O Ministro da Defesa Nacional, Nuno Melo, revelou a 2 de novembro de 2026, em Atenas, que o seu telemóvel foi alvo de um ataque informático que permitiu a terceiros “desviar comunicações”, duplicar contactos e enviar mensagens através do WhatsApp fazendo-se passar pelo ministro. Segundo uma fonte do Ministério da Defesa Nacional, pelo menos uma das mensagens solicitava uma transferência de dinheiro. O alerta terá partido do assessor de imprensa que acompanhava o ministro, ao receber uma mensagem suspeita. A situação, segundo o próprio, foi resolvida com a troca de smartphone.

A explicação oficial do que aconteceu assenta num ponto que deveria merecer a atenção de todos nós e, em especial, do Governo da República: o telemóvel de Nuno Melo já não permitia instalar atualizações de sistema operativo. Ou seja, o membro do Governo responsável pela Defesa Nacional de um Estado-membro da NATO usava, em funções e em deslocações oficiais no estrangeiro, um dispositivo obsoleto. O fabricante e o modelo do equipamento não foram divulgados. Há, no entanto, indícios de que possa tratar-se de um iPhone: estudos norte-americanos indicam que apenas 5 a 10% dos utilizadores de iPhone mudam para Android quando trocam de telemóvel, e numa fotografia publicada pelo Observador em abril de 2022 (https://observador.pt/2022/04/02/pires-de-lima-e-mendes-da-silva-desfiliados-agradecem-mas-recusam-regressar-ao-cds/) Nuno Melo surge com um iPhone de câmara traseira única, da família iPhone 7, 8 ou SE. Não é possível confirmar que se trate do mesmo equipamento agora comprometido. Se fosse um iPhone 7, deixou de receber novas versões do sistema operativo em 2022, ficando no iOS 15; se fosse um iPhone 8, deixou de as receber em 2023, ficando no iOS 16. Já o iPhone SE de 2.ª geração, visualmente quase idêntico, continua a receber atualizações.

Sublinhamos que, em setembro, o instituto espanhol de cibersegurança (https://www.incibe.es) descreveu um ataque muito parecido com o que o ministro relatou. A conta de WhatsApp comprometida era usada para pedir dinheiro a familiares e amigos e a própria vítima podia nem ver as mensagens enviadas em seu nome. Os casos estavam ligados a uma vulnerabilidade em versões do iOS anteriores ao 16.7.12, ou seja, precisamente a versão em que ficaram os iPhone 8 e X. Os primeiros casos foram detetados em Itália, em maio, e não apareciam dispositivos desconhecidos na lista de “Dispositivos associados”. O padrão coincide com o caso de Nuno Melo, mas esta é apenas uma possibilidade. Sem o modelo exato e a versão do sistema, não podemos afirmar com certeza o que aconteceu.

A descrição pública do incidente é, até ao momento, vaga e tecnicamente inconsistente. Atribui-se o ataque a “um vírus”, mas os efeitos descritos (duplicação de contactos e envio de mensagens em nome do titular do equipamento) são compatíveis com cenários muito diferentes: a associação não autorizada de um dispositivo à conta de WhatsApp (através da funcionalidade de dispositivos ligados), o sequestro da conta por obtenção do código de verificação, a duplicação do cartão SIM junto do operador, ou o comprometimento efetivo do sistema operativo do telemóvel através de software malicioso.

Cada um destes cenários tem implicações e níveis de gravidade muito diferentes:

1. Se se tratou apenas de uma tomada de controlo da conta de WhatsApp para fins de burla financeira, o dano poderá ter-se limitado à tentativa de fraude junto dos contactos.
2. Se, pelo contrário, o aparelho esteve comprometido ao nível do sistema, os atacantes poderão ter tido acesso a conversas, ficheiros, agenda, localização, contactos e, potencialmente, ao microfone e à câmara. Nesse caso, a questão deixa de ser uma burla e passa a ser uma possível operação de recolha de informação sobre o titular da pasta da Defesa.
3. Importa também esclarecer durante quanto tempo o acesso se manteve antes de ser detetado e, sobre esse importante detalhe, nada se sabe.

