Dispozitive conectate abandonate de producător: cine răspunde pentru camerele și routerele rămase fără actualizări?

Un router wireless cumpărat în urmă cu șase ani poate funcționa impecabil, oferind aceeași conexiune stabilă la internet ca în prima zi. O cameră de supraveghere instalată în curtea casei poate transmite în continuare imagini la rezoluție Full HD, iar un sistem de alarmă inteligent poate trimite notificări pe telefon fără întârzieri. Din perspectiva utilizatorului, nu există niciun motiv evident pentru înlocuirea acestor echipamente. Din perspectiva securității cibernetice, însă, situația poate fi complet diferită.

Problema apare atunci când producătorul încetează să mai ofere actualizări software, deși dispozitivul continuă să funcționeze. Vulnerabilitățile descoperite ulterior rămân necorectate, iar echipamentul poate deveni o poartă de acces pentru atacatori. Este o formă de uzură invizibilă, care transformă produse perfect funcționale în potențiale amenințări informatice.

În 2026, problema dispozitivelor conectate abandonate de producători devine și una juridică. Uniunea Europeană introduce obligații tot mai clare privind securitatea produselor digitale, durata asistenței software și responsabilitatea companiilor. Întrebarea fundamentală rămâne însă cine suportă consecințele atunci când un produs cumpărat legal, utilizat corect și aflat încă în stare bună devine nesigur din cauza deciziei producătorului de a întrerupe actualizările.

De ce un dispozitiv care funcționează perfect poate deveni periculos

Spre deosebire de echipamentele electronice tradiționale, dispozitivele conectate la internet depind de un ecosistem software aflat într-o permanentă schimbare. Routerele, camerele IP, televizoarele inteligente, sistemele de automatizare a locuinței și chiar unele electrocasnice includ sisteme de operare, servicii de rețea și componente software dezvoltate de terți. Fiecare dintre acestea poate conține vulnerabilități care nu erau cunoscute în momentul comercializării.

Actualizările de firmware nu sunt, așadar, simple îmbunătățiri de performanță sau instrumente prin care producătorii adaugă funcționalități. În numeroase situații, ele reprezintă singura metodă eficientă de eliminare a unor probleme de securitate care permit accesul neautorizat la dispozitiv, interceptarea comunicațiilor sau executarea unor comenzi de la distanță.

Un exemplu relevant îl reprezintă routerele care nu mai primesc actualizări, dar rămân conectate permanent la internet. Dacă o vulnerabilitate permite preluarea controlului asupra acestora, atacatorii pot modifica setările DNS, intercepta anumite comunicații sau integra echipamentele compromise în rețele de dispozitive controlate de la distanță, cunoscute sub denumirea de botneturi.

Riscul nu este doar teoretic. În mai 2025, FBI a avertizat asupra exploatării routerelor ajunse la sfârșitul perioadei de suport, unele fiind compromise prin variante ale malware-ului TheMoon. Infractorii foloseau aceste echipamente pentru servicii proxy, redirecționând trafic prin conexiunile victimelor și ascunzând astfel originea activităților ilegale. Proprietarii puteau continua să navigheze pe internet fără să observe că dispozitivele lor erau utilizate de alte persoane.

Vezi și:

Supravegherea video merge oriunde este nevoie: 5 avantaje ale sistemelor mobile Axis disponibile prin ELKO

Synology lansează FC600, camera fisheye care oferă supraveghere la 360 de grade și analiză AI direct pe dispozitiv

În aprilie 2026, Departamentul american al Justiției a anunțat o operațiune împotriva unei infrastructuri de routere compromise, exploatate de atacatori asociați serviciilor de informații militare ruse. Investigația a evidențiat inclusiv modificarea setărilor DNS pentru redirecționarea traficului către servere controlate de atacatori.

În cazul camerelor de supraveghere, consecințele pot fi și mai grave pentru viața privată. O vulnerabilitate poate permite accesul neautorizat la imaginile transmise, la înregistrările stocate sau la funcțiile de administrare. În funcție de arhitectura dispozitivului, compromiterea acestuia poate facilita și atacarea altor echipamente conectate la aceeași rețea.

