João SantosEm março de 2026, o Conselho Europeu impôs sanções a uma empresa iraniana por ter participado em ciberataques contra infraestruturas de países membros da União Europeia — e, quase em simultâneo, o grupo APT42, ligado à Guarda Revolucionária Islâmica do Irão, alargou o seu raio de ação de alguns países para mais de vinte nações, incluindo vários Estados europeus. Para as empresas portuguesas, esta ameaça deixou de ser um assunto reservado a governos: chega por email, em português perfeito, gerada por inteligência artificial.
O que mudou na cibercapacidade do Irão em 2026
O conflito militar desencadeado em fevereiro de 2026 — quando os EUA e Israel lançaram operações coordenadas contra o Irão — precipitou uma escalada sem precedentes no domínio digital. Segundo análises da firma de cibersegurança Trellix, os grupos APT alinhados com Teerão adaptaram radicalmente as suas táticas: em vez de malware tradicional detetável por antivírus convencionais, os atacantes passaram a abusar de ferramentas legítimas de tecnologia de informação para penetrar redes empresariais sem deixar rastos convencionais.
Em 24 de março de 2026, a Comissão Europeia foi alvo de um ciberataque à sua infraestrutura cloud, com indícios de exfiltração de dados confidenciais. No segundo trimestre do mesmo ano, após 47 dias de isolamento parcial das redes iranianas, os grupos APT associados ao regime retomaram operações coordenadas contra alvos europeus, de acordo com o relatório de ameaças Q2 da empresa EclecticIQ. Portugal, enquanto membro da NATO e da UE com crescente digitalização do tecido empresarial, situa-se no perímetro de alvos potenciais.
O elemento mais perturbador desta nova fase é o uso sistematizado de IA generativa. O APT42 analisa o estilo de escrita de executivos a partir de emails expostos, publicações no LinkedIn e comunicados de imprensa, e gera mensagens de phishing que são, segundo investigadores da Trellix, "impossíveis de distinguir das reais" para um colaborador sem treino específico. Não existe vírus. Não existe link suspeito. Existe apenas uma mensagem que soa exatamente como o vosso CEO.
Por que as PME portuguesas são alvos apetecíveis para os hackers iranianos
As grandes corporações investem em SOC (Security Operations Centers) e equipas dedicadas de resposta a incidentes. As pequenas e médias empresas, que constituem mais de 99% do tecido empresarial português segundo o Instituto Nacional de Estatística, raramente têm proteção equivalente — e os atacantes iranianos sabem-no.
Uma PME portuguesa de 10 a 50 trabalhadores representa um alvo de baixa resistência técnica, mas com acesso a dados de valor elevado: contratos com clientes, propriedade intelectual, credenciais bancárias e, sobretudo, a capacidade de executar transferências financeiras sem os controlos que existem numa multinacional.
Os grupos APT do Irão não atacam apenas por razões geopolíticas. Uma parte significativa das operações visa o roubo de propriedade intelectual para benefício económico, a venda de acessos a redes comprometidas a outros grupos de cibercrime, e a espionagem industrial por encomenda. Segundo a Agência da União Europeia para a Cibersegurança (ENISA), os ataques de engenharia social e phishing representaram em 2026 mais de 68% dos vetores de entrada em incidentes reportados por empresas europeias de média dimensão.
A maioria das vítimas não sabe que está comprometida durante semanas ou meses. Numa empresa sem política de segurança formalizada, basta um colaborador clicar num link convincente — ou simplesmente responder a um email — para que os atacantes estabeleçam presença persistente na rede interna. A partir daí, a exfiltração de dados é silenciosa e metódica.
As tensões geopolíticas em torno do Irão também impactam diretamente os mercados globais, adicionando pressão económica às empresas já expostas a riscos digitais crescentes.
