A reduzida presença pode, à primeira vista, parecer um sinal positivo. O próprio relatório, contudo, recomenda cautela nessa interpretação. Em vários países africanos, os números baixos podem reflectir dificuldades na comunicação e no registo de incidentes, e não necessariamente uma menor exposição ao cibercrime.
Os poucos dados
Nas deteções de vulnerabilidades exploráveis da Shadowserver Foundation, Moçambique representa 1,9% do total africano. O valor coloca o país ao nível do Gabão, abaixo de Angola, com 3,2%, e muito distante da África do Sul, que concentra 43,6%.
O relatório identifica entre os sistemas mais expostos routers desactualizados, VPN vulneráveis e plataformas web de gestão documental com configurações inadequadas.
A segunda referência é positiva. O programa Cyber4Dev, financiado pela União Europeia, incluiu Moçambique nas iniciativas de formação sobre políticas nacionais de cibersegurança e resposta a incidentes, juntamente com a Gâmbia, Malawi, Congo e Seicheles.
No restante relatório, predominam as ausências:
- No ranking de botnets da FortiGuard Labs, liderado por Angola com 37,95%, Moçambique integra o grupo “outros”, responsável por 7,08% das deteções.
- O país não figura entre os cinco principais emissores de sextorsão nem assume peso individual nas deteções de ransomware apresentadas.
- Também não aparece entre os 17 países cujos avanços legislativos em 2025 receberam destaque no relatório.
Ausência ou subnotificação?
O relatório fornece elementos que ajudam a interpretar esta escassez de dados. Entre os países inquiridos, 89% identificam a subnotificação como um problema generalizado. Entre as causas apontadas estão a ausência de mecanismos formais de comunicação, o receio de danos reputacionais, a limitada capacidade forense e a incerteza quanto às obrigações legais.
A INTERPOL utiliza uma explicação semelhante para a África Central: a aparente baixa incidência de ransomware pode resultar da subnotificação e não, necessariamente, da ausência deste tipo de crime.
Segundo o relatório, apenas cinco países estabelecem prazos fixos para a comunicação de incidentes: Nigéria, Quénia, África do Sul e Maurícias exigem a notificação no prazo de 72 horas, enquanto o Gana estabelece 24 horas. Moçambique não integra esta lista.
O contexto regional também exige atenção. A África Austral surge como uma das regiões particularmente expostas às ciberameaças, enquanto a cooperação entre as forças policiais e as equipas nacionais de resposta a incidentes permanece desigual. A presença de vulnerabilidades exploráveis em Moçambique demonstra a existência de uma superfície de ataque, mas os dados disponíveis não permitem determinar por si só a verdadeira dimensão dos incidentes ocorridos no país.
Considerada a maior bolsa de criptomoedas do mundo em volume diário de transações, a empresa publicou uma série de mensagens por vezes contraditórias na X, garantindo que “os fundos dos utilizadores estão completamente seguros”, mas também assegurou que iria “cobrir todas as perdas”.
Um certificado válido até à meia-noite. Um registo DNS que apontava para um serviço já extinto. Um IP que era malicioso há seis meses. Uma conta de alguém que saiu da empresa. Nada disto é falso, apenas venceu. E a informação vencida é mais traiçoeira do que uma mentira, precisamente porque parece legítima.
O mesmo relatório deixa, contudo, um alerta: aprovar legislação representa apenas o primeiro passo. As principais dificuldades das forças policiais e das agências africanas estão na aplicação das medidas, sobretudo devido à falta de meios forenses, profissionais qualificados, mecanismos de comunicação de incidentes e cooperação entre instituições.
Entre esses componentes estão o DNS, que permite localizar serviços e sistemas; o NTP, que mantém os relógios sincronizados; os mecanismos de autenticação, que controlam o acesso; e as plataformas responsáveis pela gestão e monitorização da rede. Individualmente, podem parecer secundários. Na prática, a sua falha ou comprometimento pode afectar toda a organização.
