Os maiores ciberataques na Alemanha

As empresas e os organismos públicos alemães estão entre os mais atacados da Europa. O Bundeskriminalamt registou 333 922 casos de cibercriminalidade em 2025, com prejuízos estimados em 202,4 mil milhões de euros. No mesmo ano, foram comunicados 1 041 ataques de ransomware, e a Alemanha ficou em terceiro lugar a nível mundial em incidentes confirmados de ransomware.

Por trás desses números estão casos concretos: um fornecedor municipal de TI que deixou 72 concelhos sem ligação à Internet, um gigante do setor das peças automóveis que perdeu 40 terabytes de dados, um hospital universitário que teve de recusar doentes. Este artigo aborda seis ataques documentados, o que custaram e o único aspeto que quase todos têm em comum.

Os maiores ciberataques na Alemanha

1. Südwestfalen IT (2023): 72 municípios sem ligação à Internet

A 30 de outubro de 2023, a Südwestfalen IT, prestadora de serviços de TI municipais, foi alvo de um ataque de ransomware atribuído ao grupo Akira. O centro de dados cortou as ligações com os municípios que servia, deixando 72 cidades e distritos membros sem acesso à Internet de uma só vez. Os cidadãos não conseguiam registar veículos, solicitar documentos nem utilizar os serviços municipais.

Cerca de 170 pessoas trabalharam na recuperação, dedicando cerca de 43 000 horas de trabalho, e o restabelecimento total dos serviços só ficou concluído no outono do ano seguinte. Continua a ser o maior e mais complexo incidente deste tipo na Alemanha.

2. Continental (2022): 40 terabytes roubados

No verão de 2022, o grupo LockBit invadiu as redes da Continental, um fornecedor do setor automóvel, e passou despercebido durante cerca de um mês. Roubaram cerca de 40 terabytes de dados: planos orçamentais, de investimento e estratégicos, ficheiros de pessoal e comunicações confidenciais de executivos e do conselho de supervisão. Os dados pertencentes a clientes, incluindo a Volkswagen, faziam parte do material roubado.

Os atacantes publicaram um ficheiro que lista os caminhos de armazenamento de 55 milhões de ficheiros. A Continental escreveu a dezenas de milhares de pessoas afetadas e apelou publicamente à proibição do pagamento de resgates.

3. Hospital Universitário de Düsseldorf (2020): um hospital que recusou a admissão

Um ataque de ransomware ao hospital universitário de Düsseldorf obrigou-o a deixar de prestar serviços de urgência. Os sistemas foram encriptados e os doentes tiveram de ser encaminhados para outros hospitais. O caso chamou a atenção internacional como um dos exemplos mais gritantes do que acontece quando a infraestrutura de cuidados críticos fica inoperacional. As autoridades de segurança alemãs atribuíram este ataque, juntamente com outros incidentes, ao grupo conhecido como Double Spider.

4. Distrito de Anhalt-Bitterfeld (2021): a primeira declaração de catástrofe cibernética

Depois de um ataque de ransomware, o distrito de Anhalt-Bitterfeld declarou um «Katastrophenfall», ou seja, uma situação formal de catástrofe. Foi a primeira vez que uma autoridade alemã tomou essa medida devido a um ciberataque. O pagamento de subsídios e os serviços aos cidadãos ficaram interrompidos durante semanas, e o distrito demorou meses a voltar ao funcionamento normal.

5. Funke Mediengruppe (2020): uma editora sem redacção

Um dos maiores grupos de comunicação social da Alemanha foi alvo de um ataque de ransomware que se espalhou pelos sistemas editoriais e de produção. Os jornais foram publicados em edições de emergência. Tal como aconteceu em Düsseldorf e em Anhalt-Bitterfeld, as autoridades alemãs apontaram o grupo Double Spider como responsável.

6. O padrão por trás das notícias (2025)

Os casos individuais dão notícia, mas a tendência geral é que mais importa. Em 2025, o setor industrial representou 23 por cento de todas as fugas de dados na Alemanha, seguido pelos serviços jurídicos e de consultoria, com 14 por cento, e pela construção e engenharia, com 11 por cento. De acordo com o Google Threat Intelligence, o grupo SafePay foi responsável por cerca de um quarto das publicações sobre fugas de dados na Alemanha nesse ano. Os alvos já não são só as empresas mais conhecidas.

O que estes casos têm em comum

Se leres os relatórios lado a lado, vais perceber um padrão. Não se tratava de exploits «zero-day» exóticos contra sistemas bem protegidos. Em todos os casos, os atacantes entraram por uma porta comum: uma credencial roubada, um e-mail convincente, um colaborador que agiu sem questionar.

O caso da Continental é revelador. Os atacantes estiveram dentro da rede durante cerca de um mês antes de alguém se aperceber. Isso não é uma falha das firewalls, é uma falha na deteção e nos sinais humanos que a antecedem. Alguém, algures, reparou em algo que não parecia certo.

É por isso que o BSI e o BKA continuam a apontar para o mesmo ponto fraco. Os controlos técnicos impedem as ameaças conhecidas. Mas não impedem um colaborador de abrir um anexo que parece uma fatura, de ligar uma pen USB encontrada no parque de estacionamento ou de aprovar um pedido de início de sessão depois de um telefonema de alguém que diz ser do suporte informático. Esse último método foi usado em algumas das maiores violações de segurança europeias dos últimos anos, e as iscas funcionam exatamente com o mesmo princípio: a curiosidade, não uma falha técnica.

Como proteger a tua organização

As cópias de segurança, a aplicação de patches e a segmentação da rede são o mínimo indispensável, e todas as organizações acima mencionadas tinham alguma forma destas medidas. O que distingue as empresas que conseguiram absorver um ataque das que chegaram às manchetes é, normalmente, a rapidez com que alguém percebeu o que se estava a passar.

Essa capacidade de reconhecimento pode ser treinada. Na prática, há três aspetos que fazem a diferença:

• Formação regular e curta, em vez de uma sessão anual. A atenção vai-se perdendo. Uma sessão anual ensina factos que já se esqueceram em março; a repetição semanal cria um reflexo.
• Simulações realistas de phishing. Ler sobre phishing não é a mesma coisa que receber uma tentativa. As simulações mostram-te quais os departamentos que precisam de apoio antes que um atacante o descubra por ti.
• Uma cultura em que é normal comunicar problemas. O colaborador que percebeu o que se passou e o comunica em cinco minutos vale mais do que aquele que fica calado durante cinco dias.

Para as organizações abrangidas pela NIS2, isto já não é opcional. A diretiva menciona explicitamente a formação em sensibilização, e o nosso guia sobre a NIS2 explica o que isso significa na prática.