O caso concreto: como um ataque BEC custou 28.400 euros a uma PME portuguesa
Considere o seguinte cenário composto, baseado em padrões de ataque documentados em 2026 contra empresas da zona ibérica:
Uma empresa de importação de componentes com sede em Setúbal, 18 colaboradores, recebe em abril de 2026 um email aparentemente enviado pelo gerente para a responsável financeira. O tom é exato: o mesmo grau de informalidade, as mesmas expressões que o gerente utiliza habitualmente. A mensagem pede com urgência uma transferência de 28.400 euros para um fornecedor turco "antes que os pagamentos internacionais fiquem bloqueados com as novas restrições à região".
O email foi gerado por IA a partir de comunicações anteriores recolhidas em contas expostas online durante um ataque de reconhecimento anterior. Não contém vírus. Não aciona nenhum filtro de spam. Passa por todas as verificações automáticas. A responsável financeira, sob pressão da urgência fabricada, executa a transferência. Os fundos tornam-se irrecuperáveis em menos de 48 horas.
Se a empresa tivesse implementado um protocolo de verificação a dois canais — qualquer transferência acima de 5.000 euros exige confirmação verbal direta com o solicitante, independentemente do email ou mensagem recebida — a fraude teria sido bloqueada antes de chegar ao banco. Esta regra simples, que um especialista em cibersegurança implementa e documenta em menos de uma tarde de trabalho, é o equivalente digital de um cofre com chave dupla.
O custo de implementar esse protocolo: praticamente zero em tempo e recursos. O custo médio de um ataque BEC (Business Email Compromise) bem-sucedido em PME europeias em 2026: entre 15.000 e 45.000 euros, de acordo com dados compilados pela ENISA. A diferença entre estes dois valores não é sorte — é a presença ou ausência de orientação especializada.
Cinco medidas que um especialista em informática implementa para proteger a sua empresa
A ameaça iraniana não vai desaparecer com o fim de eventuais tensões diplomáticas ou militares. Os grupos APT têm objetivos que transcendem a geopolítica imediata: roubo de propriedade intelectual, venda de acessos a redes comprometidas e espionagem industrial a pedido de terceiros. As operações são geridas como empresas profissionais, com turnos, gestores de projeto e metas de exfiltração mensuráveis.
Um especialista em informática e cibersegurança pode ajudar a sua empresa a implementar, em poucas sessões de trabalho, medidas que reduzem substancialmente a superfície de ataque disponível:
1. Auditoria de exposição digital. Identificar que dados da empresa estão publicamente acessíveis — emails de dirigentes, organigramas, fornecedores, tecnologias utilizadas — e que podem ser usados para construir ataques de engenharia social personalizados.
2. Autenticação multifator (MFA) em todos os acessos críticos. Email corporativo, banca online, sistemas de faturação, ERP, acesso remoto. Um único acesso sem MFA é uma porta aberta.
3. Protocolo de verificação de transferências. Definir um limiar (por exemplo, 3.000 euros) acima do qual qualquer transferência exige confirmação por canal alternativo — chamada telefónica ou presença física. Documentar e treinar toda a equipa financeira.
4. Formação específica para reconhecer phishing com IA. Os filtros automáticos de email já não são suficientes quando os emails fraudulentos não contêm links maliciosos nem anexos suspeitos. A única defesa eficaz é a literacia digital dos colaboradores.
5. Plano de resposta a incidentes. Saber o que fazer nas primeiras 72 horas após detetar um comprometimento — a quem contactar, que sistemas isolar, como preservar evidências — pode ser a diferença entre um incidente controlado e uma crise que paralisa a operação durante semanas.
Nota: esta informação é de caráter geral e educativo. Não substitui aconselhamento técnico especializado. Cada empresa tem um perfil de risco específico que requer avaliação individual por um profissional qualificado.
Num contexto em que grupos alinhados com o Irão operam com o profissionalismo de empresas de serviços — com recursos humanos, ferramentas de IA e objetivos trimestrais — aguardar para ver é a estratégia mais arriscada que uma PME portuguesa pode adotar em 2026. Consultar um especialista em informática não é um luxo reservado às grandes empresas: é a medida mais custo-eficiente disponível.
