A FCC mete todos os roteadores estrangeiros em sua lista de segurança e redefine o mercado de hardware de rede

A Comissão Federal das Comunicações dos Estados Unidos (FCC) deu um passo que muda o mapa do mercado de hardware de rede: atualizou seu "Covered List" para incluir todos os roteadores de consumo fabricados no exterior, o que, na prática, proíbe a venda de novos modelos importados em território norte-americano, excepto que obtenham uma aprovação excepcional. Trata-se de uma medida que procura reduzir riscos à segurança nacional, mas que também coloca incógnitas para consumidores, fabricantes e fornecedores de serviços.

Para entender o alcance, é preciso lembrar o quadro legal: a “Covered List” faz parte do Secure and Trusted Communications Networks Act de 2019, a lei que ordenou identificar e restringir equipamentos e serviços de comunicações que representem um risco inaceitável para as redes e infraestruturas do país. A FCC mantém essa lista e, até agora, incluía produtos e assinaturas concretas que haviam sido vinculadas a problemas de segurança, como Huawei, ZTE, Kaspersky, Hikvision ou Dahua. A explicação oficial e o conteúdo histórico da lista na página da FCC sobre a Covered List https://www.fcc.gov/general/covered-list e na legislação da lei Secure and Trusted Communications Networks Act (texto legal).

A decisão de colocar de cheio todos os roteadores estrangeiros na lista não foi arbitrária: apoiou-se em uma Avaliação de Segurança Nacional emitida por um grupo interinstitucional do Executivo. Esse documento conclui que os roteadores produzidos fora dos Estados Unidos representam um vetor de risco na cadeia de fornecimento capaz de interromper a economia, infraestrutura crítica e capacidades de defesa. O próprio relatório da FCC que acompanha a atualização detalha incidentes em que roteadores de origem estrangeira facilitaram campanhas de intrusão que afetaram sistemas essenciais, fornecendo exemplos que as agências consideram probatórios da ameaça; o relatório está disponível na publicação da FCC sobre a Determinação de Segurança Nacional https://www.fcc.gov/sites/default/files/NSD-Routers0326.pdf e no documento que explica as razões para a inclusão https://docs.fcc.gov/public/attachments/DOC-420034A1.pdf.

É importante matizar como a proibição é implementada. Não se trata de que os roteadores que já existem em lojas ou redes sejam imediatamente retirados: os dispositivos presentes no mercado continuarão a ser legais. A medida afecta a venda de modelos novos fabricados no estrangeiro. Além disso, a FCC abriu uma via alternativa para que fabricantes estrangeiros possam solicitar uma aprovação condicionada, desde que aceitem transparência extrema sobre sua estrutura corporativa, cadeias de fornecimento, propriedade intelectual e planos para transportar os EUA. Os EUA, a produção de componentes críticos. O guia para solicitar essas aprovações condicionadas está publicado pela própria agência e explica os requisitos de documentação e as expectativas sobre onshoring de manufatura https://www.fcc.gov/sites/default/files/Guidance-for-Conditional-Approvals-Submissions0326.pdf.

Também existem exceções muito concretas: a FCC concedeu aprobações condicionadas a certas unidades de roteadores empregadas pelo Departamento da Guerra e pelo Departamento de Segurança Nacional em sistemas de veículos aéreos não tripulados, determinando que esses usos específicos não apresentam o mesmo risco que o mercado de consumo geral. Para atualizações de software e firmware em componentes críticos de sistemas UAS (drones), a agência autorizou a possibilidade de atualizações até, pelo menos, 1 de janeiro de 2027, dando uma margem operacional a operadores e fabricantes, enquanto se ajusta a regulamentação.

Se falamos de impacto real para o público, usuários domésticos não verão mudanças imediatas ao conectar seu roteador atual. No entanto, a porta que permite que novos modelos cheguem às lojas se estreita: o processo de certificação, a obrigação de revelar dados da cadeia de fornecimento e a exigência de onshoring podem encarecer e atrasar a entrada de equipamentos. Os custos e a complexidade administrativa poderiam levar alguns fabricantes a decidir que não vale a pena competir no mercado dos EUA, o que reduziria a variedade de modelos disponíveis e, potencialmente, pressionaria os preços.

Do ponto de vista técnico, a lógica do regulador tem base: o roteador é o primeiro ponto de contato entre a rede doméstica e o resto da Internet. Se o seu firmware ou seus componentes tiverem portas traseiras, vulnerabilidades intencionais ou compromissos na cadeia de abastecimento, um atacante pode obter acesso persistente a redes domésticas, pequenas empresas ou mesmo intermediar ataques para infra-estruturas mais críticas. Por isso, as exigências da FCC não só pedem transparência empresarial, mas detalhes técnicos: listas de materiais, origem de cada componente, quem possui o software e onde a equipe é montada.

A medida também reflecte uma tendência mais elevada na política tecnológica: as autoridades procuram reduzir a dependência tecnológica de fornecedores estrangeiros em elementos sensíveis da infra-estrutura, uma preocupação que se intensificou desde 2019 e que levou a outras acções regulamentares e sanções. Para quem quiser aprofundar a descrição técnica e política da medida, a FCC publicou os fundamentos e anexos com exemplos e evidências coletadas por agências de inteligência e segurança http://docs.fcc.gov/public/attachments/DA-26-278A1.pdf.

A nível industrial, as reações previsíveis vão desde esforços de cumprimento e reengenharia de cadeias de abastecimento até litígios ou pressão diplomática. Empresas com capacidade de deslocar parte da sua produção para os Estados Unidos ou parceiros de confiança poderiam se adaptar; outras, sem essa flexibilidade, poderiam abandonar o mercado norte-americano. A FCC deixou claro que não pretende fechar a porta com chave, mas condicionar o acesso em função do grau de transparência e a mitigação do risco.

Para os consumidores que querem antecipar-se a possíveis efeitos secundários, o razoável é monitorar políticas de garantia e atualizações do fabricante antes de comprar um novo aparelho, e, sempre que possível, manter o firmware atualizado e aplicar boas práticas de segurança em casa: mudar senhas por defeito, segregar dispositivos IoT em uma rede separada e ativar criptografia e autenticação robusta.

Em suma, a inclusão massiva de roteadores estrangeiros na “Covered List” é uma jogada ambiciosa de segurança nacional que busca fechar vetores de risco em larga escala, mas que também introduz frições comerciais e de fornecimento. O balanço entre a protecção das infra-estruturas críticas e a manutenção de um mercado competitivo e acessível será o enredo a seguir nos próximos meses: monitorizar os pedidos de aprovação condicionada, as respostas dos fabricantes e as decisões da FCC oferecerão uma visão clara de se esta medida conseguir o seu objectivo sem encarecer nem empobrecer a experiência digital dos utilizadores.