Novas regras para o roteador em vigor a partir de 11 de setembro

Um aparelho tão comum quanto o roteador de internet virou peça central em uma investigação internacional de espionagem cibernética. Agências de segurança na Finlândia confirmaram que dispositivos domésticos mal protegidos foram usados por agentes ligados à inteligência militar russa, e a União Europeia responde com uma legislação inédita sobre segurança digital.

O que os investigadores realmente descobriram?

O Serviço de Segurança e Inteligência da Finlândia, conhecido como Supo, confirmou que participou de uma operação internacional liderada pelo FBI para desmantelar uma rede de espionagem cibernética ligada ao GRU, agência de inteligência militar russa. O grupo, também identificado como APT28 ou Fancy Bear, explorava roteadores domésticos mal configurados havia anos.

Segundo a Supo, os invasores alteravam configurações de DNS dos aparelhos, transformando roteadores comuns em pontos de disfarce para tráfego de espionagem, dificultando o rastreamento da origem real dos ataques.

Por que um roteador comum vira ferramenta de espionagem?

• Muitos aparelhos ainda usam senhas padrão de fábrica, nunca alteradas pelo usuário
• Falhas de segurança conhecidas, como vulnerabilidades específicas de certos modelos, seguem sem correção por falta de atualização
• O tráfego alterado se mistura ao uso normal da internet, dificultando a detecção
• Poucos usuários residenciais monitoram o próprio roteador ou aplicam atualizações de firmware

Essa combinação transforma milhões de residências em possíveis peças de uma rede maior, sem que o morador perceba qualquer alteração perceptível na conexão.

Quem precisa seguir essa nova regra a partir de 11 de setembro?

A obrigação de reporte da Cyber Resilience Act (CRA) vale para qualquer fabricante que comercialize produtos com componentes digitais dentro do mercado europeu, incluindo roteadores, computadores e celulares. A regra vale mesmo para aparelhos já vendidos anteriormente, desde que ainda estejam em uso no mercado da União Europeia.

Vale destacar que essa é apenas a primeira fase da lei. As exigências completas de conformidade de segurança para os próprios produtos só passam a valer em dezembro de 2027, mais de um ano depois desta primeira obrigação de reporte.

O Brasil tem alguma regra parecida para esse tipo de vulnerabilidade?

O país ainda não possui uma legislação específica com prazos tão rígidos quanto a europeia. A Lei Geral de Proteção de Dados (LGPD), Lei nº 13.709/2018, trata de vazamento de dados pessoais e exige comunicação à Autoridade Nacional de Proteção de Dados (ANPD) em prazo razoável, mas sem o detalhamento técnico de 24 e 72 horas presente na norma europeia.

Fabricantes que vendem produtos conectados no Brasil e também na Europa, porém, já precisam se adequar à CRA para continuar operando no mercado europeu, o que tende a influenciar padrões de segurança adotados globalmente pelas próprias empresas.

O que fazer para proteger o próprio roteador agora?

Trocar a senha padrão do aparelho, manter o firmware sempre atualizado e reiniciar o roteador periodicamente já reduzem boa parte do risco. Vale também verificar, no site do fabricante, se o modelo em uso já recebeu algum alerta de vulnerabilidade conhecida.

Se você nunca mexeu nas configurações do seu roteador desde a instalação, esse pode ser um bom momento para revisar isso. Pequenos ajustes técnicos, feitos uma única vez, evitam que seu aparelho vire, sem seu conhecimento, parte de uma rede de espionagem internacional.