Em resumo
- Cada dispositivo de casa inteligente — câmara, campainha, fechadura, coluna, lâmpada, aspirador, frigorífico — é um pequeno computador com um microfone ou sensor constantemente ligado à internet.
- Cada um é uma potencial entrada para a tua rede doméstica. O teu Wi-Fi é tão seguro quanto o dispositivo menos protegido que tem ligado.
- O passo mais útil é colocar os dispositivos IoT numa rede Wi-Fi separada, longe dos teus telemóveis, portáteis e discos de cópia de segurança. A maioria dos routers modernos consegue fazer isto com alguns cliques.
- Os dispositivos mais baratos são por vezes os mais perigosos — abandonados pelos fabricantes, cheios de falhas, e vigiados por pessoas que não és tu.
- Privacidade não é o mesmo que segurança. Um dispositivo de uma empresa de confiança pode continuar a ser inseguro; um dispositivo perfeitamente protegido pode continuar a enviar gravações para um país cujas leis nunca leste.
O que é
A "Internet das Coisas" é o nome geral para objetos do quotidiano com ligação à internet. Uma lâmpada inteligente. Um aspirador robot. Uma campainha com câmara. Uma coluna que responde à tua voz. Um babyphone Wi-Fi. Um frigorífico inteligente. Um robot cortador de relva. Um forno inteligente. Um brinquedo para crianças com microfone. Uma câmara para animais. Uma impressora.
A maioria são pequenos computadores Linux com uma única tarefa e uma única ligação de rede. Isso torna-os genuinamente úteis. Também os torna genuinamente arriscados de três formas:
- Ouvem, observam e reportam. Microfones, câmaras, sensores de movimento, sensores de temperatura, sensores de presença. Quase todos enviam dados para a nuvem do fabricante — e daí para vários anunciantes, parceiros analíticos e por vezes outras organizações.
- Podem ser violados. Muitos dispositivos baratos são entregues com palavras-passe predefinidas, atualizações de segurança lentas e vulnerabilidades óbvias. Os atacantes analisam toda a internet à procura destes. Quando um dos teus aparece, é adicionado a uma botnet — uma frota de dispositivos comprometidos usados para atacar outras pessoas, por vezes também usados para te vigiar.
- São portas para a tua rede doméstica. Uma vez que um atacante está no dispositivo, está na tua rede Wi-Fi. A partir daí, pode analisar as outras coisas na tua rede — o teu portátil, o teu armazenamento de rede, o teu telemóvel, a tua fechadura inteligente.
É por isso que a segurança da casa inteligente é em parte um tema físico (onde colocas o dispositivo, o que vê) e em parte um tema digital (como o seu software, a sua conta e a sua rede estão configurados).
Como detetar um problema
Alguns sinais de que um dispositivo IoT correu mal, ou nunca esteve bem:
- Quente, lento ou com tráfego de rede invulgarmente elevado. Uma campainha que contacta a internet centenas de vezes por minuto está a fazer algo que o manual não prometia.
- Vozes estranhas da coluna, sons que não são teus. As intrusões reportadas em babyphones baratos estão bem documentadas. Trata imediatamente estes incidentes como dispositivos comprometidos.
- Notificações de um dispositivo que não tens, ou de funções que não ativaste.
- A aplicação complementar já não recebe atualizações e o site do fabricante não foi atualizado há um ano. O produto provavelmente foi abandonado. Substitui-o; não continues a usá-lo.
- O dispositivo pede permissões muito além da sua função. Uma lâmpada inteligente que quer acesso ao teu microfone, contactos e localização já não é uma lâmpada inteligente.
Como configurar tudo com segurança
Se não fizeres mais nada, faz isto — uma vez, quando configurares um novo dispositivo. Poupa muito trabalho a longo prazo.
- Escolhe o dispositivo com cuidado. Laboratórios de testes independentes (Stiftung Warentest, Consumer Reports, Which?, Que Choisir, testes IoT da AV-TEST) publicam avaliações específicas de IoT. Um dispositivo que promete 5 anos de atualizações vale mais do que um que custa metade e não prometeu nada.
