Caso 27e reacende debate sobre segurança de dados em Portugal

O número 27e apareceu pela primeira vez em um relatório interno da Agência para a Modernização Administrativa (AMA) em março deste ano. O código， que designa um lote de credenciais de acesso a serviços públicos digitais， tornou-se o centro de uma investigação que já envolve o Ministério Público e a Comissão Nacional de Proteção de Dados (CNPD). Na última quinta-feira， o jornal Público noticiou que pelo menos 12 mil cidadãos podem ter tido seus dados expostos devido a uma falha no sistema de autenticação.A história do 27e não é um caso isolado. Em fevereiro。a CNPD já havia multado uma operadora de telecomunicações em 150 mil euros por armazenamento inadequado de metadados. O padrão se repete: sistemas legados， camadas de segurança desatualizadas e uma corrida para digitalizar serviços sem o devido acompanhamento técnico. “O 27e é só a ponta do iceberg”， disse ao Observador uma fonte da equipa de resposta a incidentes da AMA， que pediu anonimato. “Temos outros códigos semelhantes em auditoria”O que chama atenção no caso 27e é a demora na comunicação. A falha foi detectada em 2 de março， mas só veio a público 18 dias depois. Nesse intervalo， segundo a CNPD， não houve notificação formal aos titulares dos dados. A lei portuguesa exige comunicação em até 72 horas em casos de risco elevado. A AMA alega que o incidente foi classificado inicialmente como “baixo risco” — classificação que teria sido revista após pressão da imprensa. Para quem acompanha o setor， a justificativa soa familiar. Em 2021， um caso semelhante envolvendo a plataforma SIGA (Sistema de Informação e Gestão de Atendimento) levou a multas。mas nenhuma mudança estrutural foi implementada.Especialistas em segurança digital apontam que o 27e expõe uma fragilidade antiga: a dependência de protocolos de autenticação única. “O 27e é um identificador de sessão que deveria expirar em minutos， mas ficava ativo por horas”， explica Rui Barbosa。engenheiro de software que trabalhou em projetos para o governo entre 2019 e 2022. “Isso permite ataques de replay — alguém intercepta o código e reutiliza” Barbosa lembra que a recomendação para adoção de autenticação multifator (MFA) está no plano de recuperação do PRR desde 2021， mas apenas 30% dos serviços públicos a implementaram até agora.

O impacto do caso 27e vai além dos 12 mil usuários. Advogados especializados em proteção de dados já preparam ações coletivas. “O dano moral é presumível quando há exposição de dados sensíveis， como números de identificação fiscal e endereços”， afirma Sofia Almeida。do escritório Almeida & Associados. Ela estima que cada pedido de indenização possa variar entre 500 e 2.000 euros. A CNPD， por sua vez， abriu um processo de contraordenação que pode resultar em multa de até 20 milhões de euros ou 4% do faturamento anual da entidade — no caso， o Estado português.Enquanto isso， o código 27e continua a circular em fóruns na dark web. Na terça-feira， um usuário do fórum BreachForums publicou uma amostra de 2.000 registros supostamente obtidos a partir da falha. A autenticidade não foi confirmada， mas o formato dos dados — incluindo nomes completos e números de cartão de cidadão — corresponde ao que a AMA havia descrito. O Ministério da Justiça informou que acompanha o caso， mas não deu prazo para conclusão do inquérito. Para os cidadãos afetados。a recomendação é trocar senhas e ativar alertas de fraude junto à segurança social. O 27e já entrou para a história como mais um exemplo de como a pressa digital pode custar caro.