A história do botnet de três milhões de escovas de dentes não é verdadeira
Uma alegação amplamente divulgada de que três milhões de escovas de dentes conectadas à internet foram sequestradas em um botnet de DDoS agora parece ser falsa ou, no mínimo, totalmente não comprovada. Comentadores rastreiam a história até um pequeno artigo de um jornal suíço citando a Fortinet, observam que um botnet tão massivo teria sido um grande evento de segurança bem documentado e destacam declarações posteriores indicando mistradução ou falha de comunicação. O episódio é usado para ilustrar como histórias sensacionalistas de segurança em IoT podem se espalhar pela mídia com mínima verificação, mesmo enquanto preocupações genuínas com dispositivos conectados inseguros permanecem.
Veracidade da história do botnet das escovas de dentes
- Muitos comentaristas duvidam da história: um botnet de escovas de dentes em Java com 3 milhões de dispositivos causando DDoS e “milhões em danos” por 4 horas de indisponibilidade parece implausível e pouco divulgado para um evento desse tamanho.
- Alguns observam que a única “fonte” é um breve exemplo em um jornal regional suíço, não um relatório técnico, o que enfraquece ainda mais a credibilidade.
- Outros citam reportagens posteriores e declarações da Fortinet indicando que o incidente não aconteceu de fato, apesar de o jornal tratá-lo como real.
- Também há menção de que a Fortinet inicialmente deixou a ideia de um “caso real” sem contestação e só mais tarde culpou um “problema de tradução”, o que alguns consideram suspeito.
Viabilidade técnica (Java e restrições de IoT)
- Vários participantes discutem se Java em uma escova de dentes é algo realista.
- São dados exemplos de dispositivos muito pequenos executando variantes limitadas de Java (Java ME, JavaCard, SIM cards, smartcards) e até suporte de hardware para bytecode Java em alguns chips ARM.
- O consenso: Java em um dispositivo do porte de uma escova de dentes é tecnicamente possível, mas um botnet de escovas de dentes com 3 milhões de dispositivos e capacidade IP continua duvidoso.
Conectividade das escovas de dentes e viabilidade de DDoS
- Muitos observam que a maioria das escovas de dentes “inteligentes” de consumo usa Bluetooth (muitas vezes por meio de um app no telefone) em vez de Wi‑Fi, o que torna improvável a participação direta em DDoS.
- Alguns apontam que existem alguns produtos de escovas de dentes com Wi‑Fi, mas não está claro se são milhões em uso.
- É citada uma apresentação de pesquisa da Fortinet descrevendo uma escova de dentes BLE que só alcança a nuvem por meio de um app móvel, não diretamente.
Fontes da mídia, tradução e o papel da Fortinet
- A cadeia foi: artigo em suíço-alemão → repercussão na imprensa de tecnologia (por exemplo, Tom’s Hardware) → viralização nas redes sociais.
- Há debate sobre a tradução de uma frase-chave em alemão: o artigo afirma explicitamente que o cenário “de fato aconteceu”, e não apenas que era hipotético.
- Reportagens suíças posteriores afirmam que representantes locais da Fortinet descreveram isso como um ataque real e que o texto pré-publicação mencionando um caso real não foi contestado.
- Outros argumentam que falha de comunicação interna e checagem de fatos ruim são mais prováveis do que fabricação deliberada.
Temas mais amplos de IoT, privacidade e regulação
- Os comentaristas destacam riscos reais de IoT: dispositivos inseguros, falta de atualizações e potencial para DDoS a partir de outros tipos de dispositivos (tomadas, lâmpadas, TVs, geladeiras).
- Alguns conectam a história viral à crescente pressão regulatória na UE e nos EUA sobre cibersegurança de IoT.
- Prompts de localização de apps de escovas de dentes são discutidos como um efeito colateral das permissões de Bluetooth e de possível rastreamento, não necessariamente como exfiltração intencional.