Dez empresas financeiras sul-coreanas não passaram nas verificações de segurança antes de conectar redes sob exceções para IA

Inspeções constataram que as salvaguardas existiam principalmente no papel

Dez empresas financeiras sul-coreanas que receberam autorização temporária para conectar redes internas de negócios a serviços externos de internet não haviam colocado em operação muitas das salvaguardas de segurança exigidas, segundo inspeções realizadas de meados de julho ao início de setembro. Entre as deficiências estavam consoles de gerenciamento de segurança acessíveis pela internet e um serviço de nuvem sem certificação de segurança.

O Instituto de Segurança Financeira analisou 12 controles de segurança alternativos depois que a Comissão de Serviços Financeiros concedeu às empresas uma exceção de um ano em 19 de junho. A autorização tinha o objetivo de permitir o uso de softwares externos de inteligência artificial e segurança para identificar vulnerabilidades nos sistemas internos.

O instituto afirmou que todas as deficiências foram corrigidas antes da conexão entre as redes internas e externas. Essa distinção é importante: os resultados apontam uma preparação inadequada para as exceções, mas não comprovam que hackers tenham invadido sistemas internos por meio de conexões autorizadas pelo programa.

Os materiais da inspeção foram obtidos pelo deputado Han Chang-min, do Partido Social-Democrata, integrante da Comissão de Política Nacional da Assembleia Nacional. Os documentos mostraram que muitas salvaguardas ainda estavam em fase de planejamento e que as empresas não haviam verificado se os controles funcionavam em seus próprios ambientes operacionais.

Os resultados vieram à tona enquanto os órgãos reguladores adiavam uma segunda rodada de exceções, que selecionaria até 15 instituições. As autoridades atribuíram o adiamento à necessidade de concentrar recursos administrativos em uma onda separada de violações e vazamentos de dados, em vez de anunciar o fim da política de flexibilização das regras de separação de redes.

Quais empresas foram inspecionadas?

O primeiro grupo era formado por quatro bancos, três corretoras de valores, duas seguradoras e uma administradora de cartões. Os bancos eram Shinhan Bank, Hana Bank, Woori Bank e KakaoBank. As corretoras eram KB Securities, NH Investment & Securities e Mirae Asset Securities. Samsung Fire & Marine Insurance, Hanwha Life e Hyundai Card completavam o grupo.

As dez empresas foram submetidas a verificações dos controles alternativos exigidos para suas exceções. O instituto não revelou qual empresa apresentava cada deficiência nem divulgou uma lista detalhada dos itens de controle que falharam, alegando que essas informações poderiam ajudar invasores a identificar alvos.

Por isso, não é possível atribuir a nenhuma participante específica a constatação de que alguns consoles de administrador estavam acessíveis pela internet externa. O mesmo vale para o serviço de nuvem sem certificação. A lista das empresas inspecionadas delimita o escopo da análise, mas não indica quem era responsável por cada vulnerabilidade específica.

O instituto informou os resultados à Comissão de Serviços Financeiros e afirmou ter confirmado a correção das falhas antes de as conexões de rede serem estabelecidas. O relatório da inspeção não identificou perdas de clientes, invasões bem-sucedidas ou vazamentos de dados causados por essas deficiências específicas.

O que a autorização temporária exigia

Em geral, as empresas financeiras devem separar os sistemas internos de negócios e de processamento de informações em seus centros de dados das redes de comunicação externas, incluindo a internet. A medida de 19 de junho flexibilizou temporariamente essa barreira para uma finalidade específica: usar serviços externos de inteligência artificial e softwares de segurança como serviço para verificar vulnerabilidades nos sistemas internos.

Software como serviço, ou SaaS, é um modelo em que o software é acessado pela infraestrutura on-line de um provedor, em vez de ser instalado e operado integralmente nos sistemas da própria empresa. O uso desse tipo de serviço para inspecionar tecnologias internas pode exigir uma conexão controlada que atravesse uma barreira que, de outro modo, seria restringida pelas regras de separação de redes.

A exceção, portanto, tinha condições. As empresas precisavam estabelecer e implementar 12 controles substitutos, incluindo procedimentos para responder a incidentes de segurança e interrupções envolvendo serviços de IA ou SaaS. Também tinham de impedir o compartilhamento ou processamento desnecessário de dados nesses serviços.

