Serviços digitais do Nepal enfrentam exposição de dados, perturbações nos mercados e falhas na responsabilização

135 contas de correio eletrónico do governo expõem um problema de segurança mais amplo

Pelo menos 135 contas de correio eletrónico sob o domínio governamental nepal.gov.np foram identificadas em fugas de dados externas, depois de o Centro Nacional de Cibersegurança aderir ao Have I Been Pwned, um serviço que monitoriza credenciais expostas. Entre os endereços afetados estavam contas associadas ao Gabinete do Primeiro-Ministro e aos ministérios da Administração Interna, das Finanças e dos Negócios Estrangeiros.

A descoberta surge a par de relatos sobre documentos de estudantes e docentes expostos, ataques a portais governamentais, interferência na contratação pública eletrónica e um incidente de ransomware que interrompeu a negociação de ações. Relatos publicados em outubro de 2026 descrevem uma administração digital cujas falhas de segurança podem afetar tanto a privacidade pessoal como o acesso a serviços essenciais.

Estes incidentes envolvem problemas distintos. O facto de um endereço de correio eletrónico surgir numa fuga de dados não prova, por si só, que alguém tenha entrado numa rede governamental. A indisponibilidade de um sítio não demonstra que os seus registos tenham sido roubados. Ainda assim, credenciais expostas, controlos de acesso fracos e dependência de infraestruturas partilhadas podem combinar-se e criar vias de acesso a sistemas mais sensíveis.

O Nepal está a ligar passaportes, verificação de identidade, fiscalidade, banca e segurança social a serviços digitais, enquanto os cidadãos continuam a relatar filas, atrasos na emissão de cartões de identidade e servidores indisponíveis. A questão central vai, portanto, além de deter os piratas informáticos: o governo tem de proteger as informações que exige às pessoas, mantendo os serviços operacionais quando um componente falha.

O que revela a descoberta das contas de correio eletrónico

O Nepal tornou-se a 47.ª entidade governamental a aderir ao Have I Been Pwned, segundo Raj Kumar Maharjan, diretor do Centro Nacional de Cibersegurança. A ligação permite ao centro identificar endereços governamentais expostos em fugas de dados ocorridas noutros locais, em vez de depender exclusivamente de indícios provenientes das suas próprias redes.

Maharjan afirmou que o centro notificaria os departamentos afetados e exigiria a alteração das palavras-passe. Explicou de que forma o serviço de monitorização muda a resposta:

Através deste portal, o nosso centro recebe agora informações precisas sobre os endereços de correio eletrónico que foram expostos e a origem da fuga. Isto permite-nos alertar os responsáveis relevantes em tempo real, impor a reposição imediata das palavras-passe e evitar danos adicionais.

O número de 135 não deve ser interpretado como uma contagem de intrusões confirmadas em 135 caixas de correio governamentais. Os relatos públicos não apuram quantas contas continuavam vulneráveis, se as palavras-passe expostas ainda eram válidas ou quantas tinham proteção de autenticação adicional.

A especialista em cibersegurança Mona Nyachhyon alertou que contas oficiais comprometidas podem pôr em risco redes internas e comunicações confidenciais. Um atacante que controle uma caixa de correio governamental legítima também pode fazer com que pedidos fraudulentos pareçam credíveis, sobretudo quando os destinatários reconhecem o endereço.

Relatos separados indicam que credenciais associadas ao Agriculture Development Bank surgiram em dados recolhidos por malware que rouba informações de dispositivos infetados. Este tipo de roubo pode ocorrer no computador usado para aceder a um serviço, sem que o atacante tenha de invadir diretamente o servidor central desse serviço.

Documentos dos cidadãos e portais públicos enfrentam ameaças diferentes

O sistema em linha da University Grants Commission terá exposto documentos de cidadania, certificados de habilitações, dados de contas bancárias e registos do Número de Identificação Permanente pertencentes a professores e estudantes. Alegadamente, bastava alterar o endereço de uma página para aceder aos documentos, devido à ausência de controlos de acesso.

O controlo de acesso é a verificação que determina se uma pessoa tem autorização para consultar um registo específico. Um documento não fica protegido apenas por ter um endereço difícil de adivinhar. O servidor tem de verificar as permissões sempre que alguém o solicita.

Os relatos descrevem também um acesso não autorizado à interface de programação de aplicações pública do portal de serviços em nuvem do governo. Uma interface, habitualmente designada por API, permite que sistemas informáticos troquem informações ou executem ações. Grupos identificados como PSy404 e AnoNagoSt, associados à rede ForceAnon, terão usado esse acesso para publicar mensagens e imagens.

