Na Dinamarca, foram roubados cerca de 8,8 milhões de registos do registo central da população. Em França, os frigoríficos e congeladores de várias centenas de estabelecimentos foram, de repente, colocados em descongelação. Dois episódios distantes, e uma pergunta que os une: porque é que os ataques informáticos se multiplicam?

Entre o fim de Setembro e meados de Outubro, a lista de organizações atingidas com sucesso ficou tão comprida que se torna difícil acompanhá-la. Vista caso a caso, cada intrusão pouco surpreende. Posta toda em conjunto, a imagem muda.

Suíça: fundos, empresas e uma revista

A Publica, o fundo federal de pensões, foi visada através da PK Softech, uma fornecedora de software, por meio de programas maliciosos. Podem ter saído dados de salários, poupanças para a reforma, números de conta, moradas, números de segurança social e informações sobre cônjuges. O fundo de pensões da cidade de Zurique também foi atingido.

A Beyond Gravity, empresa espacial de capital estatal, sofreu um ataque dirigido, que se presume ter sido levado a cabo por um grupo muito sofisticado. Não se sabe por onde os atacantes entraram, e os dados levados não estão identificados com precisão. Fontes internas, citadas pelos meios de comunicação, apontam para a China, mas nada disto foi confirmado oficialmente.

A revista digital Republik diz ter sido invadida através de uma falha num Metabase, ferramenta de análise de dados. Havia uma actualização de segurança que corrigia o problema desde 6 de Agosto de 2026, mas a publicação não a instalou a tempo. Foram obtidos endereços de correio electrónico e nomes de leitores, actuais e antigos, e, em alguns casos, números de telefone, anos de nascimento e géneros. Os dados dos cartões de crédito não foram afectados.

Na SRG, a emissora pública suíça, os atacantes chegaram aos dados de cerca de 340 pessoas, entre funcionários actuais e antigos colaboradores. Estão em causa nomes, cargos e contactos de 2020, alguns deles pessoais. A SRG afirma não ter provas de divulgação pública e não haver indícios de que tenham sido levadas palavras-passe, informação financeira ou dados sobre fontes jornalísticas.

Dinamarca: uma palavra-passe fraca

Na Dinamarca, o caminho foi uma interface legítima de uma empresa privada de tecnologias de informação, que tinha acesso ao registo. Pelo menos três contas dessa empresa usavam a palavra-passe «123456». Em causa estão cerca de 8,8 milhões de registos. O número CPR serve de identificador universal nos serviços públicos, nos bancos e nos hospitais do país, o que torna o roubo particularmente delicado.

Mais casos, mais métodos

O retalhista online Ricardo viu os seus servidores acedidos depois de os atacantes explorarem uma falha de segurança. Ficaram comprometidos nomes, moradas e números de telefone de cerca de 890 mil contas. As palavras-passe e os endereços de correio electrónico não foram tocados. Mais tarde, alguns clientes receberam mensagens no WhatsApp que os tratavam pelo nome e indicavam a morada certa, antes de os levarem para um site falso. Se estas mensagens têm relação com a intrusão, continua por confirmar.

A ASOS, loja britânica de moda online, sofreu um ataque de engenharia social: os atacantes enganaram um funcionário para obterem as suas credenciais e entraram com elas em plataformas de terceiros. Foram levados nomes, moradas, telefones, endereços de correio electrónico e o histórico de pesquisas de milhões de clientes. Os dados de pagamento e as palavras-passe ficaram a salvo.

No caso do Discord, a plataforma em si não foi comprometida, mas sim a Double Counter, um serviço de segurança que nela funciona. Segundo a imprensa, os atacantes entraram na infra-estrutura de nuvem dessa empresa através de um servidor esquecido e assumiram o controlo do seu bot. Em alguns casos, foram levados identificadores, nomes de utilizador e endereços IP de até 28 milhões de contas, além de cerca de um milhão de endereços de correio electrónico.

Por fim, a Revolut. Piratas tomaram o controlo de um canal oficial de comunicação de uma entidade governamental italiana e usaram-no para se fazerem passar por polícias. Pressionaram o banco a colaborar numa alegada investigação. Convencido de que o pedido era genuíno, o banco entregou dados de quase 700 clientes, incluindo informação de passaportes, números de conta e moradas. Não foi roubado dinheiro. Segundo os meios de comunicação, a maioria dos clientes afectados vive na Suíça.

Há mesmo mais ataques?

Os números apontam nesse sentido. A empresa de cibersegurança Check Point registou, em Setembro de 2026, mais 48% de tentativas de ataque em todo o mundo do que no mesmo mês de 2025.

Há, porém, um factor que pode inflacionar a percepção. As regras europeias NIS2 e DORA obrigam as organizações a comunicar mais incidentes às autoridades, e algumas optam também por informar o público. Na Suíça, desde 1 de Abril de 2025, as infra-estruturas críticas têm a obrigação legal de comunicar ciberataques. Mais comunicação significa mais notícias, mesmo que isso, por si só, não prove que houve mais ataques.

O que pesa por detrás

A explicação mais repetida é a inteligência artificial. Bill Gates falou recentemente de uma «escalada dos ciberataques impulsionados por inteligência artificial». O Conselho Federal suíço, no seu «Relatório sobre o impacto da inteligência artificial na cibersegurança», já tinha avisado, no fim de 2025, que a IA aumentaria o volume de ataques. Na Threema, o programa de recompensa pela identificação de vulnerabilidades regista um crescimento de relatórios que acompanha de perto os avanços desta tecnologia. Para a empresa, o peso da IA é já um dado adquirido, sobretudo porque torna os ataques mais fáceis, mais rápidos e mais fáceis de repetir em série.

A superfície de ataque também cresce. Há cada vez mais serviços em linha, e cada vez mais complexos, o que abre mais portas. Há ainda as dependências: a Publica e a Republik foram atingidas por ataques à cadeia de fornecimento, em que o atacante procura primeiro um elo fraco de um fornecedor de tecnologia, em vez de atacar a organização directamente.

E agora?

A inteligência artificial também serve para defender. Muitas empresas, porém, só a usam para ganhar eficiência no dia-a-dia, e esse uso pode, sem querer, abrir novas portas, tal como acontece com serviços de conversação mal escolhidos. Recomenda-se que os serviços em linha passem por auditorias profissionais de segurança, que podem também recorrer a modelos de IA para encontrar falhas.

Nenhuma auditoria garante protecção total, porque a segurança absoluta não existe. Por isso, a abordagem mais sólida continua a ser a «Privacidade desde a concepção» (Privacy by Design): recolher, desde o início, apenas os dados tecnicamente indispensáveis. Um dado que nunca foi recolhido não pode ser roubado.

Um frigorífico pode voltar a arrefecer. Um registo pessoal roubado não volta a ser privado. O risco maior, talvez, é que, de tanto ouvir falar de violações, deixemos de sentir o valor da privacidade na Internet.