"Ao trazermos um telemóvel no bolso a toda a hora, tornamo-nos num alvo para piratas informáticos. É só somar-lhe outros aparelhos inteligentes, associados à chamada internet of things (IoT), como televisores, aspiradores-robô ou routers, e também a nossa casa, que deveria ser lugar seguro, fica na mira de ataques. Se, por um lado, os equipamentos conectados nos trazem conforto ao dia-a-dia, por outro, os riscos são reais. Infelizmente, a União Europeia continua a revelar falta de sólidas exigências nesta área", alerta a DECO Proteste.

Não são necessários exímios atributos de pirata para entrar numa casa. "Pedimos a dois especialistas em cibersegurança, da Universidade Católica de Lovaina, na Bélgica, que explorassem as vulnerabilidades de 16 aparelhos e respetivas apps. Monitorizámos ainda o tráfego entre estes dispositivos e servidores externos. Conclusão: 20 a 40 servidores na Europa, no Japão, nos EUA e na China receberam dados dos aparelhos. Já as apps enviaram informação a 528 servidores de 13 países", refere a associação no seu website.

O Motorola Comfort Connect 85, intercomunicador para vigiar bebés, por exemplo, tem tantas vulnerabilidades que um atacante pode desligá-lo, desativar-lhe o sensor de movimento, fazê-lo tocar música ou reiniciá-lo à distância. Imagine agora que lhe abrem a porta de casa. Ou que usa um brinquedo sexual, e detalhes da sua intimidade acabam na internet.

A fechadura Yale Linus, à venda na Chaviarte a 246 euros, é exemplar. A marca leva anos no fabrico de modelos clássicos eficazes, e mantém a tendência quanto a opções inteligentes. "Desempenho diferente teve a Raykube FG5 Plus Smart Lock (45 euros, AliExpress), que abrimos em minutos", informa.

"O Refoss RSG100 (25 euros, Amazon espanhola), também vendido como Meross MSG100, é um dispositivo que permite abrir a porta da garagem através da net e pode ser controlado com uma app. Aquando do teste, as credenciais de acesso à plataforma de automação deste sistema estavam publicamente disponíveis, o que permitia entrar nos servidores da marca e capturar os dados de qualquer detentor de um dispositivo inteligente do mesmo fabricante. Contactámos a marca, e os problemas foram resolvidos, sendo que estas informações já não estão disponíveis", informa a DECO.

"O videoporteiro Ezviz DB1C (118 euros, Amazon espanhola) não apresentou falhas de segurança críticas, mas tem margem para melhorar. Por exemplo, não possui nenhum mecanismo que alerte para a tentativa de manipular o aparelho e armazena as credenciais do wi-fi num chip que pode ser lido por terceiros, com acesso físico ao aparelho, de forma relativamente simples. Além disso, basta a um pirata descobrir o e-mail da conta associada para fazer o reset das credenciais de acesso. A Ezviz revela ainda problemas de privacidade. Liga-se ao servidor da marca, partilhando o código de identificação único e o historial de logins", acrescenta.

Alarmes e routers controlados à distância

Ambos os sistemas de alarme examinados, o Xiaomi Mi Smart Sensor Set (76 euros, Radio Popular e Worten) e o Linkind Home Security System Starter Kit (80 euros, Amazon espanhola), permitem a recolha das credenciais wi-fi, mas exigem o acesso físico para o efeito. Ainda assim, ultrapassado este obstáculo, é possível instalar software malicioso e aceder remotamente, extraindo o SSID (nome da rede) e respetiva senha, e obtendo via verde quanto aos demais dispositivos conectados que existam dentro de portas.

"Os routers, sem os quais já não imaginamos a vida doméstica, podem ser outra fonte de preocupação. Analisámos duas versões sem fios: TP-Link Archer AX73 (151 euros) e Tenda AC10 (25 euros), disponíveis na Amazon espanhola. Em ambos os casos, as credenciais de fábrica não são suficientemente fortes e podem ser descobertas com alguma facilidade. As marcas deveriam recorrer a passwords únicas e encorajar os utilizadores a alterá-las no processo de configuração", indica a DECO.

"Além disso, o TP-Link liga-se a uma plataforma que monitoriza a atividade do utilizador e envia informação a alguns sites, apesar de não o fazer sem encriptação. Já a app do Tenda envia a senha do wi-fi a um servidor externo, neste caso, sim, sem encriptação. Mais: se a app for usada com ligação a uma rede pública, outras pessoas podem aceder a informação sensível", acrescenta.

O robô de cozinha Ikohs Chefbot Touch (320 euros, na Amazon espanhola) falha na segurança e na privacidade. Com acesso físico ao aparelho ou à app, é possível fazer estragos. Um pirata pode, por exemplo, comprar, instalar software malicioso e devolver à loja ou oferecer a uma vítima. E, a cada cinco minutos, o robô envia a um servidor o número de série, a versão do software e o código de identificação único, dados que permitem construir um perfil de utilização. O Ikohs liga-se ainda a servidores de publicidade relacionados com a Google.

Outra categoria de eletrodomésticos examinada foi a dos aspiradores-robô. Se o AEG RX9-2-4STN (653 euros, Best Electronics) não inspira cuidados, o mesmo não pode dizer-se do Proscenic M6 Pro (264 euros, AliExpress). Aspirar até pode aspirar, mas, de cada vez que o faz, envia o mapa da casa ao servidor da marca. Além disso, se alguém souber o e-mail da conta, pode controlar o robô à distância.

Já o televisor de 55 polegadas Samsung QE55Q60T (630 euros, Radio Popular e Auchan), embora não tenha falhas de segurança, suscita questões de privacidade. O uso de certas apps de smartTV, como a Amazon Prime Video, implica a partilha de dados pessoais e sem criptografia.

Na economia do saque, os bebés também podem ser um alvo. O Motorola Comfort Connect 85 é um intercomunicador para vigiar os mais pequenos, cujo preço (186 euros, Amazon espanhola) levaria a esperar segurança à altura. Mas tem inúmeras vulnerabilidades. Pior: acedendo a um aparelho deste modelo, um hacker pode controlar remotamente todos os dispositivos que estejam ativos. Só precisa de acesso físico a um exemplar e, para isso, basta comprar, recolher as informações necessárias e devolver à loja.

A ideia de comprar um brinquedo sexual com ligação à internet, como o vibrador Magic Motion Flamingo Vibrator (57 euros, Aliexpress), pode também acarretar riscos. A aplicação associada a este dispositivo não usa encriptação nas comunicações, pelo que informação sensível pode ser intercetada. Além disso, um indivíduo com intenções maliciosas pode facilmente assumir a identidade de um participante nas comunicações e roubar dados pessoais. "Também é possível, a alguém que se encontre perto da rede wi-fi a que o aparelho está ligado, comandá-lo à distância. Do ponto de vista da partilha de dados, a app transmite a servidores externos o nome de utilizador, o nome e o código de identificação único do aparelho e informações como o género, a altura e a data de nascimento", conclui a DECO.