A Metro Mondego foi alvo de um ataque informático do tipo ransomware e admite que os criminosos podem ter copiado informação dos seus sistemas, incluindo dados pessoais de passageiros com passe personalizado.
O ataque foi detetado a 6 de julho de 2026 e afetou parte dos sistemas internos da empresa. Conforme comunicou a Metro Mondego, a operação do serviço de transporte não foi comprometida e os dados de pagamento com cartão bancário também não terão sido afetados, uma vez que são processados em terminais autónomos.
Apesar de ainda não saber exatamente quais os dados copiados, a Metro Mondego decidiu alertar desde já as pessoas potencialmente abrangidas. O grupo responsável pelo ataque reivindicou a ação e afirmou estar na posse de informação da empresa, ameaçando divulgá-la.
Que dados podem ter sido comprometidos?
O risco aplica-se sobretudo aos titulares de passes personalizados, já que a compra de bilhetes normais não exige o registo de dados pessoais.
Entre as informações que podem estar em causa encontram-se:
-
Nome, data de nascimento, morada e número de telefone;
-
Fotografia;
-
NIF e número do documento de identificação utilizado no registo;
-
Dados de utilização do título de transporte.
O aviso também abrange passes pertencentes a menores. A empresa recomenda que os encarregados de educação estejam atentos a mensagens, chamadas ou outros contactos suspeitos dirigidos às crianças e jovens sob a sua responsabilidade.
Pessoas que trocaram mensagens com endereços institucionais ou colaboradores da Metro Mondego também podem ter sido afetadas. Nestes casos, poderão estar em causa o nome, endereço de correio eletrónico, número de telefone e informação presente nas mensagens.
Principal risco são mensagens fraudulentas
Com estes dados, os atacantes podem criar contactos muito mais convincentes: uma mensagem pode incluir corretamente o nome, a morada, o NIF ou outros elementos pessoais e, ainda assim, ser uma tentativa de fraude.
A Metro Mondego recomenda desconfiar de e-mails, SMS ou chamadas feitas em nome da empresa, de bancos ou de serviços públicos que solicitem pagamentos, dados pessoais, palavras-passe ou códigos de autenticação.
Também não se deve abrir ligações ou anexos de mensagens inesperadas. Pedidos urgentes para alterar dados bancários ou realizar pagamentos devem ser confirmados através de contactos oficiais já conhecidos, e não através dos números ou endereços apresentados na própria mensagem.
A empresa sublinha que nunca solicita palavras-passe, códigos de autenticação ou dados bancários por telefone, SMS ou correio eletrónico.
Como se proteger e salvaguardar os seus direitos
Além de evitar mensagens suspeitas, os utilizadores devem acompanhar faturas, contratos, registos e correspondência recebida em seu nome. Qualquer documento, serviço ou movimentação que não reconheçam deve ser investigado rapidamente.
Comunicações suspeitas relacionadas com este ataque podem ser reportadas através do endereço incidente@metromondego.pt ou do número 239 488 109.
Para obter esclarecimentos sobre os seus dados pessoais, os titulares podem contactar o Encarregado de Proteção de Dados da Metro Mondego através de dpo@metromondego.pt. Este contacto também pode ser utilizado para pedir informações sobre os dados potencialmente afetados e sobre as medidas adotadas pela empresa.
O que dizem os artigos 33 e 34 do RGPD?
O artigo 33 do Regulamento Geral sobre a Proteção de Dados determina que uma organização deve comunicar uma violação de dados pessoais à autoridade de controlo sem demora injustificada e, sempre que possível, no prazo de 72 horas. A notificação deve indicar que dados podem ter sido afetados, quais os riscos para as pessoas e que medidas foram adotadas para limitar os danos.
Já o artigo 34 estabelece que os próprios titulares devem ser informados quando o incidente representar um risco elevado para os seus direitos. Essa comunicação deve ser feita rapidamente, em linguagem clara, e incluir recomendações para que as pessoas se possam proteger.
Quando não for possível contactar todos os afetados individualmente, a organização pode recorrer a um aviso público, tendo a Metro Mondego afirmado que notificou as autoridades competentes e prometido informar diretamente as pessoas cujos dados venham a ser confirmados como comprometidos.
Vê também: 6 dicas que todos deveriam seguir para proteger o email contra phishing
