O que o Ministério da Defesa descobriu

O correspondente de defesa do Telegraph, Richard Holmes, noticiou em 9 de agosto de 2026 que as câmaras de vigilância instaladas nos drones marítimos K3 Scout da Royal Navy, usados pelos Royal Marines e estreitamente ligados a operações do Special Boat Service a partir de Poole, continham componentes fabricados na China que enviavam "comunicações heartbeat" para um dispositivo na China. Um porta-voz do Ministério da Defesa confirmou o essencial da história: as transmissões foram detetadas durante uma "avaliação de rotina de vulnerabilidade cibernética" da frota K3, e a informação trocada apenas confirmava que a câmara estava online e a funcionar, sem dados operacionais. Após a descoberta, o MoD retirou toda a conectividade à internet das câmaras afetadas.

A posição oficial do MoD, repetida a vários órgãos de comunicação, é que uma investigação subsequente não encontrou provas de que dados ou sistemas do MoD tivessem sido acedidos, comprometidos ou transmitidos para o exterior. Trata-se de uma afirmação mais limitada do que dizer que os componentes eram seguros: confirma a ausência de exfiltração conhecida, não que o comportamento de ligar para casa fosse intencional, divulgado ou alguma vez previsto.

A frota de 12 milhões de libras por detrás do Project Beehive

O K3 Scout é um veículo de superfície não tripulado de 8,4 metros construído pela Kraken Technology Group, uma empreiteira de defesa britânica sediada em Fareham, Hampshire. A Royal Navy contratou a Kraken para fornecer 20 unidades K3 Scout e os respetivos sistemas de controlo em terra no âmbito do Project Beehive, um programa para integrar embarcações não tripuladas de alta velocidade nas operações da frota; as embarcações podem transportar cargas de sensores, carga ou armamento e foram também testadas em ensaios como um lançamento aéreo a partir de um A400M da Royal Air Force. A frota, avaliada em 12 milhões de libras, está ao serviço dos Royal Marines desde março de 2026, com algumas unidades reportadamente destinadas a uma missão no Golfo para proteger a navegação no Estreito de Ormuz.

A Kraken Technology Group declarou aos jornalistas que as câmaras cumpriam a norma NDAA - o padrão norte-americano de contratação de defesa que exclui determinados fornecedores chineses -, mas admitiu que as unidades continham "um pequeno número de componentes de fora do Reino Unido", que afirmou terem sido adquiridos a um fornecedor terceiro que tinha dado garantias de segurança. A Kraken sustentou que nenhuma informação sensível tinha sido partilhada.

Onde a cadeia de garantias realmente falhou

A cadeia tem aqui três elos: a Kraken construiu e vendeu o K3 Scout à Royal Navy; a Kraken comprou o módulo de câmara a um fornecedor terceiro; esse fornecedor deu à Kraken garantias de segurança sobre o componente. Nenhuma dessas garantias detetou o tráfego heartbeat antes de as embarcações entrarem em serviço. Só veio a público cerca de cinco meses depois do início do uso operacional, quando o MoD realizou uma avaliação de rotina de vulnerabilidade cibernética - o tipo de verificação que ocorre periodicamente, não o tipo integrado na aceitação do componente de um novo fornecedor.

A ministra-sombra da segurança, Alicia Kearns, declarou que o episódio mostra como as vulnerabilidades da cadeia de fornecimento podem minar a capacidade de defesa soberana mesmo quando o empreiteiro principal é britânico e uma norma de conformidade (NDAA) foi formalmente cumprida. É precisamente isso que a documentação de conformidade não capta: um componente pode cumprir uma norma nomeada e uma garantia escrita de um fornecedor e, ainda assim, comportar-se, em produção, de uma forma que ninguém, a montante, testou ou divulgou.

O que isto significa para empresas da UE e do Reino Unido além da defesa

Isto não é apenas um problema do Ministério da Defesa. Os módulos de câmara e sensor fabricados na China estão presentes numa enorme variedade de equipamento comercial comprado por empresas comuns da UE e do Reino Unido: câmaras de segurança, sistemas de controlo de acesso, sensores de edifícios inteligentes, equipamento de monitorização industrial, até quiosques voltados para o público. O caso do K3 Scout mostra que uma garantia documental de um fornecedor - "conforme com a NDAA", "nenhum dado sensível partilhado", um questionário de segurança assinado - não é o mesmo que a afirmação "testámos o que este dispositivo realmente faz na rede", e as duas coisas podem divergir sem que ninguém na cadeia se aperceba, até uma auditoria independente o descobrir por acaso.

Ao abrigo da NIS2, as entidades essenciais e importantes em toda a UE (energia, saúde, infraestruturas digitais, fabricantes de produtos críticos e mais) têm uma obrigação explícita de gestão de risco da cadeia de fornecimento: o artigo 21(2)(d) exige a avaliação das práticas de segurança de fornecedores diretos e prestadores de serviços, não apenas a sua documentação. Em Portugal, essa obrigação traduz-se na transposição da NIS2, com o Centro Nacional de Cibersegurança (CNCS) como autoridade de referência para as entidades abrangidas. O episódio da Royal Navy é uma ilustração concreta de por que essa obrigação deveria traduzir-se num passo técnico, não apenas contratual. Uma equipa de compras que queira evitar descobrir o seu próprio problema de "heartbeat" cinco meses depois da entrada em funcionamento deveria exigir, antes da implementação, uma captura independente do tráfego de rede de qualquer módulo de câmara, sensor ou IoT de terceiros - verificando para onde este realmente se liga, não apenas o que o fornecedor afirma que não faz. O Reino Unido está fora da jurisdição da NIS2, mas enfrenta a mesma exposição prática, razão pela qual o seu próprio NCSC publicou orientações semelhantes sobre garantias da cadeia de fornecimento por este mesmo motivo.

Leia a seguir: Rode cada chave de CI usada a 4 de agosto  |  A correção assina ficheiros novos, não o seu arquivo