A União Europeia está a preparar uma nova vaga de regras para obrigar fabricantes de dispositivos IoT a levarem a segurança mais a sério. A decisão surge depois de uma série de ciberataques ter exposto a fragilidade de milhões de aparelhos conectados de câmaras de vigilância a termostatos inteligentes que continuam a ser vendidos sem proteções básicas contra invasões.
O problema tornou-se demasiado evidente para ser ignorado: aparelhos que prometem tornar a casa mais «inteligente» acabam a servir de porta de entrada para quem quer roubar dados, espiar utilizadores ou até usar os dispositivos como parte de redes de ataque em larga escala.
O que levou Bruxelas a agir agora
Nos últimos dois anos, a frequência de ataques dirigidos a dispositivos IoT na Europa cresceu de forma alarmante. Redes de aparelhos comprometidos conhecidas como botnets têm sido usadas para derrubar serviços online, roubar informação pessoal e até chantagear empresas.
A maior parte dos aparelhos atacados partilha o mesmo problema: passwords predefinidas que nunca são alteradas, atualizações de software inexistentes ou atrasadas, e encriptação fraca ou ausente. Muitos fabricantes lançam produtos no mercado sem qualquer tipo de certificação de segurança, apostando na rapidez e no preço baixo em vez de proteção real para quem compra.
Bruxelas quer pôr fim a essa prática com um conjunto de requisitos mínimos obrigatórios que qualquer dispositivo IoT terá de cumprir antes de poder ser vendido no espaço europeu.
Medidas previstas na nova legislação
Embora o texto final ainda esteja a ser negociado entre os Estados-membros e o Parlamento Europeu, já se conhecem alguns dos pilares que a regulamentação deverá incluir. Entre as exigências mais prováveis está a obrigação de cada aparelho conectado vir com uma password única nada de «admin/admin» ou «1234» que qualquer pessoa consegue adivinhar em segundos.
Os fabricantes terão também de garantir atualizações de segurança durante um período mínimo após a venda, algo que hoje em dia acontece de forma irregular ou simplesmente não acontece. Aparelhos abandonados pelos fabricantes poucos meses depois do lançamento tornam-se alvos fáceis, e a UE quer forçar as marcas a assumirem responsabilidade a longo prazo.
Outra medida em cima da mesa é a criação de um sistema de certificação europeu, semelhante ao que já existe para a eficiência energética. A ideia é que os consumidores consigam identificar rapidamente quais os produtos que cumprem padrões rigorosos de cibersegurança, em vez de terem de confiar cegamente nas promessas das embalagens.
Impacto para fabricantes e consumidores
Para quem fabrica estes aparelhos, a nova regulamentação vai significar custos extra tanto no desenvolvimento como na manutenção dos produtos. Marcas que até agora apostavam em cortar custos com segurança vão ter de rever processos, sob pena de ficarem de fora do mercado europeu.
Do lado de quem compra, a esperança é que os dispositivos IoT deixem de ser uma lotaria em termos de segurança. Neste momento, mesmo quem se preocupa com privacidade tem dificuldade em saber se o aparelho que está a comprar é seguro ou se vai acabar comprometido passado um mês.
A entrada em vigor da legislação ainda vai demorar provavelmente não antes do início de 2027 , mas a Comissão Europeia já deixou claro que o calendário vai ser cumprido. Entretanto, organizações de defesa do consumidor em vários países europeus têm pressionado para que as regras sejam tão específicas quanto possível, de forma a evitar brechas que permitam aos fabricantes contornar as exigências.
Portugal e a aposta na casa conectada
Por cá, o mercado de dispositivos IoT tem crescido de forma consistente, sobretudo em áreas urbanas onde a procura por soluções de domótica e segurança aumentou nos últimos anos. A nova regulamentação europeia deverá ter impacto direto nos produtos disponíveis nas lojas portuguesas, obrigando distribuidores e retalhistas a reverem o que vendem.
Para quem já tem vários aparelhos conectados em casa, vale a pena começar a verificar se existem atualizações de firmware pendentes e mudar todas as passwords predefinidas mesmo antes de a lei entrar em vigor. A segurança de uma rede doméstica é tão forte quanto o seu elo mais fraco, e um único dispositivo vulnerável chega para comprometer tudo o resto.
