FSB toma routers empresariais finlandeses

O alvo útil para a espionagem russa raramente é o frigorífico inteligente ou o assistente de voz. É o router que ninguém actualiza desde o dia em que foi instalado, fechado num armário técnico, a encaminhar em silêncio todo o tráfego de uma empresa. Foi isso que os serviços de informações da Finlândia e dos Países Baixos vieram dizer este mês, em avisos que merecem mais atenção do que a leitura rápida dos títulos sugeria.

Porque é que um router é o espião ideal

Um router é, ao mesmo tempo, a porta de entrada e a sala de correio de uma rede. Quase todo o tráfego passa por ali. Se um atacante controla esse equipamento, um router empresarial comprometido pode fazer com que comunicações da inteligência russa pareçam vir de uma empresa comum em Helsínquia, e não de um servidor controlado pelo Estado. Só isso já tem valor: esconde a origem da operação atrás da ligação de internet de terceiros (NSA).

Mas mascarar a atribuição é apenas o primeiro uso. Um router comprometido também pode recolher credenciais de acesso que passem por ele e redireccionar tráfego para servidores hostis sem que alguém dentro da rede dê por isso.

A polícia de segurança finlandesa, a Supo, e os serviços de informações militares alertaram empresas para operações de ciberespionagem russa associadas ao 16.º Centro do FSB, uma unidade específica do Serviço Federal de Segurança da Rússia (Supo, Forças de Defesa da Finlândia). Os alvos são aquilo a que os profissionais de segurança chamam «dispositivos de fronteira»: equipamentos colocados no limite entre uma rede privada e a internet aberta. Na prática, routers empresariais e gateways de rede. Um aviso conjunto publicado em Julho de 2026 pela NSA e por agências parceiras detalhou tácticas usadas pelo FSB e medidas de mitigação que as empresas podem aplicar (NSA, Supo).

Os métodos de entrada são prosaicos. Palavras-passe de fábrica nunca alteradas. Firmware com anos de atraso. Painéis de administração deixados acessíveis a partir da internet. A Supo estimou que o aviso poderia abranger pelo menos milhares de empresas finlandesas (MTV Uutiset).

Uma câmara de armazém torna-se sensor militar

O caso neerlandês mostra como a mesma negligência cria outro tipo de ameaça. Os serviços de informações dos Países Baixos, AIVD e MIVD, confirmaram que actores estatais russos comprometeram câmaras IP ao longo de rotas logísticas militares neerlandesas para vigiar envios de armamento destinados à Ucrânia (Rijksoverheid, AIVD). Uma câmara instalada para segurança normal de um edifício passa a ser um sensor de informações militares no momento em que aponta para o cais de carga errado.

Os serviços neerlandeses descreveram uma operação internacional «em larga escala» contra Estados-membros da NATO, embora só tenha sido confirmado o comprometimento de um pequeno número de câmaras nos Países Baixos (Rijksoverheid). A ERR, da Estónia, apresentou as mesmas conclusões como um aviso para todos os países situados ao longo da cadeia de abastecimento da Ucrânia (ERR).

A lei corrige os dispositivos de amanhã, não os de ontem

A Europa tem uma resposta regulatória. O Regulamento Ciber-Resiliência da UE exige que os produtos conectados vendidos no mercado europeu sejam seguros desde a concepção e tenham gestão obrigatória de vulnerabilidades durante o período de suporte (EUR-Lex). Isso deverá melhorar a próxima geração de routers e câmaras que chegará ao mercado.

A lacuna prática é evidente: milhões de dispositivos já estão instalados. Routers em armários técnicos, câmaras em paredes de armazéns, intercomunicadores em entradas de edifícios, muitos deles com software desactualizado e credenciais de fábrica. A regulação molda o que será vendido amanhã. Não actualiza aquilo que foi aparafusado a uma parede há cinco anos (Comissão Europeia).

O conselho das agências finlandesas e neerlandesas resume-se a tratar estes equipamentos como os pequenos computadores que são: mudar palavras-passe de fábrica, actualizar firmware, desactivar acessos remotos desnecessários e deixar de expor painéis de administração à internet (Supo, AIVD).

Os casos finlandês e neerlandês partilham uma lição sobre a forma como a geografia altera o risco. A mesma palavra-passe fraca no mesmo dispositivo sempre ligado pode significar espionagem empresarial em Helsínquia, vigilância militar em Roterdão e exposição logística da NATO em Tallinn. A Rússia não precisa de comprometer todos os dispositivos conectados. Precisa de comprometer dispositivos negligenciados em sítios úteis. Pelo que é público até agora, routers e câmaras IP estão a oferecer precisamente isso: uma vasta camada de infra-estrutura europeia esquecida, em que se continua a confiar e que raramente é mantida.