Banco Central da Coreia do Sul e bancos estatais enfrentam mais de 1 milhão de tentativas de ciberataque

Nove meses de ataques superam o total de todo o ano de 2025

O banco central da Coreia do Sul e três instituições financeiras estatais registraram 1.024.478 tentativas de invasão entre janeiro e setembro de 2026, superando em 89.620, ou 9,6%, as 934.858 tentativas detectadas ao longo de 2025. As instituições não relataram nenhuma invasão bem-sucedida decorrente dessas tentativas, embora ataques separados a bancos comerciais tenham exposto informações de clientes.

Dados enviados ao deputado Kang Min-kuk, do Partido do Poder Popular, e divulgados em 11 de outubro mostram um total acumulado de 4.986.964 tentativas entre 2020 e setembro de 2026. O Industrial Bank of Korea (IBK) respondeu por 91,9% desse total, reflexo de seus amplos serviços de internet banking e mobile banking para clientes individuais e corporativos.

A distinção entre tentativas de ataque e invasões confirmadas é fundamental para entender os números. A detecção de uma tentativa não comprova que um invasor tenha entrado em um sistema ou roubado informações. Por outro lado, a ausência de uma invasão bem-sucedida neste conjunto de dados não significa que todos os serviços associados ou fornecedores externos tenham escapado de interrupções ou exposições.

Incidentes distintos ilustram essa diferença. Uma invasão ao sistema de um fornecedor externo de treinamento expôs informações de 186 funcionários do Banco da Coreia em maio e junho de 2026. Bancos comerciais também divulgaram vazamentos de dados de clientes, levando reguladores a determinar inspeções de sistemas acessíveis pela internet, reforço da autenticação e dos controles de acesso, além de maior compartilhamento de métodos de ataque e endereços IP suspeitos.

A pressão vai além do número de ataques. Informações divulgadas ao Parlamento apontam orçamentos de segurança que não foram totalmente utilizados, equipes de tamanhos desiguais nos bancos estatais e uma ameaça emergente de ferramentas de inteligência artificial capazes de acelerar a busca por vulnerabilidades.

Com que rapidez aumentaram as tentativas detectadas?

Os números anuais mostram uma alta ininterrupta desde 2020. Em setembro de 2026, o total já era cerca de 2,86 vezes maior que as 358.800 tentativas registradas ao longo de todo o ano de 2020. A comparação chama ainda mais atenção porque o período mais recente abrange nove meses, e não um ano completo.

A sequência também mostra que o aumento não começou com os recentes vazamentos em bancos comerciais:

• 2020: 358.800 tentativas nas quatro instituições.
• 2021: 564.430 tentativas.
• 2022: 585.563 tentativas.
• 2023: 738.312 tentativas.
• 2024: 780.524 tentativas.
• 2025: 934.858 tentativas. O Centro de TI de Gyeonggi do Banco da Coreia foi inaugurado em outubro.
• Janeiro a setembro de 2026: 1.024.478 tentativas.
• 11 de outubro de 2026: os dados mais recentes foram divulgados por meio de Kang.

As tentativas detectadas medem a atividade identificada pelos sistemas de segurança, e não o número de invasores individuais ou de invasões bem-sucedidas. Requisições automatizadas repetidas podem gerar muitas detecções. A explicação do IBK também indica que a escala dos serviços expostos a usuários externos é importante para comparar as instituições.

Há uma pequena inconsistência numérica nos totais publicados: a soma dos números anuais listados é 4.986.965, um a mais que o total acumulado informado, de 4.986.964. Essa diferença não altera a tendência relatada nem a concentração das tentativas no IBK.

Por que o IBK concentra a maior parte da atividade

O IBK registrou aproximadamente 4,584 milhões de tentativas no período acumulado. O Korea Development Bank (KDB) veio em seguida, com 399.379, enquanto o Banco da Coreia registrou 3.076 e o Export-Import Bank of Korea, 510.

O IBK atribuiu o número muito maior aos serviços de internet e mobile banking, comparáveis em escala aos dos bancos comerciais. Esses serviços conectam o banco a clientes pessoa física e jurídica, criando mais oportunidades para que tráfego malicioso alcance sistemas acessíveis ao público.

Os números, por si só, não comprovam que o IBK tenha defesas mais fracas que as outras instituições. A explicação do banco diz respeito ao volume de serviços e de tentativas detectadas, enquanto as quatro instituições informaram que não houve invasões decorrentes dos ataques contabilizados no conjunto acumulado.

