Japão prepara pacote emergencial de cibersegurança após invasão à GMO afetar clientes de corretoras

Vazamentos de dados causam prejuízos a clientes

O Japão elaborará um pacote emergencial de cibersegurança até o fim da semana que começa em 2 de novembro, afirmou a primeira-ministra Sanae Takaichi em 26 de outubro de 2026, enquanto ataques a empresas expunham informações pessoais e deixavam alguns clientes sujeitos a prejuízos causados por transações financeiras não autorizadas.

O anúncio foi feito após uma invasão envolvendo o GMO Internet Group, que informou que 26.739 servidores podem ter sido afetados. O caso envolve contas de negociação em mais de 70 corretoras, provedores de câmbio e outras empresas no Japão e no exterior. Um cliente da província de Kanagawa afirmou que operações cambiais não autorizadas lhe causaram prejuízo superior a 6 milhões de ienes.

Takaichi convocou, em seu gabinete em Tóquio, a primeira reunião do governo com os ministros responsáveis por temas relacionados à cibersegurança. Ela pediu uma resposta coordenada que pode incluir o uso de novos poderes legais para acessar os sistemas dos invasores e neutralizar ameaças, além de testes e monitoramento mais rigorosos das empresas japonesas.

O pronunciamento de 26 de outubro do secretário-chefe do Gabinete, Minoru Kihara, anunciou a reunião para as 18h e destacou a principal preocupação do governo: grandes vazamentos de informações estavam sendo seguidos por novos danos causados pelo uso indevido dos dados roubados. Os ministérios discutiriam medidas adicionais e uma cooperação mais estreita.

Após a reunião, Takaichi ressaltou a urgência da situação e apontou os danos causados quando informações vazadas são usadas contra as pessoas a quem pertencem.

"A situação é grave, com preocupações crescentes sobre danos civis decorrentes do uso indevido de informações vazadas. Precisamos reforçar urgentemente nossas contramedidas", afirmou.

A tarefa imediata vai além de consertar computadores comprometidos. Os ministros precisam lidar com a forma como informações roubadas podem expor o dinheiro dos clientes, como as empresas detectam invasões e em que situações o Estado deve intervir contra um invasor.

O que o pacote emergencial vai abranger

Takaichi apontou como medidas para reforçar as defesas do Japão a simulação de ataques com inteligência artificial generativa e a criação de uma rede de monitoramento que alcance pequenas e médias empresas. A inteligência artificial generativa produz conteúdo, como texto ou código de computador; em um teste de segurança controlado, ela pode ajudar a criar cenários de ataque para verificar como um sistema reage.

Uma simulação de ataque é um exercício autorizado. Equipes de segurança tentam encontrar pontos vulneráveis antes que criminosos os explorem. Uma rede de monitoramento tem outra função: vigia atividades suspeitas para que as organizações possam detectar e responder a uma invasão.

A inclusão de empresas menores é importante porque a resposta do governo pretende ir além das grandes companhias e dos órgãos públicos. O pacote envolveria mais empresas em um esforço coordenado para identificar ataques e compartilhar alertas.

Takaichi instruiu os ministros a analisar rapidamente as medidas e seu financiamento. Também pediu que todo o governo se mobilize para acelerar o trabalho. O orçamento do pacote, os detalhes do monitoramento e a data exata de divulgação ainda não foram anunciados.

Por que tantos ministérios estão envolvidos

O anúncio de Kihara listou participantes responsáveis por cibersegurança, policiamento, finanças, comunicações, indústria, transportes e defesa. Além de Takaichi e Kihara, foram citados o ministro da Cibersegurança, Toshiharu Furukawa, o presidente da Comissão Nacional de Segurança Pública, Yasuhiro Hanashi, e o ministro da Defesa, Shinjiro Koizumi.

A diversidade de responsabilidades reflete as diferentes dimensões do problema. Uma invasão a um provedor de servidores pode expor informações usadas por clientes de serviços financeiros. A polícia pode investigar atividades criminosas, enquanto as autoridades de defesa têm responsabilidades previstas no novo marco de combate a ameaças cibernéticas.

A reunião de 26 de outubro tinha o objetivo de dar aos ministros uma visão comum dos incidentes em andamento e reforçar a cooperação entre seus departamentos. Ela ocorreu após propostas apresentadas a Takaichi em 23 de outubro pelo grupo de estratégia de cibersegurança do Partido Liberal Democrático, que governa o país.

O partido pediu a criação de um centro de resposta dedicado, subordinado ao gabinete da primeira-ministra, maior conscientização entre executivos de empresas, especialmente as listadas em bolsa, e o reforço do recrutamento e da formação de profissionais de cibersegurança. Takaichi prometeu tratar do tema sob a liderança de seu gabinete.

