Iniciativa Cidadãos pela Cibersegurança afirma que caso de ex-adjunto do Ministério da Justiça expõe falhas estruturais na cibersegurança do Estado

IMG: Canva Pro (Ilustrativa).

A Procuradoria-Geral da República revelou um caso envolvendo um ex-adjunto do Ministério da Justiça suspeito da prática de centenas de crimes de pornografia de menores, alegadamente cometidos a partir de um computador pertencente ao próprio Ministério. Para além da dimensão criminal, o caso evidencia falhas consideradas graves na cibersegurança básica do Estado português, segundo o movimento “Cidadãos pela Cibersegurança” (CpC).

De acordo com a informação tornada pública, o acesso a conteúdos de pornografia infantil terá ocorrido de forma continuada e a partir de um computador profissional do Ministério da Justiça. Não existiram mecanismos automáticos de bloqueio de conteúdos ilegais nem alertas internos dirigidos aos serviços de tecnologias de informação ou de segurança. O processo só avançou após uma sinalização externa, feita pela Homeland Security dos Estados Unidos, tendo sido identificado como origem um endereço IP pertencente ao próprio Ministério.

Os factos agora conhecidos indicam a inexistência de mecanismos mínimos de controlo de conteúdos ilegais na rede do Estado. Do ponto de vista técnico, é apontada a ausência de sistemas como proxies institucionais com filtragem obrigatória, filtragem de DNS contra pornografia e pedofilia, alertas automáticos para acessos a conteúdos criminosos e monitorização eficaz do tráfego em redes governamentais. A gestão do acesso à Internet é descrita como semelhante à de uma rede doméstica, e não a de uma infraestrutura estatal.

O caso é enquadrado num padrão já anteriormente identificado, nomeadamente no processo relacionado com Frederico Pinheiro, ocorrido em 2024, que revelou fragilidades como a falta de gestão centralizada de equipamentos do Estado, inexistência de sistemas de gestão de dispositivos móveis (MDM), utilização de aplicações externas para comunicações sensíveis, ausência de procedimentos formais para desligamento de utilizadores, equipamentos fora do domínio do Estado, permissões excessivas atribuídas a utilizadores, falta de encriptação de discos e inexistência de mecanismos de bloqueio remoto ou controlo de dispositivos.

Segundo o movimento CpC, as recomendações técnicas formuladas em 2024 não terão sido implementadas, mantendo-se a falta de controlo efetivo do Estado sobre os seus próprios sistemas. A deteção de crimes graves continua dependente de alertas externos, sendo apontada a inexistência prática de soberania digital governamental, com riscos que ultrapassam a esfera criminal e se estendem aos domínios político, estratégico e de segurança nacional.

Perante este cenário, são defendidas várias medidas dirigidas ao Governo da República, incluindo a implementação imediata de proxies obrigatórios com filtragem de conteúdos em toda a Administração Pública, bloqueio por defeito de categorias ilegais, adoção de filtragem de DNS, uso obrigatório de MDM, encriptação de discos, limitação de permissões de administrador, bloqueio de portas USB, criação de procedimentos formais de entrada e saída de utilizadores, proibição de comunicações institucionais em plataformas externas e realização de auditorias independentes regulares à cibersegurança governamental.

A análise conclui que estas medidas não são inovadoras e correspondem a práticas comuns em organizações consideradas estruturadas, alertando que a ausência de implementação continuará a expor o Estado a novos casos semelhantes.