O Centro de TI de Gyeonggi do Banco da Coreia, que abriga seus principais servidores de computação, registrou 145 tentativas após ser inaugurado em outubro de 2025. Esse número se refere a uma instalação específica e não deve ser confundido com o total do banco central, que abrange sistemas e anos diferentes.

A interrupção de serviços é o tipo de ataque mais registrado

A negação de serviço respondeu por 2.275.006 tentativas, ou 45,6% do total acumulado. Esse tipo de ataque busca tornar um serviço indisponível, por exemplo, sobrecarregando-o com requisições ou consumindo os recursos computacionais necessários para atender usuários legítimos.

As categorias seguintes foram coleta de informações, com 866.776 tentativas; malware, com 475.026; e acesso não autorizado, com 456.783. A coleta de informações pode envolver sondagens de sistemas para identificar softwares, funções expostas ou vulnerabilidades. Malware é um software malicioso, enquanto as tentativas de acesso não autorizado buscam entrar sem permissão válida.

Essas quatro categorias somam 4.073.591 tentativas. Portanto, elas não abrangem todas as tentativas do total acumulado, e não foi especificada a divisão das categorias restantes.

A predominância dos ataques de negação de serviço explica por que as consequências de um ataque podem ir além do roubo de informações. Um site bancário ou serviço de transações pode ficar difícil de usar mesmo que o invasor não assuma o controle de um sistema interno.

Kang Min-kuk, deputado do Partido do Poder Popular que divulgou os dados, descreveu o que está em jogo para instituições que lidam com as finanças públicas e corporativas:

Um ataque a um banco estatal pode interromper sistemas financeiros dentro e fora do país e colocar em risco informações confidenciais do governo e de empresas", disse Kang. "Precisamos criar defesas contra o aumento dos ciberataques potencializados por IA e trabalhar com as autoridades financeiras na realização de simulações de ataques cibernéticos.

Não há invasões relatadas, mas isso não significa segurança total

As quatro instituições disseram que as tentativas contabilizadas entre 2020 e setembro de 2026 não resultaram em invasões. Divulgações separadas, porém, descrevem uma interrupção anterior e uma exposição envolvendo um prestador de serviços do Banco da Coreia.

Um ataque distribuído de negação de serviço deixou intermitente o acesso ao site do banco central em dezembro de 2023. Em maio e junho de 2026, uma invasão ao sistema de um fornecedor externo de treinamento expôs informações pessoais de 186 funcionários do Banco da Coreia. Esses incidentes mostram por que é preciso distinguir entre interrupção de serviço, invasão aos sistemas do próprio banco e exposição de dados em um fornecedor.

Outra divulgação informou que o Banco da Coreia registrou 136 tentativas em 2026 até 2 de outubro, ante 30 durante todo o ano de 2025. Entre os alvos acessíveis pela internet estavam o site principal, o portal de estatísticas econômicas e a biblioteca eletrônica. O banco central afirmou que não registrou invasões bem-sucedidas, interrupções ou vazamentos de dados entre o início de setembro e 2 de outubro.

O Export-Import Bank informou separadamente 283 tentativas até 5 de outubro, ante 36 em todo o ano de 2025. Das 283, 272 vieram de endereços IP no exterior. A localização dos endereços indica de onde o tráfego parecia se originar, não necessariamente a nacionalidade ou a localização física do invasor.

A mesma divulgação também informou que o banco detectou 197 tentativas nos cinco anos anteriores. Somadas às 283 mais recentes, elas chegam a 480, e não às 510 do balanço acumulado mais amplo. Diferentes datas de corte ou métodos de contagem podem explicar a diferença, mas essas divulgações não apresentaram uma conciliação dos números.

O que o alerta sobre ataques com IA de fato demonstrou

O Instituto de Segurança Financeira realizou um seminário sobre segurança de IA no setor financeiro para cerca de 160 profissionais de segurança em 17 de setembro. Documentos obtidos pelo deputado Han Chang-min, do Partido Social-Democrata, descreveram um caso apresentado no evento como o primeiro ataque ao setor financeiro da Coreia do Sul envolvendo um agente de IA.

Um agente de IA é um software capaz de executar uma sequência de tarefas usando um modelo de IA, em vez de apenas responder a uma pergunta. No caso descrito no seminário, um invasor instruiu um agente baseado no DeepSeek a localizar programas de servidores financeiros.