Essas condições abrangiam mais do que a possibilidade de estabelecer uma conexão segura. Também definiam o que fazer quando um provedor externo deixasse de funcionar e como as informações deveriam ser tratadas quando um serviço externo passasse a integrar as operações de segurança de uma empresa. Um plano de resposta por escrito poderia atender a um requisito de planejamento sem demonstrar que funcionários, sistemas e restrições de acesso estavam prontos para executá-lo.

Por que consoles de administrador expostos importam

As inspeções identificaram uma falha comum: não verificar os controles nos ambientes em que realmente seriam operados. Algumas empresas também deixaram sistemas de administração de segurança, conhecidos como consoles de gerenciamento, acessíveis pela internet. Essas interfaces são usadas para administrar ferramentas de segurança, por isso as restrições de acesso são especialmente importantes.

O acesso pela internet, por si só, não comprova que um invasor tenha driblado a autenticação ou obtido controle. No entanto, cria um caminho externo até uma interface administrativa sensível. As informações divulgadas sobre a inspeção não especificam os mecanismos de autenticação, o período de exposição nem o número de instituições afetadas.

Yeom Heung-yeol, professor do Departamento de Segurança da Informação da Universidade Soonchunhyang, alertou que as salvaguardas talvez não estivessem plenamente operacionais antes da conclusão das correções. Ele destacou o acesso aos sistemas de gerenciamento de segurança como uma deficiência particularmente grave:

Não restringir o acesso externo ao sistema de administração de segurança é um problema muito sério.

Segundo o relato do instituto, as correções ocorreram antes das conexões autorizadas. Isso limita o que se pode concluir sobre a exposição efetiva das redes internas, mas não elimina uma preocupação significativa de conformidade: os controles que justificavam a exceção ainda não haviam sido totalmente implementados quando foram inspecionados.

Segunda rodada suspensa em meio a violações distintas

A Comissão de Serviços Financeiros planejava selecionar o próximo grupo de instituições em 7 de outubro. O adiamento foi noticiado em 6 de outubro. As autoridades citaram a necessidade de concentrar recursos em incidentes recentes de invasão e vazamento de dados e de acompanhar os desdobramentos antes de ampliar o programa.

Desde 27 de setembro, foram noticiados incidentes em instituições como KB Kookmin Bank, Shinhan Bank, Hana Bank, BNK Busan Bank, Yegaram Savings Bank, Welcome Savings Bank e Hyundai Capital. Os relatos não comprovam que esses incidentes tenham resultado das exceções temporárias às regras de separação de redes.

Shinhan Bank e Hana Bank aparecem tanto no grupo inspecionado quanto na lista de instituições com incidentes noticiados. Essa sobreposição não é evidência de uma relação causal. A análise de segurança e a resposta mais ampla às violações devem ser tratadas separadamente, a menos que novas descobertas estabeleçam uma ligação entre elas.

As principais datas mostram a sequência de autorização, inspeção e adiamento da expansão:

• 19 de junho: A comissão concedeu a dez empresas exceções temporárias para usar serviços externos de IA e segurança em SaaS.
• De meados de julho ao início de setembro: O Instituto de Segurança Financeira inspecionou as empresas e exigiu correções antes do estabelecimento das conexões de rede.
• 14 de setembro: Estava previsto o encerramento das inscrições para a segunda rodada.
• A partir de 27 de setembro: Foi noticiada uma série de violações e vazamentos de dados no setor financeiro.
• 6 de outubro: Foi noticiado o adiamento da seleção prevista para 7 de outubro.

As autoridades disseram que o adiamento não alterava sua posição favorável à flexibilização das regras para empresas com capacidade de resposta adequada. Não foi anunciada uma nova data para a seleção.

Expansão alcançaria instituições menores

A segunda rodada planejada ampliaria a elegibilidade para além das maiores empresas financeiras, incluindo mais instituições de outros segmentos que não o bancário e os provedores de serviços financeiros eletrônicos. As medidas detalhadas foram confirmadas após a quinta reunião da Força-Tarefa de Resposta à Situação de IA de Fronteira da comissão, com participação do Serviço de Supervisão Financeira e do Instituto de Segurança Financeira.

