O conflito com o Irão produziu, logo nas suas primeiras horas, um precedente inédito: o ataque deliberado a data centers comerciais cloud. A 1 de Março de 2026, drones iranianos atingiram três instalações da Amazon Web Services (AWS) nos Emirados Árabes Unidos e no Bahrein, perturbando infraestrutura cloud e afectando aplicações financeiras e ferramentas empresariais dentro e fora da região. O episódio mostrou que a distância física de uma zona de conflito não garante protecção face aos impactos da guerra, sobretudo para organizações com relações de supply chain no Médio Oriente, outros laços com a região ou dependências cloud aí localizadas.

Horas depois da operação militar dos EUA e de Israel, ‘Epic Fury’, a 28 de Fevereiro, actores cibernéticos ligados ao Irão mobilizaram-se rapidamente. Autoridades de cibersegurança do Reino Unido e do Canadá emitiram avisos sobre níveis de ameaça mais elevados, mais tarde acompanhados por alertas da Europol e do Departamento de Segurança Interna dos EUA. A ESET, maior empresa europeia de cibersegurança, observa que, em contextos de conflito cinético, a actividade hacktivista tende a surgir primeiro, enquanto operações APT de reconhecimento e acesso inicial avançam em paralelo ou logo a seguir.

Uma ameaça sem fronteiras
Os grupos ligados ao Irão estão entre os actores estatais mais activos e sofisticados a nível mundial, tendo reforçado nos últimos anos as suas capacidades ofensivas e ferramentas de ataque. A sua actuação combina acções mais visíveis, como defacement de websites e ataques DDoS, com operações de espionagem, disrupção e sabotagem. Em alguns casos, estas acções mais ruidosas podem funcionar como distracção para ataques mais discretos conduzidos por outros vectores.

O primeiro grande ciberataque desde o início da guerra foi registado a 12 de Março de 2026. Nessa data, o grupo hacktivista pró-iraniano Hamdala lançou um ataque de destruição de dados contra a empresa norte-americana de tecnologia médica Stryker, que terá provocado a paragem global dos seus sistemas.

O MuddyWater continua activo em 2026 e tem vindo a evoluir para operações mais furtivas e refinadas, com maior recurso a actividades hands-on-keyboard em ambientes comprometidos. Entre as técnicas associadas ao grupo estão o abuso de software legítimo de gestão e monitorização remota (RMM), que lhe permite misturar-se com o tráfego legítimo e dificultar a detecção. No mês anterior, o grupo foi identificado nas redes de várias entidades norte-americanas, incluindo um aeroporto, um banco e uma empresa de software com ligações a Israel.

Quem está em risco e porquê
A telemetria da ESET mostra que os actores alinhados com o Irão visam de forma desproporcional entidades dos sectores da engenharia e da manufactura. O risco é particularmente relevante para organizações com relações de supply chain no Médio Oriente, ligações operacionais à região ou dependências de serviços cloud aí localizados, bem como para empresas com exposição indirecta através de fornecedores com acesso remoto e MSPs.

De acordo com Ricardo Neves, responsável de Marketing e Comunicação da ESET Portugal, «O atual contexto geopolítico reforça tendências que a ESET já vinha a identificar no seu Relatório de Ameaças de 2025, nomeadamente a rapidez com que os atacantes se adaptam e a pressão crescente sobre as organizações. Num cenário em que estão em causa cadeias de fornecimento, serviços cloud, MSPs e infraestruturas críticas, a resiliência operacional deixa de ser apenas uma boa prática e passa a ser uma prioridade imediata.»

A ESET recorda ainda o ataque à supply chain documentado em 2022, no qual o grupo Agrius, alinhado com o Irão, distribuiu o wiper Fantasy através do abuso de um programador israelita, atingindo organizações de vários sectores e muito para além de Israel. O caso demonstrou como um ataque deste tipo pode propagar-se a entidades que nunca foram directamente visadas e que não têm uma ligação óbvia ao conflito.