Você comprou uma lâmpada Wi-Fi de R$ 40, conectou no app, configurou cor RGB e esqueceu. Ela tá lá no teto, obediente, mudando de cor conforme seu humor. O que você não sabe é que essa mesma lâmpada pode estar participando de um ataque DDoS contra um banco na Europa agora. E não é exagero — é literalmente o que aconteceu com o botnet Mirai.
IoT (Internet of Things) explodiu. Câmeras IP, lâmpadas, tomadas, fechaduras, sensores de temperatura, assistentes de voz. Bilhões de dispositivos conectados. E a esmagadora maioria tem segurança zero — senhas padrão hardcoded, firmware sem atualização, comunicação sem criptografia. Cada dispositivo IoT na sua rede é um potencial ponto de entrada pra atacantes.
Mas você pode resolver isso. E como maker, você tem mais controle do que o consumidor médio.
O Que Foi o Mirai e Por Que Você Deveria se Importar
Em 2016, o botnet Mirai derrubou a Dyn, uma das maiores provedoras de DNS do mundo. Resultado: Twitter, Netflix, Reddit, Spotify e dezenas de outros serviços ficaram offline em boa parte dos EUA por horas. O ataque veio de milhões de dispositivos IoT infectados — câmeras IP, roteadores domésticos, DVRs. Dispositivos que tinham senhas padrão como admin/admin e root/12345, hardcoded no firmware, impossíveis de trocar sem atualização.
O código do Mirai vazou no GitHub logo depois. Desde então, dezenas de variantes surgiram — e continuam ativas. Em 2024, pesquisadores identificaram mais de 100.000 dispositivos IoT vulneráveis sendo explorados ativamente. Seu roteador da operadora, aquela câmera IP genérica do AliExpress e seu ESP32 com firmware desatualizado são alvos reais, hoje.
O problema não é o hardware — ESP32, ESP8266, Raspberry Pi são plataformas seguras quando configuradas corretamente. O problema é o firmware que vem de fábrica, feito por fabricantes que priorizam custo sobre segurança e nunca lançam atualização.
A Solução: Segmente Sua Rede com VLANs
A regra de ouro da segurança de rede é segmentação: dispositivos de confiança (seu PC, celular, NAS) numa rede; dispositivos não-confiáveis (IoT, visitantes, dispositivos “espertos” chineses) em outra. E elas não se falam a menos que você explicitamente permita.
VLANs (Virtual LANs) fazem isso. Com um switch gerenciável e um firewall decente, você cria redes virtuais isoladas que compartilham o mesmo cabeamento físico, mas são logicamente separadas — como se fossem redes físicas diferentes.
Pra isso você precisa de um roteador/firewall que suporte VLANs. As melhores opções gratuitas e open source:
- pfSense: Firewall baseado em FreeBSD, interface web completa, anos de estabilidade. Roda em hardware x86 dedicado (qualquer PC antigo com duas placas de rede serve) ou em appliances como Netgate, Protectli. Suporte nativo a VLAN, VPN (OpenVPN, WireGuard, IPsec), IDS/IPS (Snort/Suricata), DNS filtering (pfBlockerNG).
- OPNsense: Fork do pfSense com foco em usabilidade e atualizações mais frequentes. Interface mais moderna, mesmo conjunto de funcionalidades. Prefiro OPNsense hoje pela cadência de atualizações de segurança (semanal) e integração nativa com WireGuard.
Hardware sugerido: qualquer mini PC com CPU Intel N100/N150 (R$ 500-800 no AliExpress) + 8 GB RAM + SSD 128 GB + duas portas Ethernet (WAN e LAN). Marcas: Topton, CWWK, Protectli. Ou recicle um PC antigo — um Core i3 de terceira geração já sobra pra firewall doméstico.
No Brasil, switches gerenciáveis com suporte a VLAN 802.1Q acessíveis: TP-Link TL-SG105E (5 portas, ~R$ 150), TL-SG108E (8 portas, ~R$ 220). Ambos na Eletrogate ou mercado livre. Pra Wi-Fi com VLAN: access points como TP-Link EAP610 ou Ubiquiti UniFi U6 Lite — cada SSID mapeado pra uma VLAN diferente.
Tutorial: Isolando Sua Rede IoT
Vamos criar uma VLAN dedicada pra IoT e isolar completamente dos seus dispositivos principais:
1. No OPNsense (ou pfSense): Interfaces → Assignments → VLANs. Crie uma VLAN com tag 20 (exemplo) na interface LAN. Depois em Interface Assignments, atribua essa VLAN a uma nova interface (ex: OPT1), habilite e configure IP (ex: 192.168.20.1/24). Ative DHCP nessa interface — os dispositivos IoT vão receber IP automaticamente.
2. No switch gerenciável: Na porta onde o access point IoT está conectado, configure como “tagged” (trunk) pra VLAN 20. Na interface web do switch TP-Link: VLAN → 802.1Q VLAN, selecione a porta, marque como tagged na VLAN 20. Isso permite que o tráfego da VLAN IoT passe por essa porta junto com o tráfego da VLAN principal.
3. Regras de Firewall: No OPNsense, Firewall → Rules → OPT1 (sua VLAN IoT). Regra padrão: permitir tráfego da VLAN IoT pra internet (any destination), mas BLOQUEAR tráfego da VLAN IoT para a LAN (RFC 1918 — redes privadas). Isso significa que suas lâmpadas e câmeras acessam internet (pra funcionar com apps), mas não conseguem alcançar seu PC, NAS ou celular.
Pra você acessar dispositivos IoT da LAN principal (ex: dashboard do Home Assistant): crie uma regra na interface LAN permitindo tráfego com destino à VLAN IoT. Conexão é iniciada da LAN (confiável) pra IoT (não-confiável), nunca o contrário.
4. Isolamento de ESP32: Se você programa ESP32 no Arduino IDE ou PlatformIO, garanta: senha Wi-Fi única (não a mesma da rede principal), OTA (Over-The-Air updates) habilitado com senha, desabilite Telnet e debug serial em produção, use HTTPS pra qualquer chamada de API externa (WiFiClientSecure no ESP32).
5. VPN Pra Acesso Remoto: Nunca exponha portas de dispositivos IoT diretamente na internet. Use VPN: configure WireGuard no OPNsense, conecte do celular/pc quando estiver fora de casa, e acesse tudo como se estivesse na rede local. O OPNsense tem wizard de WireGuard — em 10 minutos tá funcionando.
Além da Rede: Segurança no Firmware
Pra dispositivos que você mesmo programa (ESP32, ESP8266, RP2040 com Wi-Fi):
- Nunca hardcode credenciais no código — use um portal cativo (WiFiManager) ou armazene em NVS (Non-Volatile Storage) criptografado
- Implemente OTA updates com autenticação — é irritante ter que desmontar o dispositivo fisicamente pra atualizar firmware
- Use HTTPS/TLS pras comunicações (o ESP32 tem hardware acceleration pra TLS 1.2/1.3, use mbedTLS ou WolfSSL)
- Habilite Secure Boot e Flash Encryption no ESP32 (via menuconfig do ESP-IDF)
- Não confie em respostas de sensores sem validação — um atacante pode spoofar dados na rede local
Segurança de IoT não é paranoia. É responsabilidade. Cada dispositivo conectado é um nó na sua rede — e você decide se ele é um aliado ou uma porta aberta.