Dez empresas financeiras sul-coreanas falharam controlos de segurança antes de ligarem redes ao abrigo de exceções para IA

Inspeções concluíram que as salvaguardas existiam sobretudo no papel

Dez empresas financeiras sul-coreanas com autorização temporária para ligar redes empresariais internas a serviços externos de internet não tinham implementado muitas das salvaguardas de segurança exigidas, concluem inspeções realizadas entre meados de julho e o início de setembro. Entre as deficiências encontradas estavam consolas de gestão de segurança acessíveis através da internet e um serviço de cloud sem certificação de segurança.

O Instituto de Segurança Financeira analisou 12 controlos de segurança alternativos depois de a Comissão dos Serviços Financeiros ter concedido às empresas uma exceção de um ano, a 19 de junho. A autorização destinava-se a permitir-lhes utilizar software externo de inteligência artificial e de segurança para identificar vulnerabilidades nos sistemas internos.

O instituto afirmou que todas as deficiências foram corrigidas antes de as redes internas e externas serem ligadas. Esta distinção é importante: as conclusões revelam uma preparação inadequada para as exceções, mas não demonstram que hackers tenham entrado nos sistemas internos através de ligações autorizadas pelo programa.

Os materiais das inspeções foram obtidos pelo deputado Han Chang-min, do Partido Social-Democrata, membro da Comissão de Política Nacional da Assembleia Nacional. Os documentos mostravam que muitas salvaguardas ainda estavam na fase de planeamento e que as empresas não tinham verificado se os controlos funcionavam nos seus próprios ambientes operacionais.

As conclusões surgiram quando os reguladores adiaram uma segunda ronda de exceções, na qual seriam selecionadas até 15 instituições. As autoridades atribuíram o adiamento à necessidade de concentrar recursos administrativos numa vaga separada de intrusões e fugas de dados, sem anunciar o fim da política de flexibilização das regras de separação de redes.

Que empresas foram inspecionadas?

O primeiro grupo era composto por quatro bancos, três sociedades de corretagem, duas seguradoras e uma empresa de cartões. Os bancos eram o Shinhan Bank, o Hana Bank, o Woori Bank e o KakaoBank. As sociedades de corretagem eram a KB Securities, a NH Investment & Securities e a Mirae Asset Securities. O grupo incluía ainda a Samsung Fire & Marine Insurance, a Hanwha Life e a Hyundai Card.

As dez empresas foram sujeitas a verificações dos controlos alternativos exigidos para as respetivas exceções. O instituto não revelou qual das empresas tinha cada deficiência, nem publicou uma discriminação detalhada dos controlos que falharam, invocando o risco de essa informação ajudar os atacantes a identificar alvos.

Assim, não é possível atribuir a nenhuma empresa identificada a conclusão de que algumas consolas de administração estavam acessíveis através da internet externa. O mesmo se aplica ao serviço de cloud sem certificação. A lista das empresas inspecionadas identifica o âmbito da análise, não a responsabilidade por cada fragilidade específica.

O instituto comunicou as suas conclusões à Comissão dos Serviços Financeiros e afirmou ter confirmado que as deficiências foram corrigidas antes de as ligações de rede avançarem. O relatório da inspeção não identificou perdas de clientes, intrusões bem-sucedidas ou fugas de dados causadas por estas deficiências específicas.

O que exigia a autorização temporária

Em geral, as empresas financeiras têm de separar os sistemas empresariais internos e os sistemas de tratamento de informação nos seus centros de dados das redes de comunicações externas, incluindo a internet. A medida de 19 de junho flexibilizou temporariamente essa separação para um fim específico: utilizar serviços externos de IA e de segurança, fornecidos como software enquanto serviço, para detetar vulnerabilidades nos sistemas internos.

O software enquanto serviço, ou SaaS, é acedido através da infraestrutura online de um fornecedor, em vez de ser instalado e operado integralmente nos sistemas da própria empresa. A sua utilização para inspecionar tecnologias internas pode exigir uma ligação controlada através de uma fronteira que, de outro modo, seria restringida pelas regras de separação de redes.

A exceção estava, por isso, sujeita a condições. As empresas tinham de estabelecer e implementar 12 controlos de substituição, incluindo procedimentos de resposta a incidentes de segurança e interrupções que envolvessem serviços de IA ou SaaS. Tinham também de impedir a partilha ou o tratamento desnecessários de dados nesses serviços.

