Institutos de investigação sul-coreanos planeiam verificações de segurança em apenas 15,9% dos servidores

Mais de 16 000 servidores ficam fora das verificações previstas

Os institutos de investigação financiados pelo Governo da Coreia do Sul selecionaram apenas 3 025 dos seus 19 041 servidores para verificações de vulnerabilidades de segurança em 2026, segundo dados do Ministério da Ciência e das TIC apresentados à Assembleia Nacional. Isso deixa 16 016 servidores, ou 84,1%, fora do âmbito das inspeções, apesar de as orientações nacionais de cibersegurança exigirem verificações pelo menos uma vez por ano.

Os dados abrangem 23 institutos que desenvolvem investigação em áreas como inteligência artificial, semicondutores, biotecnologia, energia nuclear e cibersegurança. No âmbito limitado das inspeções, os institutos registaram 34 536 vulnerabilidades entre 1 de janeiro e 16 de outubro. Os 23 afirmaram que os trabalhos para corrigir as falhas continuavam em curso.

Uma segunda lacuna diz respeito à proteção contra software malicioso. Os números apresentados durante o escrutínio parlamentar mostraram que 17 387 servidores, ou 91,3%, não tinham software antivírus instalado. Entre os 766 servidores ligados diretamente à Internet para disponibilizar serviços como sítios Web, 372 não tinham proteção antivírus.

A sede do ministério tinha uma cobertura muito mais ampla: os 108 servidores foram incluídos nas inspeções de vulnerabilidades e 100 tinham antivírus instalado. Os deputados questionaram por que razão os institutos responsáveis por investigação de importância nacional funcionavam com uma proteção substancialmente mais limitada, apesar de estarem sujeitos às mesmas orientações de segurança.

O ministério apontou a falta de especialistas, o custo elevado das ferramentas de análise e as dificuldades técnicas de instalar antivírus em alguns equipamentos de investigação. A resposta proposta inclui critérios comuns para decidir quais os servidores a inspecionar primeiro. O deputado Lee Hoon-ki, do Partido Democrático e membro da comissão de ciência e tecnologia da Assembleia Nacional, defendeu, em vez disso, uma análise imediata de todos os servidores.

Os operadores dos maiores parques de servidores têm a cobertura mais limitada

O Instituto Coreano de Ciência e Tecnologia da Informação, conhecido como KISTI, selecionou 267 dos seus 11 132 servidores para verificação. O Instituto de Investigação em Eletrónica e Telecomunicações, ou ETRI, selecionou 100 de 3 747.

Em conjunto, os dois institutos operavam 14 879 servidores, cerca de 78,1% do total dos 23 institutos. Selecionaram apenas 367 para inspeção, aproximadamente 2,5% do inventário combinado. A sua dimensão torna as decisões de inspeção que tomam centrais para o panorama nacional.

A taxa de instalação de antivírus nos servidores do KISTI era de 0,6%, enquanto no ETRI era de 8,4%. As suas responsabilidades incluem infraestruturas informáticas e tecnologia das comunicações, pelo que a proteção dos seus sistemas é particularmente relevante para as atividades de investigação.

Os números das inspeções referem-se aos servidores selecionados para verificação durante o período em análise. Para perceber quanto trabalho foi concluído, os leitores ainda precisam de um balanço completo das verificações realizadas, das vulnerabilidades corrigidas e das proteções aplicadas aos servidores que ficaram fora da seleção.

Quatro anos de âmbito limitado nas inspeções

Os dados do ministério revelam um padrão persistente, e não uma interrupção temporária das inspeções. No conjunto dos 23 institutos, a percentagem de servidores fora do âmbito das inspeções foi de 84,2% em 2023, 84,2% em 2024, 83,7% em 2025 e 84,1% em 2026.

A cobertura manteve-se, assim, próxima de um servidor em cada seis ao longo dos quatro anos. A ligeira melhoria registada em 2025 foi, em grande medida, anulada em 2026.

No ETRI, a mudança foi mais acentuada. A percentagem de servidores fora das inspeções subiu de 61,1% em 2025 para 97,3% em 2026. A percentagem de servidores excluídos no KISTI manteve-se acima de 96% em todos os anos analisados, atingindo 97,6% em 2026.

