A Superintendência de Fiscalização da Anatel publicou um informe sobre o malware BadBox 2.0 em TV boxes não homologadas. Três números explicam por que ele interessa a quem opera rede: o Brasil concentra 37,6% dos dispositivos infectados observados no mundo; o número de IPs brasileiros identificados saltou de cerca de 340 mil para mais de 1,8 milhão entre junho e agosto de 2025; e os aparelhos infectados viram proxy residencial — com acessos, a partir do IP do assinante, a sites de bancos, de tribunais estaduais e de serviços públicos.

O informe termina cobrando dos provedores monitoramento de tráfego anômalo e bloqueio de domínios maliciosos, e diz que isso é “obrigação regulatória prevista no art. 10º” do Regulamento de Segurança Cibernética. Fomos ler o art. 10 — e ele não diz isso. Explicamos abaixo o que a norma realmente impõe ao provedor regional, e por que agir continua sendo do interesse dele.

Neste artigo

• O que é o BadBox 2.0, na descrição da Anatel
• Os números, e por que o Brasil lidera
• O que a Anatel encontrou no próprio laboratório
• O ponto que atinge o provedor: proxy residencial
• A cobrança e o artigo citado — que não é esse
• O que o R-Ciber realmente exige do provedor pequeno
• O que fazer com isso
• O que este artigo não diz
• Onde conferir

O que é o BadBox 2.0, na descrição da Anatel

O documento é o Informe nº 17/2025/GR01FI2/GR01/SFI, assinado em 12 de agosto de 2025, no processo nº 53504.002905/2025-76. Ele trata dos riscos da presença do malware em dispositivos do tipo set-top box não homologados, “amplamente distribuídos no Brasil”.

Não é assunto novo para a Agência. Entre 2021 e 2022, um grupo de trabalho da Fiscalização fez engenharia reversa em TV boxes e já apontava quatro achados: possibilidade de uso em ataques de negação de serviço; presença do malware “pandoraspear”, que permite controle remoto por servidor de comando e controle; falhas no processo de atualização por lojas próprias, permitindo interceptar e modificar o que trafega; e acesso root por terceiros, que dá “controle total da TV Box, incluindo o acesso a outros dispositivos que compartilham a mesma rede” — computadores, televisores, roteadores, celulares e webcams.

Em 2023, a Anatel criou a classificação de produto Smart TV Box, com requisitos técnicos de segurança cibernética (Ato nº 9.281/2023), e publicou a lista dos modelos homologados. É a mesma lógica de a homologação ser o primeiro item da lista de condutas puníveis.

Os números, e por que o Brasil lidera

O informe reúne fontes externas e as próprias medições:

• Human Security (março de 2025): mais de 1 milhão de dispositivos infectados, e o Brasil como país mais afetado, com 37,6% dos observados — à frente de Estados Unidos (18,2%), México (6,3%) e Argentina (5,3%);
• Google (maio de 2025): ação judicial em Nova York; o malware teria comprometido mais de 10 milhões de dispositivos no mundo;
• FBI (junho de 2025): alerta nacional, com a informação de que a maioria dos dispositivos infectados foi fabricada na China, e a infecção ocorre antes da compra ou durante a instalação de aplicativos;
• CERT.PT (julho de 2025): mais de 80 mil dispositivos comprometidos em Portugal;
• NCSC da Irlanda (18 de julho de 2025): ⚠️ o malware é incorporado à imagem do sistema operacional ou assinado com certificados privilegiados, de modo que “uma redefinição de fábrica ou a instalação do flash do dispositivo geralmente não atenuam a infecção”;
• Shadowserver: os IPs brasileiros identificados por sinkhole passaram de cerca de 340 mil entre fevereiro e junho de 2025 para mais de 1,8 milhão em agosto de 2025.

📌 A conclusão do próprio informe é de uma frase: “Assim, a situação brasileira é de fato preocupante.”

Há também um dado operacional pouco divulgado: o laboratório antipirataria mantido pela Anatel em cooperação com a ABTA monitora cerca de 31,8 mil endereços IP e mantém temporariamente bloqueados cerca de 2,2 mil, em dados atualizados até 7 de agosto de 2025.

O que a Anatel encontrou no próprio laboratório

A parte mais útil para quem opera rede é a metodologia. O que chamou a atenção da equipe foi um sintoma simples: dois modelos geravam tráfego de upload mesmo em modo stand-by, quando deveriam estar inativos.

A partir daí, com monitoramento de tráfego, engenharia reversa de firmware e cruzamento com indicadores de comprometimento conhecidos, o estudo constatou:

• malware ativo e persistente nos dispositivos analisados — nomeados no documento como InXPlus e TouroBox;
• processo malicioso com múltiplas portas abertas e conexões com servidores de controle externos;
• acesso aos mesmos domínios identificados no estudo da Human Security;
• uso não autorizado como proxy residencial;
• download de arquivos .jar a partir de servidores na internet;
• indicação de que a infecção começou em 2024, possivelmente por atualização remota de aplicativo.

