Na quarta-feira, 11 de novembro de 2026, milhares de escolas europeias receberam por correio eletrónico ameaças de bomba quase idênticas entre si. Em Itália, entre 6000 a 6300 estabelecimentos receberam a mensagem e 300 foram evacuados. No Reino Unido e Irlanda, a polícia identificou centenas de escolas visadas na Escócia, mais de 300 na Irlanda do Norte e centenas na República da Irlanda. Nestes três países, as autoridades classificaram as mensagens como não credíveis e recomendaram que as escolas não fossem evacuadas.

Não foi um episódio isolado. Em Itália foi a terceira vaga contra escolas em menos de um mês, depois das de 19 de outubro e de 2 de novembro. Em outubro, centenas de escolas na Irlanda do Norte, na Escócia, na Hungria e na Sérvia tinham já recebido ameaças falsas semelhantes. Pelo menos uma das mensagens enviadas a escolas italianas vinha assinada por “Mikhail Andropov”, o mesmo nome usado dias antes nas ameaças a redações de televisão na Irlanda e na Bulgária. Esse remetente reivindicou também as ameaças a voos comerciais da semana anterior.

Entre 3 e 6 de novembro, dezenas de voos na Europa foram alvo de ameaças de bomba. Houve desvios de voos, aterragens não programadas e escoltas por caças. Portugal também foi afetado: um voo Lisboa–Roma foi visado. A inspeção da PSP à aeronave não encontrou qualquer engenho explosivo.

O padrão é o mesmo em todos os casos: mensagens de email, enviadas em massa e difíceis de rastrear. Não é preciso um engenho real para obrigar a uma resposta cara, visível e perturbadora. Os alvos escolhidos são aqueles em que a perturbação gera mais ansiedade social: aviões com passageiros, órgãos de comunicação social e, agora, crianças e jovens nas escolas.

Estas vagas de ameaças inserem-se no que os governos europeus descrevem como “guerra híbrida”. São atividades hostis abaixo do limiar de um conflito armado declarado, de baixo custo, difíceis de atribuir e pensadas para desgastar a confiança pública sem provocar uma resposta militar. A primeira-ministra italiana afirmou que as ameaças parecem ligadas a uma estratégia para causar alarme e inquietação. O ministro dos Negócios Estrangeiros espanhol falou de agressão híbrida e de guerra psicológica.

Nas ameaças de bomba, nenhum governo atribuiu oficialmente a autoria até à data. Responsáveis e serviços de segurança europeus suspeitam da Rússia e relacionam o fenómeno com o apoio europeu à Ucrânia. Várias fontes referem também o Irão como ator híbrido ativo na Europa mas, ambos os países negam qualquer envolvimento. O nome “Mikhail Andropov” lembra o de um antigo dirigente soviético, mas um pseudónimo não é prova rigorosamente nada…

Nos ciberataques a supermercados, a situação é diferente. A França atribuiu formalmente à Guarda Revolucionária iraniana o ataque de 11 para 12 de outubro aos sistemas de refrigeração de cerca de 700 supermercados franceses e, pelo menos, 7 unidades da Intermarché em Portugal. Os atacantes acederam remotamente aos sistemas de controlo de temperatura, o que obrigou a destruir grandes quantidades de alimentos. Paris convocou o embaixador iraniano e admite procurar sanções europeias e sugeriu retaliações de outro tipo. O Irão rejeita as acusações e chama-lhes infundadas. Houve ataques semelhantes a supermercados noutros países europeus no início de novembro. Grupos pró-russos tinham reivindicado esses ataques, ao que tudo indica falsamente. A falsa reivindicação é ela própria uma técnica conhecida desta forma de conflito.

A conclusão prudente é que a Europa enfrenta várias operações em simultâneo, com atores possivelmente diferentes, que se aproveitam do mesmo terreno: infraestruturas civis ligadas à internet e serviços públicos sem protocolos preparados para incidentes em massa.

Recordemo-nos de que enviar seis mil mensagens é algo que se faz de graça: Mas responder às mensagens é muito dispendioso: patrulhas terrestres e aéreas, equipas de inativação de explosivos, evacuações, aulas perdidas, famílias em sobressalto e horas de investigação. Basta que a ameaça pareça minimamente plausível para obrigar a uma resposta. E é essa assimetria que torna o método atrativo.

A experiência do Reino Unido e da Irlanda mostra o que muda quando existe um critério de avaliação. As polícias avaliaram rapidamente as mensagens como genéricas e não credíveis, e as escolas mantiveram as atividades normais. Em Itália, centenas de escolas foram evacuadas. Não se trata de criticar uma ou outra opção, porque a decisão de evacuar tem de caber sempre a quem está no terreno. A questão é que decidir com critérios claros, conhecidos e testados reduz o impacto sem reduzir a segurança.

