Institutos de pesquisa da Coreia do Sul planejam verificar a segurança de apenas 15,9% dos servidores

Mais de 16 mil servidores ficaram fora das verificações planejadas

Institutos de pesquisa financiados pelo governo da Coreia do Sul selecionaram apenas 3.025 de seus 19.041 servidores para verificações de vulnerabilidade em 2026, segundo dados do Ministério da Ciência e TIC apresentados à Assembleia Nacional. Isso deixa 16.016 servidores, ou 84,1%, fora do escopo das inspeções, embora as diretrizes nacionais de cibersegurança exijam verificações pelo menos uma vez por ano.

Os números abrangem 23 institutos que realizam pesquisas em áreas como inteligência artificial, semicondutores, biotecnologia, energia nuclear e cibersegurança. No escopo limitado das inspeções, os institutos registraram 34.536 vulnerabilidades entre 1º de janeiro e 16 de outubro. Todos os 23 informaram que os trabalhos para corrigir os problemas ainda estavam em andamento.

Outra lacuna diz respeito à proteção contra softwares maliciosos. Números apresentados durante a fiscalização parlamentar mostraram que 17.387 servidores, ou 91,3%, não tinham antivírus instalado. Entre 766 servidores conectados diretamente à internet para oferecer serviços como sites, 372 estavam sem proteção antivírus.

A sede do ministério tinha uma cobertura muito mais ampla: todos os seus 108 servidores foram incluídos nas inspeções de vulnerabilidade, e 100 tinham antivírus instalado. Parlamentares questionaram por que institutos responsáveis por pesquisas de importância nacional operavam com uma proteção consideravelmente mais limitada, apesar de seguirem as mesmas diretrizes de segurança.

O ministério citou a falta de profissionais especializados, o alto custo das ferramentas de varredura e dificuldades técnicas para instalar antivírus em alguns equipamentos de pesquisa. A resposta proposta inclui critérios comuns para decidir quais servidores devem ser inspecionados primeiro. O deputado Lee Hoon-ki, do Partido Democrático e integrante da comissão de ciência e tecnologia da Assembleia Nacional, defendeu, em vez disso, uma revisão imediata de todos os servidores.

Os maiores operadores de servidores têm a menor cobertura

O Instituto de Ciência e Tecnologia da Informação da Coreia, conhecido como KISTI, selecionou 267 de seus 11.132 servidores para inspeção. Já o Instituto de Pesquisa em Eletrônica e Telecomunicações, ou ETRI, selecionou 100 de 3.747.

Juntos, esses dois institutos operavam 14.879 servidores, cerca de 78,1% do total das 23 instituições. Eles selecionaram apenas 367 para inspeção, aproximadamente 2,5% do inventário combinado. Pelo tamanho que têm, suas decisões sobre inspeções são centrais para o panorama nacional.

A taxa de instalação de antivírus nos servidores do KISTI era de 0,6%, enquanto no ETRI era de 8,4%. Entre as responsabilidades dos dois estão a infraestrutura computacional e a tecnologia de comunicações, o que torna a proteção de seus sistemas especialmente relevante para as operações de pesquisa.

Os números das inspeções descrevem os servidores selecionados para verificação durante o período informado. Para entender quanto trabalho foi concluído, ainda é preciso ter um balanço completo das inspeções realizadas, das vulnerabilidades corrigidas e das proteções aplicadas aos servidores que ficaram fora da seleção.

Quatro anos de inspeções limitadas

Os dados do ministério mostram um padrão persistente, não uma interrupção pontual nas inspeções. Entre os 23 institutos, a proporção de servidores fora do escopo das inspeções foi de 84,2% em 2023, 84,2% em 2024, 83,7% em 2025 e 84,1% em 2026.

Assim, a cobertura permaneceu próxima de um servidor a cada seis ao longo dos quatro anos. A modesta melhora de 2025 foi em grande parte anulada em 2026.

O ETRI registrou uma mudança mais acentuada. A proporção de servidores fora das inspeções subiu de 61,1% em 2025 para 97,3% em 2026. A parcela excluída no KISTI permaneceu acima de 96% em todos os anos analisados, chegando a 97,6% em 2026.

