Japão avalia bloquear site após vazamento de dados da GMO, levantando preocupações sobre a privacidade das comunicações

Vazamento de dados coloca medida excepcional em foco

O Japão planeja avaliar o bloqueio de sites em um pacote emergencial de cibersegurança depois que invasores publicaram informações pessoais roubadas em um ataque cibernético envolvendo a GMO Internet. Em 27 de outubro, o Ministério de Assuntos Internos e Comunicações pediu a provedores de telecomunicações do país que impedissem o acesso ao site que divulgava as informações, citando um risco concreto de novos danos.

O pedido foi encaminhado às principais operadoras de telecomunicações por meio de uma associação do setor. A medida exigiria que os provedores verificassem os destinos das conexões dos usuários e as recusassem quando direcionadas ao site em questão. Essa abordagem coloca duas formas de privacidade no centro da mesma controvérsia: proteger as pessoas que tiveram suas informações roubadas e proteger os usuários da internet contra o monitoramento de suas comunicações.

Posteriormente, o site ficou inacessível após a suspensão de seu domínio. Acredita-se que um provedor dos Estados Unidos tenha tomado essa medida. Aparentemente, as empresas japonesas de telecomunicações não chegaram a bloquear o acesso.

Agora, o governo pretende examinar as questões jurídicas relacionadas ao bloqueio e outras formas de impedir o uso indevido das informações roubadas. Não foi divulgado um prazo para concluir essa análise ou adotar o pacote emergencial.

O que aconteceu depois que as informações foram divulgadas?

O incidente envolveu serviços relacionados à negociação de margem de câmbio, comumente chamada de FX, do grupo GMO Internet. Esses serviços permitem que os clientes negociem moedas usando depósitos como garantia. A preocupação imediata no debate sobre o bloqueio é a divulgação de informações pessoais obtidas por meio de acesso não autorizado.

A sequência situa o pedido do governo entre a divulgação das informações e a indisponibilidade do site:

• Antes de 27 de outubro: O acesso não autorizado afetou serviços do grupo GMO Internet relacionados à negociação de margem de câmbio.
• 27 de outubro: Os invasores publicaram informações pessoais obtidas no incidente, e o Ministério das Comunicações pediu aos provedores do país que bloqueassem o acesso ao site.
• Após a divulgação: O domínio do site foi suspenso, tornando-o inacessível. Acredita-se que um provedor dos Estados Unidos tenha intervindo.
• Após o incidente: O governo planejou incluir a avaliação do bloqueio em um pacote emergencial de cibersegurança.

A diferença entre um pedido e uma restrição efetivamente aplicada é importante para entender o que aconteceu. Os provedores foram instados a preparar uma barreira de acesso, enquanto a medida que afetou o domínio do site parece ter eliminado a necessidade imediata dessa barreira.

Por que o governo queria impedir o acesso

As informações pessoais podem continuar prejudicando seus titulares mesmo depois de encerrada a invasão inicial. Uma vez publicadas, elas podem ser copiadas e repassadas a outras pessoas. Dependendo do conteúdo, criminosos podem usá-las para tornar mensagens fraudulentas mais convincentes ou para perseguir indivíduos e submetê-los a novos abusos.

A preocupação declarada pelo Ministério das Comunicações era o risco concreto de danos secundários. Em termos simples, isso significa prejuízos causados pelo uso ou pela disseminação de informações roubadas depois do furto em si. Impedir que as pessoas acessem o site onde o material foi publicado poderia reduzir as oportunidades de obter os dados enquanto outras medidas fossem tomadas.

O secretário-chefe do Gabinete, Kihara, abordou os danos à privacidade causados pela divulgação de informações pessoais na internet. Ele afirmou:

Não se pode permitir que informações pessoais sejam publicadas na internet e que direitos à privacidade sejam violados.

A declaração explica por que o governo buscou intervir. As pessoas cujas informações foram expostas não conseguem recuperar todas as cópias por conta própria, e cada download adicional pode dificultar a contenção. Por isso, as autoridades sofrem pressão para agir com rapidez suficiente para limitar a circulação do material.

Como o bloqueio afeta outros usuários da internet

O bloqueio de sites impõe a restrição no provedor de telecomunicações, em vez de remover as informações do próprio site. O provedor identifica uma conexão destinada ao endereço em questão e impede que ela seja concluída. O usuário não precisa concordar com essa restrição.

Para identificar quais conexões devem ser interrompidas, os provedores precisam verificar os destinos das comunicações dos usuários. É por isso que a proposta diz respeito também a pessoas que não são clientes afetados pelo incidente da GMO. A operação envolve examinar as conexões dos usuários de um provedor para encontrar aquelas direcionadas ao site selecionado.

