Scanners chineses sem rasto documental

As alfândegas estónias e o aeroporto de Tallinn usam há anos equipamentos de raio-X fabricados pela Nuctech, uma empresa estatal chinesa (Postimees). O que é público não prova um caso de espionagem; aponta, antes, para uma falha de escrutínio. Não foram divulgados os registos dos concursos, os termos contratuais, as avaliações de risco de segurança nem as condições em que são feitas as actualizações de software e a manutenção. A pergunta essencial é simples: esta compra foi alguma vez tratada como a decisão sensível em matéria de segurança que manifestamente é?

A máquina não é aquilo que parece

Um scanner de bagagem parece um túnel metálico passivo. Na prática, aproxima-se mais de um computador ligado em rede ao qual foi acoplada uma fonte de raio-X. Os scanners aeroportuários modernos baseados em tomografia computorizada recolhem imagens de vários ângulos e, depois, o software reconstrói vistas tridimensionais que os operadores podem rodar e cortar para inspeccionar o conteúdo (NIST). A máquina regista o que analisa, assinala objectos suspeitos e depende de actualizações regulares de software para manter a precisão da detecção.

É esta camada de software que torna relevante a relação com o fornecedor. Os fabricantes mantêm, em muitos casos, acesso remoto para assegurar o funcionamento dos equipamentos, uma espécie de chave mestra digital do edifício. Esse acesso pode ser necessário para reparações, mas o comprador tem de saber quem o detém, quando é usado e que partes do sistema permite abrir. As orientações da ENISA e do NCSC britânico avisam que estes canais de manutenção podem tornar-se vias para acessos não autorizados ou alterações discretas de configuração.

Num scanner de fronteira, isto significa que alguém com acesso profundo ao sistema poderia, em teoria, ver imagens de inspecção ou ajustar limiares de detecção para tornar a máquina menos sensível a determinados objectos, sem que os operadores se apercebessem. São riscos estruturais, bem documentados no sector. Não constituem prova de que qualquer equipamento específico da Nuctech tenha sido comprometido.

Bruxelas está a investigar dinheiro, não espionagem

A acção da Comissão Europeia contra a Nuctech é uma investigação de concorrência, não uma conclusão de segurança. Em Abril de 2024, funcionários da Comissão inspeccionaram instalações ligadas à Nuctech na Polónia e nos Países Baixos ao abrigo do Regulamento sobre Subvenções Estrangeiras, em vigor desde 2023, que permite a Bruxelas apurar se apoios financeiros de um governo exterior à UE ajudaram uma empresa a baixar artificialmente os preços em concursos europeus (Comissão Europeia). A Nuctech contestou aspectos do tratamento dos dados recolhidos nessas buscas; o Tribunal Geral da União Europeia rejeitou o pedido provisório em Julho de 2024. Ainda não foi publicada uma decisão final.

A distinção é importante. Bruxelas está a perguntar se preços baixos sustentados por apoio estatal distorceram a concorrência. Saber se as máquinas são suficientemente seguras para merecer confiança é outra questão, e este regulamento não responde a essa dimensão.

Uma compra nacional, um risco partilhado

Os scanners nas fronteiras externas da UE são comprados a nível nacional, por autoridades aduaneiras e aeroportos. Mas, depois de passarem pela alfândega estónia, as mercadorias circulam livremente no mercado único, o espaço de 27 países onde os produtos se movem sem novos controlos fronteiriços. Passageiros rastreados em Tallinn seguem depois para outros destinos no espaço Schengen. A integridade de cada ponto de controlo é, por isso, uma premissa comum.

Outros Estados-Membros tratam essa premissa de forma diferente. A Nuctech tem um centro de produção e serviços perto de Varsóvia, pelo que a exposição polaca é física: reparações e actualizações passam por uma subsidiária local da empresa-mãe chinesa. O quadro lituano de protecção de infra-estruturas estrategicamente importantes submeteria uma compra deste tipo a avaliação quanto a propriedade e riscos de acesso remoto. Nos Países Baixos, a tecnologia chinesa é lida à luz dos avisos explícitos dos serviços de informações sobre espionagem. A Estónia é o caso em que o uso da Nuctech está confirmado, mas o rasto de governação permanece invisível.

Regras europeias como a directiva NIS2 obrigam operadores de serviços essenciais a gerir riscos nas cadeias de fornecimento. A Bélgica bloqueou recentemente a aquisição, por interesses ligados à China, de uma operadora de helicópteros por razões de segurança nacional. Mas a decisão de compra, a escolha de quem avaliou o fornecedor e a definição dos acessos concedidos continuam a ser feitas a nível nacional.

Bruxelas pode tornar mais difícil a concorrência subsidiada. Não pode auditar retroactivamente cada scanner que já está a funcionar numa fronteira. A responsabilidade fica, portanto, com os compradores nacionais. Enquanto a Estónia não revelar como esta aquisição foi avaliada, o debate continuará preso entre receios de espionagem e silêncio administrativo, deixando por resolver a falha concreta de governação.