O grupo de empresas elegíveis para se candidatar aumentaria de 49 para 75, um acréscimo de 26, ou cerca de 53%. O número de vagas disponíveis subiria de dez para até 15, um aumento de 50%. Esses números se referem à elegibilidade e à capacidade planejada de seleção, não à quantidade de inscrições efetivamente recebidas.

Para as empresas financeiras, o requisito mínimo de ativos cairia de 10 trilhões de won para 2 trilhões, enquanto o limite de funcionários cairia de 1.000 para 300 empregados permanentes. Os provedores de serviços financeiros eletrônicos precisariam ter um volume anual de transações financeiras eletrônicas de pelo menos 2 trilhões de won e receitas relacionadas superiores a 10% da receita total.

Nas duas categorias, o diretor de segurança da informação não poderia exercer simultaneamente outras funções de tecnologia da informação. As empresas selecionadas receberiam uma carta de não aplicação das regras de separação de redes por um ano, após a implementação de controles alternativos.

Os resultados da inspeção tornam a capacidade de implementação central para essa expansão. A redução do limite de porte permite que mais empresas participem, mas não elimina a necessidade de demonstrar que as salvaguardas funcionam. Os órgãos reguladores também planejavam avaliar novas rodadas e uma estrutura permanente com base no andamento dos testes e na demanda; o adiamento não resolveu essas decisões.

Por que a Coreia está reavaliando a separação física

A tensão da política é documentada no relatório sobre separação de redes do Instituto de Pesquisa do Mercado de Capitais da Coreia, relatório temático 24-26, publicado em 22 de novembro de 2024 pelo pesquisador Hwang Se-woon. O documento analisa os benefícios de segurança e os custos operacionais da abordagem sul-coreana, além do uso crescente de softwares em nuvem e de inteligência artificial generativa.

O relatório situa a origem da política nas interrupções do setor bancário de 20 de março de 2013, quando um código malicioso disfarçado de atualização se espalhou por servidores de atualização de antivírus. Segundo o documento, as autoridades anunciaram medidas abrangentes de segurança financeira em julho de 2013, e a separação de redes foi formalmente incorporada à regulamentação em 2015.

A escala das finanças digitais ajuda a explicar essa resposta. Segundo o relatório, as transações eletrônicas já representavam 87,7% de todas as transações financeiras em 2013, enquanto o valor médio diário das transações por internet banking e mobile banking ultrapassava 33 trilhões de won.

A separação física usa equipamentos ou infraestrutura distintos para manter a atividade na internet afastada do trabalho interno. A separação lógica emprega tecnologias como a virtualização para manter ambientes separados em uma infraestrutura física compartilhada. A segmentação de rede divide os sistemas em zonas e controla o tráfego entre elas, sem necessariamente proibir todas as conexões.

O relatório de Hwang aponta um conflito prático: muitos softwares modernos, incluindo ferramentas de inteligência artificial generativa, são oferecidos por serviços externos de nuvem, enquanto dados financeiros importantes permanecem em redes internas protegidas. O documento explica como uma separação rígida pode dificultar pesquisas, desenvolvimento de software e o uso rotineiro de programas por assinatura, mesmo quando essas ferramentas podem reduzir custos ou aprimorar processos de trabalho.

Comparações internacionais favorecem conexões controladas

O relatório do Instituto de Pesquisa do Mercado de Capitais da Coreia compara as abordagens dos Estados Unidos, da Europa e da Austrália. A distinção central está entre exigir o desconectamento físico e permitir que as instituições escolham suas arquiteturas de segurança, responsabilizando-as pela proteção das informações.

Nos Estados Unidos, o manual de segurança da informação do Conselho Federal de Exame de Instituições Financeiras descreve zonas de rede confiáveis e não confiáveis, controles entre essas zonas, diagramas precisos de redes e fluxos de dados e restrições em camadas. O relatório conclui que essa abordagem não determina um único método universal de separação física.

Para a Europa, o relatório analisa o Regulamento Geral sobre a Proteção de Dados, a segunda Diretiva de Serviços de Pagamento e as orientações da Autoridade Bancária Europeia. As orientações descritas exigem responsabilidade da administração, controles sobre provedores externos de tecnologia, direitos de acesso limitados e monitoramento e testes periódicos dos controles de acesso.

