Pra alimentar sua paranoia, é só pensar que um backdoor pode ser colocado diretamente no hardware. Aí não tem firmware que te salve, e muitos chips são de design americano e produção chinesa.
Sua opção menos pior seria usar MikroTik, que é de um país pequeno demais pra ter interesse próprio nesse tipo de prática, mas também pequeno o suficiente pra sofrer interferência de países maiores. Não tem pra onde correr, melhor cancelar a internet.
Também dá pra escolher a dedo alguma RouterBoard ou um EdgeRouter que suporte OpenWrt, é o máximo de paz de espírito que dá pra conseguir.
De qualquer forma, o hardware de nenhum desses roteadores é poderoso o suficiente pra fazer qualquer tipo de captura de dados massiva, além de que isso impactaria diretamente na sua banda disponível e acabaria sendo notado. Na pior das hipóteses, vão monitorar suas consultas DNS, que são transmitidas em texto puro internet à fora, mas isso pode ser contornado facilmente usando o dnscrypt-proxy.
Como eu particularmente não tenho nada contra os EUA, tampouco contra a China, creio passar bem longe de ser uma pessoa de interesse desses países, então só resta o monitoramento de empresas privadas para fins de publicidade e estatística, que já ocorre em todos os sites que visitamos.
