Fuga: e-mails e palavras-passe de políticos e
na dark web

Mais de 5200 funcionários do governo na Europa e nos EUA viram os seus endereços de e-mail oficiais, e até palavras-passe, expostos na dark web.
Políticos e assessores estão a utilizar os seus endereços de e-mail oficiais para se registar em contas do dia a dia, como redes sociais, sites de notícias e aplicações de encontros. Se (ou quando) estes serviços sofrerem um incidente, os atacantes podem utilizar estes endereços de e-mail para identificar facilmente alvos importantes.
Para o cidadão comum, isto é um grave risco de privacidade. Para funcionários do governo, é uma potencial ameaça à segurança nacional.

Para esta investigação, pesquisámos informações associadas aos endereços de e-mail publicamente disponíveis de funcionários do governo na dark web. Em muitos casos, descobrimos que informações altamente sensíveis, incluindo palavras-passe, estavam disponíveis livremente em fóruns criminosos já conhecidos.
Trata-se de um risco óbvio de cibersegurança se estas pessoas estiverem a reutilizar palavras-passe em vários serviços. Mas também apresenta um risco adicional: os dados pessoais disponíveis colocam estas pessoas em risco de chantagem ou engenharia social.
A segurança de contas é extremamente importante e é fácil cometer erros. É vital que todos tomemos medidas para nos protegermos, com ferramentas como um gestor de palavras-passe ou aliases de e-mail. Porque se até os políticos, com um modelo de ameaça superior ao normal, podem cometer erros, qualquer outra pessoa também pode.
Esta investigação não teria sido possível sem a ajuda da Constella Intelligence(nova janela).
Qual a dimensão do problema?
Instituição | Endereços de e-mail pesquisados | Endereços de e-mail comprometidos | Percentagem de endereços de e-mail comprometidos | Palavras-passe expostas | Palavras-passe expostas em texto simples |
|---|---|---|---|---|---|
Câmara dos Comuns do Reino Unido | 650 | 443 | 68% | 284 | 216 |
Parlamento Sueco | 349 | 211 | 60% | 193 | 143 |
Parlamento Dinamarquês | 179 | 89 | 50% | 125 | 89 |
Parlamento Finlandês | 200 | 88 | 44% | 81 | 49 |
Câmara dos Comuns do Canadá | 343 | 152 | 44% | 44 | 29 |
Parlamento Europeu | 705 | 309 | 44% | 195 | 161 |
Parlamento Norueguês | 172 | 43 | 25% | 38 | 20 |
Membros do Conselho Nacional Austríaco | 183 | 45 | 25% | 48 | 39 |
Assessores políticos dos EUA | 16.543 | 3191 | 20% | 2975 | 1848 |
Parlamento Francês | 925 | 166 | 18% | 322 | 320 |
Parlamento dos Países Baixos | 225 | 41 | 18% | 35 | 32 |
Políticos federais suíços | 277 | 44 | 16% | 78 | 58 |
Parlamento Luxemburguês | 60 | 10 | 16% | 43 | 38 |
Parlamento Italiano | 609 | 91 | 15% | 195 | 188 |
Parlamentos estaduais alemães | 1874 | 241 | 13% | 220 | 153 |
Parlamento Espanhol | 615 | 39 | 6% | 14 | 9 |
Principais destaques dos dados
Parlamento Britânico: o mais exposto
O Parlamento Britânico teve a maior percentagem de endereços de e-mail oficiais de políticos expostos em incidentes de todas as instituições que analisámos até agora. No total, os políticos britânicos viram os seus e-mails oficiais expostos 2311 vezes na dark web. Só um deputado viu os seus detalhes expostos 30 vezes.
Ataques passados
Em dezembro de 2023, o governo do Reino Unido acusou a Rússia(nova janela) de um “ciberataque de anos” contra académicos, políticos e decisores políticos britânicos.
Parlamento Sueco: o segundo mais exposto
Parlamento Dinamarquês: mais exposições repetidas
Parlamento Europeu: fugas generalizadas
Políticos federais suíços: Poucos incidentes (mas alguns são embaraçosos)
Câmara dos Comuns do Canadá: 2.º parlamento nacional mais exposto
Parlamentos estaduais alemães: três estados falham na cibersegurança