Entre os outros incidentes relatados contam-se vulnerabilidades divulgadas pelo Midnight Ops Nepal em sistemas como o Departamento de Hidrologia e Meteorologia, bem como o acesso a painéis de administração ministeriais atribuído ao FunkSec. Alegadamente, foram colocados à venda documentos orçamentais e municipais.

Estas alegações exigem avaliações separadas. A publicação de material através de uma interface pública demonstra uma falha de controlo, mas não comprova o acesso a todas as bases de dados alojadas na nuvem governamental. Os relatos de documentos postos à venda também precisam de confirmação quanto à autenticidade, dimensão e origem antes de se poder avaliar a extensão total da exposição.

Cronologia dos ataques relatados e das medidas do governo

Os relatos descrevem incidentes ocorridos ao longo de vários anos, e não um único ataque coordenado. A sequência mostra também que a criação de um centro de cibersegurança dedicado não pôs fim às perturbações.

• 1 de janeiro de 2024: Um ataque distribuído de negação de serviço terá perturbado sítios e aplicações de serviços públicos, com efeitos que se prolongaram durante semanas.
• 23 de janeiro de 2024: O Conselho de Ministros decidiu criar o Centro Nacional de Cibersegurança, que entrou em funcionamento mais tarde, nessa primavera.
• Dezembro de 2024: Foram relatados ataques a portais governamentais nas províncias de Gandaki, Lumbini e Bagmati.
• Fevereiro de 2025: Relatos descreveram ataques a 21 subdomínios da província de Koshi.
• Março de 2025: A base de dados da plataforma de reclamações Hello Sarkar terá sido comprometida e colocada à venda.
• Abril de 2025: Cerca de 2 milhões de registos de cidadania apresentados para relatórios policiais terão sido roubados de um sítio da Polícia do Nepal e colocados à venda.
• 13 de maio de 2026: As alterações publicadas às Regras de Distribuição de Competências do Governo do Nepal terão transferido entidades tecnológicas importantes para o Gabinete do Primeiro-Ministro.
• Setembro de 2026: Um alegado ataque de ransomware perturbou os sistemas utilizados por 72 sociedades corretoras e interrompeu a negociação durante um dia.
• Início de outubro de 2026: A Pathao Nepal terá reconhecido uma fuga de dados que envolveu nomes de utilizador, endereços de correio eletrónico e números de telefone.

O alegado roubo de cerca de 2 milhões de registos policiais é uma das maiores exposições descritas. Trata-se de um número avançado nos relatos, não de uma contagem independente e confirmada de pessoas afetadas. Os relatos não apresentam uma discriminação verificada dos registos únicos nem uma avaliação pública completa dos danos.

A contratação pública eletrónica coloca a segurança no centro da despesa pública

O alegado comprometimento do sistema de contratação pública eletrónica, conhecido como e-GP, diz respeito tanto à integridade dos contratos públicos como à confidencialidade das informações. O Public Procurement Monitoring Office gere a plataforma para a apresentação de propostas em concursos públicos no valor de milhares de milhões de rupias.

Os investigadores terão concluído que utilizadores não autorizados podiam consultar os valores confidenciais das propostas concorrentes e alterar montantes após os prazos de entrega. Os relatos descrevem uma alegada colaboração entre piratas informáticos, intermediários e empreiteiros, incluindo pagamentos em criptomoeda e um sítio de contratação pública contrafeito.

O Central Investigation Bureau da Polícia do Nepal terá detido mais de 20 pessoas, incluindo um antigo ministro, figuras do setor da construção e funcionários técnicos, e levado casos a tribunal. Detenções e acusações não equivalem a condenações. Os relatos não apresentam decisões judiciais definitivas que estabeleçam a responsabilidade de cada arguido.

As preocupações de segurança terão levado à suspensão da apresentação eletrónica de propostas e ao regresso a propostas em papel, entregues em envelopes selados, para contratos essenciais. Os relatos não indicam uma data confirmada para a retoma.

A distinção em relação a uma fuga de documentos é crucial. A confidencialidade falha quando alguém consulta uma proposta que não deveria ver. A integridade falha quando alguém altera a própria proposta. Se uma destas proteções falhar, um sistema digital concebido para tornar a contratação mais transparente pode, em vez disso, conceder uma vantagem não declarada a determinados concorrentes.

Um único fornecedor pode paralisar um mercado inteiro

Um incidente de ransomware ocorrido em setembro de 2026 terá atingido um centro de dados privado que alojava sistemas de gestão da negociação para 72 sociedades corretoras. A negociação na Bolsa de Valores do Nepal terá ficado indisponível durante um dia inteiro. O relato original refere também que informações governamentais estavam alojadas nas instalações afetadas.

O ransomware bloqueia normalmente o acesso a sistemas ou dados, muitas vezes através da encriptação de ficheiros, e exige um pagamento. Os relatos não apuram o mecanismo técnico do ataque, se também foram roubadas informações ou se foi pago algum resgate.

