Ciberataque à Vodafone Portugal

O ciberataque ocorreu numa sucessão de ataques informáticos em Portugal, que incluem ataques ao grupo Impresa, ao Parlamento e à Cofina Media, todos em investigação pela Polícia Judiciária. A 10 de fevereiro de 2022, a Trust In News, dona da revista Visão, foi também alvo de uma tentativa de ataque. Em alguns casos, os ataques têm levado à destruição de dados e à paralisação de serviços.

O ataque causou um incidente crítico cerca das 21h de 7 de fevereiro de 2022, afetando parte dos serviços de televisão, a totalidade das comunicações móveis, e o apoio a clientes. Não foram afetados o serviço de internet fixa, e parte dos clientes de televisão. Mário Vaz, CEO da Vodafone Portugal, designou a operação como “ato criminoso” com o objectivo de tornar a rede indisponível. Foi um ataque ao core do negócio, visando incapacitar a rede móvel e o envio de SMS e comunicação de dados, sistemas e aplicações de baixo nível que suportam as redes. Os sistemas de suporte a faturação ou clientes, e até o próprio site continuaram online.

O ciberataque foi considerado histórico e inédito, pela dimensão e capacidade devastadora, colocando offline uma infraestrutura crítica que suporta as comunicações de quatro milhões de clientes, assim como pelas suas características, que fogem às tendências relacionadas com a obtenção de resultados financeiros por parte dos atacantes, que habitualmente fazem pedidos de resgate para os dados cifrados. Os cerca de quatro milhões de clientes móveis da Vodafone Portugal foram afetados, com o serviço interrompido na sua totalidade durante cerca de uma hora, incluindo a ausência de serviços de voz. O número foi sendo reduzido à medida que alguns serviços foram recuperados. Um conjunto limitado de clientes empresariais do Reino Unido foi igualmente afectado, uma vez que o serviço é prestado em Portugal, em particular o serviço One Net, uma central telefónica virtual que permite ligações entre colaboradores, que foi suspenso de modo a garantir a utilização do serviço base de voz.

O serviço de comunicações de voz através da rede 2G foi o primeiro a ser recuperado, cerca das 22h de 7 de fevereiro, de modo a permitir situações de emergência. A prioridade seguinte da empresa foi recuperar um serviço mínimo de dados móveis, tendo recuperado os dados sobre rede 3G perto da meia-noite. A primeira fase de recuperação iniciou-se na Região Autónoma da Madeira, estendendo-se ao restante território nacional durante a madrugada. Na manhã de 8 de fevereiro foi recuperado o serviço básico de SMS ponto a ponto, permanecendo o serviço de Internet fixa disponível durante todo este período. A 8 de fevereiro, havia sido iniciado o restabelecimento do serviço 4G, inicialmente condicionado a zonas restritas do país, e com limitações, como a da velocidade máxima permitida. O dia 9 de fevereiro foi dedicado à recuperação dos serviços de voz de rede fixa. A 10 de fevereiro, a quase totalidade dos serviços havia sido restabelecida, havendo um número reduzido de clientes afetado. O serviço móvel e de 4G havia sido restabelecido, embora com limitações. Embora o serviço de televisão não tivesse sido afetado pelo ataque, foi registada alguma instabilidade relacionada com os trabalhos de recuperação.

Está em curso uma investigação de grande envergadura, levada a cabo pela Unidade de Combate ao Cibercrime (UNC3T) da Polícia Judiciária (PJ), envolvendo as suas congéneres internacionais. Uma das linhas de investigação é um possível cenário de espionagem industrial. Segundo a PJ, os autores do ataque são um grupo profissional, e não por hackers amadores, tratando-se de um crime tendencialmente muito técnico dependente de informação especializada. A suspeita de poder tratar-se de um ciberataque russo no quadro da tensão entre Moscovo e o Ocidente foi, entretanto, afastada. A hipótese de estar ligado ao grupo Lapsus$, que no final de janeiro de 2022 reivindicou o ataque cibernético à Impresa, assim como a ligação a outros incidentes semelhantes recentes no país, não foi excluída.