O Instituto Coreano de Investigação em Engenharia Eletrotécnica deixou 94,8% dos servidores fora das inspeções em cada um dos quatro anos. No Instituto de Investigação em Segurança Nacional, a percentagem de servidores excluídos desceu de 90,9% em 2023 e 2024 para 71,8% em 2025 e 67,3% em 2026. Mesmo com essa melhoria, cerca de dois terços continuaram fora do âmbito selecionado.

O que exigem as regras de inspeção

O artigo 53.º, n.º 2, das Orientações Básicas Nacionais de Cibersegurança exige que os administradores de servidores revejam as medidas de segurança e inspecionem e corrijam vulnerabilidades pelo menos uma vez por ano. Entre os riscos abrangidos estão o roubo de informação armazenada e alterações não autorizadas às definições ou aos dados dos servidores.

Uma alteração que entrou em vigor a 1 de maio exige também a análise regular de vulnerabilidades nos sistemas operativos e no software, bem como a instalação de atualizações. Uma vulnerabilidade é uma falha, como uma configuração insegura ou software desatualizado, que pode permitir a alguém aceder a um sistema ou interferir com o seu funcionamento.

Os institutos usaram critérios diferentes para escolher os servidores a inspecionar. Alguns excluíram servidores analisados no ano anterior; outros deixaram de fora máquinas cuja desativação estava prevista. O ministério tinha deixado essas decisões ao critério de cada instituição.

Os principais acontecimentos estendem-se por vários anos:

• 2023 a 2026: A percentagem de servidores dos institutos fora do âmbito das inspeções manteve-se acima de 83% em cada ano.
• 1 de maio: Uma alteração acrescentou requisitos para a verificação regular de vulnerabilidades no software e para a instalação de atualizações.
• Julho: O Conselho de Auditoria e Inspeção apelou à definição de prioridades de inspeção para os casos em que os institutos não conseguissem analisar todos os servidores em detalhe.
• Setembro de 2026: A cobertura de antivírus nos 23 institutos abrangia 1 654 dos 19 041 servidores.
• 16 de outubro: O período de reporte de vulnerabilidades terminou com 34 536 falhas identificadas.
• 20 de outubro: Os deputados contestaram a gestão da segurança pelo ministério durante a auditoria parlamentar aos institutos de investigação.

Milhares de falhas aguardam correção

O Instituto Coreano de Ciência e Tecnologia, ou KIST, registou 7 079 vulnerabilidades, o maior total entre os institutos. Seguiu-se o Instituto Coreano de Maquinaria e Materiais, com 6 472; o Instituto Coreano de Geociências e Recursos Minerais, com 4 290; e o KISTI, com 3 944. O Instituto Coreano de Investigação em Biociência e Biotecnologia registou mais 2 693.

No instituto de maquinaria, foram identificadas 6 472 falhas em 89 servidores, uma média de cerca de 73 por servidor. Uma única máquina pode ter muitas vulnerabilidades, pois o sistema operativo, as aplicações e as definições de segurança podem exigir todos atenção.

Os institutos classificaram os trabalhos de correção como estando em curso. Corrigir uma falha pode implicar instalar uma atualização, alterar uma configuração, remover software desnecessário ou restringir o acesso. Os números indicam a quantidade de falhas identificadas, mas o trabalho prático depende da sua gravidade e das alterações necessárias.

As equipas de investigação também têm de coordenar os trabalhos de correção com os sistemas que utilizam. Os servidores podem suportar cálculos, armazenar resultados experimentais ou controlar equipamentos. A explicação do ministério sobre a falta de pessoal aponta para a necessidade de especialistas capazes de avaliar uma falha e efetuar as reparações sem comprometer essas funções.

As lacunas de antivírus abrangem serviços públicos na Internet

Apenas 1 654 dos 19 041 servidores dos institutos tinham antivírus instalado, uma taxa de instalação de 8,7%. Na sede do ministério, o valor correspondente era de 92,6%, uma diferença de 83,9 pontos percentuais.

Os servidores ligados à Internet tinham uma cobertura superior à do conjunto dos servidores dos institutos, mas quase metade continuava sem o software: 372 em 766, ou 48,6%. Estas máquinas estão diretamente expostas à Internet pública, o que permite aos atacantes testar os seus serviços à procura de vulnerabilidades.