A consequência descrita com maior clareza é operacional: uma interrupção num único fornecedor de alojamento propagou-se a dezenas de corretoras e impediu os investidores de negociar. Trata-se de risco de concentração, que ocorre quando muitas organizações dependem do mesmo fornecedor ou infraestrutura.

A divulgação da Pathao Nepal representa uma exposição diferente no setor privado. No início de outubro de 2026 terão sido divulgados nomes, endereços de correio eletrónico e números de telefone. Os relatos referem milhares de utilizadores afetados, mas não indicam um total exato e verificado.

Relatos anteriores mencionam também fugas de informações de clientes envolvendo a Vianet e a Foodmandu, ataques a sistemas de caixas automáticas bancárias e uma tentativa de ataque ao sistema SWIFT do NIC Asia Bank. Estes incidentes diferem em dimensão e resultado, mas mostram que o desafio da segurança vai além dos sítios governamentais e abrange serviços usados para comunicar, fazer compras, viajar e gerir as finanças.

Problemas de capacidade do sistema de identidade nacional propagam-se a vários serviços

O sistema nacional de identidade ilustra como um serviço pode falhar sem que haja um ciberataque confirmado. Os relatos atribuem semanas de interrupção da autenticação a uma pressão técnica, quando o sistema biométrico se aproximava de uma capacidade de cerca de 20 milhões de registos.

Mais de 16 entidades terão sido afetadas, incluindo serviços de passaportes, impostos, transportes e banca. O número refere-se à pressão sobre a capacidade do sistema, segundo os relatos, e não a uma contagem verificada de pessoas cujas informações biométricas tenham sido expostas.

Os relatos divergem quanto à identidade empresarial do fornecedor francês. O relato original refere uma transição da Idemia para a IN Groupe, enquanto outro repete IDEMIA como designação atual. As informações não permitem estabelecer com precisão os acordos de contratação e assistência. A questão operacional é a mesma: vários serviços dependiam de uma plataforma de autenticação e foram afetados quando esta ficou indisponível.

Um serviço de identidade partilhado pode reduzir a repetição de verificações e de burocracia. Mas também se torna um ponto único de falha se as entidades não puderem recorrer a uma alternativa segura quando o serviço deixa de responder. Por isso, o planeamento da capacidade, os mecanismos de recuperação e a definição clara das responsabilidades dos fornecedores são tão importantes como a proteção contra intrusos.

As consequências para a privacidade exigem igual cautela. As impressões digitais são identificadores biométricos; os números de cidadania e as datas de nascimento são dados de identificação, não dados biométricos. Ao contrário de uma palavra-passe, uma impressão digital não pode simplesmente ser substituída. A exposição destes dados pode criar oportunidades duradouras de usurpação de identidade e fraude direcionada.

As defesas do governo estão a expandir-se, mas têm limites

Nos quatro meses anteriores ao relato sobre a fuga de dados das contas de correio eletrónico, o Centro Nacional de Cibersegurança terá auditado cerca de 40 sistemas governamentais. Também utiliza o CTM360, uma ferramenta de monitorização fornecida pela União Internacional das Telecomunicações, para acompanhar trocas ilícitas que envolvam informações governamentais.

Um sistema Security Information and Event Management recentemente adquirido recolhe e analisa registos de atividade nas redes governamentais. Estas ferramentas ajudam as equipas a identificar padrões suspeitos, mas a sua utilidade depende do que é monitorizado e da rapidez com que os alertas são investigados.

Prakash Duwadi, identificado no relato em nepalês como responsável de informação do Gabinete de Tecnologias da Informação e Governação Eletrónica, afirmou que os portais governamentais alojados podem enfrentar simultaneamente 7 000 a 8 000 tentativas de ataque. Estimou que os testes básicos feitos por estudantes ou crianças representam 10% a 20% das tentativas. Os relatos não explicam o período de medição nem o método de contagem.

Duwadi afirmou também que, por vezes, os funcionários desligam os sistemas quando não conseguem defendê-los em segurança. Uma interrupção do servidor pode, por isso, ser uma medida de proteção e não uma prova de que os atacantes assumiram o controlo. Em qualquer dos casos, os cidadãos ficam sem acesso, o que torna necessárias informações precisas sobre a disponibilidade dos serviços e procedimentos de recuperação.

Maharjan atribuiu mais de 90% dos incidentes cibernéticos ao comportamento humano e à engenharia social. Trata-se da avaliação que apresentou, não de uma conclusão estatística nacional documentada. Alertou também que a criação rápida de aplicações com inteligência artificial pode deixar os programadores sem conhecimento das fragilidades de encriptação e segurança.

