidas de cibersegurança por presidentes de câmara, vereadores e diretores de departamento (com responsabilização pessoal em caso de incumprimento), e prazos apertados de notificação de incidentes ao CNCS: alerta preliminar em 24 horas, notificação completa em 72 horas, e relatório final em um mês. O incumprimento é sancionável com coimas até 10 milhões de euros ou 2% do volume de negócios aplicável. Um incidente como o de Berlim, ocorrido hoje numa autarquia portuguesa de dimensão semelhante, cairia agora integralmente dentro deste novo regime de obrigações e responsabilização.

Alerta da CpC: recomendações para o governo português

Face ao que este caso revela e sabendo-se que Portugal já teve episódios do mesmo tipo, embora de menor escala a CpC: Cidadãos pela Cibersegurança dirige ao governo português, ao CNCS e às entidades responsáveis pela implementação da NIS2 em Portugal as seguintes recomendações concretas:

1. Acelerar e reforçar o apoio técnico e financeiro direto às autarquias na transição para o Regime Jurídico da Cibersegurança. A classificação dos municípios como entidades essenciais ao abrigo do DL 125/2025 é positiva e necessária, mas de pouco vale sem meios: muitas câmaras municipais portuguesas, sobretudo do interior e de menor dimensão, não têm hoje capacidade técnica nem orçamental para cumprir requisitos como a designação de um responsável de segurança da informação, auditorias de risco regulares ou segmentação de rede. O governo deve assegurar financiamento dedicado (nacional e, sempre que possível, fundos europeus) e mecanismos de partilha de recursos entre municípios, por exemplo, através de serviços de CISO-as-a-Service coletivos, geridos ao nível intermunicipal ou por associações como a ANMP, em vez de exigir que cada autarquia resolva o problema isoladamente.

2. Publicar orientações setoriais específicas e obrigatórias sobre cópias de segurança isoladas (“offline” ou “air-gapped”) para a administração local. O caso de Berlim, tal como o de Gondomar em Portugal, mostra que a capacidade de recuperação de dados sem pagar resgate depende diretamente da existência de cópias de segurança verdadeiramente isoladas da rede principal. O CNCS já recomenda backups em dispositivos desligados da rede nas suas orientações gerais sobre ransomware; a CpC recomenda que esta prática deixe de ser uma recomendação genérica e passe a ser um requisito verificável e auditado no âmbito da supervisão da NIS2 sobre entidades essenciais da administração pública local.

3. Realizar, com regularidade e alcance nacional, exercícios de simulação de ataques de ransomware dirigidos especificamente a autarquias, à semelhança do exercício nacional de cibersegurança que já reuniu 270 municípios portugueses, mas com maior frequência e com cenários que incluam explicitamente a gestão da comunicação pública e da exposição de dados de cidadãos em caso de fuga de informação e não apenas a resposta técnica ao incidente.

4. Clarificar publicamente, junto dos cidadãos e das autarquias, o procedimento exato de notificação em caso de fuga de dados pessoais, articulando de forma explícita as obrigações que já recaem sobre qualquer entidade pública nos termos dos artigos 33.º e 34.º do RGPD (notificação à CNPD e aos titulares dos dados) com as novas obrigações de notificação ao CNCS previstas no DL 125/2025 (24 horas para alerta preliminar, 72 horas para notificação completa, um mês para relatório final). A duplicação de regimes de notificação, se não for bem articulada, arrisca gerar confusão e atrasos exatamente no momento em que a rapidez de resposta mais importa.

5. Manter e reforçar a política de não pagamento de resgates por parte de entidades públicas portuguesas, seguindo o exemplo do Senado de Berlim e a orientação já expressa pelo CNCS. Ceder a extorsão não garante a recuperação dos dados (como demonstram casos documentados em que empresas portuguesas pagaram o resgate e, ainda assim, perderam os dados) e financia diretamente a continuidade operacional destes grupos criminosos contra outros alvos, incluindo outras entidades portuguesas.

