PME portuguesas continuam expostas a ciberataques apesar do aumento da digitalização

As pequenas e médias empresas portuguesas estão hoje mais digitais, mais dependentes da cloud, mais expostas ao trabalho remoto e mais vulneráveis do que nunca. O retrato traçado pelo relatório «Cibersegurança em Portugal – Sociedade 2025», do Centro Nacional de Cibersegurança (CNCS), mostra um paradoxo difícil de ignorar, Portugal aparece acima da média europeia em vários indicadores de adoção de medidas de segurança, mas continua a falhar precisamente nas áreas mais críticas para travar os ataques que dominam o panorama atual da cibercriminalidade.

À primeira vista, os números parecem positivos. Cerca de 95,1% das PME portuguesas com 10 a 49 trabalhadores afirmam ter implementado pelo menos uma medida de cibersegurança. O valor coloca Portugal acima da média da União Europeia, que ronda os 89,7%, e posiciona o país entre os melhores classificados da Europa em vários indicadores associados à proteção digital. As empresas nacionais destacam-se, por exemplo, na existência de políticas formais de segurança informática, na adoção de mecanismos de encriptação e na realização de testes de segurança. O problema é que estes indicadores contam apenas parte da história.

Quando se olha para a maturidade global da segurança digital das PME portuguesas, percebe-se rapidamente que a maioria continua a funcionar com um modelo mínimo de proteção. Implementar “alguma” medida não significa estar protegido. Muitas empresas criam uma política de passwords, fazem um backup ocasional ou instalam um antivírus e consideram que a questão da cibersegurança está resolvida. Não está. O próprio relatório do CNCS alerta que apenas uma minoria das PME adota de forma consistente todas as medidas consideradas essenciais para reduzir riscos relevantes.

Este desfasamento entre a perceção de segurança e a realidade técnica tornou-se particularmente perigoso num contexto em que os ataques evoluíram rapidamente.

Em 2025, mais de 80% da atividade de malware identificada pelo CNCS esteve associada a infostealers, um tipo de software malicioso desenhado para roubar credenciais de acesso, cookies, sessões autenticadas, dados armazenados nos browsers, emails e informação corporativa.

O objetivo destes ataques raramente é apenas o roubo direto de dados. Na prática, os infostealers funcionam como uma porta de entrada para operações mais graves, incluindo ransomware, espionagem empresarial ou fraude financeira.

O método é simples e, precisamente por isso, eficaz. Um colaborador recebe um email aparentemente legítimo, descarrega um ficheiro ou instala uma aplicação infetada no computador pessoal ou profissional e, em poucos segundos, as credenciais ficam comprometidas. A partir daí, os atacantes tentam reutilizar passwords em contas empresariais, plataformas cloud, sistemas de faturação ou serviços bancários. Quando não existe autenticação multifator, o chamado MFA, o acesso torna-se quase imediato.

É aqui que surge uma das maiores fragilidades do tecido empresarial português. Apesar da crescente exposição digital, apenas 36% das empresas nacionais utilizam autenticação multifator. O valor fica abaixo da média europeia e muito distante de países como a Finlândia, onde a adoção ultrapassa os 79%. A diferença parece técnica, mas traduz-se numa enorme diferença prática na capacidade de resistir a ataques.

Hoje, uma password deixou de ser suficiente para proteger uma empresa. O modelo tradicional de utilizador e palavra-passe está completamente ultrapassado. As credenciais circulam em bases de dados roubadas, são reutilizadas em múltiplos serviços e acabam frequentemente comprometidas através de campanhas de phishing ou malware. O MFA cria uma camada adicional de proteção ao exigir um segundo fator de validação, um código temporário, uma notificação no telemóvel ou uma chave física de autenticação. Mesmo que a password seja roubada, o atacante continua bloqueado.

O problema é que muitas PME continuam a olhar para esta medida como algo complexo, caro ou desnecessário. Não é nenhuma dessas coisas. Atualmente, praticamente todos os serviços empresariais relevantes incluem MFA gratuito, Microsoft 365, Google Workspace, plataformas bancárias, software de faturação, serviços cloud e redes sociais empresariais. Ainda assim, milhares de empresas portuguesas continuam a operar apenas com passwords básicas.