Mensagens de phishing relatadas fizeram-se passar pelo Inspetor-Geral Adicional Manoj Kumar KC, pelo Gabinete do Primeiro-Ministro e por outros responsáveis policiais. Ameaçavam os destinatários com processos judiciais para os pressionar a responder ou a divulgar informações. Estes exemplos mostram como o medo e a autoridade oficial podem ser usados para cometer fraudes.

Os direitos de privacidade precisam de aplicação efetiva

O artigo 28.º da Constituição do Nepal protege a privacidade. A Lei da Privacidade, 2075 (2018), também estabelece deveres relativos a informações pessoais na posse de entidades públicas. O relato original e a análise que o acompanha associam à Secção 29 penas de até três anos de prisão, à Secção 31 o direito a indemnização e à Secção 32 medidas disciplinares.

Estas disposições não demonstram que todas as falhas técnicas relatadas satisfaçam os requisitos de um crime ou de uma indemnização. A responsabilidade tem de ser determinada com base na conduta em causa, nas disposições legais aplicáveis e nas provas. Os relatos públicos dão poucos pormenores sobre penas ou indemnizações decorrentes dos incidentes descritos.

A responsabilidade administrativa também está a mudar. As alterações publicadas em 13 de maio de 2026 terão transferido o Centro de Cibersegurança, o Centro de Gestão de Dados e o Departamento de Tecnologias da Informação para o Gabinete do Primeiro-Ministro. Uma ordem de trabalhos do Conselho de Ministros aprovada em 27 de março de 2026 previa a criação de um Gabinete de Tecnologias da Informação e Governação Eletrónica no prazo de três meses, mas os levantamentos organizacionais estariam incompletos quando o relato foi publicado.

A estrutura resultante e a hierarquia de reporte continuavam por definir. A transferência de instituições não determina, por si só, quem deve notificar os cidadãos afetados, autorizar a reposição de um serviço comprometido ou verificar se um fornecedor corrigiu uma falha de segurança.

Testes, contratação e divulgação são as próximas decisões

A análise original propõe que as obrigações de segurança sejam incluídas desde o início na contratação de software. Entre elas contam-se a encriptação, as atualizações contínuas, a manutenção e a seleção baseada na qualidade e no custo, em vez de se tratar o software como uma compra concluída no momento da entrega. São propostas, não novos requisitos governamentais cuja adoção esteja confirmada.

Defende também avaliações de vulnerabilidade e testes de intrusão obrigatórios antes de os serviços serem disponibilizados aos cidadãos. Estes testes identificam fragilidades e simulam intrusões controladas. Realizar um teste não é o mesmo que corrigir os problemas identificados: uma decisão credível de lançamento exige provas de que as falhas graves foram corrigidas e novamente verificadas.

O especialista em cibersegurança Naresh Lamgade afirma que a segurança é muitas vezes omitida durante o desenvolvimento e que investigadores privados são desencorajados de comunicar vulnerabilidades. Um canal claro para a comunicação, com procedimentos de tratamento definidos, ajudaria a transformar as descobertas em correções, em vez de deixar os investigadores sem saber como contactar uma entidade pública.

Outras medidas propostas incluem autenticação adicional para contas de correio eletrónico e contas administrativas do governo, auditorias regulares aos centros de dados, notificação dos cidadãos afetados após fugas de dados e criação de uma autoridade independente para a proteção de dados. Os relatos não indicam datas confirmadas para a adoção destas medidas.

As perguntas imediatas que continuam sem resposta são concretas: quantas contas expostas foram protegidas, se os conjuntos de dados alegadamente roubados foram autenticados, quando será retomada a apresentação eletrónica de propostas e como evitará o sistema de identidade outra interrupção por falta de capacidade. Respostas públicas permitiriam avaliar a recuperação pelos resultados, e não pelo número de serviços colocados em linha.

Pontos principais

• Pelo menos 135 contas de correio eletrónico do governo foram identificadas em fugas de dados externas depois de o Nepal aderir ao Have I Been Pwned.
• As exposições relatadas incluem documentos universitários e cerca de 2 milhões de registos de cidadania associados a relatórios policiais; este último total continua por verificar.
• Mais de 20 pessoas terão sido detidas no caso da contratação pública eletrónica; não são indicados os resultados judiciais definitivos.
• Um alegado incidente de ransomware em setembro de 2026 perturbou os sistemas utilizados por 72 sociedades corretoras e interrompeu a negociação de ações durante um dia.
• Problemas de capacidade do sistema nacional de identidade terão interrompido a autenticação de mais de 16 entidades durante semanas.
• A monitorização e os testes de segurança foram reforçados, mas continuam por resolver a notificação de fugas de dados, a atribuição de responsabilidades e várias datas de recuperação.