1. Há uma “invisibilidade” do risco nos dispositivos ligados em casa?

Sim, e este é, na nossa opinião, o problema central nesta questão mais do que ataques episódicos ou pontuais: Uma casa comum tem hoje, além de vários computadores e telemóveis (provavelmente, todos, com algum tipo de desatualização e sem suporte profissional), o(s) router(s), a box do operador, a smarttv, colunas inteligentes, lâmpadas, tomadas “inteligentes”, câmaras web contectadas pela internet, o aspirador robô e, cada vez mais, até eletrodomésticos e o próprio automóvel. Cada um destes aparelhos é um pequeno computador, com software, ligação à Internet e falhas de segurança: ou seja, um vetor potencial de entrada. Ao contrário de um computador, quase nenhum tem ecrã ou dá qualquer sinal ou alerta de ter sido comprometido. Uma câmara ou uma lâmpada que integra uma rede de dispositivos controlada por criminosos continua a funcionar normalmente e nós, na nossa casa, nunca o saberemos. O ataque aos supermercados franceses mostra a mesma lógica em escala empresarial. Ninguém via o controlador do frio como um computador e por isso ninguém assumiu a responsabilidade de o atualizar. Cada interveniente agiu de forma razoável no seu perímetro limitado e conhecido: o resultado foram toneladas de alimentos destruídos. Um primeiro passo simples para qualquer cidadão é consultar a lista de dispositivos ligados no router através da página de gestão: aposto que – todos – ficaremos surpreendidos.

2. Estamos a criar uma vulnerabilidade desnecessária em troca de uma conveniência marginal?

Em muitos casos, sim. A ligação à Internet é frequentemente acrescentada mais por interesse do fabricante (recolha de dados, subscrições, fidelização a uma aplicação) do que para benefício real do utilizador. Cada aparelho ligado passa a exigir manutenção de segurança durante toda a sua vida útil, mas isto raramente é explicado no momento da compra. A CpC recomenda que, quando a função do aparelhos não exige ligação, se prefira o modelo não ligado ou se deixe o aparelho fora da rede. Quando a ligação é útil, os dispositivos devem ficar numa rede separada, como a rede de convidados do router, e não na mesma rede dos computadores de trabalho ou do banco online. Há ainda um princípio que a CpC defendeu para a refrigeração comercial e que vale também para casa: monitorizar à distância não exige poder comandar tudo à distância. Ver a temperatura do frigorífico no telemóvel é muito diferente de permitir que qualquer pessoa, a partir da Internet, a altere: se isso for opção deve sempre ser seguida a menos agressiva.

3. Onde terminam os dados recolhidos por câmaras e microfones, e quem garante que não são intercetados?

Na maioria dos casos, terminam nos servidores do fabricante ou dos seus subcontratados, muitas vezes fora da União Europeia e isto apesar de toda a legislação existente… Podem ser usados para melhorar produtos ou treinar sistemas de inteligência artificial para além de qualquer licenciamento ou obscurecidos em extensos, opacos e mal escritos, termos de serviço. O risco maior está, contudo, menos na interceção durante a transmissão, que hoje é geralmente cifrada, e muito mais no destino dos dados: quem tem acesso aos servidores, que subcontratados tratam os dados, durante quanto tempo são guardados e o que acontece numa fuga de dados? E há precedentes. Nos EUA, a Amazon foi sancionada pela FTC em 2023 por acessos indevidos de funcionários a vídeos de câmaras Ring e pela retenção de gravações de voz de crianças pela Alexa. Em 2022, imagens captadas por aspiradores Roomba de desenvolvimento, em casas de testadores, acabaram publicadas em redes sociais por trabalhadores de uma empresa subcontratada para as anotar. Em 2024, foram demonstradas falhas que permitiam aceder remotamente à câmara e ao microfone de aspiradores de outra marca. Na União Europeia, a garantia formal vem do RGPD, fiscalizado em Portugal pela CNPD, do Regulamento dos Dados e, a partir de 2027, do Regulamento de Ciber-Resiliência. Na prática, porém, o cidadão comum depende sobretudo da boa-fé e da competência do fabricante e a fiscalização chega quase sempre depois do problema (quando chega) porque não é fácil compreender todo o tráfego que circula nas redes domésticos a partir desses dispositivos (mesmo para especialistas).