Segundo o relato, o agente encontrou e explorou vulnerabilidades em menos de um dia, instalou um software que permitia controle remoto e pesquisou servidores internos. A empresa financeira visada bloqueou o ataque antes que outros malwares pudessem ser instalados. Sua identidade não foi divulgada.

O instituto recomendou monitoramento contínuo dos sistemas expostos à internet, alertando que inspeções uma ou duas vezes por ano poderiam deixar esse tipo de atividade passar despercebido. Também apontou uma lacuna na abrangência das avaliações: as interfaces de programação de aplicações (APIs), conexões pelas quais sites e aplicativos trocam dados, são incluídas nas verificações de vulnerabilidade, mas as empresas financeiras escolhem quais sistemas serão inspecionados.

Reportagens relacionaram os incidentes posteriores em bancos comerciais a ferramentas de IA. As autoridades, porém, ainda investigavam o papel da IA, inclusive se ela automatizou partes dos ataques. O presidente Lee Jae Myung disse que a IA parecia ter sido usada, mas os métodos exatos ainda não haviam sido estabelecidos. O caso apresentado no seminário demonstra uma capacidade relatada, mas não prova que todos os vazamentos recentes tenham usado a mesma técnica.

Clientes de bancos comerciais tiveram dados comprovadamente expostos

Sete instituições financeiras foram identificadas na sequência recente de incidentes de invasão: Shinhan Bank, KB Kookmin Bank, Hana Bank, BNK Busan Bank, Yegaram Savings Bank, Welcome Savings Bank e Hyundai Capital.

O Shinhan informou que uma parte externa não autorizada contornou a autenticação em um serviço ligado a empréstimos e obteve informações pessoais e de crédito de cerca de 25 mil clientes. Entre os dados expostos estavam nomes, números de telefone, renda anual e limites de crédito calculados.

O presidente-executivo do Shinhan, Jung Sang-hyuk, pediu desculpas e prometeu indenização integral por perdas relacionadas ao incidente. Um escritório de advocacia de Seul recrutava clientes afetados para uma ação de indenização proposta, com pedidos previstos de 100 mil a 300 mil won por participante. A data de apresentação da ação não havia sido anunciada.

No KB Kookmin, um ataque a um sistema móvel de suporte ao trabalho comprometeu informações de 119 clientes. Funcionários do KB Kookmin, do Hana, do Hyundai Capital e do Welcome Savings Bank participaram do seminário de segurança de setembro. O Shinhan foi representado por um funcionário de seu grupo financeiro, enquanto o BNK Busan não constava entre os participantes.

Os registros de presença mostram que várias organizações afetadas receberam o alerta pouco antes dos incidentes. Eles não esclarecem quais falhas específicas permitiram cada invasão nem se uma medida preventiva em particular teria conseguido impedi-la.

Verbas previstas para segurança não são o mesmo que gastos realizados

Dados enviados pelas autoridades financeiras ao deputado Park Sung-hoon, do Partido do Poder Popular, mostram que as 20 empresas financeiras com falhas de TI mais frequentes orçaram 438 bilhões de won para segurança da informação em 2025, mas gastaram 305 bilhões de won. Isso equivale a uma execução de cerca de 69,6%, deixando 133 bilhões de won sem utilização.

O Shinhan destinou aproximadamente 45,3 bilhões de won e gastou 31,7 bilhões de won, com execução informada de 69,9%. Sua verba para 2026 foi de 40,5 bilhões de won, cerca de 10,6% abaixo do orçamento do ano anterior. O KB Kookmin destinou 67,6 bilhões de won e gastou 39,3 bilhões de won, com execução de 58,1%.

Park Sung-hoon, o deputado que obteve os dados sobre os gastos, apresentou os investimentos como uma questão de confiança pública:

Investimentos insuficientes em segurança não podem ser tratados como uma questão de eficiência administrativa; estão em jogo a confiança no sistema financeiro.

As informações sobre os bancos estatais também apontam desigualdade de recursos. A equipe de segurança do KDB caiu de 23 pessoas no fim de 2024 para 19 no fim de 2025, antes de voltar a 22 em junho de 2026. O IBK tinha 46 funcionários dedicados à segurança no fim de 2025, enquanto o Export-Import Bank tinha nove.

