Guillem Alsina Gonzàlez
A União Europeia estabeleceu um prazo de três anos para que as operadoras de telecomunicações retirem equipamentos de fornecedores classificados como «de alto risco». O mandato não se limita a substituir dispositivos, mas afeta a forma como é gerida a confiança em componentes que sustentam serviços essenciais.
Mas, de acordo com Aras Nazarovas, Investigador Sénior de Segurança da Informação na Cybernews, a substituição de equipamentos de origem chinesa por alternativas europeias ou americanas não resolve automaticamente o problema de possíveis backdoors.
A mudança pode transferir o foco da origem do fornecedor para uma questão mais incómoda: em quem se deposita a confiança quando não é possível auditar o interior do sistema? Em termos operacionais, o risco não desaparece por mudar de marca se o produto continuar a ser uma «caixa preta» cujo funcionamento real não pode ser verificado de forma independente.
Grande parte do problema tem origem na forma como os governos e os operadores construíram infraestruturas críticas sobre sistemas que, na prática, não podem ser verificados por terceiros. Substituir hardware fechado por outro hardware igualmente fechado pode responder a uma necessidade de aparência regulatória, sem, por si só, oferecer garantias adicionais de segurança. Isto implica que o controlo do risco não pode assentar apenas na nacionalidade do fornecedor, mas nos mecanismos de verificação disponíveis.
Num router ou num equipamento de rede, podemos encontrar vulnerabilidades em vários níveis, que vão desde o firmware até ao software de gestão que é executado por cima, passando pelo sistema operativo interno. Em muitos casos, trata-se de falhas acidentais, consistindo em erros de programação que deixam rotas sem autenticação, código de testes que chega à produção ou bibliotecas sem atualização com falhas já conhecidas, continua a explicar Nazarovas.
Na prática, e como aponta o analista, o impacto de uma vulnerabilidade não depende tanto de ter sido produto de má engenharia ou sabotagem deliberada, mas do facto de abrir uma via de entrada, um risco que se agrava porque parte desse código está nas bases do sistema que são atualizadas pouco ou tardiamente, o que permite que fraquezas profundas permaneçam sem serem detetadas durante anos.
Além disso, as ferramentas de segurança convencionais, como os antivírus, tendem a observar o que ocorre na superfície do sistema e podem não identificar falhas ocultas em camadas inferiores, especialmente se forem projetadas para passar despercebidas.
Os precedentes recentes citados por Nazarovas destacam a dimensão do problema: em 2025, investigações sobre campanhas ligadas a atores chineses, como Salt Typhoon e outras relacionadas, mostraram como cibercriminosos conseguiram infiltrar-se em redes telefónicas dos Estados Unidos e de países aliados. Em alguns casos, essas invasões foram associadas ao uso indevido de ferramentas de intercetação integradas na própria rede, concebidas para uso com autorização judicial.
Um dos elementos mais relevantes da proposta europeia é, segundo o analista da Cybernews, a sua amplitude, uma vez que as restrições vão além do 5G e incluem scanners de segurança nas fronteiras, sistemas de tratamento de água, redes elétricas e dispositivos médicos, ambientes onde um ciberataque pode comprometer serviços essenciais. Em cenários como este, as consequências não se reduzem a uma interrupção tecnológica, mas podem afetar a continuidade dos hospitais, a potabilidade da água ou o fornecimento de eletricidade.
Este alcance, no entanto, também expõe uma limitação da abordagem baseada apenas em vetos por proveniência; proibir fornecedores chineses não garante que as substituições sejam mais transparentes ou seguras se não houver exigências explícitas de auditoria independente, verificação aberta do código e testes periódicos por terceiros. Sem requisitos de revisão externa e testes regulares, os fornecedores europeus e norte-americanos podem manter o mesmo nível de opacidade que aqueles que substituem. A partir daqui, o debate passa de «qual fornecedor» para «em que condições».
Nazarovas conclui que a União Europeia tem margem para ir além da substituição de fornecedores e exigir que qualquer fabricante, independentemente da sua nacionalidade, cumpra padrões verificáveis, o que inclui abrir o código-fonte para revisão independente, submeter-se a testes de segurança periódicos e manter processos transparentes para relatar e corrigir vulnerabilidades.