6. Investir na deteção precoce e na redução da janela de exposição entre intrusão e contenção. A imprensa alemã associa o sucesso da exfiltração de dados em Berlim a um intervalo de vários dias entre o acesso inicial dos atacantes e o isolamento efetivo da rede afetada. Isto sublinha a importância de investimento continuado em capacidades de deteção e resposta (monitorização de rede, deteção de anomalias, planos de resposta a incidentes testados) para entidades públicas portuguesas de todas as dimensões e não apenas na prevenção de acesso inicial, que nunca será cem por cento eficaz.

7. Criar um canal público e simples, gerido pelo CNCS ou pela CNPD, para que qualquer cidadão português possa verificar se os seus dados constam de fugas de informação já conhecidas envolvendo entidades públicas nacionais, à semelhança de serviços internacionais como o “Have I Been Pwned”. A ausência de um canal deste tipo em Portugal significa que, hoje, um cidadão afetado por um incidente semelhante ao de Berlim dependeria inteiramente de a própria entidade visada o notificar, o que, como o próprio caso alemão demonstra, pode demorar semanas e depender de investigação forense externa.

Nota final:

O ataque a Berlim não é um caso isolado nem uma ameaça longinqua: é a mais recente demonstração, na escala de uma grande capital europeia, de um padrão de ataque (ransomware com exfiltração de dados, extorsão e publicação pública em caso de recusa de pagamento) que já alcançou autarquias portuguesas e que vai continuar a atingir administrações públicas com o perfil de risco descrito neste alerta. A entrada em vigor do Regime Jurídico da Cibersegurança em Portugal é uma oportunidade concreta para transformar a resposta nacional a este tipo de ameaça, mas só produzirá resultados reais se for acompanhada de meios, orientações claras e verificação efetiva do cumprimento, não apenas de novas obrigações no papel. A CpC continuará a acompanhar tanto os desdobramentos do caso de Berlim como a implementação da NIS2 em Portugal.

___________________________________________________________
Email enviado a 6.9.2026 a várias autarquia portuguesas:
CpC: Pedido de ponto de situação sobre a implementação da NIS2 (DL 125/2025) e recomendações de cibersegurança para a autarquia

Exmo(a). Senhor(a) Presidente da Câmara Municipal/Junta de Freguesia,

A CpC: Cidadãos pela Cibersegurança é uma organização cívica dedicada à promoção da literacia e da segurança digital, com particular atenção ao setor público e à administração local. Escrevemos-lhe na sequência de um episódio recente que consideramos relevante partilhar, e para lhe solicitar um ponto de situação sobre a implementação, na vossa autarquia, do novo Regime Jurídico da Cibersegurança.

Em setembro de 2026, a administração do Estado federado de Berlim, na Alemanha, foi vítima de um ataque de ransomware pelo grupo Rhysida: os atacantes exfiltraram cerca de 5,8 terabytes de dados (incluindo processos de pessoal, documentos de identificação, recibos de vencimento e informação sobre infraestruturas críticas) e, perante a recusa do governo de Berlim em pagar um resgate de 30 bitcoin (cerca de dois milhões de euros), publicaram 1,4 milhões de ficheiros na dark web. Este não é um risco distante: em Portugal, a Câmara Municipal de Gondomar sofreu um ataque com o mesmo padrão em 2023 (dados de cidadãos (cartões de cidadão, passaportes, processos de habitação e de licenciamento) postos a leilão na dark web após recusa de pagamento), e a Câmara Municipal de Serpa foi afetada em 2026. Segundo o portal ransomware.live, Portugal contabiliza já pelo menos 71 vítimas de ransomware tornadas públicas.

É precisamente este perfil de risco: sistemas com dados pessoais sensíveis de milhares de munícipes, orçamentos de TI tipicamente limitados e crescente dependência digital dos serviços, que a NIS2 (transposta para Portugal pelo Decreto-Lei n.º 125/2025, em vigor desde 3 de abril de 2026) veio explicitamente enquadrar, classificando as autarquias, os serviços municipalizados (nomeadamente de água e saneamento) e as empresas municipais que prestem serviços essenciais como entidades essenciais no setor “Administração Pública”.

