A Polícia Judiciária deteve esta terça-feira um rapaz de 16 anos em Braga, sospechoso de ter orquestrado uma onda de ataques cibernéticos que paralisou sistemas informáticos em Portugal, Espanha e França durante dois meses. A investigação arrancou em Janeiro, quando três grandes bancos nacionais reportaram falhas massivas nos serviços online.
Como tudo começou
Em Janeiro, millares de clientes do Novo Banco, BPI e Caixa Geral de Depósitos ficaram sem acesso a aplicações móveis e sites durante várias horas. A situação repetiu-se em Fevereiro com dois operadores de telecomunicações. As empresas estimaram perdas superiores a dois milhões de euros, segundo o comunicado da PJ.
As autoridades perceberam rapidamente que não se tratava de falhas técnicas. O Laboratório de Crimes Cibernéticos da PJ identificou padrões comuns nos ataques: rajadas de tráfego enormes que sobrecarregavam os servidores, uma técnica conhecida como DDoS (Distributed Denial of Service).
A investigação que levou ao adolescente
Durante cinco meses, os investigadores monitorizaram comunicações encriptadas e rastros digitais. O director da Unidade de Combate ao Cibercrime, comissário Henrique Santos, revelou numa conferência de imprensa que a equipa conseguiu rastrear os ataques até um endereço em Braga.
As autoridades descobriram que o adolescente usava serviços de aluguer de redes de bots no mercado negro digital. Estas redes — computadores infetados espalhados pelo mundo — eram contratadas por dezenas de euros por hora para lançar os ataques.
Perfil do suspect e motives
Segundo apurou a RTP, o rapaz é estudante do 11.º ano numa escola secundária da cidade. Os vizinhos descreveram-no como um jovem tranquilo, sem problemas disciplinares conhecidos. Nadie suspectava dos conhecimentos avançados de informática que o adolescente demonstrava online.
A PJ acredita que o jovem agia sozinho, mas ainda investiga se teve cúmplices. Os técnicos analisaram três computadores e dois telemóveis apreendidos no quarto do suspect. As primeiras conclusões sugerem que o rapaz pretendia exigir resgate às empresas atacadas — uma táctica cada vez mais comum no cibercrime.
Consequências legais para um menor
O adolescente foi presente a tribunal de menores na sexta-feira. A legislação portuguesa prevê para crimes de cibercrime cometidos por menores penas máximas de cinco anos de centro educativo, mas os procuradores ainda não anunciaram as acusações formais.
Esta é a segunda detenção de um menor em Portugal por crimes cibernéticos este ano. Em Março, um rapaz de 14 anos no Algarve foi identificado como autor de ameaças de bombista contra várias escolas da região.
O que muda na segurança informática portuguesa
O caso expôs vulnerabilidades nas defesas digitais de grandes empresas nacionais. O Centro Nacional de Cibersegurança alertou em Fevereiro que 68% das empresas portuguesas não têm protocolos adequados contra ataques DDoS.
Especialistas do sector advertem que adolescentes com conhecimentos técnicos avançados representam um desafio novo para as forças de segurança. Ao contrário dos grupos organizados de cibercrime, estes jovens operam a partir de casa, usando ferramentas acessíveis online.
Próximos passos
O processo segue agora para a fase de instrução, onde a defesa terá acesso aos elementos de prova. O adolescente permanece em liberdade condicional até ao julgamento, que deverá ocorrer no próximo ano lectivo.
A PJ anunciou que vai colaborar com as autoridades espanholas e francesas para quantificar o prejuízo total causado pelos ataques transfronteiriços. Os investigadores aguardam também os relatórios periciais aos equipamentos apreendidos, cruciais para demonstrar o Involvement do suspect.
