O IoT na intimidade: a privacidade e segurança nos dispositivos íntimos
Rui Cruz
Há uma categoria de dispositivos IoT de que quase ninguém fala em conferências de segurança, e no entanto está em milhares de casas portuguesas: os produtos de bem-estar íntimo que funcionam com uma aplicação. Ligam-se por Bluetooth ao telemóvel, alguns passam pela Internet para permitir controlo à distância, guardam registos de utilização e dependem de servidores de um fabricante que muitas vezes fica fora da União Europeia. Tudo o que se aplica a uma câmara de vigilância ou a uma pulseira de fitness aplica-se aqui, com uma diferença: os dados em causa estão entre os mais sensíveis que existem.
O que muda quando um objeto pessoal passa a ter app
Um produto clássico deste género é um motor, uma bateria e um botão. Não tem endereço, não tem conta, não comunica com ninguém. A partir do momento em que ganha Bluetooth e uma aplicação, passa a ter pelo menos três camadas novas: a ligação de rádio entre o dispositivo e o telemóvel, a app com as permissões que pediu ao sistema operativo, e a conta na nuvem do fabricante, quase sempre obrigatória para funcionalidades como a partilha do controlo com outra pessoa.
Cada uma destas camadas pode falhar, e nos últimos anos todas falharam em produtos de marcas conhecidas. Não é teoria: são casos documentados por investigadores de segurança, tribunais e imprensa especializada.
Recebe novos posts por e-mail
Quatro casos que definiram o tema
O primeiro grande caso foi o da We-Vibe. Em 2017, a fabricante canadiana Standard Innovation aceitou pagar 3,75 milhões de dólares para encerrar uma ação coletiva nos Estados Unidos. A app We-Connect registava dados de utilização e as definições escolhidas, e enviava-os para os servidores da empresa associados ao e-mail do utilizador, sem consentimento explícito. Cerca de 300 mil compradores e 100 mil utilizadores da app estavam abrangidos. A empresa não admitiu culpa, mas comprometeu-se a deixar de recolher e-mails e a reescrever a política de privacidade.
No mesmo ano, a consultora britânica Pen Test Partners publicou uma investigação sobre Bluetooth Low Energy neste tipo de produtos. O problema era simples e grave: a maioria dos dispositivos não tinha PIN de emparelhamento, ou usava um PIN genérico. Os investigadores conseguiram detetar dispositivos ativos numa rua de Berlim, apenas a caminhar com um recetor Bluetooth, e ligar-se a eles como se fossem a app oficial. Chamaram à técnica “screwdriving”, por analogia com o “wardriving” das redes Wi-Fi.
Em 2020, a mesma equipa encontrou uma API aberta, sem autenticação, num dispositivo de bloqueio para adultos da marca Qiui, controlado por app. Quem conhecesse um código de convite de seis dígitos podia aceder aos dados de qualquer utilizador, incluindo a localização, e bloquear o dispositivo remotamente. O produto não tinha desbloqueio manual de emergência.
O caso mais recente é o da Lovense, uma das marcas mais vendidas nesta categoria. Em julho de 2025, o investigador conhecido como BobDaHacker tornou público que a plataforma permitia descobrir o e-mail associado a qualquer nome de utilizador e gerar tokens de sessão para entrar numa conta sem saber a password. Segundo o próprio investigador, parte destas falhas tinha sido reportada por outra investigadora em setembro de 2023, e a correção final só chegou quase dois anos depois.
O que estes casos têm em comum
Nenhuma destas falhas exigia um atacante sofisticado. Em todos os casos o fabricante tratou o produto como um objeto de consumo e não como um dispositivo ligado que trata dados de categoria especial. A conclusão prática é que a segurança de um destes produtos depende muito mais do fabricante e da sua app do que do objeto em si.
Por isso, na hora de comparar os vibradores com comando disponíveis no mercado, a marca e a aplicação que vem com eles merecem mais atenção do que qualquer especificação técnica do produto. Um fabricante que publica atualizações regulares, tem uma política de privacidade legível e responde a quem reporta falhas vale mais do que uma lista longa de funcionalidades.
E vale a pena lembrar que a maior parte dos brinquedos sexuais continua a não ter qualquer ligação ao telemóvel. Se o controlo à distância não te faz falta, um produto sem app elimina o problema pela raiz.
Que dados uma app destas pode recolher
Depende do fabricante, mas o conjunto habitual inclui: conta com e-mail, registos de utilização (datas, duração, definições), mensagens e chamadas entre utilizadores quando a app tem chat integrado, localização aproximada se a app pedir essa permissão, e identificadores do telemóvel. Em alguns casos, a app pede ainda acesso ao microfone e à câmara para funcionalidades de sincronização com som ou vídeo.
Ao abrigo do artigo 9.º do RGPD, os dados relativos à vida sexual de uma pessoa são dados de categoria especial, com um regime de proteção reforçado. Na prática, isso dá-te direito a saber exatamente o que é recolhido, a pedir o apagamento e a apresentar queixa junto da CNPD. Mas exercer esses direitos junto de um fabricante sediado fora da Europa é lento, e o melhor momento para decidir é antes da compra.
Aqui, a escolha da loja também conta. Uma loja portuguesa como a luxoseroticos.com, sujeita ao RGPD e à fiscalização da CNPD, indica na ficha de cada produto a marca e o tipo de ligação, o que permite confirmar antes de comprar se existe app, de quem é e se é obrigatória para o dispositivo funcionar.
Boas práticas antes e depois de comprar
| Momento | O que fazer |
|---|---|
| Antes de comprar | Confirmar a marca e se o dispositivo funciona sem app. Pesquisar o nome da marca com “vulnerability” ou “security” e ver se houve correções ou silêncio. Ler a política de privacidade da app, não só a da loja. |
| Ao instalar a app | Criar a conta com um e-mail dedicado, sem nome real. Recusar permissões que a função não exige (localização, contactos, microfone). Ativar a autenticação de dois fatores, se existir. |
| No emparelhamento | Fazer o emparelhamento em casa, não em espaços públicos. Desligar o Bluetooth do dispositivo quando não está a ser usado. |
| No controlo remoto | Partilhar o controlo apenas por convite direto e revogar o acesso no fim de cada sessão. Não usar chats integrados para conteúdo que não queres ver armazenado. |
| Manutenção | Manter a app e o firmware atualizados. Se o fabricante deixar de atualizar a app, tratar o dispositivo como inseguro. |
| Ao deixar de usar | Apagar a conta e pedir a eliminação dos dados por escrito, com referência ao artigo 17.º do RGPD. |
A privacidade da própria compra
O último ponto é o mais esquecido: a compra deixa rasto antes de o dispositivo se ligar a qualquer coisa. Ao escolher uma loja online para este tipo de produto, aplica os mesmos critérios que usarias para qualquer serviço que trata dados sensíveis: HTTPS em todas as páginas, dados da empresa e NIF visíveis, uma política de privacidade que diga quanto tempo guardam o histórico de compras, descrição neutra no extrato bancário e embalagem sem referência ao conteúdo. Uma conta de cliente com o mínimo de dados, ou a compra como convidado quando existe, também reduz a exposição. E uma loja sediada em Portugal simplifica qualquer pedido de acesso ou apagamento, porque responde perante a CNPD.
Não é preciso desistir da tecnologia para proteger a intimidade. É preciso tratar estes dispositivos com a mesma desconfiança saudável com que tratas uma lâmpada inteligente ou uma coluna com microfone: saber quem fez a app, o que recolhe e como sair quando quiseres.