O que gostaríamos de saber

Com o objetivo de mapear, de forma independente e não fiscalizadora, o estado real de preparação das autarquias portuguesas e de identificar onde é mais urgente dirigir apoio e recursos, agradecíamos que nos indicassem, com a brevidade que vos for possível se:

1. A autarquia já designou um responsável de segurança da informação (CISO, interno ou em regime de CISO-as-a-Service) como ponto de contacto permanente com o CNCS, conforme exigido pelo DL 125/2025?

2. Estão implementadas medidas de gestão de risco nos termos do artigo 21.º do diploma: análise de risco, plano de resposta a incidentes, plano de continuidade de negócio, política de cópias de segurança e avaliação de segurança da cadeia de aprovisionamento (fornecedores de TI)?

3. A autarquia mantém cópias de segurança verdadeiramente isoladas da rede principal (offline ou “air-gapped”), e já testou, no último ano, a recuperação efetiva de dados a partir dessas cópias?

4. Existe um procedimento interno claro, já testado, para notificação de incidentes dentro dos prazos agora exigidos (alerta preliminar ao CNCS em 24 horas, notificação completa em 72 horas, relatório final em um mês), articulado com as obrigações paralelas de notificação à CNPD nos termos dos artigos 33.º e 34.º do RGPD?

5. Foi já identificado, formalmente, quais dos sistemas e serviços da autarquia (incluindo serviços municipalizados de água/saneamento, se aplicável) se enquadram como entidades essenciais ou importantes ao abrigo da NIS2?

6. Existe formação obrigatória de ciber-higiene para colaboradores (incluindo simulações de phishing), e o presidente da câmara, os vereadores e os diretores de departamento têm conhecimento da responsabilização pessoal que o artigo 20.º do diploma lhes atribui pela supervisão destas medidas?

7. Foi alocado orçamento municipal específico para cibersegurança em 2026/2027, e a autarquia tem conhecimento de mecanismos de apoio ou financiamento disponíveis (nacionais, europeus, ou partilhados através de Comunidades Intermunicipais ou da ANMP) para cumprir estas obrigações?

8. A autarquia participou em exercícios nacionais de simulação de cibersegurança (como o exercício que já reuniu 270 municípios) e pretende participar em edições futuras?

Recomendações concretas da CpC:

Independentemente da fase em que a autarquia se encontre, deixamos um conjunto de medidas que consideramos prioritárias e ao alcance de qualquer município, mesmo sem departamento de IT dedicado:

Backups segundo a regra 3-2-1 (três cópias, dois tipos de suporte diferentes, uma cópia fora da rede principal), com teste anual de recuperação efetiva: não basta fazer a cópia, é preciso confirmar que a recuperação funciona na prática.

Autenticação multifator (MFA) em todas as contas, especialmente contas de administrador de sistemas e de acesso a dados de munícipes.

Segmentação de rede, para que o compromisso de um sistema não dê acesso automático à totalidade da infraestrutura municipal.

Designação de um CISO partilhado ao nível intermunicipal ou de Comunidade Intermunicipal, caso a dimensão da autarquia não justifique um recurso interno dedicado: reduz custos e evita que cada município tenha de resolver o problema isoladamente.

Monitorização ativa da caixa de correio administrativa e dos alertas de segurança, para evitar que avisos críticos se percam em contas raramente consultadas.

Política de não pagamento de resgates, alinhada com a orientação do CNCS: em caso de incidente, contacto imediato com o CERT.PT (cert@cert.pt) e a Polícia Judiciária (unc3t@pj.pt), nunca negociação direta com os atacantes.

Exercícios internos de simulação de incidente, incluindo não apenas a resposta técnica mas também a comunicação pública e a notificação de munícipes em caso de fuga de dados pessoais.

Inventário simples dos ativos digitais críticos: que sistemas guardam que dados, e quem é responsável por cada um, como primeira linha de deteção precoce.

Próximos passos

Agradecíamos uma resposta, ainda que preliminar, no prazo de 10 dias, para o endereço de email da CpC. As respostas recebidas serão tratadas de forma agregada e não teremos qualquer intenção de expor publicamente autarquias individuais: o objetivo é compreender o estado geral da preparação nacional e, sempre que possível, ajudar a direcionar apoio onde for mais necessário, incluindo através de contacto direto com o CNCS e a ANMP.