Estas condições abrangiam mais do que a capacidade de estabelecer uma ligação segura. Incluíam também o que acontece quando um fornecedor externo deixa de funcionar e a forma como a informação é tratada quando um serviço externo passa a fazer parte das operações de segurança de uma empresa. Um plano de resposta escrito podia cumprir um requisito de planeamento sem demonstrar que os funcionários, os sistemas e as restrições de acesso estavam preparados para o executar.

Porque são importantes as consolas de administração expostas

As inspeções identificaram uma falha comum: não verificar os controlos nos ambientes em que iriam efetivamente funcionar. Algumas empresas também deixaram sistemas de administração de segurança, conhecidos como consolas de gestão, acessíveis através da internet. Estas interfaces são utilizadas para administrar ferramentas de segurança, pelo que as restrições de acesso são particularmente importantes.

A acessibilidade através da internet não prova, por si só, que um atacante tenha contornado a autenticação ou obtido o controlo. No entanto, cria uma via externa de acesso a uma interface administrativa sensível. As informações divulgadas sobre as inspeções não especificam as medidas de autenticação, o período durante o qual as consolas estiveram expostas nem o número de instituições afetadas.

Yeom Heung-yeol, professor do Departamento de Segurança da Informação da Universidade Soonchunhyang, alertou para a possibilidade de as salvaguardas não terem funcionado plenamente antes da conclusão das medidas corretivas. Destacou o acesso aos sistemas de gestão da segurança como uma deficiência particularmente grave:

Não restringir o acesso externo ao sistema de administração da segurança é uma questão muito grave.

Segundo o relato do instituto, as correções foram feitas antes das ligações autorizadas. Isso limita as conclusões que podem ser tiradas sobre a exposição efetiva das redes internas, mas mantém uma preocupação de conformidade significativa: os controlos destinados a justificar uma exceção não estavam totalmente implementados quando foram verificados pelos inspetores.

Segunda ronda suspensa após intrusões distintas

A Comissão dos Serviços Financeiros tinha previsto selecionar o grupo seguinte de instituições a 7 de outubro. O adiamento foi noticiado a 6 de outubro, tendo as autoridades invocado a necessidade de concentrar recursos nas recentes intrusões e fugas de dados e de acompanhar a evolução da situação antes de alargar o programa.

Desde 27 de setembro, foram noticiados incidentes em instituições como o KB Kookmin Bank, o Shinhan Bank, o Hana Bank, o BNK Busan Bank, o Yegaram Savings Bank, o Welcome Savings Bank e a Hyundai Capital. As notícias não demonstram que esses incidentes tenham resultado das exceções temporárias às regras de separação de redes.

O Shinhan Bank e o Hana Bank constam tanto do grupo inspecionado como da lista de instituições em que foram noticiados incidentes. Essa coincidência não constitui prova de uma relação causal. A análise de segurança e a resposta mais ampla às intrusões devem ser tratadas separadamente, salvo se novas conclusões estabelecerem uma ligação entre ambas.

As principais datas descrevem uma sequência de autorização, inspeção e adiamento da expansão:

• 19 de junho: A comissão concedeu a dez empresas exceções temporárias para utilizar serviços externos de IA e SaaS de segurança.
• De meados de julho ao início de setembro: O Instituto de Segurança Financeira inspecionou as empresas e exigiu que as deficiências fossem corrigidas antes de avançarem as ligações de rede.
• 14 de setembro: Estava previsto o encerramento do prazo de candidatura à segunda ronda.
• A partir de 27 de setembro: Foram noticiadas várias intrusões e fugas de dados no setor financeiro.
• 6 de outubro: Foi noticiado o adiamento da seleção prevista para 7 de outubro.

As autoridades afirmaram que o adiamento não alterava a sua posição sobre a flexibilização das regras para empresas com capacidades de resposta adequadas. Não foi indicada uma nova data para a seleção.

A expansão abrangeria instituições de menor dimensão

A segunda ronda prevista alargaria a elegibilidade para além das maiores empresas financeiras, abrangendo mais instituições fora do setor bancário e prestadores de serviços financeiros eletrónicos. As medidas detalhadas foram confirmadas após a quinta reunião da Força-Tarefa de Resposta à Situação da IA de Fronteira da comissão, com a participação do Serviço de Supervisão Financeira e do Instituto de Segurança Financeira.

