IoT na Rede LAN: Proteger Câmaras e Impressoras Expostas

Uma câmara de vigilância comprada para dar segurança pode acabar por a retirar: em Setembro de 2026 circulou nas redes portuguesas o caso de uma casa em Portugal transmitida em directo, encontrada via Shodan por um profissional de cibersegurança SAPO TEK. O padrão repete-se noutras categorias: impressoras de rede com interface web aberto, NAS com serviços expostos, televisores e assistentes com microfones permanentes. Este artigo cobre a protecção de dispositivos em redes locais (LAN): o que os torna vulneráveis, como segmentar a rede para conter um compromisso, que regras de firewall aplicar e como aceder remotamente sem abrir portas. Os exemplos usam equipamento doméstico e de pequena empresa, mas os princípios valem para PME.

Neste artigo

Por que os Dispositivos LAN São o Elo Fraco

Três razões combinadas tornam câmaras, impressoras e afins o alvo preferencial:

  • Não têm antivírus nem EDR — a maioria corre firmware fechado sem capacidade de inspecção ou remediação local. O CISA lista entre as vulnerabilidades comuns de IoT as credenciais por omissão, a segmentação inexistente e interfaces web inseguras.
  • Nunca (ou raramente) são actualizados — um firmware de câmara de 2021 com CVE conhecida continua em produção em 2026, porque ninguém verifica. A ANSSI aponta as capacidades limitadas de actualização como uma das fragilidades estruturais dos objectos ligados.
  • Estão no lado de dentro — um dispositivo comprometido numa LAN sem segmentação vê a rede toda: pode escanear, intercetar tráfego não cifrado, atacar o router ou servir de ponte para movimentação lateral. O risco não é o dispositivo em si, é a posição.

A consequência prática: o modelo de segurança passa por presumir que qualquer dispositivo IoT pode estar comprometido a qualquer momento, e desenhar a rede para que isso não se propague.

Inventário: o Primeiro Passo Antes de Proteger

Antes de regras, saber o que existe. O CISA coloca o inventário de dispositivos IoT como primeira medida de mitigação, e é o passo que mais falha em casa e em escritórios pequenos. O levantamento mínimo:

  1. Lista de dispositivos ligados à rede (com IP e MAC): o router lista os clientes ligados, e ferramentas como o Fing (móvel) ou o Nmap — com nmap -sn 192.168.1.0/24 — fazem o levantamento automático.
  2. Para cada dispositivo: firmware actual, credenciais por omissão alteradas?, serviços expostos (web, RTSP, SSH, Telnet).
  3. Classificação de confiança: o que precisa de falar com a Internet (a câmara que sincroniza com a nuvem da marca), o que não precisa (a impressora não precisa de Internet para imprimir).

Atenção: Telnet e FTP activos num dispositivo de rede são quase sempre sinais de firmware antigo. Se o painel do dispositivo os mostra activos, o fabricante deixou de actualizar esse modelo — isola-o no segmento restrito e considera substituição.

Passo 1 — Credenciais e Actualizações de Firmware

As credenciais por omissão (admin/admin, admin/vazio) estão publicadas online há décadas e são a primeira coisa que ferramentas automatizadas experimentam. O CISA lista “Non-Compliant Credentialing” como vulnerabilidade comum de IoT. A correção:

  • Mudar a palavra-passe de fábrica na primeira configuração, com password única e longa (gestor de passwords).
  • Desactivar contas partilhadas quando o dispositivo o permite, com conta individual por utilizador.
  • Desligar serviços de acesso remoto do fabricante (cloud portals tipo “acesso pela app”) quando não são usados — cada portal cloud é um serviço de terceiros a ouvir na tua rede.

O firmware é a outra metade: ativar actualizações automáticas quando existem, verificar manualmente nos restantes (a cadência prática é mensal, alinhada com a revisão de rotina dos routers). Um dispositivo sem caminho de actualização disponível pelo fabricante é um candidato a substituição ou a isolamento permanente.

Passo 2 — Desligar UPnP e Exposição Direta

O UPnP (Universal Plug and Play) permite que aplicações abram portas no router sem intervenção — conveniente, e é exactamente por isso que é perigoso: uma câmara pode pedir ao router para se expor à Internet sem o utilizador dar por isso. O SAPO TEK e a ANSSI convergem no mesmo ponto: desligar o UPnP no router, salvo necessidade explícita.

No router: desativar “UPnP” nas definições (localização varia por fabricante — TP-Link, ASUS, FRITZ!Box e afins têm-no em secção própria). Depois, verificar que não há redireccionamentos residuais: secção de “Port Forwarding / Virtual Servers” do router, remover regras que apontem para dispositivos IoT (80/443 web da câmara, 554 RTSP, 9100/631 da impressora, 8000-9000 de apps várias).

A verificação externa independente: pesquisar o IP público no Shodan para ver o que efectivamente está exposto (a mesma técnica que expôs a câmara no caso português), ou correr um scan externo com nmap contra o IP público. O que aparecer em Shodan do teu IP é o que a Internet vê.

Passo 3 — Segmentar a Rede: VLANs e Redes de Convidados

A segmentação é a medida de maior impacto: limita o que um dispositivo comprometido consegue alcançar. O CISA recomenda explicitamente segmentar redes IoT de redes críticas. Duas abordagens por nível de complexidade:

Nível 1 — rede de convidados IoT (5 min, todos os routers modernos): criar a rede “Convidados” ou “IoT” no router, ligar câmaras, campainhas, TV, assistentes e gadgets a essa SSID, manter computadores e telemóveis na rede principal. A maioria dos routers isola a rede de convidados da principal por omissão (“AP isolation” / “client isolation”). Verificar a opção “acesso à rede local” da rede de convidados — deve estar desligada.

Nível 2 — VLANs dedicadas (routers/switches geridos): uma VLAN própria para IoT (ex.: VLAN 30), outra para impressoras (VLAN 40), a rede principal noutra (VLAN 10). A configuração típica em router/switch gerido:

# VLANs: 10=gestão, 20=utilizadores, 30=IoT, 40=impressoras
# Router: subinterfaces VLAN em trunk; DHCP por VLAN
# Switch: portas da câmara na VLAN 30, impressoras na 40, trunk ao router