4. A falta de atualizações de segurança torna estes aparelhos mais fáceis de atacar?

Sim: completamente. Quando uma vulnerabilidade é descoberta e divulgada, os atacantes passam a procurar sistematicamente na Internet os aparelhos que ainda a têm através de motores de busca como o Shodan. Um dispositivo declarado obsoleto pelo fabricante sem atualização fica vulnerável para todo o infinito sendo, aparentemnte, o que se passou em França. Muitos aparelhos de baixo custo comprados em sites como a Temu ou o Alibab nunca recebem uma única atualização desde o lançamento e o consumidor não sabe, no momento da compra, durante quanto tempo o produto será suportado. O caso Danfoss ilustra os dois lados do problema. Segundo o fabricante, parte dos equipamentos atacados estava em fim de vida, sem atualizações disponíveis. Noutros casos, as correções existiam há meses mas ninguém – na manutenção e operação das lojas – as tinha aplicado. O Regulamento Europeu de Ciber-Resiliência vai obrigar, a partir de dezembro de 2027, os fabricantes a indicar o período de suporte e a garantir atualizações de segurança, em regra durante pelo menos cinco anos. É um avanço importante, mas abrange os produtos colocados no mercado e deixa em aberto o enorme parque já instalado. Por isso a CpC propôs um mecanismo que permita às autoridades impor atualizações críticas em setores essenciais, à semelhança das diretivas obrigatórias na aviação comercial.

5. Como pode um frigorífico ou uma câmara comprometida ajudar a deitar abaixo os sistemas de um banco ou de um governo?

Não sozinho, mas em grupo. Os atacantes – humanos ou agentes de IA descontrolados – são capazes de reunir e controlar centenas de milhares de dispositivos comprometidos numa botnet (como os dispositivos domésticos) e us´-los em simultâneo para sobrecarregar um alvo com tanto tráfego até o deixar inacessível (ataque de negação de serviço: DDoS). O caso clássico é a botnet Mirai, em 2016, formada sobretudo por câmaras e gravadores de vídeo com palavras-passe de origem e nunca alteradas: A Mirai, atacou um fornecedor de serviços de DNS e deixou inacessíveis durante horas serviços como o Twitter ou a Netflix. Estas botnets podem também servir de máscara: Grupos ligados a Estados têm usado routers domésticos e de pequenas empresas, em fim de vida e sem atualizações, como pontos de passagem para esconder a origem de ataques a infraestruturas críticas. Foi o caso das redes desmanteladas pelo FBI em 2024 e associadas a grupos chineses. Assim, o tráfego malicioso parece vir das habitações de muitos cidadãos particulares. Por fim, há que também ter em conta que, com o teletrabalho, um aparelho comprometido na rede doméstica pode ser a porta de entrada para o computador de trabalho e, através dele, para a organização, quando esta máquina regressar à rede corporativa…

6. O risco de ataque em grande escala a infraestruturas críticas através de dispositivos ligados aumentou significativamente?

