O que você faria se a sua assistente pessoal (Alexa, Google Assistente, etc.) repercutisse falas ou comandos aleatórios que você não solicitou ou ainda mudasse compromissos da sua agenda sem o seu consentimento? Ou se a câmera de sua babá eletrônica fosse hackeada?
Em uma realidade na qual cada vez mais dispositivos estão conectados e repletos de informações pessoais e profissionais dos usuários, ataques hackers podem não somente roubar dados, mas também controlar esses dispositivos remotamente e até causar danos à integridade física. Nesse cenário, a segurança cibernética tornou-se um grande desafio e uma prioridade para a indústria e para os usuários.
Possibilidades e casos reais
Assistentes virtuais, smart TVs, smartwatches, fechaduras inteligentes, sistemas de câmeras e sensores, dispositivos médicos, carros e casas conectadas são apenas alguns exemplos de equipamentos tecnológicos que estão vulneráveis a ataques de hackers.
Em 2024, aspiradores-robô da marca chinesa Ecovacs foram alvo de invasões. Relatos informaram que hackers assumiram o controle dos equipamentos e tiveram acesso às câmeras, aos alto-falantes – emitindo ofensas aos proprietários – e até realizaram perseguição a animais domésticos.
Em 2017, vulnerabilidades foram identificadas pelos fabricantes em 465 mil marcapassos implantados em pacientes. O anúncio partiu da FDA, agência americana responsável pela regulação de alimentos e medicamentos, que anunciou que possíveis falhas na segurança permitiriam o acesso e a alteração de comandos no sistema do aparelho, resultando em danos ao paciente. Embora o risco de ataques hacker seja baixo nesse tipo de aparelho (de acordo com o fabricante), uma atualização foi recomendada a todos os pacientes.
A indústria automobilística também está atenta quanto à cibersegurança automotiva. Especialmente desde 2015, quando pesquisadores dos Estados Unidos demonstraram como um invasor poderia controlar remotamente um carro conectado. Após o evento, 1,4 milhão de veículos da Fiat Chrysler foram convocados em um recall relacionado à segurança.
Outro grupo de pesquisadores americanos conseguiu abrir e ligar um Tesla remotamente graças a fragilidades da tecnologia Bluetooth. Eles utilizaram um dispositivo de retransmissão conectado a um laptop e afirmaram que qualquer produto que use um protocolo do Bluetooth de Baixa Energia (BLE) é vulnerável a ataques – mesmo que a quilômetros de distância. O BLE é uma tecnologia usada em milhões de carros e fechaduras inteligentes residenciais, possibilitando a abertura automática quando próximo a um dispositivo autorizado.
Em 2019, uma empresa de cibersegurança automotiva publicou uma falsa unidade de controle eletrônico de veículos. Em menos de três dias online, foram mais de 25 mil tentativas de violação – sendo uma bem-sucedida.
Com base nesses exemplos, é possível evidenciar que os efeitos de uma invasão podem ser pequenos ou catastróficos. Os riscos são inúmeros: vão desde roubo de dados pessoais, acessos a conversas telefônicas, controle das funcionalidades de um veículo, alterações em programações de equipamentos, invasão de privacidade, entre tantos outros. O perigo pode estar em todo lugar, seja nas ruas ou dentro das nossas casas. Garantir formas de proteção contra cibercrimes é, portanto, mais importante do que nunca.
Legislações mais rígidas são necessárias
No Brasil, em 2019 foi instituído o Plano Nacional de Internet das Coisas com o objetivo de implementar e desenvolver a IoT no país. Ainda, a Autoridade Nacional de Proteção de Dados (ANPD) tem com agenda para 2025 definir medidas que incluem padrões técnicos mínimos de segurança para proteger dados pessoais de acessos não autorizados a dispositivos inteligentes. Por aqui, a invasão não autorizada a dispositivo informático é crime previsto no Código Penal e pode resultar em multa e prisão de até quatro anos.
No Reino Unido, mais da metade das casas possuem ao menos uma Smart TV e algum tipo de assistente de voz, como a Alexa, da Amazon. Em 2024, foi aprovada uma legislação que criou regras mais rígidas para a venda de dispositivos conectados, como garantia de alteração da senha padrão, enviada pelo fabricante, canais confiáveis e práticos para reportar bugs ou problemas de segurança e informações sobre a atualização do software do equipamento.
Na União Europeia, a Lei de Cibersegurança e a Lei de Resiliência Cibernética estabelecem vários requisitos a serem cumpridos pelos fabricantes antes de um produto estar apto a receber a certificação CE (que garante que o produto atende aos requisitos legais aplicáveis) e ser comercializado na Europa.
Nos Estados Unidos, vigora desde 2020 a Lei de Melhoria da Segurança Cibernética para IoT, que tem como objetivo incentivar as empresas a proteger os dispositivos inteligentes produzidos. A lei delegou ao Instituto Nacional de Padrões e Tecnologia (NIST) a criação de um conjunto de diretrizes para o desenvolvimento, correção, gerenciamento de identidade e configuração para dispositivos IoT, considerando os riscos associados a suas aplicações. Em 2022, iniciou o processo de implementação de rótulos para dispositivos IoT, indicando o nível de cibersegurança de cada equipamento.
A discussão sobre regulamentação e segurança de dispositivos inteligentes e conectados deve aumentar nos próximos anos, ainda mais com o aumento previsto na utilização desses devices. De acordo com a Statista, a previsão é que o número quase duplique em todo o mundo, passando de 15,1 bilhões em 2020 para mais de 29 bilhões de dispositivos IoT em 2030.
Segurança cibernética de dispositivos inteligentes é um desafio contínuo
A crescente adoção de dispositivos conectados tem aberto milhares de novas portas para cibercriminosos, que, por sua vez, têm aperfeiçoado cada vez mais suas técnicas de invasão.
Yanis Stoyannis, líder do comitê de segurança da Associação Brasileira de Internet das Coisas (ABINC), alertou, em uma entrevista à BBC News Brasil, no início deste ano, sobre a arquitetura de segurança de muitos dispositivos inteligentes. “Esses dispositivos são, muitas vezes, fabricados com recursos mais baixos em termos de hardware, como processamento e memória, para fins de barateamento de custos de produção. Então, é comum que não tenham um sistema criptográfico, ou que não seja eficiente, e não haja espaço para instalar sistemas de antivírus, por exemplo.”
De geladeiras inteligentes a carros, todos nós estamos suscetíveis e podemos ser vítimas de um ataque cibernético. Especialmente porque muitas ações de proteção dependem do próprio usuário: realizar as atualizações de software necessárias, habilitar sistemas antivírus, usar senhas fortes e únicas e ativar a autenticação de dois fatores são algumas das medidas de segurança. Seguir essas e outras boas práticas pode ajudar a reduzir significativamente as chances de um ataque bem-sucedido.
