Dados pessoais poderão ter sido copiados durante ataque à Metro Mondego

Em comunicado, a Metro Mondego – que assegura a operação do ‘metrobus’ que circula entre Lousã e Coimbra — referiu que os elementos disponíveis levam “a considerar provável que os atacantes tenham copiado informação que pode incluir dados pessoais”.

“O grupo responsável pelo ataque reivindicou-o publicamente, alegando estar na posse de informação da empresa e anunciando a intenção de a divulgar. Ainda não é possível confirmar que dados foram concretamente copiados”, acrescentou.

Ainda assim, mesmo antes dessa confirmação, por precaução decidiu avisar as pessoas potencialmente abrangidas “para que possam proteger-se desde já”.

O aviso relativamente aos dados pessoais aplica-se apenas aos titulares de passe personalizado, uma vez que “a compra de bilhetes de transporte não envolve o registo de dados pessoais dos passageiros”.

“Os dados associados ao passe personalizado que podem estar em causa incluem dados de identificação e contacto (como nome, data de nascimento, morada, telefone e fotografia), números de identificação oficiais (NIF e número do documento de identificação apresentado no registo) e dados de utilização do título de transporte”, esclareceu.

Podem também estar em causa o nome, o endereço de correio eletrónico e o número de telefone de pessoas que trocaram mensagens com endereços da Metro Mondego, institucionais ou de colaboradores, havendo, neste caso, o risco de “receção de mensagens fraudulentas que se façam passar pela Metro Mondego ou pelos seus interlocutores habituais”.

Os colaboradores, fornecedores e outras entidades com relações contratuais com a Metro Mondego serão contactados individualmente, acrescentou.

Segundo a Metro Mondego, o ataque informático foi do tipo ‘ransomware’ (‘software’ malicioso que se apodera de dados e bloqueia o seu acesso exigindo o pagamento de um resgate para restauro) e afetou “parte dos seus sistemas internos”, mas sem comprometer a operação do serviço de transporte.

“A Metro Mondego acionou de imediato os seus procedimentos de resposta a incidentes, com o apoio de peritos externos em cibersegurança, e notificou o Centro Nacional de Cibersegurança, a Comissão Nacional de Proteção de Dados e as autoridades responsáveis pela investigação criminal, com quem se mantém em articulação”, acrescentou.

A empresa reiterou que “os dados de pagamento com cartão bancário não foram afetados”, uma vez que “os pagamentos são processados em terminais autónomos, isolados dos sistemas atingidos”.