Absența actualizărilor nu înseamnă automat că un dispozitiv este deja compromis. Înseamnă însă că vulnerabilitățile descoperite ulterior ar putea rămâne definitiv necorectate. Cu cât echipamentul este mai expus internetului și gestionează informații mai sensibile, cu atât consecințele potențiale sunt mai importante.

Cine este responsabil în România: producătorul, magazinul sau utilizatorul

Din perspectiva consumatorului român, răspunsul este mai complicat decât ar putea părea. Responsabilitatea depinde de momentul cumpărării, obligațiile asumate contractual, natura produsului, perioada pentru care actualizările puteau fi așteptate în mod rezonabil și legislația aplicabilă.

OUG 140/2021, care transpune în legislația națională Directiva europeană 2019/771, conține prevederi importante privind bunurile cu elemente digitale. Actul normativ stabilește că vânzătorul trebuie să se asigure că utilizatorul este informat și primește actualizările necesare pentru menținerea conformității produsului, inclusiv actualizări de securitate.

Această obligație poate exista pentru o perioadă pe care consumatorul se poate aștepta în mod rezonabil să beneficieze de actualizări, ținând cont de natura și scopul produsului. În cazul serviciilor digitale furnizate continuu, perioada relevantă depinde și de durata contractuală a furnizării.

Distincția este esențială deoarece garanția legală obișnuită de conformitate, asociată în general unei perioade de doi ani, nu reprezintă automat limita absolută a obligațiilor privind actualizările de securitate. În anumite circumstanțe, acestea pot fi necesare pentru o perioadă mai lungă, însă durata concretă trebuie evaluată în funcție de produs și de contract.

Un router profesional comercializat pentru utilizare îndelungată poate genera așteptări diferite față de un dispozitiv simplu, destinat unei utilizări limitate. La fel, un sistem de supraveghere instalat permanent într-o locuință ridică probleme diferite față de un accesoriu conectat, ieftin și cu o durată de viață redusă.

Un aspect mai puțin cunoscut este că, potrivit legislației privind conformitatea bunurilor, relația juridică principală a consumatorului este cu vânzătorul. Dacă un dispozitiv devine neconform pentru că nu mai primește actualizările necesare, magazinul poate fi cel căruia i se solicită remedierea situației, în condițiile legii. Ulterior, acesta poate avea dreptul să se îndrepte împotriva producătorului sau a altor operatori din lanțul comercial.

Remediile pot include repararea, înlocuirea, reducerea proporțională a prețului sau încetarea contractului, în funcție de împrejurări și de condițiile legale aplicabile. Nu orice întrerupere a actualizărilor justifică automat returnarea produsului, mai ales când perioada rezonabilă de suport s-a încheiat.

Consumatorul are, la rândul său, anumite responsabilități. Dacă producătorul furnizează o actualizare necesară, informează utilizatorul despre disponibilitatea acesteia și despre consecințele neinstalării, iar utilizatorul refuză să o instaleze într-un termen rezonabil, răspunderea vânzătorului poate fi limitată pentru neconformitățile cauzate exclusiv de această omisiune. Condiția este ca problema să nu provină din instrucțiuni de instalare defectuoase.

Pentru routerele oferite de operatorii de telecomunicații, trebuie analizat și contractul de furnizare a serviciilor. Atunci când echipamentul este administrat de furnizorul de internet, responsabilitatea pentru configurare și actualizări poate reveni operatorului, în limitele obligațiilor sale contractuale și legale. Situația diferă dacă utilizatorul își cumpără propriul router și îl administrează independent.

În cazul unei neconformități, consumatorul se poate adresa vânzătorului și, atunci când sunt încălcate drepturile prevăzute de legislația privind protecția consumatorilor, poate sesiza ANPC. Recuperarea eventualelor prejudicii provocate de un incident cibernetic reprezintă însă o problemă juridică separată, care presupune inclusiv stabilirea răspunderii și a legăturii dintre vulnerabilitate și paguba produsă.