A situação torna-se ainda mais delicada devido à generalização do trabalho remoto. Segundo o relatório do CNCS, cerca de 84% das PME portuguesas já disponibilizam acesso remoto a email, documentos ou aplicações corporativas. Isto significa que os sistemas empresariais deixaram de estar protegidos apenas dentro do escritório. Hoje, os colaboradores acedem às plataformas da empresa a partir de casa, de hotéis, aeroportos, cafés ou redes Wi-Fi públicas. Em muitos casos, utilizam dispositivos pessoais onde coexistem aplicações profissionais e utilização privada.

Este cruzamento entre vida pessoal e profissional abriu novas oportunidades para os atacantes. Um colaborador pode utilizar o mesmo computador para aceder ao email da empresa e, minutos depois, descarregar um programa pirata, abrir um ficheiro suspeito ou inserir credenciais num site falso. Quando um infostealer entra no equipamento, toda a organização pode ficar exposta.

O relatório sublinha precisamente esta transformação da superfície de ataque. Quanto mais digitais são as empresas, maior é o número de pontos vulneráveis. Portugal tem vindo a aumentar rapidamente a utilização de serviços cloud, aplicações móveis, inteligência artificial e acesso remoto. O problema não é a digitalização em si, essa evolução é inevitável e positiva, mas a ausência de uma cultura de segurança que acompanhe essa transformação.

E é aqui que entra um dos problemas mais graves identificados pelo CNCS, a falta de competências especializadas. Mais de dois terços das empresas portuguesas consideram que as dificuldades em recrutar profissionais de cibersegurança aumentaram a exposição a incidentes. Pior ainda, uma parte significativa admite nem sequer saber exatamente que competências procurar.

Na prática, isto significa que muitas PME navegam às cegas. Não têm equipas dedicadas, não possuem responsáveis internos de segurança e dependem frequentemente de fornecedores externos apenas quando surge um problema. Em inúmeras empresas portuguesas, a cibersegurança continua a ser uma função acumulada pelo responsável de informática, pelo diretor financeiro ou até por colaboradores sem formação técnica especializada.

O resultado é previsível, decisões críticas são adiadas, vulnerabilidades acumulam-se durante anos e medidas básicas ficam por implementar. O relatório refere, por exemplo, o crescimento significativo de notificações relacionadas com sistemas vulneráveis que poderiam ter sido corrigidos com atualizações simples. Em muitos casos, os atacantes não precisam de técnicas sofisticadas. Aproveitam falhas antigas, passwords reutilizadas ou servidores desatualizados.

Esta realidade ajuda também a explicar outro fenómeno curioso identificado pelo CNCS, apesar de Portugal apresentar indicadores relativamente positivos em adoção de medidas de segurança, a maturidade global continua baixa. Muitas organizações implementam ações isoladas, mas não possuem uma estratégia coerente.

É relativamente comum existir um antivírus instalado, mas não haver backups testados. Ou existir uma política de passwords, mas sem MFA. Ou haver formação opcional para colaboradores, mas nenhuma monitorização contínua.

A formação, aliás, é outro dos pontos críticos. As empresas portuguesas continuam a privilegiar ações voluntárias de sensibilização em vez de formação obrigatória e regular. Isto significa que a segurança depende muitas vezes da boa vontade individual dos trabalhadores. Alguns colaboradores participam em ações de formação, outros ignoram completamente o tema. O problema é que basta uma pessoa cometer um erro para comprometer toda a organização.

O phishing continua a ser o incidente mais reportado em Portugal. E isso não acontece porque os ataques sejam extremamente sofisticados.

Acontece porque continuam a explorar comportamentos humanos básicos, distração, urgência, confiança excessiva ou desconhecimento técnico.

Um email que simula uma transportadora, uma falsa mensagem bancária ou um pedido urgente do “diretor” continuam a funcionar porque muitas pessoas não receberam treino suficiente para reconhecer sinais de alerta.