No geral, apenas 13% dos políticos estaduais alemães viram os seus endereços de e-mail oficiais expostos na dark web, a segunda percentagem mais baixa que encontrámos. No entanto, existem três estados onde pelo menos metade dos políticos viu endereços de e-mail e outros dados expostos: Saxónia-Anhalt, 67%; Renânia-Palatinado, 51,1%, e Bremen, 50%.
Ataques passados
Em 2024, a Universidade de Ciências Aplicadas de Frankfurt(nova janela) e a Hochschule Kempten(nova janela) foram forçadas a fechar devido a ciberataques, o gigante farmacêutico da Baviera AEP foi atingido por um ataque de ransomware(nova janela) e o partido Social-Democrata(nova janela) (SPD) foi hackeado.
Parlamento Italiano: terceiro com menos fugas
Parlamento Luxemburguês: um político viu mais de 20 palavras-passe expostas
Parlamento Espanhol: o menor número de fugas, de longe
Assessores políticos dos EUA: um grande risco
20% dos assessores políticos dos EUA viram endereços de e-mail atribuídos pelo governo expostos, a quarta percentagem mais elevada que encontrámos. (No entanto, a percentagem de políticos com e-mails expostos na Dinamarca, que está em terceiro lugar, é duas vezes superior.) Analisámos os assessores políticos dos EUA porque os membros do Congresso nem sempre partilham publicamente os seus endereços de e-mail oficiais. Cerca de 10% dos assessores comprometidos viram os seus dados aparecer mais de 10 vezes em bases de dados na dark web.
Ataques passados
Em 2024, um atacante desconhecido, fazendo-se passar pelo líder da maioria no Senado, Chuck Schumer, tentou fazer phishing a dezenas de senadores(nova janela) com mensagens de texto.
Parlamento Francês: segurança forte, exceto para um deputado
Parlamento dos Países Baixos: cibersegurança inconsistente
Conselho Nacional Austríaco: 1 em cada 4 políticos expostos
Porque é que isto é importante
É importante notar que estas fugas não são prova de hacks às redes governamentais. Estes endereços de e-mail foram expostos por incidentes em serviços como o LinkedIn, Dropbox, Adobe e outros.
Ainda assim, quando o endereço de e-mail de um político ou assessor é exposto, é mais do que um simples inconveniente: é um sinal para os atacantes de que este é um alvo importante.
Os políticos com contas expostas que utilizam o seu endereço de e-mail oficial correm maior risco de:
Phishing: os atacantes podem criar ataques de engenharia social direcionados utilizando dados pessoais alvo de fuga ou dados de contas vulneráveis.
Chantagem: os atacantes podem aproveitar dados sensíveis ou pessoais para coerção.
Tomadas de controlo de conta: se os funcionários governamentais reutilizarem palavras-passe expostas, os atacantes podem infiltrar-se nos sistemas governamentais.

Como o Proton Pass lhe oferece proteção
Aliases Hide-my-email: utilize aliases de e-mail únicos em vez de expor o seu endereço de e-mail real
Gestor de palavras-passe seguro: faça a gestão e o armazenamento de palavras-passe fortes e únicas para cada conta
Suporte de chaves de acesso: segurança de início de sessão preparada para o futuro com chaves de acesso resistentes a phishing
Gerador de códigos 2FA integrado: armazene as suas credenciais e códigos 2FA num único cofre encriptado
Monitorização da Dark Web: receba alertas se os seus endereços de e-mail ou aliases da Proton aparecerem em fugas de dados
Proton Sentinel: proteja proativamente a sua Proton Account contra tentativas de tomada de controlo

Assuma o controlo da sua segurança
Quer proteger-se?
Pare de reutilizar palavras-passe
Nunca utilize o seu endereço de e-mail profissional para contas do dia a dia
Utilize aliases para manter o seu endereço de e-mail real oculto
Deixe a Monitorização da Dark Web alertá-lo sobre incidentes