Como a invasão à GMO chegou às contas de negociação

A GMO reconheceu em 24 de outubro que informações do Onamae.com Desktop Cloud, um serviço que aluga acesso a servidores remotos, podem ter sido roubadas. Os clientes usam o serviço para operações cambiais automatizadas, permitindo que programas de negociação funcionem em um computador remoto, sem depender de um computador em casa.

As operações de câmbio com margem, geralmente chamadas de operações de FX, envolvem apostar nas variações dos preços das moedas depositando apenas uma parte do valor da operação. Os clientes podem sofrer grandes prejuízos quando as transações evoluem em sentido contrário às suas posições. Neste caso, clientes reclamaram que operações foram realizadas sem sua autorização.

A GMO afirmou que senhas e outras informações ligadas a contas de negociação em seus servidores podem ter sido acessadas por terceiros. A possível exposição abrange 26.739 servidores e contas em mais de 70 empresas. A companhia ainda não informou um total confirmado de clientes que perderam dinheiro nem o valor combinado dos prejuízos.

Um funcionário de escritório de 44 anos da província de Kanagawa afirmou que transações não autorizadas realizadas em 21 de outubro lhe causaram prejuízo superior a 6 milhões de ienes. Ele descreveu sua reação de forma simples:

"Entrei em pânico", disse.

Mais tarde, o cliente recebeu um e-mail de um remetente que se identificou como "Hacking Team" e alegou ter zerado o saldo de sua conta. A experiência ilustra por que o governo considera o uso indevido de informações vazadas uma ameaça imediata às finanças das pessoas, além de um problema para as empresas que armazenam seus dados.

Indenizações e ameaças contra usuários

A GMO afirmou que pagará 5.000 ienes a todos os usuários do serviço afetado, inclusive àqueles que não tiveram prejuízos financeiros. Também prometeu indenizar perdas que determinar terem sido causadas por acessos não autorizados. Portanto, o pagamento geral e o processo de indenização atendem a grupos diferentes: todos os usuários do serviço receberão o valor, enquanto os prejuízos com operações de negociação dependerão de uma avaliação.

Em uma publicação em seu blog em 25 de outubro, o presidente-executivo da GMO, Masatoshi Kumagai, pediu desculpas pela falha da empresa em proteger os clientes e prometeu indenizá-los. Ele também pediu ao governo que adotasse medidas de defesa cibernética ativa.

A GMO afirmou que o invasor suspeito exigiu dinheiro e ameaçou divulgar informações da empresa e dos clientes. A companhia explicou por que pagar deixaria os clientes expostos:

"Mesmo que atendêssemos às exigências, não haveria garantia de que as informações obtidas seriam apagadas nem de que seu uso indevido seria impedido", afirmou a GMO.

Em 24 de outubro, uma pessoa que se acredita estar por trás do ataque também ameaçou, em publicações na internet, lançar ataques de ransomware contra os computadores dos clientes. Ransomware é um tipo de programa malicioso que pode bloquear arquivos ou sistemas e exigir pagamento. A GMO recomendou que os usuários fizessem cópias de segurança dos dados e executassem verificações antivírus.

O que a defesa cibernética ativa permite

A Lei de Defesa Cibernética Ativa do Japão foi aprovada pelo Parlamento em maio de 2025 e entrou em vigor em 1º de outubro de 2026. Suas disposições sobre neutralização por acesso permitem que as autoridades acessem os sistemas dos invasores e tomem medidas para interromper ameaças cibernéticas em sua origem.

Essa abordagem vai além da defesa dos próprios computadores da vítima. Em vez de apenas bloquear atividades que chegam ou reparar danos, as autoridades podem agir contra os sistemas usados para realizar um ataque. A polícia e as Forças de Autodefesa têm atribuições na implementação do marco.

Takaichi afirmou que o governo selecionará estrategicamente e executará as respostas disponíveis, incluindo a neutralização por acesso, contra ataques cibernéticos cujas circunstâncias tenham sido identificadas. Sua declaração colocou a investigação e a avaliação operacional no centro de qualquer decisão.

O pedido da GMO levou esses poderes a um caso concreto envolvendo os bens de clientes particulares. Kumagai reconheceu que a intervenção do governo costuma estar associada a operadores de infraestrutura crítica, como empresas de energia e de transporte, e afirmou entender que cabe às autoridades decidir quando e como agir.

Kumagai argumentou que ataques com os mesmos métodos poderiam se espalhar dos serviços de uma empresa privada para outras infraestruturas e bens pessoais. Seu apelo buscou incluir a lei, que acaba de entrar em vigor, na resposta aos prejuízos já relatados por clientes.

Quem decide se haverá intervenção?

Kihara afirmou que o governo decidirá por conta própria se a neutralização por acesso se justifica. Uma solicitação de uma empresa pode fornecer informações e indicar urgência às autoridades, mas a decisão cabe ao Estado, de acordo com os requisitos legais aplicáveis.