O universo de empresas elegíveis aumentaria de 49 para 75, ou seja, mais 26, um aumento de cerca de 53%. O número de vagas subiria de dez para um máximo de 15, um aumento de 50%. Estes valores referem-se à elegibilidade e à capacidade de seleção prevista, não ao número de candidaturas efetivamente recebidas.

Para as empresas financeiras, o limiar mínimo de ativos desceria de 10 biliões de won para 2 biliões de won, enquanto o número mínimo de trabalhadores passaria de 1000 para 300 trabalhadores permanentes. Os prestadores de serviços financeiros eletrónicos teriam de registar um volume anual de transações financeiras eletrónicas de pelo menos 2 biliões de won e receitas relacionadas superiores a 10% das receitas totais.

Em ambas as categorias, o responsável máximo pela segurança da informação não poderia exercer simultaneamente outras funções na área das tecnologias da informação. As empresas selecionadas receberiam uma carta de não aplicação das regras de separação de redes por um período de um ano, depois de implementarem controlos alternativos.

As conclusões das inspeções tornam a capacidade de implementação um elemento central dessa expansão. A redução dos limiares de dimensão permite a participação de mais empresas, mas não elimina a necessidade de demonstrar que as salvaguardas funcionam. Os reguladores também tinham previsto ponderar novas rondas e um quadro permanente, em função do progresso dos testes e da procura; o adiamento não resolveu essas questões.

Porque está a Coreia a reconsiderar a separação física

A tensão em torno da política está documentada no relatório sobre separação de redes do Instituto do Mercado de Capitais da Coreia, relatório 24-26, publicado a 22 de novembro de 2024 pelo investigador Hwang Se-woon. O documento analisa os benefícios de segurança e os custos operacionais da abordagem sul-coreana, a par da crescente utilização de software na cloud e de inteligência artificial generativa.

O relatório situa a origem da política nas perturbações bancárias de 20 de março de 2013, quando código malicioso disfarçado de atualizações se propagou através de servidores de atualização de antivírus. Segundo o documento, as autoridades anunciaram medidas abrangentes de segurança financeira em julho de 2013 e a separação de redes foi formalmente consagrada na regulamentação em 2015.

A dimensão das finanças digitais ajuda a explicar essa resposta. Segundo o relatório, em 2013 as transações eletrónicas já representavam 87,7% de todas as transações financeiras, enquanto o valor médio diário das transações através de serviços bancários pela internet e por telemóvel ultrapassava os 33 biliões de won.

A separação física utiliza equipamentos ou infraestruturas distintos para manter a atividade na internet separada do trabalho interno. A separação lógica utiliza tecnologias como a virtualização para manter ambientes distintos numa infraestrutura física partilhada. A segmentação de redes divide os sistemas em zonas e controla o tráfego entre elas, sem necessariamente proibir todas as ligações.

O relatório de Hwang identifica um conflito prático: muito do software atual, incluindo a IA generativa, é fornecido através de serviços externos de cloud, enquanto dados financeiros importantes permanecem em redes internas protegidas. O documento descreve como uma separação rigorosa pode dificultar a investigação, o desenvolvimento de software e o uso corrente de software por subscrição, mesmo quando estas ferramentas podem reduzir custos ou melhorar os processos de trabalho.

Comparações internacionais favorecem ligações controladas

O relatório do Instituto do Mercado de Capitais da Coreia compara as abordagens dos Estados Unidos, da Europa e da Austrália. A distinção fundamental é entre impor a desconexão física e permitir que as instituições escolham as suas soluções de segurança, responsabilizando-as pela proteção da informação.

Nos Estados Unidos, o manual de segurança da informação do Conselho Federal de Exame das Instituições Financeiras descreve zonas de rede fidedignas e não fidedignas, controlos entre essas zonas, diagramas precisos das redes e dos fluxos de dados e restrições em várias camadas. O relatório conclui que esta abordagem não impõe um método universal de separação física.

Quanto à Europa, o relatório analisa o Regulamento Geral sobre a Proteção de Dados, a segunda Diretiva dos Serviços de Pagamento e as orientações da Autoridade Bancária Europeia. As orientações descritas exigem responsabilidade por parte da administração, controlos sobre fornecedores externos de tecnologia, limitação dos direitos de acesso e monitorização e testes periódicos dos controlos de acesso.