- Lê a política de recolha de dados em linguagem simples, ou pede a uma IA que a resuma. O que regista? O que é enviado do dispositivo? Quem o vê? Durante quanto tempo?
- Muda a palavra-passe predefinida antes de o dispositivo tocar a internet. Alguns ainda são entregues com
admin / admin. Muitos routers também. - Atualiza o firmware imediatamente. A versão com que é entregue quase nunca é a mais recente.
- Cria uma palavra-passe forte e única para a conta do fabricante. Ativa a autenticação de dois fatores nessa conta se for oferecida.
- Coloca-o numa rede Wi-Fi separada para dispositivos IoT (muitas vezes chamada rede de convidados ou SSID IoT nos routers domésticos). Isto impede que uma lâmpada comprometida aceda ao teu portátil e ao teu disco de cópia de segurança.
- Desativa as funções que não vais usar — acesso remoto, gravação na nuvem, ativação por voz, integrações de terceiros.
- Verifica a localização do dispositivo. Uma câmara num corredor é uma coisa. Uma câmara no quarto de uma criança é uma conversa diferente.
- Anota o que compraste e onde está. Em um ano, não te vais lembrar se a câmara na porta de trás ainda tem energia. Uma nota simples impede que um dispositivo antigo se torne uma fraqueza esquecida.
Quando o dispositivo é um microfone ou uma câmara
Estes merecem reflexão extra.
- A posição importa. O que está no enquadramento? Portas visíveis da rua são diferentes da tua casa de banho.
- O armazenamento importa. A gravação local (cartão SD ou gravador de rede) é mais privada do que apenas a nuvem. Apenas a nuvem é mais conveniente mas confia para sempre na segurança do fabricante.
- O consentimento importa. Qualquer pessoa que gravas — convidados, prestadores de serviços, crianças com idade suficiente para perceber — deve saber que o dispositivo está lá. Em alguns países, câmaras escondidas dentro de casa são ilegais mesmo quando filmas a tua própria família.
- Quartos e casas de banho raramente são boa ideia. O custo para a privacidade quase sempre supera o benefício para a segurança. Outros dispositivos (sensores de porta, sensores de movimento, tomadas inteligentes) podem responder às mesmas perguntas sem microfone ou lente.
Noções básicas de rede
A maior parte do risco da casa inteligente vive na tua rede Wi-Fi. Um pouco de higiene de rede contribui muito.
- Muda a palavra-passe de administração do router relativamente à que estava na etiqueta.
- Atualiza o firmware do router quando solicitado; se o teu router nunca oferece atualizações, é demasiado antigo para uso sério.
- Usa encriptação WPA3 ou WPA2 em cada rede (não WEP, não "Aberta").
- Cria pelo menos duas redes: uma para os teus dispositivos pessoais de confiança (telemóveis, portáteis), uma para IoT. Muitos routers fazem isto em dois cliques; consulta o manual do teu router ou pede a uma IA que te guie para a tua marca específica.
- Desativa WPS, UPnP e administração remota a menos que realmente precises deles. São convenientes e frequentemente explorados.
- Escolhe um router que ainda seja suportado pelo seu fabricante. A maioria dos routers domésticos recebe cerca de cinco anos de atualizações após o lançamento; routers antigos devem ser substituídos mesmo que ainda funcionem.
O que NÃO fazer
- Não compres a câmara, campainha ou fechadura sem marca mais barata. O preço é pago com a tua privacidade e a segurança do resto da tua rede. Marcas de confiança com compromissos públicos de atualização valem o custo extra.
- Não ligues um dispositivo ao teu Wi-Fi principal se o podes colocar numa rede IoT separada.
- Não continues a usar um dispositivo cujo fabricante desapareceu. Sem atualizações significa sem defesa contra falhas recém-descobertas.
- Não ignores a notificação de atualização de firmware. É a tua proteção gratuita para que a vulnerabilidade de ontem não se torne o comprometimento de amanhã.
