A Metro Mondego foi alvo de um ataque informático do tipo ransomware, detetado a 6 de julho de 2026, que afetou parte dos seus sistemas internos. Segundo a empresa, a operação do serviço de transporte não foi comprometida.
Na sequência do incidente, a Metro Mondego ativou de imediato os seus procedimentos de resposta, com o apoio de especialistas externos em cibersegurança, e notificou o Centro Nacional de Cibersegurança, a Comissão Nacional de Proteção de Dados e as autoridades responsáveis pela investigação criminal.
De acordo com a informação atualmente disponível, a empresa considera provável que os atacantes tenham copiado informação que poderá incluir dados pessoais. O grupo responsável pelo ataque reivindicou publicamente a ação, afirmando estar na posse de dados da empresa e manifestando a intenção de os divulgar. No entanto, ainda não foi possível confirmar quais os dados efetivamente comprometidos.
Por precaução, a Metro Mondego decidiu alertar desde já as pessoas potencialmente afetadas, sem aguardar pela conclusão da investigação, para que possam adotar medidas de proteção.
A empresa esclarece que os dados de pagamento com cartão bancário não foram afetados, uma vez que os pagamentos são processados através de terminais autónomos, separados dos sistemas atingidos.
O eventual comprometimento de dados diz respeito apenas aos titulares de passe personalizado, já que a compra de bilhetes ocasionais não implica o registo de dados pessoais. Entre a informação que poderá estar em causa encontram-se dados de identificação e contacto, como nome, data de nascimento, morada, telefone e fotografia, bem como o NIF, o número do documento de identificação apresentado no registo e dados relativos à utilização do título de transporte.
Os avisos abrangem igualmente os passes de menores, sendo recomendado aos encarregados de educação que estejam atentos a mensagens, chamadas ou outros contactos suspeitos dirigidos aos menores sob a sua responsabilidade.
A Metro Mondego alerta ainda que poderão estar envolvidos dados de pessoas que tenham contactado a empresa por correio eletrónico, incluindo nome, endereço de email e número de telefone. Nestes casos, o principal risco consiste na receção de mensagens fraudulentas que se façam passar pela empresa ou pelos seus interlocutores habituais.
Relativamente a colaboradores, antigos colaboradores, fornecedores e restantes entidades com relações contratuais, a empresa informa que será realizada uma comunicação individual sempre que possível, adaptada às circunstâncias de cada grupo.
Entre as principais recomendações de segurança, a Metro Mondego aconselha os cidadãos a desconfiarem de mensagens, emails ou chamadas que solicitem dados pessoais, códigos de autenticação ou pagamentos, mesmo quando contenham informações corretas sobre a vítima. Recomenda ainda que não sejam abertas ligações ou anexos de mensagens inesperadas, que qualquer pedido de alteração de dados bancários seja confirmado através de contactos oficiais previamente conhecidos e que sejam verificados eventuais contratos, faturas ou correspondência em nome próprio que não sejam reconhecidos.
A empresa reforça que nunca solicita palavras-passe, códigos de autenticação ou dados bancários por telefone, SMS ou correio eletrónico.
Qualquer comunicação suspeita pode ser reportada através do endereço de correio eletrónico incidente@metromondego.pt ou do número 239 488 109. Para questões relacionadas com a proteção de dados pessoais, está disponível o contacto do Encarregado de Proteção de Dados através do email dpo@metromondego.pt.
A Metro Mondego garante que continuará a divulgar atualizações à medida que a investigação evoluir e que informará individualmente as pessoas cujos dados venham a confirmar-se afetados, sempre que disponha dos respetivos contactos, recorrendo a comunicados públicos nos restantes casos. A empresa lamenta a preocupação causada pelo incidente e reafirma o compromisso com a transparência e a proteção dos dados pessoais.