⭐ Guarde o sintoma inicial, porque ele é observável de fora: upload constante de um aparelho que deveria estar parado. Não exige abrir o equipamento nem inspecionar conteúdo — é padrão de tráfego, e é o tipo de coisa que aparece em qualquer coleta de fluxo na rede de acesso.

O ponto que atinge o provedor: proxy residencial

Entre as evidências, uma tem consequência direta para quem fornece o IP. O informe descreve o uso do aparelho como proxy residencial e detalha:

“a partir de uma conexão aos TV Boxes, sem consentimento dos usuários, identificaram-se acessos com potencial uso para fins maliciosos, incluindo acesso a sites de pornografia, de bancos, de tribunais estaduais e serviços públicos.”

⭐⭐ Traduzindo para o seu ponto de vista: quem aparece como origem desses acessos é o IP que a sua empresa entregou ao assinante. Numa investigação, o primeiro ofício chega a você; a primeira suspeita recai sobre o cliente; e a explicação — “era um aparelho infectado dentro da casa dele” — depende de você ter registro de tráfego para sustentar. O risco não é hipotético nem regulatório: é probatório.

Os demais riscos listados são fraude publicitária, roubo de credenciais, criação de contas falsas e uso em ataques de negação de serviço e disseminação de malware.

A cobrança e o artigo citado — que não é esse

O informe encerra atribuindo “responsabilidade direta aos provedores de telecomunicações e internet”, com quatro medidas: monitoramento de tráfego anômalo, colaboração com as autoridades, bloqueio de domínios maliciosos e fortalecimento das práticas de segurança. E acrescenta:

“Além de uma medida técnica, trata-se de uma obrigação regulatória prevista no art. 10º do Regulamento de Segurança Cibernética Aplicado ao Setor de Telecomunicações, aprovado pela Resolução nº 740, de 21 de dezembro de 2020.”

⚠️ O art. 10 do R-Ciber, na íntegra, é este:

“Art. 10. A prestadora deve realizar ciclos de avaliação de vulnerabilidades relacionadas à Segurança Cibernética, nos termos da Seção IV deste Capítulo.”

⭐ Ele não trata de monitorar tráfego anômalo nem de bloquear domínio. Trata de ciclos de avaliação de vulnerabilidades — outra obrigação, com outro objeto.

⚠️ E há um segundo problema, de alcance. O art. 2º-B do mesmo regulamento, incluído pela Resolução nº 767/2024, diz que os arts. 6º, 7º, 9º, 10 e 11 aplicam-se a três categorias: operadoras de cabo submarino com destino internacional; prestadoras de SMP detentoras de rede própria; e operadoras de atacado de grupos classificados como PMS no mercado de transporte de dados em alta capacidade. O provedor regional de SCM não é nenhuma das três.

📌 Somando: o dispositivo invocado não diz o que o informe afirma, e não alcança a maior parte dos provedores. Isso não torna a recomendação errada — torna o fundamento impreciso. Quem for cobrado com base nesse parágrafo tem o texto da norma a favor.

⚠️ Duas ressalvas de justiça. Primeira: a determinação de bloqueio de domínios e IPs citada no item 4.7 é feita no âmbito do Plano de Ação de Combate ao Uso de Decodificadores Clandestinos do SeAC, aprovado pela Resolução Interna nº 189/2023 — um ato que não lemos, e que pode conter o fundamento que o art. 10 não dá. Segunda: o informe também traz um erro de digitação de número — cita a Estratégia Nacional de Cibersegurança como Decreto nº 12.573/2025 na lista de referências (correto) e como Decreto nº 12.753 na proposta de encaminhamento; o 12.753, de 20 de novembro de 2025, trata de desapropriação de território quilombola.

O que o R-Ciber realmente exige do provedor pequeno

A régua é o art. 2º: o regulamento aplica-se às prestadoras de interesse coletivo “ressalvadas as de Pequeno Porte”. Mas a ressalva tem limites, e já detalhamos onde ela para. Em resumo:

• art. 4º (princípios) e art. 5º (diretrizes) valem para todas as prestadoras, de qualquer porte, ainda que dispensadas do resto (art. 2º, § 2º);
• art. 8º — trocar a configuração padrão de autenticação dos equipamentos entregues em comodato — vale para todas, por força do art. 2º-A;
• os arts. 6º, 7º, 9º, 10 e 11 ficam restritos às três categorias do art. 2º-B;
• e o § 3º lembra que a dispensa “não isenta, em qualquer caso, a prestadora do cumprimento de outras disposições legais e regulamentares”.

