Câmaras de drones militares a “ligar” para a China: o alerta que também é seu

Uma avaliação rotineira de vulnerabilidades ao serviço da Marinha britânica detetou algo que ninguém esperava encontrar em equipamento militar: câmaras instaladas em embarcações de superfície não tripuladas a comunicar com um endereço IP na China. O Ministério da Defesa do Reino Unido (MoD) afirmou não ter encontrado “nenhuma evidência” de comprometimento de segurança depois de notícias sobre câmaras dos navios K3 Scout da Royal Navy que enviavam sinais para um endereço IP na China, num caso revelado inicialmente pelo diário The Telegraph, que descreveu comunicações de “heartbeat” com destino naquele país. O episódio não envolve um CVE nem uma exploração conhecida, mas é um dos exemplos mais claros do ano sobre risco de cadeia de abastecimento em dispositivos ligados — um problema que atravessa desde frotas militares até às câmaras IP de uma PME portuguesa.

O que foi detetado (e o que não foi)

Segundo o relato original, as câmaras do drone de vigilância K3 Scout enviavam “heartbeat communications” para um dispositivo na China, comunicações que, de acordo com o que foi reportado, continham apenas a confirmação de que a câmara estava online e a funcionar normalmente; o MoD indicou que as transmissões foram identificadas durante uma “avaliação de vulnerabilidades de cibersegurança de rotina” aos K3. A publicação especializada The Register acrescenta que, de acordo com o que apurou, os dados consistiam num sinal de heartbeat a indicar que a câmara estava operacional.

A posição oficial do ministério é inequívoca quanto ao alcance do incidente. O MoD declarou que “uma investigação minuciosa não encontrou evidências de dados ou sistemas do MoD acedidos, comprometidos ou transmitidos para o exterior”, acrescentando que os seus processos de garantia e teste existem precisamente para identificar problemas cedo; a mesma fonte indica que o ministério encomendou 20 embarcações K3 Scout em março deste ano, com a entrega e aceitação formal a concluir-se entre maio e junho de 2026. A ligação à Internet das câmaras foi removida após a descoberta, e o ministério caracterizou as transmissões como comunicações de estado para verificar se o dispositivo estava online e a funcionar.

Do lado do fabricante, a explicação aponta para a cadeia de fornecimento. Contactada, a Kraken afirmou ter conhecimento de que “algumas câmaras de terceiros, conformes com a NDAA, tinham um pequeno número de componentes originários de fora do Reino Unido”, sustentando que nenhuma informação sensível foi partilhada fora dos canais previstos. A empresa acrescentou que, após uma auditoria completa conduzida pela Kraken e pela Royal Navy, tem confiança de que qualquer vulnerabilidade potencial foi identificada e fechada.

Importa sublinhar o que permanece não confirmado publicamente: nem o MoD nem a Kraken divulgaram o modelo exato da câmara, o fabricante do componente, o endereço IP de destino ou a periodicidade das comunicações. Não existe, até ao momento, identificador CVE, pontuação CVSS ou conjunto de indicadores de comprometimento (IOC) publicado por qualquer CERT nacional sobre este caso — pelo que qualquer afirmação sobre “espionagem” concretizada carece de suporte factual verificável.

Cronologia conhecida

Porque é que um simples “heartbeat” incomoda

Um sinal de estado é, tecnicamente, tráfego mínimo. Mas o problema é outro: revela um canal de saída não documentado e não autorizado num equipamento operacional. Como nota o The Register, o incidente demonstra porque é que cada componente de uma cadeia de abastecimento de defesa precisa de ser testado, em vez de se confiar nas garantias do fornecedor. Analistas do setor observam ainda que, em plataformas autónomas, sensores permanentes geram rotineiramente informação sobre posição geográfica, ritmo operacional, pessoal nas proximidades e disponibilidade da plataforma — dados que, agregados, podem revelar padrões sem que se transmita um único documento classificado.

Há também uma questão de conformidade que interessa a qualquer comprador de tecnologia. A Kraken indicou que as câmaras foram fornecidas por um contratante terceiro que garantira o cumprimento de requisitos de segurança, incluindo normas ligadas ao National Defense Authorization Act norte-americano, que restringe o uso de determinado equipamento chinês de videovigilância e telecomunicações em contratação federal. Ou seja: a conformidade com listas de fabricantes proibidos não garante, por si só, que todos os subcomponentes tenham origem fora da China nem que não existam riscos de cibersegurança.