Uma medida separada de pessoal do IBK contabilizou 72,5 profissionais internos e terceirizados, incluindo 53,5 funcionários internos e 19 terceirizados. Essa medida mais abrangente não deve ser considerada equivalente à contagem de 46 funcionários dedicados. O investimento do IBK em segurança em 2025 foi de 66,1 bilhões de won, ou 15,1% do investimento total em TI.

Os números do orçamento do KDB apresentam uma discrepância maior. Os dados em coreano indicam que o orçamento de segurança foi de 17,231 bilhões de won no primeiro semestre de 2026, ante 17,611 bilhões em 2025. Um resumo em inglês informa 172,31 bilhões e 176,11 bilhões de won, dez vezes esses valores. Ambos apontam uma redução de 2,2%.

Investimentos previstos e o problema mais amplo dos fornecedores

O KB Kookmin está considerando um orçamento de segurança da informação superior a 100 bilhões de won para 2027, além de melhorias nos sistemas de detecção e prevenção de invasões e nos firewalls de aplicações web. A proposta diz respeito ao valor total do orçamento, não a um aumento confirmado de 100 bilhões de won.

O Shinhan planeja ampliar os investimentos em segurança e contratar especialistas em segurança de IA e hackers éticos. O Hana está avaliando uma arquitetura de confiança zero, que exige a verificação dos acessos, em vez de confiar automaticamente em um usuário ou dispositivo por estar dentro de uma rede. O Woori considera aumentar o orçamento em mais de 20% e ampliar seu quadro de especialistas em mais de 10%.

Um representante de um banco estatal afirmou que as instituições realizam testes de invasão sob a perspectiva de um atacante e planejam continuar reforçando investimentos e inspeções. Não foram anunciados prazos específicos para a implementação dessas medidas.

Casos fora do setor bancário mostram a exposição criada por prestadores de serviços e dados mantidos após o uso. Mais de 100 mil usuários de uma plataforma de treinamento em ética do setor público tiveram informações expostas em um sistema antigo, substituído em abril de 2025. Um fornecedor havia mantido os registros antigos em vez de apagá-los após a migração. Os dados restantes foram apagados posteriormente.

A Oasis Security também informou suspeitas de exposição de dados envolvendo a Yoido Full Gospel Church e a SaRang Church. O material associado à Yoido incluía cerca de 960 mil registros de membros e 330 mil registros de doações. Esses números de registros não determinam quantas pessoas distintas foram afetadas. Ambas as igrejas estavam investigando o caso.

O que ainda não foi esclarecido

As principais perguntas sem resposta dizem respeito a como os invasores recentes de bancos comerciais obtiveram acesso, em que medida a IA contribuiu e se os investimentos planejados resultarão em trabalho de segurança efetivamente concluído. Não foi confirmada uma explicação técnica comum para os incidentes nas sete instituições financeiras.

Os números dos bancos também exigem cautela na interpretação. Diferentes períodos de apuração, valores institucionais arredondados e critérios distintos de contagem de pessoal limitam comparações diretas. A ausência relatada de invasões nas quatro instituições públicas é relevante, mas não apaga as evidências separadas de interrupções em sites e exposição de dados em fornecedores.

Os reguladores determinaram que as empresas financeiras inspecionem sistemas acessíveis externamente, reforcem a autenticação e as permissões e compartilhem informações sobre ameaças. Kang pediu simulações de ataques e exercícios coordenados. O próximo teste prático é verificar se essas medidas abrangem os serviços, as interfaces e os prestadores de serviços pelos quais informações confidenciais podem ser acessadas.

Principais pontos

• O Banco da Coreia e três bancos estatais registraram 1.024.478 tentativas de invasão até setembro de 2026, 9,6% acima do total de todo o ano de 2025.
• O IBK respondeu por 91,9% das tentativas acumuladas relatadas desde 2020.
• A negação de serviço foi a maior categoria de ataque, com 2.275.006 tentativas.
• As quatro instituições informaram que as tentativas contabilizadas não resultaram em invasões, mas incidentes separados envolveram interrupções e um fornecedor de treinamento do banco central.
• Incidentes recentes em bancos comerciais expuseram informações de cerca de 25 mil clientes do Shinhan e 119 clientes do KB Kookmin.
• As autoridades ainda investigavam como a IA foi usada nos ataques recentes.
• Vinte empresas financeiras gastaram 305 bilhões de won dos 438 bilhões de won destinados à segurança em 2025.
• Vários bancos planejam ou avaliam ampliar os investimentos, mas não foram anunciadas datas definitivas para a conclusão das medidas.