Sim, mas o risco mais imediato não está nos aparelhos domésticos mas sobretudo nos sistemas de controlo industrial e comercial ligados à Internet sem proteção adequada. O ataque aos supermercados franceses demonstra exatamente isso: sabotagem física, através de sistemas digitais acessíveis pela Internet, de uma infraestrutura de que depende o abastecimento alimentar. Segundo dados do Shodan que a CpC publicou, Portugal é o quarto país do mundo com mais equipamentos deste fabricante expostos na Internet. Não há indicação de qualquer incidente em Portugal, mas começam a surgir rumores e se quem os opera fizer nada é praticamente que haverá um ataque semelhante: mais cedo ou mais tarde. E há precedentes no setor da água: em 2023 e 2024, grupos ligados ao Irão e à Rússia manipularam painéis de controlo expostos em estações nos EUA e na Europa. Na energia, a multiplicação de inversores solares e equipamentos ligados cria novos pontos de entrada. Identificámos, através do Portal Base, pelo menos uma central fotovoltaica portuguesa com inversores de uma gama do mesmo fabricante com vulnerabilidades publicadas e se, há um… há mais. É igualmente importante não atribuir tudo a ciberataques. No apagão ibérico de abril de 2025, por exemplo, as investigações oficiais afastaram essa hipótese. O que defendemos é que estes riscos sejam avaliados com seriedade e transparência pelo CNCS e enquadrados no regime que transpõe a Diretiva NIS2.

7. Nos próximos 5 a 10 anos, com IA integrada nos dispositivos, a cibersegurança doméstica será mais segura ou mais caótica?

Muito provavelmente, mais caótica antes de poder tornar-se mais segura. A IA ajuda os defensores: routers capazes de detetar comportamentos anómalos, atualizações automáticas, assistentes que alertam para burlas. Mas ajuda também os atacantes, e baixa drasticamente a barreira de entrada. Em junho de 2026, investigadores documentaram um atacante com poucos conhecimentos técnicos que usou agentes de IA comerciais para comprometer 14 empresas. A mudança mais profunda é outra: os dispositivos deixam de apenas recolher dados e passam a agir. Um assistente que lê o correio, faz compras, abre a fechadura ou regula o aquecimento pode ser manipulado por instruções escondidas num email, numa página web ou num convite de calendário (a chamada injeção de instruções). O ataque deixa de exigir código malicioso e passa a ser uma questão de persuadir a máquina. O desfecho dependerá sobretudo de decisões políticas e regulatórias: da aplicação efetiva do Regulamento de Ciber-Resiliência e do Regulamento Europeu da IA, e da existência de regras claras de responsabilidade, para que o custo dos incidentes deixe de recair sobre as vítimas.

8. A IA torna estes dispositivos mais vulneráveis? É disto que se fala quando se refere um risco da IA para a Humanidade?

Torna-os vulneráveis de formas novas: mais dados sensíveis recolhidos e mais capacidade de ação entregue a sistemas que podem ser enganados. Mas convém distinguir. Quando se fala de risco da IA para a Humanidade, fala-se sobretudo dos sistemas de fronteira, cada vez mais capazes e autónomos, e da possibilidade – confirmada – de escaparem ao controlo humano efetivo. Há, no entanto, uma ligação entre as duas questões que 2026 tornou concreta. Segundo relatos públicos e investigações independentes, agentes de IA de várias grandes empresas, encarregados de tarefas comuns de pesquisa e sem qualquer natureza cibernética, recorreram por iniciativa própria a técnicas de intrusão quando os meios normais falharam. Num caso confirmado pelo governo australiano, chegaram a aceder sem autorização a um portal governamental de estatísticas do Medicare, e a notificação só chegou quase três meses depois. Um mundo cheio de dispositivos e sistemas vulneráveis é precisamente o terreno onde um sistema autónomo mal controlado pode causar danos reais. Foi por isso que a CpC apresentou ao Parlamento Europeu a Petição 0969/2026, “Pela contenção verificável da IA de fronteira”, já aceite e agora em aberta a assinaturas. A petição propõe avaliação independente de capacidades perigosas, notificação célere de incidentes e responsabilidade civil clara. Importa, ainda assim, não confundir: no ataque aos supermercados franceses não há qualquer indício de envolvimento de IA. Tudo aponta para a exploração, por agentes humanos, de falhas conhecidas em equipamentos desatualizados. Este continua a ser, hoje, o risco mais imediato e o mais fácil de reduzir.