⭐ Repare na ironia útil: a obrigação que de fato alcança o provedor pequeno — a senha padrão do CPE — é exatamente uma medida contra o tipo de comprometimento que o BadBox explora. O regulamento cobra dele o que está ao seu alcance: o equipamento que ele mesmo entrega.

O que fazer com isso

1. Procure upload persistente em horário morto. Foi esse o sintoma que levou a Anatel ao malware. Não exige inspecionar conteúdo — é volume e horário.
2. Cumpra o art. 8º: nenhum CPE em comodato sai com a senha de fábrica, e o processo de provisionamento tem de deixar rastro.
3. Guarde registro de tráfego dentro do prazo legal. Se um IP seu aparecer como origem de acesso indevido, é o registro que separa o assinante do criminoso.
4. Não venda nem indique TV box não homologada. Comercializar produto não homologado é conduta sancionável, e a importação passou a ser rastreada — veja como a Anatel entrou no Siscomex.
5. Oriente o assinante: reset de fábrica geralmente não resolve; o caminho é desligar e substituir o aparelho.
6. Se receber determinação de bloqueio no âmbito do plano do SeAC, peça o fundamento e o rol de domínios ou IPs por escrito. Bloqueio sem lista formal é risco para os dois lados.

O que este artigo não diz

Não lemos a Resolução Interna nº 189/2023, que aprova o Plano de Ação de Combate ao Uso de Decodificadores Clandestinos do SeAC e é a base das determinações de bloqueio citadas no informe. É possível que o fundamento esteja ali.

Não afirmamos que a recomendação da Anatel é indevida. Apontamos que o artigo citado tem outro objeto e outro alcance; a conveniência técnica das medidas não está em discussão.

Não verificamos os números externos. Human Security, Google, FBI, CERT.PT, NCSC e Shadowserver são citados pelo informe; reproduzimos com a atribuição e a data de cada um.

Os dados são de agosto de 2025. O informe é dessa data; não encontramos atualização posterior da Agência com novos totais.

Não testamos os modelos citados. InXPlus e TouroBox são os nomeados no documento da Anatel; não fizemos análise própria.

Não tratamos da responsabilidade civil do provedor. O uso do IP do assinante por terceiro envolve o Marco Civil da Internet e jurisprudência que não examinamos aqui.

Onde conferir

Fontes: Anatel — Informe nº 17/2025/GR01FI2/GR01/SFI, Superintendência de Fiscalização, processo nº 53504.002905/2025-76, assinado em 12 de agosto de 2025, de onde vêm o histórico do grupo de trabalho de 2021-2022 e os quatro achados de engenharia reversa; a criação da classificação Smart TV Box pelo Ato nº 9.281/2023; o monitoramento de cerca de 31,8 mil IPs com cerca de 2,2 mil bloqueados até 7 de agosto de 2025; os dados da Human Security (mais de 1 milhão de dispositivos e Brasil com 37,6%, seguido de Estados Unidos com 18,2%, México com 6,3% e Argentina com 5,3%), do Google (mais de 10 milhões de dispositivos), do FBI, do CERT.PT (mais de 80 mil dispositivos em Portugal), do NCSC da Irlanda (a informação de que reset de fábrica e reflash geralmente não removem a infecção) e do Shadowserver (de cerca de 340 mil para mais de 1,8 milhão de IPs brasileiros entre junho e agosto de 2025); a metodologia e as evidências do estudo próprio, incluindo os modelos InXPlus e TouroBox, o tráfego de upload em stand-by, o uso como proxy residencial com acesso a sites de bancos, tribunais estaduais e serviços públicos, os arquivos .jar e o início da infecção em 2024; a lista de riscos; as recomendações de mitigação; a determinação de bloqueio de domínios e IPs no âmbito do Plano de Ação do SeAC; e a atribuição de responsabilidade direta aos provedores com invocação do art. 10 do R-Ciber. Anatel — Resolução nº 740, de 21 de dezembro de 2020, que aprovou o Regulamento de Segurança Cibernética: art. 2º e §§ 1º a 3º (abrangência e ressalva do pequeno porte), art. 2º-A e art. 2º-B, ambos incluídos pela Resolução nº 767/2024, art. 8º (configuração padrão de autenticação em equipamentos em comodato) e art. 10 (ciclos de avaliação de vulnerabilidades), lidos na íntegra no texto consolidado. Presidência da República — Decreto nº 12.573, de 4 de agosto de 2025, que institui a Estratégia Nacional de Cibersegurança, conferido para esclarecer a divergência de numeração dentro do próprio informe. A confrontação entre o texto do art. 10 e o que o informe lhe atribui, a verificação de alcance pelo art. 2º-B e a leitura de que o risco do proxy residencial é probatório para o provedor são nossas. Documentos lidos em 9 de setembro de 2026.