Os dispositivos conectados somam hoje bilhões em todo o mundo. Termostatos, relógios, alto-falantes, fechaduras, sensores de saúde: esses dispositivos se comunicam entre si e com seus usuários via internet ou uma rede local. Seu funcionamento depende de componentes precisos, e sua multiplicação nos lares levanta questões concretas de segurança e regulamentação que o grande público ainda conhece mal.
Ato de Resiliência Cibernética: o que muda a regulamentação europeia para dispositivos conectados
O quadro regulatório europeu mudou com a entrada em vigor, em 10 de dezembro de 2024, do Ato de Resiliência Cibernética (CRA), Regulamento (UE) 2024/2847. Este texto impõe requisitos obrigatórios de cibersegurança a todos os produtos que contêm elementos digitais, o que abrange quase todos os objetos conectados vendidos no mercado europeu.
O calendário de aplicação prevê duas datas importantes. A partir de 11 de setembro de 2026, os fabricantes deverão declarar às autoridades as vulnerabilidades ativamente exploradas e os incidentes graves de cibersegurança que afetam seus produtos. Em seguida, a partir de 11 de dezembro de 2027, um dispositivo conectado só poderá ser comercializado na União Europeia se estiver em conformidade com o CRA e portar uma marca CE que também ateste sua cibersegurança.
Concretamente, o CRA impõe a segurança desde a concepção (secure by design), a gestão de vulnerabilidades e a atualização de segurança durante toda a vida útil prevista do produto. As sanções previstas podem chegar a 15 milhões de euros ou 2,5% do faturamento global. Para um fabricante de termostatos ou lâmpadas conectadas, isso significa que a cibersegurança não é mais um argumento de marketing, mas uma condição de acesso ao mercado.
Essa regulamentação ainda é pouco conhecida pelo grande público, embora vá influenciar diretamente a duração do suporte de software dos dispositivos disponíveis nas lojas. Um usuário que consulta a definição de dispositivos conectados no Transtec já percebe a extensão dos dispositivos afetados por essas obrigações.
Sensores, protocolos e nuvem: como funciona um dispositivo conectado
O funcionamento de um dispositivo conectado baseia-se em três camadas distintas que se comunicam continuamente.
A camada física: sensores e atuadores
Cada objeto possui um ou mais sensores que medem um parâmetro do ambiente (temperatura, movimento, luminosidade, frequência cardíaca). Um microcontrolador processa esses dados localmente antes de transmiti-los. Por outro lado, um atuador executa uma ação: acender uma lâmpada, trancar uma fechadura, ajustar um termostato.
A camada de rede: Wi-Fi, Bluetooth, Zigbee e além
A transmissão de dados é baseada em protocolos sem fio adaptados ao uso. O Wi-Fi é adequado para dispositivos que consomem muita largura de banda (câmeras de vigilância). O Bluetooth Low Energy alimenta objetos vestíveis como relógios e pulseiras de saúde. Protocolos como Zigbee ou Z-Wave, menos conhecidos, servem redes domésticas densas onde dezenas de sensores devem coexistir sem saturar o Wi-Fi doméstico.
A escolha do protocolo determina diretamente a autonomia da bateria, o alcance do sinal e a compatibilidade com o restante do ecossistema. Um dispositivo Zigbee não se comunica nativamente com uma rede Bluetooth, o que muitas vezes obriga a passar por um gateway (hub) ou por um assistente de voz centralizador.
A camada de software: nuvem e aplicativos
Os dados coletados são enviados para um servidor remoto (nuvem), onde são armazenados, analisados e tornados acessíveis por meio de um aplicativo móvel. É esse ciclo sensor-nuvem-aplicativo que permite controlar um dispositivo à distância, programar automações ou receber alertas em tempo real.
Os feedbacks de campo divergem sobre a confiabilidade dessa arquitetura. Quando o servidor do fabricante falha ou quando a empresa encerra suas atividades, o objeto pode perder parte de suas funcionalidades, ou até se tornar inutilizável. Alguns fabricantes oferecem um funcionamento local parcial, mas essa abordagem ainda é minoritária.
Usos concretos de dispositivos conectados em casa e na saúde
Os usos domésticos representam a maioria do mercado de objetos conectados para o grande público. Três categorias concentram a adoção.
- A gestão de energia: termostatos conectados que aprendem os hábitos dos ocupantes, tomadas inteligentes que cortam a alimentação de dispositivos em modo de espera, detectores de abertura de janelas que suspendem o aquecimento automaticamente.
- A segurança do lar: câmeras IP acessíveis remotamente, fechaduras conectadas com código rotativo, detectores de fumaça conectados ao smartphone do usuário.
- O monitoramento da saúde: relógios e pulseiras que medem a frequência cardíaca, a qualidade do sono ou o número de passos, esfigmomanômetros conectados que transmitem os dados diretamente ao médico responsável.
No campo da saúde, a coleta de dados pessoais sensíveis levanta questões sobre seu armazenamento e utilização. Os dados de frequência cardíaca registrados por um relógio passam pelos servidores do fabricante antes de chegar ao aplicativo. O usuário nem sempre tem uma visão clara sobre o tempo de retenção nem sobre os terceiros que têm acesso a eles.
Proteger seus dispositivos conectados: as ações que realmente importam
A CNIL lembra que os dispositivos conectados geram uma grande quantidade de dados pessoais armazenados na internet, e que sua segurança também é responsabilidade do usuário. Várias medidas reduzem significativamente a superfície de ataque.
- Modificar sistematicamente a senha padrão de cada dispositivo, usando uma senha única e complexa.
- Atualizar o firmware assim que uma nova versão estiver disponível, pois essas atualizações frequentemente corrigem falhas ativamente exploradas.
- Segmentar a rede doméstica criando uma rede Wi-Fi dedicada aos dispositivos conectados, separada daquela usada para o computador ou smartphone.
- Desativar funcionalidades não utilizadas (microfone, geolocalização) para limitar a coleta de dados desnecessários.
Um dispositivo conectado cujo firmware não é mais atualizado torna-se um ponto de entrada potencial na rede doméstica. Com a chegada do CRA, os fabricantes serão obrigados a fornecer correções durante toda a vida útil prevista do produto, mas essa obrigação só se aplicará plenamente a partir do final de 2027. Até lá, verificar a política de suporte do fabricante antes da compra continua sendo o reflexo mais confiável.
O mercado de dispositivos conectados evolui sob uma dupla pressão: a dos usos, que se multiplicam em casa e na saúde, e a da regulamentação europeia, que eleva os requisitos de segurança a um nível sem precedentes. A escolha de um objeto conectado não se limita mais às suas funcionalidades: a duração do suporte de software e a conformidade com o CRA tornam-se critérios de compra por si só.