O Instituto de Pesquisa em Eletrotecnologia da Coreia deixou 94,8% dos servidores fora das inspeções em cada um dos quatro anos. No Instituto de Pesquisa em Segurança Nacional, a parcela excluída caiu de 90,9% em 2023 e 2024 para 71,8% em 2025 e 67,3% em 2026. Mesmo com essa melhora, cerca de dois terços continuaram fora do escopo selecionado.

O que exigem as regras de inspeção

O artigo 53, parágrafo 2, das Diretrizes Básicas Nacionais de Cibersegurança exige que os administradores de servidores revisem suas medidas de segurança e inspecionem e corrijam vulnerabilidades pelo menos uma vez por ano. Os riscos abrangidos incluem o roubo de informações armazenadas e alterações não autorizadas nas configurações ou nos dados dos servidores.

Uma alteração que entrou em vigor em 1º de maio também exige a verificação regular de vulnerabilidades e atualizações de sistemas operacionais e softwares. Uma vulnerabilidade é uma fragilidade, como uma configuração insegura ou um software desatualizado, que pode dar a alguém a oportunidade de entrar em um sistema ou interferir em seu funcionamento.

Os institutos usaram critérios diferentes para escolher os alvos das inspeções. Alguns excluíram servidores examinados no ano anterior; outros deixaram de fora máquinas programadas para desativação. O ministério havia deixado essas decisões a cargo de cada instituição.

Os principais acontecimentos se estendem por vários anos:

• 2023 a 2026: A proporção de servidores dos institutos fora do escopo das inspeções permaneceu acima de 83% em todos os anos.
• 1º de maio: Uma alteração acrescentou exigências de verificações regulares de vulnerabilidades e atualizações de software.
• Julho: O Conselho de Auditoria e Inspeção pediu que fossem definidas prioridades de inspeção para os casos em que os institutos não pudessem examinar todos os servidores em detalhes.
• Setembro de 2026: A cobertura de antivírus nos 23 institutos era de 1.654 em 19.041 servidores.
• 16 de outubro: O período de registro de vulnerabilidades terminou com 34.536 ocorrências.
• 20 de outubro: Parlamentares questionaram a gestão de segurança do ministério durante a auditoria parlamentar dos institutos de pesquisa.

Milhares de vulnerabilidades ainda aguardam correção

O Instituto de Ciência e Tecnologia da Coreia, ou KIST, registrou 7.079 vulnerabilidades, o maior total entre os institutos. Em seguida vieram o Instituto de Pesquisa de Máquinas e Materiais da Coreia, com 6.472; o Instituto de Geociências e Recursos Minerais da Coreia, com 4.290; e o KISTI, com 3.944. O Instituto de Pesquisa em Biociência e Biotecnologia da Coreia registrou outras 2.693.

No instituto de máquinas, as 6.472 ocorrências vieram de 89 servidores, uma média de cerca de 73 por servidor. Uma única máquina pode ter muitas vulnerabilidades, pois seu sistema operacional, os aplicativos e as configurações de segurança podem exigir ajustes.

Os institutos classificaram os trabalhos de correção como ainda em andamento. Corrigir uma vulnerabilidade pode envolver instalar uma atualização, alterar uma configuração, remover softwares desnecessários ou restringir o acesso. Os números indicam a quantidade de vulnerabilidades identificadas, enquanto o trabalho necessário depende da gravidade de cada uma e das mudanças exigidas.

Para as equipes de pesquisa, os trabalhos de correção também precisam ser coordenados com os sistemas que utilizam. Os servidores podem executar cálculos, armazenar resultados experimentais ou controlar equipamentos. A explicação do ministério sobre a falta de pessoal aponta para a necessidade de profissionais capazes de avaliar uma vulnerabilidade e fazer os reparos sem interromper essas funções.

Falhas de antivírus também atingem serviços de internet

Apenas 1.654 dos 19.041 servidores dos institutos tinham antivírus instalado, uma taxa de 8,7%. Na sede do ministério, o índice correspondente era de 92,6%, uma diferença de 83,9 pontos percentuais.