Portugal: tranquilidade não é o mesmo que preparação

Até à data, não há registo público de escolas portuguesas visadas nesta vaga. Mas isto não deve ser lido como imunidade. Há várias razões para Portugal se preparar:

1. Portugal já foi tocado por esta campanha, através do voo Lisboa–Roma visado nas vagas de ameaças à aviação.
2. Portugal é Estado-membro da UE e da NATO, apoia a Ucrânia e está alinhado com as posições europeias face ao Irão. Está, por isso, no perímetro político dos alvos destas operações.
3. 2. As listas de endereços de correio eletrónico das escolas são públicas e fáceis de recolher. Uma campanha de envio em massa pode chegar a milhares de estabelecimentos em minutos.
4. Portugal já viveu, à sua escala, um episódio de ameaças a escolas com grande alarme social. Em abril de 2023, publicações nas redes sociais anunciavam ataques a escolas. A PJ identificou como autores vários menores em Odivelas, Leiria, Aveiro e Vila Nova de Gaia. As ameaças tinham sido replicadas a partir de conteúdos estrangeiros. O episódio mostrou que o alarme se espalha mais depressa do que a verificação.
5. Que se saiba publicamente, não existe um protocolo nacional que oriente diretores de escolas, autarquias, forças de segurança e famílias perante uma vaga de ameaças em massa por correio eletrónico. Também não se conhece a forma como estes incidentes seriam comunicados entre o Ministério da Educação, a PSP, a GNR, a PJ e o Centro Nacional de Cibersegurança. A CpC considera que estas perguntas devem ser respondidas antes de serem necessárias, e não no dia em que as mensagens chegarem.

A posição da CpC: Cidadãos pela Cibersegurança

1. O objetivo deve ser ter protocolos que distingam depressa uma ameaça concreta de uma campanha de perturbação, sem nunca abdicar de uma resposta imediata quando surjam indícios credíveis.
2. A CpC rejeita que este problema sirva de pretexto para vigilância em massa, para acabar com o anonimato online ou para identificar indiscriminadamente utilizadores. Isso inclui medidas como o chamado Chat Control. Ler as comunicações de toda a população não teria travado mensagens enviadas de fora da UE, a partir de contas comprometidas ou de identidades fictícias. Teria apenas criado um novo risco para todos.

Critérios de avaliação: um quadro comum para todos os alvos
A experiência de outros países é útil. Depois da vaga de ameaças contra a aviação em 2024, a Índia percebeu que o critério antigo era fácil de manipular: considerar credível qualquer ameaça que indicasse voo, data e hora. Passou então a uma avaliação com vários fatores, incluindo a repetição, o perfil do remetente e o contexto, e integrou unidades de cibercrime nos comités de avaliação. O modelo tem limitações: os números oficiais são contraditórios e alguns critérios são vagos. Ainda assim, mostra que os critérios têm de servir para todos os alvos, e não apenas para aeroportos.

A CpC propõe um conjunto fechado e público de critérios, aplicável a escolas, transportes, hospitais, órgãos de comunicação social ou serviços públicos:
1. Especificidade: necessária mas não suficiente. Uma mensagem genérica enviada a milhares de destinatários tem, por natureza, baixa credibilidade individual.
2. Detalhes verificáveis sobre o alegado engenho ou sobre o local.
3. Corroboração por fontes independentes.
4. Repetição: a mesma mensagem enviada a muitos destinatários é um forte indicador de campanha de perturbação.
5. Remetentes e assinaturas já conhecidos, como pseudónimos recorrentes.
6. Padrões linguísticos.
7. Análise dos cabeçalhos e metadados das mensagens.
8. Comparação com ameaças anteriores já verificadas.
9. Um índice de semelhança assistido por inteligência artificial.

Salvaguardas para o uso de inteligência artificial

O índice de semelhança ajuda a decidir, mas nunca decide sozinho. A decisão final cabe a uma equipa humana. O sistema não pode ser reutilizado para vigilância, criação de perfis ou monitorização do discurso político. Os detalhes operacionais podem manter-se confidenciais, mas a supervisão tem de ser independente e incluir relatórios públicos regulares sobre falsos positivos e falsos negativos.

Um repositório europeu de ameaças

A CpC defende um repositório partilhado de ameaças com desfecho conhecido, que poderia ser gerido pela Europol. Deveria conter apenas os dados mínimos necessários, com pseudonimização e prazos de conservação fixos. Uma assinatura já vista em centenas de escolas italianas ou irlandesas deve ser reconhecida em minutos numa escola portuguesa. Qualquer troca de informação com países terceiros exige garantias adequadas de proteção de dados.

Recomendações CpC

À Comissão Europeia: estudar um quadro comum de avaliação de ameaças para todos os setores, incluindo o educativo, e não apenas a aviação.

Aos Estados-membros, incluindo Portugal: criar equipas de avaliação multidisciplinares que possam reunir-se de forma rápida e segura.

Ao Governo português, em particular aos ministérios da Educação e da Administração Interna: preparar e divulgar um protocolo para ameaças em massa contra escolas. Esse protocolo deve definir quem avalia, quem decide sobre uma evacuação, como se comunica com as famílias e como se preservam as provas digitais, incluindo os cabeçalhos completos das mensagens.

Às escolas e agrupamentos: não apagar nem reencaminhar de forma desordenada as mensagens recebidas. Devem guardar as mensagens originais e contactar de imediato as forças de segurança, seguindo as suas orientações.

À Europol e às autoridades nacionais: avaliar a criação do repositório europeu.

Às autoridades de proteção de dados e de supervisão da inteligência artificial: pronunciarem-se sobre o enquadramento jurídico antes de qualquer implementação.

Conclusão

As ameaças reais têm de ser levadas a sério. Mas uma mensagem que quase nada custa não deve conseguir esvaziar milhares de salas de aula. A guerra híbrida aposta no medo e na desorganização, e a melhor defesa é estar preparado: reconhecer padrões, partilhar informação, avaliar a credibilidade, preservar provas e usar os instrumentos de cooperação que já existem. Portugal ainda não foi alvo desta vaga, e é precisamente por isso que deve preparar-se agora. Segurança e liberdade não são incompatíveis.