Esta tendência global reflete-se de forma bastante direta e preocupante na Europa e, especificamente, em Portugal. A Agência da União Europeia para a Cibersegurança já classificou as ameaças à cadeia de fornecimento como uma das suas prioridades defensivas. A forte dependência tecnológica de software de código aberto por parte do tecido empresarial português — com especial incidência em setores críticos como as telecomunicações, finanças e indústria — eleva substancialmente a exposição a riscos que podem ditar a paralisação do negócio e comprometer a proteção de dados.

A sofisticação e o alcance destes ataques ficaram patentes em incidentes recentes de elevado perfil. Em março de 2026, o Axios, um dos clientes HTTP em JavaScript mais utilizados pelos programadores a nível mundial, foi comprometido após o sequestro da conta de um mantenedor. A invasão permitiu a distribuição de uma dependência fantasma que instalava um troiano de acesso remoto (RAT) de forma silenciosa, numa operação que a Kaspersky ligou às campanhas do grupo cibercriminoso Bluenoroff. Apenas um mês antes, a infraestrutura do popular editor Notepad++ também havia sido invadida, servindo de rampa de lançamento para atingir entidades governamentais e financeiras.

Outro caso de grande impacto ocorreu em abril de 2026, visando diretamente o utilizador final, administradores de TI e integradores de sistemas. O site oficial das conhecidas ferramentas de monitorização de hardware CPU-Z e HWMonitor foi alvo de um ataque. Durante uma janela temporal de aproximadamente 19 horas, os links de descarregamento legítimos foram substituídos por instaladores infetados com malware, vitimando dezenas de alvos em múltiplos países e setores, desde o retalho à agricultura.

Apesar deste panorama intimidatório, Dmitry Galov, responsável da equipa GReAT da Kaspersky, sublinha que os projetos open source não são necessariamente mais inseguros do que o software proprietário fechado, uma vez que a comunidade deteta falhas com grande rapidez. A chave para a proteção corporativa reside na adoção de posturas defensivas proativas. A tecnológica recomenda a utilização de ferramentas de análise de código automatizada, a monitorização contínua com soluções de deteção avançada (XDR/MXDR) e a criação de planos rigorosos de resposta a incidentes que contemplem o isolamento imediato de fornecedores comprometidos.