De notar que a tentativa de burla financeira não permite, por si só, excluir a hipótese de espionagem. Operações patrocinadas por Estados recorrem, com frequência crescente, a táticas típicas do crime comum, seja para obter financiamento, seja para disfarçar a sua verdadeira natureza.

Em março, os serviços de informações portugueses tornaram público um alerta de “ataque à escala global” através do WhatsApp e do Signal, referindo que estava em curso uma campanha patrocinada por um Estado estrangeiro com o objetivo de aceder às contas de governantes, diplomatas, militares e outros responsáveis com acesso a informação confidencial de Portugal e de países aliados. Num aviso conjunto, os serviços de informações militares e de segurança interna dos Países Baixos atribuíram campanhas semelhantes à Rússia, e o FBI emitiu depois um alerta idêntico, na sequência dos avisos de Portugal e dos Países Baixos. Em abril, o SIS voltou a alertar para um ataque de ciberespionagem com origem na Rússia, colocando de novo membros do Governo e militares como alvo principal.

Na altura, o Governo português procurou tranquilizar o país: o Ministro da Presidência, António Leitão Amaro, afirmou após o Conselho de Ministros que nenhum governante português tinha sido confirmado como vítima da campanha e que o executivo seguia as boas práticas recomendadas pelas autoridades nacionais e internacionais de cibersegurança, acrescentando que as deliberações governativas já não se faziam por WhatsApp. Contudo, este incidente demonstrou que pelo menos um ministro — e logo o Ministro da Defesa — usava um telemóvel obsoleto e desatualizado. Oito meses depois, o Ministro da Defesa confirma que a sua conta de WhatsApp foi usada por terceiros a partir de um telemóvel sem atualizações de segurança. A distância entre o discurso de março e a realidade de novembro exige uma explicação do Governo, e a CpC já a pediu.

Em Espanha, o Governo revelou em 2022 que os telemóveis do Presidente do Governo, Pedro Sánchez, e da Ministra da Defesa, Margarita Robles, tinham sido infetados com o software espião israelita Pegasus, com extração de volumes significativos de dados. Na altura, o caso levou à demissão da diretora dos serviços de informações. Em Itália, em 2025, a voz do Ministro da Defesa, Guido Crosetto, foi clonada com recurso a inteligência artificial para pedir avultadas transferências de dinheiro a empresários, a pretexto de resgatar jornalistas raptados. O padrão — usurpar a identidade de um ministro da Defesa para pedir dinheiro a contactos de confiança — é estranhamente idêntico ao agora descrito em Portugal.

O denominador comum é evidente: o elo mais fraco da segurança de um Estado é, muitas vezes, o telemóvel pessoal — e obsoleto — de um governante.

Temos de ponderar com seriedade este incidente:

1. Um ministro da Defesa não é um utilizador qualquer: a sua lista de contactos inclui chefias militares, responsáveis da NATO e da União Europeia, homólogos estrangeiros, a indústria de defesa e membros do Governo. As suas conversas, ainda que informais, podem revelar agendas, deslocações, posições negociais, relações pessoais e fragilidades exploráveis.
2. Um aparelho comprometido expõe o país a riscos de várias ordens: a recolha de informação sensível por serviços estrangeiros; a chantagem ou pressão sobre o titular ou os seus interlocutores; a manipulação, através de mensagens falsas enviadas em nome do ministro a chefias militares, parceiros internacionais ou jornalistas; a fraude financeira junto de terceiros que confiam na identidade do remetente; e o dano reputacional junto dos aliados, que avaliam a fiabilidade de Portugal também pela forma como protege a informação partilhada.
3. Há ainda um risco menos visível, mas igualmente sério: o efeito de exemplo. Se o Ministro da Defesa usa um dispositivo inseguro, que mensagem é passada aos milhares de funcionários públicos, militares e dirigentes a quem se exige higiene digital?

