Na madrugada de 8 de outubro, um ataque com drones provocou um incêndio no centro de dados do Yandex em Sasovo, na região de Riazan. Foi o primeiro ataque de grande dimensão a um centro de dados russo desde o início da guerra. A empresa suspendeu totalmente a operação do local, que aloja dezenas de milhares de servidores. Dois dos três supercomputadores usados para desenvolver os seus modelos de IA estão nesse centro, e a empresa não esclareceu se foram danificados.

Na noite seguinte foi atingido o centro de Kaluga. Segundo a imprensa independente russa, é o maior e mais potente centro de dados do Yandex, concluído apenas este ano.

Estes ataques ucranianos não foram feitos sem provocações anteriores. Não são uma “invenção” ucraniana mas uma resposta a uma escalada: Moscovo começou em setembro a atacar centros de dados ucranianos, alegando que serviam as forças armadas da Ucrânia.

Porque é que isto nos diz respeito

A CpC não comenta a dimensão militar do conflito. O que nos interessa é a lição estrutural. Pela primeira vez, assistimos à destruição física deliberada de infraestrutura de computação em nuvem que sustenta a economia civil de um país inteiro. E vimos como a falha de um único local se propaga a serviços que nada têm a ver com o alvo.

Horas depois do ataque, o segmento russo da internet registou falhas generalizadas. Na sequência de anteriores incidentes no Yandex Cloud, falharam ao mesmo tempo aplicações bancárias, serviços de entrega e operadores de telecomunicações. A concentração transformou uma falha local num problema nacional.

Há três erros russos que nos devem servir de aviso.

1. Concentração: As sanções e a política de “internet soberana” empurraram empresas e o Estado russos para um número reduzido de fornecedores nacionais. Os clientes russos têm pouca escolha sobre onde alojar os seus dados.
2. Dependência de cadeias de abastecimento que não controlam: Um responsável associativo russo afirmou que as sanções vão dificultar a recuperação dos centros de Sasovo e Kaluga, e aconselhou as empresas a distribuírem as cópias de dados por vários locais.
3. Sigilo e pelo controlo estatal, em vez da resiliência: Um senador russo propôs classificar como secretos os centros de dados e enterrar parte destas estruturas. Em agosto, Putin deu ao Estado poder para tomar o controlo de infraestruturas críticas consideradas mal protegidas contra drones. Na mesma linha, Moscovo investiu fortemente na filtragem e bloqueio da internet, mas, muito menos, na redundância física.

A Europa não está em guerra, mas está exposta. Há sabotagem documentada a cabos submarinos e energéticos no Báltico, assim como voos de drones não identificados sobre infraestruturas europeias. Moscovo ameaçou publicamente a Ucrânia com uma “desintoxicação digital”. Tudo isto justifica que tratemos os centros de dados como aquilo que já são: infraestrutura crítica com risco físico, e não apenas cibernético.

O próprio caso português o demonstra. O apagão ibérico de abril de 2025 e a falha nacional de internet e rede móvel de setembro de 2026 mostraram como uma falha num ponto do sistema se propaga.