A Constituição japonesa e outras leis protegem o sigilo das comunicações. Essa proteção abrange a confidencialidade das comunicações, inclusive informações sobre seus destinos. O destino de uma conexão pode, por si só, revelar algo privado, mesmo que o conteúdo de uma mensagem não seja examinado.

A escolha de política pública envolve, portanto, proteger diferentes pessoas por meio de medidas que apontam em direções distintas. As autoridades querem restringir o acesso a informações roubadas, enquanto os provedores de telecomunicações precisam considerar suas obrigações de preservar o sigilo das comunicações dos usuários. A análise jurídica proposta terá de abordar ambas as responsabilidades.

Por que propostas anteriores foram tratadas com cautela

O Japão já aceitou, em caráter excepcional, o bloqueio de sites que divulgam material de abuso sexual infantil, descritos no debate como sites de pornografia infantil. A justificativa tem sido o dano grave e duradouro causado às crianças pela circulação contínua desse material, além da necessidade de limitar a interferência no sigilo das comunicações.

Propostas de usar o bloqueio contra sites de pirataria e cassinos on-line também foram consideradas, mas sua implementação acabou suspensa. Esses precedentes ajudam a explicar a sensibilidade em recorrer à mesma medida diante do roubo de informações pessoais.

O incidente da GMO levaria o bloqueio a um contexto diferente: uma tentativa urgente de conter danos após um ataque cibernético. O governo está avaliando como uma medida antes aceita apenas em circunstâncias excepcionais poderia se encaixar na resposta a vazamentos graves de informações.

As críticas ao pedido se concentram em saber se o perigo era suficientemente iminente e se outras formas de impedir a divulgação já haviam sido esgotadas. Os pedidos por regras jurídicas claras refletem uma preocupação prática: os provedores precisam saber quando podem restringir o acesso, quais condições se aplicam e como a decisão pode ser revista.

O pedido também enfrenta um problema de transparência

O governo fez o pedido sem discussão prévia dentro do governo ou na Dieta, o parlamento nacional do Japão. O Ministério das Comunicações também não reconheceu publicamente que o fez, apesar do relato sobre a abordagem aos provedores em 27 de outubro.

Essa falta de reconhecimento deixa o público sem uma explicação completa da decisão. A base jurídica do pedido, os motivos de sua urgência e as condições impostas são fundamentais para avaliar se a medida foi justificada.

A preocupação é especialmente forte porque a restrição proposta teria sido executada por empresas privadas de telecomunicações. Elas teriam de atender a um pedido do governo levando em conta as proteções legais de seus usuários.

Alguns consideraram o pedido uma resposta adequada a uma ameaça imediata à privacidade. Críticos o descreveram como precipitado e pediram uma explicação pública antes que o bloqueio se torne uma parte mais recorrente da política de cibersegurança. A controvérsia diz respeito tanto à necessidade de proteger as vítimas quanto ao processo usado para autorizar restrições.

O que muda com a suspensão do domínio

A suspensão do domínio dos supostos invasores tornou o site inacessível por seu endereço habitual. Um domínio é o nome usado para acessar um site. Sua suspensão interrompe esse caminho, enquanto o bloqueio por provedores japoneses de telecomunicações restringiria as conexões feitas por suas redes.

Neste caso, a medida que afetou o domínio parece ter resolvido o problema imediato de acesso antes que o bloqueio doméstico fosse implementado. Posteriormente, o site foi descrito como excluído, embora o relato específico sobre como o acesso foi interrompido aponte para a suspensão do domínio e para uma suposta intervenção de um provedor dos Estados Unidos.

O episódio coloca no centro da análise do governo a relação entre o bloqueio e outras contramedidas. As autoridades terão de considerar a rapidez com que cada opção pode funcionar, quais organizações podem agir e em que situações se justifica impor uma restrição por meio de provedores do país.

O bloqueio ainda está em fase de avaliação no pacote emergencial. A tarefa central é transformar uma resposta urgente em regras compreensíveis: quando a intervenção se justifica, quem a autoriza e como a privacidade das comunicações será protegida enquanto as autoridades tentam conter um vazamento prejudicial.

Principais pontos

• O Japão planeja avaliar o bloqueio de sites como parte de um pacote emergencial de cibersegurança após o incidente da GMO Internet.
• O Ministério das Comunicações pediu o bloqueio em 27 de outubro, quando invasores publicaram informações pessoais roubadas.
• O pedido foi encaminhado às principais empresas de telecomunicações do país por meio de uma associação do setor.
• O domínio do site em questão foi suspenso posteriormente, e aparentemente o bloqueio por provedores japoneses não foi implementado.
• O bloqueio exige que os provedores verifiquem os destinos das comunicações, levantando preocupações diante das proteções japonesas ao sigilo das comunicações.
• O ministério não reconheceu publicamente o pedido, e não foi divulgado um prazo para a análise jurídica.