Os servidores conectados à internet tinham uma cobertura melhor do que o conjunto dos servidores dos institutos, mas quase metade ainda estava sem o software: 372 de 766, ou 48,6%. Essas máquinas têm contato direto com a internet pública, o que permite que invasores sondem seus serviços em busca de vulnerabilidades.

O antivírus e as inspeções de vulnerabilidade cumprem funções diferentes. O antivírus procura programas maliciosos ou atividades suspeitas. A inspeção de vulnerabilidade procura fragilidades que precisam ser corrigidas. Os institutos precisam tanto manter seus softwares em condições adequadas quanto detectar sinais da presença de programas nocivos.

O chefe de planejamento e coordenação do ministério, Kang Sang-wook, reconheceu limitações técnicas ao ser questionado sobre a cobertura de antivírus:

É tecnicamente difícil instalar antivírus em alguns equipamentos dos institutos de pesquisa, por isso não é simples alcançar 100% de cobertura", afirmou. "Mas acredito que há bastante espaço para melhorias.

Kang disse que o ministério aceleraria as instalações e reforçaria a supervisão para que os dirigentes dos institutos dessem mais atenção ao tema. Para equipamentos que não podem receber antivírus convencional, Lee defendeu a verificação de proteções equivalentes. Elas podem incluir restrições rigorosas de acesso, a separação de redes e outros métodos para detectar atividades maliciosas.

Detecções de malware põem em dúvida avaliações positivas de segurança

Uma auditoria anterior do Conselho de Auditoria e Inspeção examinou cinco institutos de pesquisa que operavam 17.073 servidores. Apenas 374 servidores, ou 2,2%, tinham antivírus instalado. Essa auditoria analisou um grupo e um período diferentes dos números de setembro, que abrangem os 23 institutos.

Os auditores verificaram 251 servidores sem antivírus e detectaram 38 tipos de software malicioso em 21 servidores de quatro institutos. Cerca de 8,4% das máquinas examinadas continham malware. Essa proporção se refere às máquinas selecionadas para aquela verificação.

A auditoria também identificou atrasos nas atualizações de segurança de servidores importantes e controles inadequados sobre programas que permitiam acesso a redes internas a partir de fora. Essas constatações acrescentam exemplos concretos de práticas operacionais aos números de instalação de antivírus.

Apesar dessas fragilidades, o ministério classificava anualmente como muito boa a gestão de segurança da informação dos institutos. O parlamentar do Partido do Poder Popular Seo Cheon-ho questionou se essas avaliações refletiam as condições dentro das instituições.

O parlamentar do Partido Democrático Kim Nam-guk apontou outra falha de supervisão. Das 19 recomendações e diretrizes de segurança enviadas aos institutos de pesquisa desde 2023, a conformidade com apenas uma estava sendo verificada. Ele disse que o ministério também não havia confirmado a adoção das orientações relativas a uma vulnerabilidade classificada na categoria de maior risco por um sistema internacional de avaliação de vulnerabilidades.

Em conjunto, as constatações apontam duas tarefas para o ministério: verificar se as instruções estão sendo seguidas e avaliar se suas classificações refletem as fragilidades encontradas em exames mais detalhados.

Aumento do orçamento põe gastos sob análise

Seis institutos disseram que instalariam antivírus por etapas, depois de obter recursos. Seus orçamentos combinados de segurança da informação, no entanto, aumentaram de 2,47 bilhões de won para 3,62 bilhões de won, uma alta de 1,15 bilhão de won, ou 46,3%.

Os seis eram o Instituto Nacional de Tecnologia Verde, o Instituto de Medicina Oriental da Coreia, o Instituto de Tecnologia Industrial da Coreia, o Instituto de Pesquisa de Máquinas e Materiais da Coreia, o Instituto de Pesquisa Energética da Coreia e o Instituto de Pesquisa em Eletrotecnologia da Coreia. Os 23 institutos tiveram aprovados, sem cortes, os orçamentos de segurança da informação que solicitaram.