Questionado sobre a resposta ao caso da GMO, Kihara se recusou a comentar detalhes operacionais, dizendo que falar sobre ataques específicos poderia revelar a estratégia do governo. Ele descreveu a abordagem habitual do governo às informações recebidas de organizações afetadas:

"De modo geral, o governo recebe diversos tipos de informações das organizações afetadas, oferece o apoio necessário e toma as medidas adequadas conforme as circunstâncias de cada caso", afirmou.

Um funcionário do gabinete da primeira-ministra disse que seria necessária uma análise mais aprofundada para determinar se o caso da GMO se enquadrava nos critérios. Qualquer operação provavelmente permaneceria em sigilo, pois sua divulgação poderia revelar as capacidades do governo. Para clientes e empresas, pode ser mais fácil acompanhar a resposta pública por meio de indenizações, proteção de serviços e anúncios de políticas do que por detalhes de ações contra invasores.

Testes de defesa e investigação do ataque

O ministro da Indústria, Ryosei Akazawa, também anunciou planos para criar, no mês seguinte, uma equipe de hackers éticos. Os especialistas em cibersegurança trabalharão na Innovation Platform Agency, ligada ao Ministério da Economia, Comércio e Indústria, para identificar vulnerabilidades em sistemas de computador.

Hackers éticos testam sistemas com autorização para que as vulnerabilidades possam ser corrigidas. O trabalho deles complementaria os testes de simulação de ataques e a rede de monitoramento propostos: os testes buscam pontos vulneráveis, enquanto o monitoramento procura sinais de que alguém está tentando explorá-los.

O anúncio de Akazawa ocorreu enquanto algumas páginas do ministério e serviços de empresas eram parcialmente suspensos por precaução, após a detecção de vulnerabilidades no PHP, uma linguagem de programação amplamente usada na criação de sites. O ministério havia distribuído alertas de cibersegurança por meio de cerca de 1.000 organizações e associações do setor.

Investigadores também examinavam as ferramentas relacionadas à invasão da GMO. A GMO Cybersecurity by Ierae, uma empresa do grupo, afirmou ter rastreado o ataque até uma ferramenta de inteligência artificial chamada Artex. Uma investigação da CrowdStrike sobre ataques com Artex na Coreia do Sul avaliou que, muito provavelmente, as ameaças tiveram origem na China. A origem do ataque à GMO ainda não foi confirmada.

As datas por trás da resposta emergencial

Outubro marcou a introdução de novos poderes do governo, relatos de prejuízos a clientes e uma rápida sequência de decisões políticas. As principais datas mostram como a questão passou rapidamente de um incidente que afetou clientes de serviços de negociação para uma resposta envolvendo vários ministérios.

• Maio de 2025: o Parlamento aprovou a legislação de Defesa Cibernética Ativa.
• 1º de outubro de 2026: o marco legal entrou em vigor, incluindo disposições sobre neutralização por acesso.
• 21 de outubro: o cliente de Kanagawa afirmou que operações não autorizadas de FX causaram prejuízos superiores a 6 milhões de ienes.
• 23 de outubro: o Partido Liberal Democrático apresentou propostas emergenciais, incluindo a criação de um centro de resposta subordinado ao gabinete da primeira-ministra.
• 24 de outubro: a GMO reconheceu o provável roubo de informações do Onamae.com Desktop Cloud. Uma ameaça contra os computadores dos clientes também foi publicada na internet.
• 25 de outubro: Kumagai pediu desculpas, prometeu indenizações e solicitou a intervenção do governo.
• 26 de outubro: Takaichi realizou a reunião ministerial e determinou a elaboração de um pacote emergencial para a semana seguinte.

O pacote é o próximo marco público das políticas. Seu valor prático para empresas e clientes dependerá das medidas escolhidas pelos ministros, do financiamento destinado a elas e da rapidez com que os testes, o monitoramento e a resposta a incidentes cheguem às organizações visadas.

Principais pontos

• Takaichi quer concluir um pacote emergencial de cibersegurança durante a semana que começa em 2 de novembro de 2026.
• A GMO afirmou que 26.739 servidores podem ter sido afetados, envolvendo contas de negociação em mais de 70 empresas.
• Um cliente relatou prejuízo superior a 6 milhões de ienes com operações de FX não autorizadas.
• A GMO prometeu pagar 5.000 ienes a todos os usuários do serviço afetado e indenizar prejuízos que atribuir a acessos não autorizados.
• As medidas propostas pelo governo incluem simulações de ataques com inteligência artificial generativa e monitoramento que alcance empresas menores.
• As autoridades decidirão de forma independente se usarão os novos poderes para acessar os sistemas dos invasores e neutralizar ameaças.