Uniunea Europeană schimbă regulile: actualizările de securitate devin o obligație explicită

Una dintre cele mai importante schimbări legislative pentru industria dispozitivelor conectate este Cyber Resilience Act, Regulamentul european 2024/2847. Adoptat în 2024, acesta introduce cerințe obligatorii de securitate cibernetică pentru o gamă extinsă de produse cu elemente digitale, de la echipamente hardware până la anumite categorii de software.

Principiul central este că securitatea trebuie integrată încă din proiectarea produsului și menținută pe parcursul perioadei de utilizare pentru care producătorul are obligația să ofere suport. Companiile nu mai pot trata protecția împotriva vulnerabilităților exclusiv ca pe un serviciu suplimentar, oferit în funcție de prioritățile comerciale.

Regulamentul stabilește, în general, o perioadă minimă de suport pentru gestionarea vulnerabilităților de cinci ani. Există o excepție pentru produsele a căror durată de utilizare preconizată este mai mică de cinci ani, caz în care perioada de suport trebuie să corespundă duratei estimate de utilizare. În stabilirea acesteia contează inclusiv natura produsului și așteptările rezonabile ale utilizatorilor.

Un element important pentru cumpărători este obligația producătorilor de a comunica în mod clar data până la care produsul beneficiază de suport. Astfel, durata actualizărilor de securitate ar trebui să devină un criteriu concret de comparație între dispozitive, alături de performanță, consum energetic sau caracteristicile hardware.

Calendarul implementării trebuie însă înțeles corect. Majoritatea cerințelor Cyber Resilience Act se vor aplica începând cu 11 decembrie 2027. Prin urmare, în octombrie 2026, noul regulament nu impune încă întregul său set de obligații pentru toate dispozitivele conectate comercializate în Uniunea Europeană.

O componentă importantă a devenit deja aplicabilă la 11 septembrie 2026. Producătorii au obligația să raporteze vulnerabilitățile exploatate activ și incidentele grave care afectează securitatea produselor digitale. Regulile prevăd o avertizare inițială în termen de 24 de ore de la luarea la cunoștință și o notificare mai completă în 72 de ore, urmate de raportările finale aplicabile fiecărui tip de situație.

Notificările sunt transmise printr-o platformă europeană administrată de ENISA, agenția Uniunii Europene pentru securitate cibernetică, în colaborare cu echipele naționale de răspuns la incidente informatice.

În paralel, anumite categorii de echipamente radio conectate sunt deja supuse unor cerințe europene de securitate introduse prin Directiva privind echipamentele radio și Regulamentul delegat 2022/30, aplicabile din august 2025. Acestea urmăresc inclusiv protecția rețelelor, a datelor personale și prevenirea fraudelor. Regimul urmează să fie înlocuit, în domeniul securității cibernetice, de cadrul Cyber Resilience Act în decembrie 2027.

Există totuși o limitare importantă. Noile cerințe nu obligă automat fiecare producător să reia actualizările pentru toate dispozitivele vechi, retrase de mult timp din fabricație. Regulamentul include dispoziții tranzitorii pentru produsele introduse pe piață înainte de aplicarea integrală, iar obligațiile de raportare sunt distincte de cele generale privind proiectarea și suportul produselor.

Cu alte cuvinte, legislația europeană urmărește să prevină apariția unor noi generații de dispozitive abandonate prematur, fără să rezolve automat situația milioanelor de echipamente care există deja în locuințele și companiile europene.

Ce poți face cu un router sau o cameră fără actualizări și când trebuie înlocuite

Primul pas este identificarea exactă a modelului și a versiunii de firmware. Numeroși producători publică informații despre sfârșitul perioadei de suport, uneori folosind denumiri precum End of Life sau End of Support. Cele două concepte nu sunt întotdeauna echivalente. Retragerea unui produs de la vânzare nu înseamnă neapărat întreruperea imediată a actualizărilor.