O Instituto Nacional de Tecnologia Verde e o Instituto de Medicina Oriental da Coreia não tinham uma verba específica para aquisição ou manutenção de antivírus para servidores em 2025 nem em 2026. No instituto de medicina oriental, apenas dois dos 141 servidores tinham antivírus instalado.

O instituto estimou o custo em 500.000 won por servidor, o que levaria a cobertura dos 139 servidores restantes a 69,5 milhões de won. O gabinete de Lee comparou esse valor aos gastos de 43 milhões de won com tarifas de linhas de rede, 28 milhões de won com serviços de nuvem e 22 milhões de won com equipamentos usados para apagar mídias de armazenamento magnético.

Essas três categorias somavam 93 milhões de won. A comparação põe sob análise a destinação dos recursos dos orçamentos de segurança, além do volume recebido pelas instituições. Algumas instalações de antivírus estavam previstas para 2027 ou 2028, e Lee pediu que fossem concluídas antes.

Arquivos de pesquisa também foram levados em um disco rígido

O Conselho de Auditoria e Inspeção identificou uma falha de segurança física da informação no Instituto de Pesquisa Aeroespacial da Coreia. Um pesquisador que se transferiu para outra instituição retirou um disco rígido sem autorização. O dispositivo continha 60.956 arquivos de pesquisa, incluindo material relacionado a quatro projetos de segurança nacional.

O caso leva os dispositivos de armazenamento para o mesmo debate que envolve os servidores. Proteger informações de pesquisa também exige regras sobre quem pode retirar um disco, quem aprova a retirada e como o deslocamento é registrado.

Vários desfechos continuam sem esclarecimento: os relatos não confirmam que dados de pesquisa tenham sido divulgados por causa das detecções de malware ou da retirada do disco, não informam a conclusão de uma investigação sobre esses casos nem estabelecem uma data para o término de todas as correções de vulnerabilidades. Os próximos prazos anunciados dizem respeito aos critérios de inspeção do ministério e à revisão exigida pelos parlamentares.

Ministério tem prazo para definir prioridades de inspeção

O ministério planeja estabelecer critérios comuns de prioridade até o fim de 2026 e aplicá-los a partir de 2027. Também informou que pretende reunir os critérios já adotados pelos institutos e incluir itens prioritários essenciais ao longo de 2026, uma etapa anterior à entrada em vigor do modelo mais amplo.

As regras de prioridade identificariam quais máquinas devem ser verificadas primeiro quando há limitações de pessoal e ferramentas. Lee argumentou que a definição da ordem das inspeções não pode comprometer a obrigação anual de inspecionar e corrigir vulnerabilidades em todos os servidores.

Lee também pediu uma revisão completa da segurança dos servidores antes do fim do ano. Sobre a responsabilidade do ministério pelos equipamentos incompatíveis com antivírus, ele afirmou:

"O ministério também precisa verificar se os servidores nos quais não é viável instalar antivírus contam com proteções alternativas equivalentes e reforçar sua responsabilidade de supervisão para garantir que os dirigentes dos institutos assumam diretamente a segurança da informação", afirmou.

As constatações em conjunto colocam na mesma agenda a cobertura das inspeções, os trabalhos de correção, a proteção contra malware e a responsabilização da gestão. Para os institutos, o teste prático é garantir que cada servidor tenha um cronograma de inspeção definido, que as vulnerabilidades identificadas sejam corrigidas e que equipamentos especializados recebam proteções adequadas ao seu funcionamento.

Principais pontos

• Os 23 institutos de pesquisa selecionaram 3.025 dos 19.041 servidores para verificações de vulnerabilidade em 2026, uma taxa de 15,9%.
• Até 16 de outubro, os institutos registraram 34.536 vulnerabilidades, e os trabalhos de correção ainda estavam em andamento.
• Faltava antivírus em 17.387 servidores, incluindo 372 conectados diretamente à internet.
• Uma auditoria anterior detectou 38 tipos de malware em 21 dos 251 servidores examinados.
• Seis institutos que alegaram limitações de recursos receberam, juntos, um aumento de 46,3% no orçamento de segurança.
• O ministério planeja definir prioridades comuns de inspeção até o fim do ano para aplicá-las em 2027; parlamentares pedem uma revisão completa antes disso.