Além disso, a crescente utilização de inteligência artificial pelos próprios atacantes está a tornar estas campanhas mais convincentes. Mensagens sem erros ortográficos, páginas falsas visualmente perfeitas e perfis automatizados capazes de interagir de forma credível já fazem parte da realidade atual. O custo de lançar campanhas massivas de phishing caiu drasticamente.

As consequências financeiras para as PME podem ser devastadoras. Um ataque de ransomware pode bloquear completamente a operação de uma empresa durante dias. Segundo o CNCS, o tempo médio de indisponibilidade provocado por ataques DDoS relevantes rondou as oito horas em 2024. Mas, em ataques mais graves, o impacto pode prolongar-se durante semanas. Empresas sem backups funcionais perdem dados críticos, sistemas de faturação ficam inoperacionais e clientes deixam de conseguir aceder a serviços.

Para muitas PME, o problema não é apenas técnico, é existencial. Uma pequena empresa pode sobreviver a uma quebra de vendas temporária, mas dificilmente resiste a semanas de paralisação operacional, perda de confiança dos clientes e custos de recuperação informática.

Apesar deste cenário preocupante, o relatório do CNCS deixa também uma mensagem importante, as medidas mais eficazes continuam a ser relativamente simples e acessíveis. A maioria dos ataques observados em PME portuguesas poderia ter sido mitigada com boas práticas básicas de ciber-higiene.

Ativar MFA em todas as contas continua a ser uma das medidas mais importantes. Não apenas no email empresarial, mas também em plataformas cloud, serviços bancários, redes sociais e ferramentas internas. Utilizar gestores de passwords reduz drasticamente o risco associado à reutilização de credenciais.

Backups automáticos e testados permitem recuperar rapidamente operações após um ataque. Atualizações regulares eliminam vulnerabilidades conhecidas exploradas por malware automatizado.

Mais importante ainda, a segurança precisa de deixar de ser encarada como um problema exclusivamente tecnológico. A maioria dos ataques modernos explora pessoas antes de explorar sistemas. Um colaborador consciente representa uma barreira de segurança extremamente eficaz. Um colaborador distraído pode tornar inúteis milhões investidos em infraestrutura.

Por isso, as empresas que melhor estão a responder ao atual panorama de ameaças não são necessariamente as que gastam mais dinheiro. São as que criam processos consistentes, formam equipas, implementam regras claras e tratam a cibersegurança como parte integrante da operação diária.

Nos próximos anos, esta questão vai ganhar ainda maior relevância devido à entrada em vigor do Cyber Resilience Act europeu. O regulamento, aplicável a partir de dezembro de 2027, vai impor requisitos mínimos de segurança a produtos digitais e aumentar a pressão regulatória sobre fabricantes, fornecedores e empresas que utilizam soluções tecnológicas. Isto significa que a cibersegurança deixará progressivamente de ser apenas uma boa prática para passar a constituir um requisito operacional e comercial.

As PME portuguesas enfrentam, por isso, uma escolha clara. Podem continuar a tratar a cibersegurança como um tema secundário, reagindo apenas quando ocorre um incidente, ou podem assumir que a proteção digital faz hoje parte da sobrevivência do negócio.

O paradoxo identificado pelo CNCS mostra precisamente isso, Portugal não está atrasado na digitalização. Está atrasado na maturidade da proteção dessa digitalização. E essa diferença pode determinar quais serão as empresas capazes de crescer nos próximos anos, e quais ficarão pelo caminho.

Num mercado cada vez mais dependente de plataformas digitais, serviços cloud e trabalho remoto, a confiança tornou-se um ativo estratégico. Clientes, fornecedores e parceiros querem saber se os seus dados estão protegidos, se os sistemas são fiáveis e se a empresa consegue resistir a um incidente grave. A cibersegurança deixou de ser apenas uma questão técnica. Tornou-se uma questão de reputação, continuidade e competitividade.

A pergunta que o relatório do CNCS deixa implícita é simples, quantas PME portuguesas estão verdadeiramente preparadas para o próximo ataque?

E talvez a questão mais importante seja outra, quantas ainda acreditam que nunca serão alvo de um?