A comparação com a Austrália se baseia nas orientações da Autoridade Australiana de Regulação Prudencial e nos conselhos do Centro Australiano de Segurança Cibernética. Essas abordagens tratam a segmentação como uma entre várias ferramentas de segurança e alertam contra considerar toda a rede interna uniformemente confiável depois que um invasor ultrapassa sua barreira externa.

O relatório também cita pesquisas segundo as quais, em 2022, 82% dos bancos consultados haviam transferido ou planejavam transferir pelo menos metade de seus sistemas de grande porte para a nuvem. Outra pesquisa, realizada em 2023, constatou que 66% das empresas financeiras globais estavam adotando a nuvem em busca de crescimento e inovação. São medidas de pesquisas diferentes, e não uma tendência que indique queda na adoção entre os anos.

A comparação oferece uma lição específica para as inspeções sul-coreanas: maior liberdade na arquitetura de rede depende do funcionamento efetivo das restrições de acesso e dos testes. O relatório recomenda uma reforma gradual, classificação padronizada de dados, maior responsabilização por incidentes, investimentos em segurança e inspeções supervisoras regulares com medidas corretivas.

Uma exceção separada para SaaS mantém restrições sobre dados

Uma medida de flexibilização distinta permite que empresas financeiras e provedores de serviços financeiros eletrônicos usem determinadas ferramentas administrativas de SaaS sem ingressar no sandbox regulatório financeiro. Essa modalidade não deve ser confundida com as exceções temporárias para testes de segurança com IA concedidas às dez empresas inspecionadas.

A exceção abrange o SaaS definido no decreto de aplicação da Lei sobre o Desenvolvimento da Computação em Nuvem e a Proteção de seus Usuários, em relação aos requisitos de separação de redes previstos na Lei sobre Transações Financeiras Eletrônicas e nas normas de supervisão correspondentes.

Ela exclui atividades que envolvam informações de identificação pessoal ou informações de crédito pessoal. O uso de SaaS com dados pessoais pseudonimizados ainda exige aprovação pelo sandbox. A pseudonimização substitui detalhes identificadores por outros dados, mas não torna necessariamente as informações anônimas.

As solicitações devem passar pela análise do Instituto de Segurança Financeira. As empresas precisam manter controles de segurança para dispositivos de acesso, revisar a conformidade a cada seis meses e comunicar os resultados aos diretores de segurança da informação. O instituto também publicou uma cartilha sobre segurança de tecnologia financeira, riscos de SaaS e medidas para mitigá-los.

Em conjunto, as duas modalidades mostram que a flexibilização regulatória é condicional, não irrestrita. O programa temporário de testes depende de controles substitutos antes da conexão; a modalidade de SaaS administrativo mantém restrições sobre dados, análise prévia e revisões periódicas.

As questões imediatas ainda sem resposta são quais empresas apresentavam cada deficiência na inspeção, como essas vulnerabilidades se desenvolveram e quando a seleção adiada será retomada. A confirmação do instituto de que as correções precederam as conexões é a ressalva mais forte apresentada sobre o incidente. O desafio mais amplo é verificar se as empresas conseguem manter controles funcionais após a inspeção, em vez de apresentar planos cuja implementação precise ser cobrada pelos inspetores.

Principais pontos

• Dez empresas financeiras receberam, em 19 de junho, exceções temporárias às regras de separação de redes para testar serviços de IA e segurança em SaaS.
• Inspeções realizadas de meados de julho ao início de setembro constataram que muitas salvaguardas exigidas ainda estavam em fase de planejamento.
• Alguns consoles de gerenciamento de segurança estavam acessíveis pela internet, e um serviço de nuvem não tinha certificação de segurança.
• O Instituto de Segurança Financeira afirmou que todas as deficiências foram corrigidas antes da conexão entre as redes internas e externas.
• A seleção, prevista para 7 de outubro, de até 15 instituições adicionais foi adiada em meio a violações e vazamentos de dados distintos.
• A expansão planejada aumentaria de 49 para 75 o número de empresas elegíveis para se candidatar.
• Uma exceção separada para SaaS administrativo mantém restrições sobre dados pessoais, análise pelo instituto e revisões de segurança a cada seis meses.