- Não reutilizes palavras-passe entre contas de fabricantes. Uma falha na nuvem de uma empresa não deve levar ao acesso às tuas câmaras em casa.
- Não confies no marketing de "impulsionado por IA" ou "encriptação de nível militar". Procura auditado, padrão aberto e suportado durante X anos. O resto é texto de vendas.
- Não coloques uma câmara em nenhum lugar onde te envergonharias que o mundo visse, nunca. Feeds de câmaras internas baratas acabam em sites agregadores todos os anos.
Usa a IA para te ajudar
Auditar a tua configuração atual:
"Tenho os seguintes dispositivos de casa inteligente na minha rede doméstica: [lista cada um — marca, modelo, divisão, o que faz]. O meu router é [marca, modelo] e oferece [lista de funcionalidades — rede de convidados, WPA3, SSIDs separados, etc.]. Por favor, audita a minha configuração e diz-me (a) quais os dispositivos com maior risco e porquê, (b) que alterações de configuração devo fazer primeiro, por ordem de prioridade, e (c) quais os dispositivos que devo considerar substituir porque o fabricante já não os suporta."
Planear uma rede IoT separada:
"Quero colocar os meus dispositivos de casa inteligente numa rede Wi-Fi separada dos meus computadores e telemóveis. O meu router é [marca, modelo]. Guia-me passo a passo sobre como configurar uma rede IoT separada neste router específico. Nota quaisquer limitações ou considerações para que os dispositivos continuem a funcionar como esperado."
Um lembrete: a IA não conhece o firmware atual do teu router nem os avisos de vulnerabilidade atuais para qualquer dispositivo específico. Usa-a como ferramenta de planeamento, depois verifica cada passo com a documentação oficial do fabricante.
A quem ligar
- O suporte do fabricante do dispositivo para atualizações de firmware, recuperação específica do dispositivo e notificações de falha.
- O fabricante do teu router para ajuda com configuração de rede (muitas vezes chat ou email gratuito).
- O centro de cibersegurança do teu país para guias específicos de IoT. Pontos de partida úteis: NCSC UK (ncsc.gov.uk), BSI für Bürger (DE), BACS / NCSC CH (ncsc.admin.ch), ENISA (UE), CISA (US), ANSSI (FR), AGID (IT), INCIBE (ES), CNCS (PT).
- Organizações independentes de testes ao consumidor para comparações atuais de dispositivos (consulta o cartão de segurança física doméstica para a lista por país).
Quando escalar além do chat
- Uma câmara ou microfone mostra sinais claros de comprometimento — vozes do dispositivo que não são tuas, gravações a ir para algum lugar que não reconheces, alertas de movimento que não ativaste. Desliga o dispositivo imediatamente, muda todas as palavras-passe associadas, reporta à polícia local se houver crianças envolvidas ou se imagens podem ter sido gravadas e exfiltradas. Guarda registos e o dispositivo como prova se possível; não faças reset de fábrica antes de teres falado com a polícia.
- Uma fechadura inteligente foi aberta sem a tua ação — trata como possível intrusão física. Muda fechaduras e códigos; consulta os registos do fabricante (a maioria retém algumas semanas de eventos de porta); apresenta queixa à polícia.
- Um fabricante foi comprometido e os teus dispositivos podem estar expostos — muda a palavra-passe na conta do fabricante, substitui tokens de autenticação, ativa qualquer novo 2FA oferecido e volta a associar os dispositivos. Presta atenção a um aumento de phishing depois.
- Uma criança reporta que "a coluna fala comigo à noite" — leva a sério, não descartes como imaginação, desliga o dispositivo e trata-o como comprometido.
Fontes e leitura adicional
- ENISA — linha de base de orientação de segurança IoT
- Mozilla Foundation — guia de compras anual "Privacy Not Included"
- AV-TEST — testes periódicos de segurança de dispositivos IoT
- Krebs on Security — reportagens públicas sobre botnets IoT de consumo e falhas
- EU Cyber Resilience Act — obrigações dos fabricantes a partir de 2027