A comparação com a Austrália baseia-se nas orientações da Autoridade Australiana de Regulação Prudencial e nos conselhos do Centro Australiano de Cibersegurança. Estas abordagens tratam a segmentação como uma entre várias ferramentas de segurança e alertam para o risco de considerar toda uma rede interna igualmente fidedigna depois de um atacante atravessar a sua fronteira exterior.

O relatório cita também inquéritos segundo os quais, em 2022, 82% dos bancos inquiridos tinham transferido ou planeavam transferir pelo menos metade dos seus sistemas centrais para a cloud. Um inquérito separado, realizado em 2023, concluiu que 66% das empresas financeiras mundiais estavam a avançar com a migração para a cloud por motivos de crescimento e inovação. São medidas distintas, obtidas em inquéritos diferentes, e não uma tendência que demonstre uma diminuição da adoção entre os dois anos.

A comparação oferece uma lição concreta para as inspeções sul-coreanas: uma maior liberdade na conceção das redes depende de restrições de acesso e testes que funcionem na prática. O relatório recomenda uma reforma gradual, uma classificação de dados normalizada, maior responsabilização por incidentes, investimento em segurança e inspeções de supervisão regulares, acompanhadas de medidas corretivas.

Uma exceção distinta para SaaS mantém restrições sobre os dados

Uma medida de flexibilização distinta permite às empresas financeiras e aos prestadores de serviços financeiros eletrónicos utilizar determinadas ferramentas administrativas de SaaS sem recorrer ao ambiente de testes regulamentar do setor financeiro. Esta via não deve ser confundida com as exceções temporárias para testes de segurança com IA concedidas às dez empresas inspecionadas.

A exceção abrange os serviços SaaS especificados no Decreto de Execução da Lei sobre o Desenvolvimento da Computação em Cloud e a Proteção dos seus Utilizadores, no que respeita aos requisitos de separação de redes previstos na Lei das Transações Financeiras Eletrónicas e na regulamentação de supervisão associada.

Estão excluídas as atividades que envolvam informações de identificação pessoal ou informações pessoais de crédito. A utilização de SaaS com dados pessoais pseudonimizados continua a exigir aprovação no ambiente de testes regulamentar. A pseudonimização substitui os elementos de identificação por outros, mas não torna necessariamente a informação anónima.

As candidaturas têm de ser avaliadas pelo Instituto de Segurança Financeira. As empresas devem manter controlos de segurança para os dispositivos de acesso e verificar os controlos de conformidade de seis em seis meses, comunicando os resultados aos respetivos responsáveis pela segurança da informação. O instituto publicou também um guia sobre segurança das tecnologias financeiras, riscos do SaaS e medidas para os enfrentar.

Em conjunto, as duas vias mostram que a flexibilização regulamentar está sujeita a condições e não é ilimitada. O programa temporário de testes depende da existência de controlos de substituição antes da ligação; a via para SaaS administrativo mantém exclusões relativas aos dados, uma avaliação prévia e revisões periódicas.

As questões imediatas ainda por resolver são quais as empresas que apresentavam cada deficiência detetada nas inspeções, como se desenvolveram essas fragilidades e quando será retomada a seleção adiada. A confirmação do instituto de que as correções precederam as ligações é o principal limite declarado relativamente ao incidente. A prova mais ampla será saber se as empresas conseguem manter controlos funcionais depois da inspeção, em vez de apresentarem planos cuja implementação tenha de ser exigida pelos inspetores.

Principais pontos

• Dez empresas financeiras receberam exceções temporárias às regras de separação de redes a 19 de junho, para testar serviços de IA e SaaS de segurança.
• As inspeções realizadas entre meados de julho e o início de setembro concluíram que muitas das salvaguardas exigidas ainda estavam na fase de planeamento.
• Algumas consolas de gestão de segurança estavam acessíveis através da internet e um serviço de cloud não tinha certificação de segurança.
• O Instituto de Segurança Financeira afirmou que todas as deficiências foram corrigidas antes de as redes internas e externas serem ligadas.
• A seleção, prevista para 7 de outubro, de até mais 15 instituições foi adiada na sequência de intrusões e fugas de dados distintas.
• A expansão prevista aumentaria de 49 para 75 o número de empresas elegíveis para se candidatarem.
• Uma exceção distinta para SaaS administrativo mantém restrições sobre dados pessoais, avaliação pelo instituto e revisões de segurança de seis em seis meses.