Propostas para Portugal

1. Verificar a aplicação do regime das entidades críticas. O Decreto-Lei n.º 22/2025 transpôs a Diretiva CER. Fixou janeiro de 2026 para aprovar a estratégia nacional e a avaliação nacional de risco, e julho de 2026 para designar as entidades críticas. A CpC perguntou ao Governo da República publicamente se esses prazos foram cumpridos. Pergunta também se os centros de dados e fornecedores de nuvem que suportam serviços essenciais foram incluídos na designação.
2. Mapear a concentração. Propomos que o CNCS e a estrutura de coordenação das entidades críticas façam um levantamento das dependências dos serviços essenciais, e que publiquem a versão agregada. O levantamento deve identificar quantos desses serviços dependem de um único centro de dados, de uma única região de nuvem ou de um único fornecedor. Os serviços em causa incluem pagamentos, SNS, Autoridade Tributária, segurança social, transportes e comunicações de emergência. Não sabemos hoje responder a esta pergunta.
3. Exigir redundância geográfica real às entidades essenciais. Estas entidades devem ter capacidade de operar a partir de pelo menos dois locais suficientemente afastados para não serem afetados pelo mesmo evento físico. A transferência entre locais deve ser testada pelo menos uma vez por ano, com reporte ao regulador. Ter “várias zonas” no mesmo campus ou na mesma área metropolitana não é redundância.
4. Integrar os centros de dados no planeamento de defesa física. Os centros de dados críticos e as estações de amarração de cabos submarinos devem ser incluídos nos planos de deteção e resposta a drones, com coordenação entre as forças de segurança e a Força Aérea. Os novos projetos de grande escala em licenciamento devem demonstrar resiliência física desde o início.
5. Garantir o funcionamento em modo degradado. Serviços essenciais devem ter procedimentos testados para funcionar sem a nuvem durante dias. Isto inclui aceitação de numerário, pagamentos com cartão em modo offline, procedimentos clínicos em papel no SNS e comunicações de emergência independentes da internet comercial. O acesso a numerário deve ser tratado como questão de resiliência nacional.
6. Assegurar cópias de segurança imutáveis e recuperação testada. O Estado e as entidades essenciais devem manter cópias de segurança imutáveis, desligadas da rede e guardadas noutro local, dentro da União Europeia. O tempo de recuperação deve ser medido em exercícios reais, e não apenas declarado no papel.
7. Criar uma reserva estratégica de componentes. A dificuldade russa em reparar o que perdeu mostra o valor de ter stock. Portugal deve avaliar, com os seus parceiros europeus, uma reserva de equipamento crítico: servidores, equipamento de rede, transformadores e geradores. Deve também garantir a autonomia de combustível dos geradores dos centros de dados essenciais.
8. Rejeitar o modelo do sigilo como substituto da resiliência. Esconder a localização de infraestruturas é uma reação compreensível, mas não protege nada se não houver redundância. Também não pode servir de pretexto para retirar ao escrutínio público e parlamentar a forma como o Estado protege serviços de que todos dependemos. A CpC defende transparência sobre o modelo de resiliência, e confidencialidade apenas sobre os detalhes técnicos de vulnerabilidades concretas.

Propostas para a União Europeia

1. Testes de resistência à infraestrutura digital. A União deve realizar testes de resistência coordenados a centros de dados, regiões de nuvem e cabos submarinos, incluindo cenários de destruição física simultânea de vários locais.
2. Alargar a supervisão de fornecedores críticos para além da banca. O Regulamento DORA já sujeita os fornecedores de TIC críticos do setor financeiro a supervisão europeia. A União deve avaliar um mecanismo equivalente para os fornecedores de nuvem de que dependem a saúde, a energia, os transportes e a administração pública.
3. Construir uma soberania digital federada, e não centralizada. O caso russo mostra que um “campeão nacional” único é um ponto único de falha. As iniciativas europeias de nuvem soberana devem assentar em múltiplos fornecedores interoperáveis e geograficamente distribuídos, com portabilidade real de dados e cargas de trabalho.
4. Acordos de recuperação transfronteiriça. O modelo da “embaixada de dados” da Estónia, que mantém cópias dos sistemas do Estado noutro Estado-Membro, deve ser estudado e alargado. Portugal deve ponderar um acordo deste tipo para os seus registos essenciais.
5. Uma reserva europeia de capacidade digital de emergência. Propomos, no modelo do rescEU, uma reserva comum de centros de dados móveis, componentes e equipas de recuperação, mobilizável em caso de destruição de infraestrutura num Estado-Membro.
6. Salvaguardas de direitos fundamentais. Nenhuma medida de resiliência deve conferir aos governos poderes para cortar a internet, filtrar conteúdos ou tomar o controlo de infraestruturas privadas sem controlo judicial e parlamentar. O caso russo mostra como “proteger a infraestrutura” e “controlar a informação” podem confundir-se.

Sobre as campanhas de desinformação

Circulam nas redes sociais afirmações de que a atividade de contas automatizadas pró-russas terá caído a pique após os ataques. A CpC não conseguiu confirmar essas afirmações de forma autónoma ou assertiva mas importa colocar a pergunta: até que ponto as operações de influência dirigidas à Europa dependem de uma infraestrutura concentrada e identificável? Em vez de especulação, propomos que a ANACOM, como Coordenador dos Serviços Digitais, e a Comissão Europeia usem os instrumentos do Regulamento dos Serviços Digitais. Isso significa avaliação de riscos sistémicos e acesso a dados por investigadores, para pedir às grandes plataformas dados verificáveis sobre comportamento inautêntico coordenado e a sua evolução recente.

Conclusão

O que aconteceu ao Yandex em 48 horas é um aviso para qualquer país que tenha concentrado a sua vida digital em poucos edifícios. A CpC não pede alarme, mas preparação. Portugal transpôs as diretivas europeias; falta demonstrar que as aplica, que conhece as suas dependências e que testou a sua capacidade de recuperação. Dirigimos estas perguntas formalmente ao CNCS, à ANACOM assim como à Assembleia da República. Aguardamos respostas.