O phishing continua a ser a principal ameaça: apenas metade dos utilizadores afirma conseguir reconhecer um deepfake.
Três em cada quatro trabalhadores na União Europeia (75%) já se depararam com emails, mensagens ou ligações suspeitas no local de trabalho, segundo dados recentes do Eurobarómetro, publicados em setembro de 2026.
PUBLICIDADE
PUBLICIDADE
As conclusões ganham destaque por ocasião do Mês Europeu da Cibersegurança (European Cybersecurity Month – ECSM), com a Autoridade de Proteção de Dados a recordar aos organismos públicos e privados que a proteção dos dados pessoais é um elemento crucial na resposta às ciberameaças.
O retrato traçado pelo inquérito mostra que as ciberameaças passaram a fazer parte do quotidiano dos trabalhadores, ao mesmo tempo que se mantém um fosso entre o conhecimento teórico e o comportamento real face aos riscos digitais.
Phishing mantém-se no topo das ameaças
O phishing continua a ser a forma mais frequente de ciberameaça enfrentada pelos trabalhadores. 39% afirma ter recebido mensagens ou encontrado sites enganadores que visam obter dados pessoais ou outras informações sensíveis.
Seguem-se:
- 18% refere tentativas de apropriação ilícita de dados pessoais.
- 17% já lidou com ataques com software malicioso (malware).
- 16% foi alvo de tentativas de obtenção de palavras‑passe.
- 15% deparou-se com novas formas de fraude que recorrem à inteligência artificial.
Esta última categoria ganha peso, uma vez que a inteligência artificial oferece agora aos atacantes ferramentas para criarem mensagens, imagens, vozes e vídeos cada vez mais convincentes.
Conhecimento existe, proteção prática fica aquém
Apesar do amplo reconhecimento dos riscos, os dados mostram que a informação não se traduz sempre em comportamentos seguros.
83% dos trabalhadores reconhece as graves consequências que um ciberataque pode ter, enquanto 72% afirma conseguir identificar um email suspeito.
Ainda assim, apenas 54% verifica o remetente antes de abrir uma ligação.
É ainda maior a dificuldade em detetar conteúdos criados ou manipulados com recurso a inteligência artificial. Apenas 48% considera que consegue reconhecer um vídeo deepfake.
Os números evidenciam assim uma lacuna significativa entre o conhecimento dos riscos e o comportamento digital de todos os dias.
Violação de dados não termina com a correção técnica
Por ocasião do Mês Europeu da Cibersegurança, a Autoridade de Proteção de Dados chama a atenção dos Responsáveis pelo tratamento, de entidades públicas e privadas, para as suas obrigações quando ocorre uma violação de dados pessoais.
A resposta a um incidente não se limita à correção técnica do problema ou à sua comunicação à autoridade de controlo competente, como prevê o artigo 33 do Regulamento Geral sobre a Proteção de Dados (RGPD).
Em determinados casos, existe também a obrigação de informar diretamente as pessoas afetadas.
Quando devem ser informados os cidadãos
De acordo com o artigo 34 do RGPD, quando uma violação de dados pessoais é suscetível de criar um elevado risco para os direitos e liberdades das pessoas singulares, o Responsável pelo tratamento deve informar os titulares dos dados sem demora injustificada.
Esse risco pode dizer respeito, por exemplo, a fraude financeira, roubo de identidade ou divulgação de dados pessoais sensíveis.
A informação atempada tem um objetivo prático: permitir que os cidadãos adotem medidas de proteção antes de as consequências de uma violação se agravarem.
Consoante o caso, isso pode significar alterar palavras‑passe, cancelar ou substituir cartões, reforçar a atenção a mensagens suspeitas ou adotar outras medidas de proteção específicas.
Transparência após uma violação
Informar os cidadãos não é apenas uma questão de cumprimento do RGPD. É também um elemento essencial na gestão de um ciberataque.
Esconder ou atrasar sem justificação a comunicação a quem possa ter sido afetado pode aumentar a exposição a riscos adicionais, ao impedir que essas pessoas adotem em tempo útil medidas de proteção.
Ao mesmo tempo, a transparência é um fator de confiança entre uma organização e os cidadãos, clientes ou trabalhadores cujos dados são tratados.
Mensagem da Autoridade às entidades
Por ocasião do Mês Europeu da Cibersegurança, a Autoridade de Proteção de Dados apela a entidades públicas e privadas para que revejam a sua capacidade de resposta a incidentes de cibersegurança.
Em destaque estão a atualização dos planos de resposta a incidentes (incident response plans), a formação sistemática do pessoal e a integração da proteção de dados pessoais em todas as fases de gestão de um incidente.
Num contexto em que 75% dos trabalhadores afirma já ter sido confrontado com mensagens ou ligações suspeitas, a cibersegurança deixou de ser apenas uma questão técnica. É uma responsabilidade diária para as organizações e um elemento central na proteção dos cidadãos.