O que fazer: verificação prática em qualquer organização

• Colocar câmaras IP, gravadores NVR, sensores e outros dispositivos IoT/OT em VLAN dedicada, sem acesso direto à Internet e sem UPnP ativo.
• Aplicar política de egress filtering: bloquear por omissão o tráfego de saída destes segmentos e permitir apenas destinos estritamente necessários.
• Registar e revisitar logs de DNS e de firewall à procura de resoluções e conexões recorrentes para domínios ou ASN não esperados — o padrão típico de um beacon periódico.
• Exigir aos fornecedores lista de materiais de software e hardware (SBOM/HBOM), destinos de telemetria documentados, política de atualizações e período de suporte.
• Incluir nos contratos o direito a testar o equipamento e a obrigação de notificação de vulnerabilidades, em vez de aceitar declarações genéricas de conformidade.
• Alterar credenciais de fábrica, desativar contas e serviços de manutenção remota não usados e manter firmware atualizado.

Contexto: o que muda em Portugal e na UE

O caso britânico não tem efeitos jurídicos diretos em Portugal, mas cai em cheio no eixo regulatório que está a redesenhar a responsabilidade sobre componentes digitais. O Decreto-Lei n.º 125/2025, publicado a 4 de dezembro de 2025, aprovou o novo Regime Jurídico da Cibersegurança, transpondo a Diretiva (UE) 2022/2555, reforçando o CNCS como autoridade nacional de cibersegurança e ponto de contacto único, e abrangendo 17 setores e a Administração Pública com exigências proporcionais à dimensão das entidades. O regime entrou em vigor a 3 de abril de 2026. Entre as medidas exigidas às entidades essenciais e importantes, o diploma trata explicitamente do problema que este incidente ilustra: as medidas de cibersegurança devem abranger, designadamente, tratamento de incidentes, continuidade das atividades, segurança da cadeia de abastecimento e segurança na aquisição, desenvolvimento e manutenção de redes e sistemas. Quem ainda não fez a autoavaliação e o registo deve consultar o nosso guia sobre o Regime Jurídico da Cibersegurança e a NIS2. Para concretizar o decreto-lei, foi publicado o Regulamento do Regime Jurídico da Cibersegurança (Regulamento n.º 756/2026, de 22 de junho), que define o funcionamento da plataforma eletrónica, os requisitos das comunicações ao CNCS — como incidentes, inventário de ativos e relatório anual — e as medidas técnicas a aplicar.

A segunda peça é o Regulamento de Ciber-Resiliência, que ataca a raiz do problema: produtos vendidos com canais de comunicação opacos. O CRA entrou em vigor a 10 de dezembro de 2024, as principais obrigações aplicam-se a partir de 11 de dezembro de 2027 e as obrigações de comunicação começam a 11 de setembro de 2026, tendo a Comissão Europeia publicado orientações práticas a 27 de julho de 2026. O regulamento exige que produtos com elementos digitais sejam seguros desde a conceção, mantidos seguros com atualizações durante um período de suporte declarado e suportados por processos de gestão de vulnerabilidades e comunicação de incidentes.

Há ainda a dimensão de proteção de dados. Câmaras que captam imagens de pessoas tratam dados pessoais e, se transmitirem qualquer informação para fora do Espaço Económico Europeu sem base legal e sem mecanismo válido de transferência, a organização responsável enfrenta um problema de RGPD — mesmo quando o fluxo foi criado pelo fabricante e não pelo cliente. Note-se que, no caso da Royal Navy, o MoD sustenta que não houve transmissão de dados para o exterior. Para uma PME portuguesa com videovigilância na loja, na fábrica ou no armazém, a pergunta prática é a mesma que o Reino Unido acabou de responder por acidente: sabe exatamente com quem falam os seus dispositivos quando ninguém está a olhar? Em Portugal, a articulação entre a CNPD e o CNCS foi formalizada num protocolo de cooperação para a ligação ao RGPD antes da entrada em vigor do novo regime.

Perguntas frequentes

Foram roubados dados militares britânicos?

Não há evidência pública disso. O MoD afirmou que a investigação não encontrou evidências de dados ou sistemas do ministério acedidos, comprometidos ou transmitidos externamente. As comunicações detetadas foram descritas como sinais de estado do equipamento.

Existe um CVE ou patch para aplicar?

Não. Não foi publicado nenhum identificador CVE, pontuação CVSS ou lista de IOCs associada a este caso. A mitigação aplicada foi de natureza arquitetural: a remoção da conetividade à Internet nas câmaras afetadas.

Isto afeta empresas portuguesas?

Não diretamente, mas o padrão é universal: dispositivos ligados com telemetria não documentada existem em videovigilância, domótica e equipamento industrial. Qualquer organização deve inventariar dispositivos, segmentar redes e controlar o tráfego de saída.

Que obrigações legais se aplicam em Portugal?

Entidades essenciais e importantes têm de gerir riscos de cibersegurança, incluindo segurança da cadeia de abastecimento e segurança na aquisição, desenvolvimento e manutenção de redes e sistemas. Os fabricantes de produtos digitais passam a ter obrigações de comunicação ao abrigo do CRA a partir de 11 de setembro de 2026.

Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pelo Ministério da Defesa do Reino Unido, pela Kraken Technology Group, pela Comissão Europeia, pelo CNCS e por publicações especializadas do setor.