Ficamos também disponíveis para esclarecer qualquer dúvida sobre o novo regime, partilhar orientações adicionais, ou colocar a autarquia em contacto com outros municípios que já tenham avançado em áreas específicas desta implementação.

Fontes:

30 Bitcoin or leak, ransomware gang extorts Berlin,  heise online:
https://www.heise.de/en/news/30-Bitcoin-or-leak-ransomware-gang-extorts-Berlin-11434348.html

Berlin-Hack: Rhysida veröffentlicht 1,4 Millionen gestohlene Dateien: IT-Administrator:
https://www.it-administrator.de/cyberangriff-berliner-landesnetz-ransomware-rhysida

Hackergruppe Rhysida veröffentlicht 5,8 Terabyte Daten aus Berliner Landesnetz https://www.20min.ch/story/erpressung-berlin-zahlt-kein-loesegeld-nun-sind-lohnabrechnungen-im-darknet-103627814

Hackergruppe Rhysida veröffentlicht Daten aus Berliner Landesnetz im Darknet, NIUS:
https://nius.de/kriminalitaet/hackergruppe-rhysida-veroeffentlicht-daten-aus-berliner-landesnetz-im-darknet

Rhysida group releases 1.4 million Berlin files after unpaid 30 BTC ransom, Coin Turk:
https://en.coin-turk.com/rhysida-group-releases-1-4-million-berlin-files-after-unpaid-30-btc-ransom/

Berlin’s Seven-Day Ransomware Isolation Gap Let Rhysida Steal Critical Infrastructure Data, Tech Times:
https://www.techtimes.com/articles/326186/20260901/berlins-seven-day-ransomware-isolation-gap-let-rhysida-steal-critical-infrastructure-data.htm

Rhysida (hacker group) na Wikipedia:
https://en.wikipedia.org/wiki/Rhysida_(hacker_group)

Ataque informático à Câmara de Gondomar: dados roubados estão em leilão na dark web:
https://www.publico.pt/2023/10/09/local/noticia/ataque-informatico-camara-gondomar-dados-roubados-estao-leilao-dark-web-2066112

“Piratearam a Câmara de Serpa”: ataque informático bloqueou serviços
https://www.radiopax.com/ataque-informatico-paralisou-servicos-da-camara-de-serpa-e-levanta-preocupacoes-de-seguranca/

71 victims for Portugal: ransomware.live:
https://www.ransomware.live/map/PT

Ataques de ransomware disparam 52% em 2025. Portugal sofreu 28:
https://eco.sapo.pt/2026/02/18/ataques-de-rasomware-disparam-52-em-2025-portugal-sofreu-28/

Empresas portuguesas pagam resgate depois de ataque informático e perdem os dados na mesma:
https://eco.sapo.pt/2026/02/23/empresas-portuguesas-pagam-resgate-depois-de-ataque-informatico-e-perdem-os-dados-na-mesma/

CNCS – Contexto Atual – Ransomware:
https://www.cncs.gov.pt/pt/contexto-atual-ransomware/

CNCS alerta para risco de ciberataques com transição digital das câmaras:
https://www.rtp.pt/noticias/economia/cncs-alerta-para-risco-de-ciberataques-com-transicao-digital-das-camaras_n1522524

Exercício nacional de cibersegurança reuniu 270 municípios. Security Magazine:
https://www.securitymagazine.pt/2023/10/23/exercicio-nacional-de-ciberseguranca-reuniu-270-municipios/

NIS2 publicada em Diário da República entra em vigor no segundo trimestre de 2026. IT Security:
https://www.itsecurity.pt/news/compliance/nis2-publicada-em-diario-da-republica-entra-em-vigor-no-segundo-trimestre-de-2026

Cibersegurança Municipal: NIS2 para Autarquias Locais | DL 125/2025:
https://www.cibersegurancamunicipal.pt/

NIS2 Portugal: 9.000 Empresas, Coimas até €10M. Shattered:
https://shattered.io/pt/nis2-portugal-rjc-9000-empresas-coimas-2026/