A CpC: Cidadãos pela Cibersegurança defende que, em nome da transparência e da confiança pública, o Governo deveria esclarecer:

1. Se o dispositivo comprometido era pessoal ou fornecido pelo Estado, e por que razão um membro do Governo utilizava em funções um telemóvel que já não recebia atualizações de segurança.
2. Qual foi, em concreto, o vetor do ataque e durante quanto tempo os atacantes tiveram acesso à conta ou ao dispositivo.
3. Se foi confirmado, por análise forense independente, que não houve acesso a informação classificada ou sensível, e que entidades realizaram essa análise.
4. Se o incidente foi comunicado ao Centro Nacional de Cibersegurança, ao Gabinete Nacional de Segurança e aos serviços de informações, e se os aliados foram informados, como as regras da NATO e da União Europeia preveem para informação partilhada.
5. Se o incidente tem relação com a campanha de ciberespionagem sobre o WhatsApp e o Signal sinalizada pelo SIS em março e abril.
6. Se a afirmação de março, segundo a qual o executivo seguia as boas práticas de cibersegurança, foi alguma vez verificada através de auditoria.

Recomendações CpC aos membros do Governo:

1. Usar apenas dispositivos fornecidos e geridos pelo Estado para qualquer comunicação relacionada com funções governativas, com gestão centralizada (MDM), atualizações automáticas obrigatórias, antivírus e substituição imediata de qualquer aparelho que deixe de receber suporte do fabricante.
2. Separar rigorosamente a vida pessoal da vida institucional: o telemóvel pessoal não deve conter contactos, conversas ou documentos de natureza governativa.
3. Abandonar o WhatsApp e aplicações de consumo semelhantes para qualquer assunto de Estado, recorrendo a canais de comunicação seguros certificados pelo Gabinete Nacional de Segurança.
4. Ativar a confirmação em dois passos com PIN em todas as aplicações de mensagens, rever com regularidade os dispositivos ligados a cada conta e nunca partilhar códigos de verificação ou digitalizar códigos QR recebidos de terceiros.
5. Usar chaves de segurança físicas (FIDO2) para as contas de correio eletrónico e serviços críticos, e solicitar ao operador de telecomunicações bloqueios reforçados contra a duplicação de cartões SIM.
6. Ativar os modos de proteção reforçada disponíveis nos sistemas operativos móveis, concebidos precisamente para pessoas expostas a ataques dirigidos.
7. Adotar protocolos de deslocação ao estrangeiro, com dispositivos dedicados e limpos para viagens oficiais, sobretudo em visitas a países ou contextos de risco elevado.
8. Estabelecer um protocolo de verificação por canal alternativo para qualquer pedido invulgar, sobretudo pedidos de dinheiro, informação sensível ou mudança de procedimentos, e divulgá-lo junto de gabinetes, chefias militares e interlocutores frequentes.
9. Submeter todos os membros do Governo, chefes de gabinete e assessores a formação obrigatória e periódica em segurança digital, com exercícios práticos de simulação de ataques.
10. Realizar, com urgência, uma auditoria independente aos dispositivos e às práticas de comunicação de todos os gabinetes ministeriais, com relatório sumário tornado público e apreciação pela Assembleia da República nas comissões competentes.

O incidente com o telemóvel do Ministro da Defesa não pode ser encerrado com a simplicidade comunicada de uma “troca de aparelho”. Não está em causa a vida privada de um governante, mas a segurança das comunicações do Estado num momento em que os serviços de informações de Portugal e dos seus aliados alertam, publicamente e de forma reiterada, para campanhas dirigidas precisamente a este tipo de alvos.

A cibersegurança dos decisores políticos não é uma questão técnica menor nem uma responsabilidade individual de cada ministro. É uma dimensão da defesa nacional. Exigir explicações claras, auditorias independentes e regras vinculativas não é alarmismo: é a forma de garantir que um descuido evitável não se torna, da próxima vez, uma crise de segurança nacional.

Relacionados:

Petição “para a Redução de Riscos de Segurança em Equipamentos do Estado: Propostas de Cibersegurança para Ministérios e Órgãos Sensíveis do Estado” apresentada na Assembleia da República

Interferência Eleitoral, Resiliência Digital e Defesa da Democracia: Recomendações da Cidadãos pela Cibersegurança à Comissão Europeia, à Assembleia da República e ao Governo

---