O órgão federal alemão de segurança da informação, BSI, recomenda desligar o acesso remoto do roteador quando ele não for necessário. A função permite alterar configurações pela internet. Com isso, pode abrir uma porta para ataques.
O alerta também interessa a quem usa o celular no Wi-Fi. O roteador concentra as conexões de vários aparelhos da casa. No Mania de Celular, entenda o que essa configuração permite e quais cuidados o órgão orienta adotar.
Por que o acesso remoto do roteador exige atenção
O BSI trata o roteador como a central da rede doméstica. Por ele passam conexões de smartphones, televisores, robôs aspiradores e notebooks de trabalho, inclusive aqueles usados com a VPN da empresa.
Normalmente, o usuário acessa o painel de administração durante a instalação e depois deixa o equipamento funcionando. Entretanto, uma configuração merece revisão: a possibilidade de abrir esse painel fora da rede de casa.
O acesso remoto do roteador permite administrar o aparelho pela internet, sem estar conectado ao Wi-Fi doméstico. Assim, alguém pode, por exemplo, ajustar o controle parental durante uma viagem.
A conveniência, porém, vem acompanhada de exposição. Quando a interface fica acessível pela internet, ferramentas automatizadas podem identificar que existe um equipamento respondendo naquele endereço.
As buscas por equipamentos expostos são automatizadas
Um invasor não precisa escolher previamente a sua residência. Programas varrem endereços IP continuamente e registram os dispositivos que apresentam uma tela de autenticação.
Entre os riscos está o uso de roteadores comprometidos em uma botnet, uma rede de equipamentos controlados por criminosos. A identificação de uma interface exposta pode acontecer sem que o morador perceba.
Ataques exploraram falha em roteadores desde 2024
A recomendação do BSI existe há anos. Ela ganhou reforço com informações do Serviço Federal de Inteligência da Alemanha, do órgão federal alemão de proteção à Constituição e do FBI, dos Estados Unidos.
Segundo essas instituições, o grupo APT28, associado ao serviço de inteligência militar russo GRU, comprometeu roteadores vulneráveis em diferentes países desde pelo menos 2024.
Os ataques exploraram a falha identificada como CVE-2023-50224. Entre os equipamentos atingidos estavam aparelhos da TP-Link.
Os alvos relatados pertenciam aos setores militar, governamental e de infraestrutura crítica. Portanto, o episódio não foi apresentado como uma campanha direcionada às conexões domésticas em geral.
Alteração no DNS pode afetar o celular conectado ao Wi-Fi
Os invasores modificaram os servidores DNS configurados nos roteadores. Esses servidores funcionam como uma referência para localizar o endereço IP correspondente a um site ou serviço.
Celulares, tablets e computadores da rede podem receber automaticamente essa configuração do roteador. Dessa forma, uma mudança no equipamento central também alcança os dispositivos conectados a ele.
Imagem: Shutterstock
A manipulação permite redirecionar tráfego, inclusive conexões destinadas a serviços que usam criptografia. O mecanismo descrito envolve mudar o caminho da comunicação, não uma alteração feita individualmente em cada celular.
Como conferir o acesso remoto do roteador
A orientação do BSI não equivale a uma proibição da função. O órgão recomenda desativar o acesso externo quando ele não tiver utilidade e recorrer a uma VPN quando houver necessidade de entrar na rede à distância.
Nesse uso, a VPN estabelece um túnel criptografado até a rede doméstica. Assim, o usuário evita deixar a interface de administração diretamente disponível na internet.
Quer localizar a opção? Os nomes variam entre fabricantes. No painel do equipamento, procure termos relacionados a acesso remoto, manutenção remota ou gerenciamento remoto.
- Na TP-Link, a opção corresponde ao gerenciamento remoto.
- Nos modelos Speedport, da Telekom, ela costuma aparecer nas áreas de proteção de acesso ou manutenção remota.
- Nas Vodafone Stations, a configuração também costuma ficar nessas categorias de administração.
FritzBox tem duas formas de acesso que precisam ser diferenciadas
Nos aparelhos FritzBox, o serviço MyFRITZ! permite acessar o roteador à distância. Já a liberação da interface de administração na internet é outra configuração, embora ambas envolvam acesso externo.
As duas opções vêm desligadas de fábrica. Por isso, é importante distinguir qual recurso foi ativado e para qual finalidade, em vez de tratar todas as formas de conexão remota como uma única função.
Preços de roteadores no Brasil não foram informados
As informações disponíveis não apresentam valores em reais para os roteadores citados. Também não identificam modelos específicos à venda no Brasil, o que impede informar um preço nacional com base nesses dados.
O alerta do BSI trata de configurações de segurança, e não de uma recomendação de compra. A medida indicada é verificar a necessidade do acesso remoto do roteador e desligá-lo quando estiver sem uso.
Fabricantes pedem regras europeias para segurança de roteadores
Em junho, FRITZ!, devolo, LANCOM Systems e TDT AG criaram a SAFENet, aliança voltada à soberania europeia em tecnologia de redes. O grupo quer que a União Europeia aplique aos roteadores uma abordagem semelhante à adotada para equipamentos de telefonia móvel.
Desde 2020, o bloco conta com um conjunto de medidas de segurança para o 5G. Esse mecanismo permite restringir a presença de fornecedores de países considerados de alto risco nas redes.
Segundo a aliança, não existe uma estrutura equivalente para roteadores. O grupo afirma que esses equipamentos transportam 93% do tráfego de internet europeu.
A iniciativa também envolve interesses comerciais dos quatro fabricantes. As empresas chinesas, concorrentes das integrantes da SAFENet, detêm cerca de 40% do mercado.