Dacă un dispozitiv nu mai beneficiază de suport, dar continuă să fie utilizat, riscul poate fi redus prin limitarea expunerii sale la internet. În cazul routerelor, dezactivarea administrării de la distanță, eliminarea redirecționărilor inutile de porturi și oprirea funcției UPnP, atunci când aceasta nu este necesară, pot reduce suprafața de atac.

Schimbarea parolelor implicite și folosirea unor parole unice rămân măsuri importante, dar nu înlocuiesc actualizările de securitate. O parolă complexă nu poate elimina o vulnerabilitate care permite executarea de comenzi fără autentificare.

Pentru camerele IP, o soluție este izolarea lor într-o rețea separată, fără acces direct la celelalte dispozitive din locuință. Unele routere permit configurarea unor rețele pentru echipamente IoT sau a unor segmente VLAN. Totuși, o rețea pentru oaspeți nu asigură automat izolarea completă, iar eficiența măsurii depinde de configurarea efectivă.

Camerele compatibile cu înregistrarea locală pot fi utilizate, în anumite condiții, fără acces permanent la serviciile cloud ale producătorului. Această abordare reduce dependența de infrastructura externă, dar nu elimină vulnerabilitățile existente în firmware și nici riscurile din interiorul rețelei locale.

În cazul anumitor routere, instalarea unui firmware alternativ, precum OpenWrt, poate prelungi durata de utilizare prin oferirea unor actualizări independente de producător. Soluția este însă disponibilă numai pentru modele compatibile, necesită cunoștințe tehnice și poate implica riscul de a face dispozitivul inutilizabil în urma unei instalări greșite. Nu reprezintă o alternativă universală pentru orice echipament abandonat.

Înlocuirea devine opțiunea mai sigură atunci când dispozitivul are vulnerabilități cunoscute, nu mai primește remedieri, nu poate fi izolat corespunzător sau îndeplinește funcții critice. Un router care controlează accesul întregii locuințe la internet și o cameră care monitorizează spații private justifică o abordare mai prudentă decât un dispozitiv conectat cu funcționalitate limitată.

La cumpărarea unui echipament nou, perioada garantată de actualizări ar trebui verificată înaintea unor caracteristici secundare, precum numărul funcțiilor inteligente sau integrarea cu asistenți vocali. Contează și istoricul producătorului în remedierea vulnerabilităților, posibilitatea administrării locale și existența unor mecanisme automate de actualizare.

Înainte de eliminarea unui produs vechi, este importantă ștergerea configurației, eliminarea conturilor asociate și resetarea dispozitivului, acolo unde aceste operațiuni sunt disponibile. Ulterior, echipamentul trebuie predat printr-un sistem de colectare a deșeurilor electrice și electronice, nu aruncat împreună cu gunoiul menajer.

Problema fundamentală rămâne însă una de responsabilitate economică. Atunci când un dispozitiv devine nesigur exclusiv pentru că producătorul decide că menținerea suportului software nu mai este rentabilă, costul înlocuirii este transferat, în practică, asupra consumatorului. În același timp, durata reală de utilizare a produsului ajunge să fie stabilită de software, nu de rezistența componentelor.

Cyber Resilience Act încearcă să corecteze această relație prin introducerea unor obligații explicite și a unei transparențe sporite privind durata suportului. Până la aplicarea integrală a noilor reguli, cumpărătorii trebuie să facă însă diferența dintre durata de viață fizică a unui dispozitiv și perioada în care acesta poate fi utilizat în condiții rezonabile de securitate.

Un router care funcționează zece ani, dar primește actualizări numai trei ani, nu oferă neapărat o durată de utilizare sigură de un deceniu. Într-o economie în care aproape orice obiect poate deveni conectat la internet, securitatea software ajunge să fie la fel de importantă precum fiabilitatea hardware, iar obligația de a o menține nu mai poate fi considerată exclusiv responsabilitatea utilizatorului.

Ulei nepotrivit în diferențial: huruit, temperatură și uzură după o revizie făcută greșit