O número de incidentes de ransomware a nível mundial aumentou 51,5% em 2025, para um total de 7.701 casos, face ao ano anterior. Portugal manteve-se entre os países menos afetados, com 28 ataques registados ao longo do ano, segundo o mais recente relatório da Thales.
De acordo com o “Threat Landscape Report 2025 – Segundo Semestre”, as ciberameaças consolidaram-se, amparadas pelas tensões geopolíticas e pela sofisticação das técnicas criminais. Na segunda metade de 2025, tanto atores paraestatais (com foco na Rússia, China, Irão e Coreia do Norte) como grupos criminais organizados aumentaram a sua atividade.
Ransomware
A principal ameaça global identificada pela equipa de Cyber Threat Intelligence da Thales, a partir das sedes em Portugal e Espanha, é o ransomware (programas de extorsão) e a sua transformação. O relatório observa uma alteração das táticas: crescem os ataques em que se prioriza apenas o roubo da informação face à encriptação dos sistemas para acelerar prazos de resposta à extorsão. Assim, reduz-se a complexidade técnica dos ataques e maximiza-se a pressão reputacional sobre as vítimas.
A este cenário soma-se um acelerador decisivo: a velocidade. Os atacantes não só encontram falhas cada vez mais intrincadas, como reduzem os tempos entre divulgação e exploração. Além disso, o relatório destaca o auge de vulnerabilidades de dia zero (zero day), cujo uso se “profissionalizou” e faz parte de um mercado maduro de capacidades e acessos.
A pressão do cibercrime tende a concentrar-se em organizações com dois traços comuns: alta dependência da continuidade operacional e exposição elevada a dados sensíveis, processos industriais ou serviços essenciais. Por isso, Governos e administrações, indústria, finanças, saúde, telecomunicações e energia aparecem como âmbitos especialmente sensíveis. Nestes sectores, qualquer interrupção da atividade pode ter um grande impacto. Além disso, os seus ecossistemas digitais e de terceiros são bastante complexos, o que permite abrir mais portas de entrada.
Situação em Portugal
Em Portugal, o ransomware manteve uma atividade estável, mas comparativamente baixa em relação a outros países europeus. Registaram-se 14 ataques no segundo semestre e um total de 28 no ano. O país ocupa a 27.ª posição no ranking global de vítimas, muito abaixo de países vizinhos, como Espanha ou França.
Os ataques, liderados principalmente pelo grupo Qilin, concentraram-se no sector industrial e revelaram um cenário de ameaças fragmentado e oportunista. Não há evidências de campanhas sustentadas ou coordenadas por um único operador.
Ainda assim, o ambiente de ameaça acompanhou a tendência internacional, com os riscos cibernéticos a assumirem um papel central nas avaliações estratégicas de segurança nacional e estabilidade económica.
O hacktivismo registou uma atividade notável, impulsionada maioritariamente por grupos pró-Rússia que visaram instituições públicas e infraestruturas críticas. Destacam-se campanhas de desinformação, como a do grupo NONAME057(16), que alegou falsamente um apagão na Península Ibérica, e ataques mais concretos do grupo Z-PENTEST contra sistemas de gestão de águas e saneamento. Outros grupos, como o Dark Storm Team e o ZDIPLOMAT, centraram-se em ações com objetivos ideológicos.
Campanhas sofisticadas de malware
No domínio do malware, Portugal enfrentou campanhas sofisticadas tanto em dispositivos móveis como em ambientes corporativos. O trojan de acesso remoto PlayPraeto evoluiu para uma operação em larga escala dirigida a utilizadores Android, enquanto o Lampion impactou computadores, via táticas de engenharia social. Por conseguinte, estas campanhas incidiram especificamente em sectores de elevado valor, comprometendo organizações nas áreas governamental, financeira e de transportes.
A economia do cibercrime e a fraude digital também se intensificaram, com a atividade na dark web associada a Portugal fortemente centrada na exfiltração de dados e na venda de acessos iniciais a redes corporativas. Os sectores do comércio eletrónico e da banca foram os principais alvos, o que reflete uma motivação financeira clara.
De acordo com o relatório, a IA amadureceu ao ponto de se tornar uma ferramenta operacional capaz de automatizar toda a cadeia de intrusão de um ciberataque – da deteção de vulnerabilidades à criação de phishing indistinguível da realidade – o que, em paralelo com o modelo de Crime-as-a-Service, reduziu drasticamente as barreiras técnicas para criminosos e facilitou fraudes em larga escala, incluindo campanhas que imitam entidades como a Polícia Judiciária e a Interpol. Perante este cenário, a mensagem da Thales é clara: não há implementação de IA sem cibersegurança, uma vez que só através de sistemas inteligentes que detetem padrões anómalos em tempo real se garante que esta tecnologia seja um ativo seguro e não uma vulnerabilidade exposta.
Tendências globais
A nível global, o relatório descreve um ecossistema criminal mais profissional, competitivo e fragmentado. O ransomware não só cresce em volume, como se apoia cada vez mais em modelos industrializados (crime-as-a-service e extortion-as-a-service). Assim, há uma proliferação de operações e marcas que facilita a escalabilidade das campanhas e reduz as barreiras de entrada.
A transformação tática dos ciberatacantes é igualmente relevante: ganha terreno a extorsão centrada exclusivamente no roubo de dados (abdicando da encriptação dos sistemas), enquanto se generalizam técnicas de “baixo ruído” que dificultam a deteção. Entre elas, destaca-se o living-off-the-land, que abusa de ferramentas legítimas do próprio sistema. Além disso, existe o abuso de ferramentas de gestão remota (RMM) legítimas para persistência e evasão.
O terceiro grande vetor é a aceleração do ciclo vulnerabilidade-exploração. Com 24.365 novas vulnerabilidades no segundo semestre de 2025 e casos de exploração apenas 24 horas após a sua publicação, a defesa converte-se numa corrida contra o tempo.
Neste contexto, a Thales insiste numa abordagem proativa: proteger a identidade digital como novo perímetro, priorizar a aplicação de correções (patching) e reforçar o controlo sobre terceiros, especialmente em cadeias de abastecimento e componentes de software.