O software antivírus e as inspeções de vulnerabilidades desempenham funções diferentes. O antivírus procura programas maliciosos ou atividade suspeita. Uma inspeção de vulnerabilidades procura falhas que precisam de ser corrigidas. Os institutos têm de gerir tanto o estado do software como os indícios da presença de programas nocivos.

O diretor de planeamento e coordenação do ministério, Kang Sang-wook, reconheceu os limites técnicos ao ser questionado sobre a cobertura de antivírus:

É tecnicamente difícil instalar software antivírus em alguns equipamentos dos institutos de investigação, pelo que não é fácil alcançar uma cobertura de 100%», afirmou. «Mas penso que há bastante margem para melhorar.

Kang afirmou que o ministério aceleraria a instalação e reforçaria a supervisão para garantir que os responsáveis dos institutos prestavam mais atenção à questão. Para os equipamentos incompatíveis com antivírus convencionais, Lee defendeu a verificação de proteções equivalentes. Estas podem incluir a limitação rigorosa do acesso, a separação de redes e outros métodos de deteção de atividade maliciosa.

As deteções de software malicioso põem em causa as avaliações de segurança positivas

Uma análise anterior do Conselho de Auditoria e Inspeção examinou cinco institutos de investigação que operavam 17 073 servidores. Apenas 374 servidores, ou 2,2%, tinham antivírus instalado. Essa análise abrangeu um grupo e um período diferentes dos do levantamento de setembro relativo aos 23 institutos.

Os auditores verificaram 251 servidores sem antivírus e detetaram 38 tipos de software malicioso em 21 servidores de quatro institutos. Cerca de 8,4% das máquinas examinadas continham software malicioso. Esta taxa refere-se às máquinas selecionadas para essa análise.

A auditoria identificou também atrasos na instalação de atualizações de segurança em servidores importantes e controlos inadequados sobre programas que permitiam o acesso às redes internas a partir do exterior. Estas conclusões dão exemplos concretos de práticas operacionais a par dos dados sobre a instalação de antivírus.

Apesar destas falhas, o ministério tinha atribuído anualmente uma classificação «muito boa» à gestão da segurança da informação nos institutos. O deputado do Partido do Poder Popular Seo Cheon-ho questionou se essas avaliações refletiam as condições existentes nas instituições.

O deputado do Partido Democrático Kim Nam-guk apontou outra lacuna na supervisão. Das 19 recomendações e orientações de segurança enviadas aos institutos de investigação desde 2023, só estava a ser verificado o cumprimento de uma. Segundo afirmou, o ministério também não tinha confirmado a implementação das orientações relativas a uma vulnerabilidade classificada na categoria de risco mais elevada de um sistema internacional de avaliação de vulnerabilidades.

Em conjunto, as conclusões apontam duas tarefas para o ministério: verificar se as instruções são cumpridas e confirmar se as avaliações refletem as falhas detetadas em análises mais aprofundadas.

Aumento dos orçamentos põe escolhas de despesa sob escrutínio

Seis institutos afirmaram que instalariam antivírus por fases, depois de obterem financiamento. No entanto, os seus orçamentos conjuntos para segurança da informação aumentaram de 2,47 mil milhões de wons para 3,62 mil milhões de wons, uma subida de 1,15 mil milhões de wons, ou 46,3%.

Os seis institutos eram o Instituto Nacional de Tecnologia Verde, o Instituto Coreano de Medicina Oriental, o Instituto Coreano de Tecnologia Industrial, o Instituto Coreano de Maquinaria e Materiais, o Instituto Coreano de Investigação Energética e o Instituto Coreano de Investigação em Engenharia Eletrotécnica. Os 23 institutos obtiveram aprovação para os orçamentos de segurança da informação que solicitaram, sem cortes.

O Instituto Nacional de Tecnologia Verde e o Instituto Coreano de Medicina Oriental não tinham uma rubrica orçamental específica para adquirir ou manter antivírus para servidores em 2025 nem em 2026. No instituto de medicina oriental, apenas dois dos 141 servidores tinham antivírus instalado.

O instituto estimou em 500 000 wons o custo por servidor, o que colocaria a cobertura dos 139 servidores restantes em 69,5 milhões de wons. O gabinete de Lee comparou esse montante com os 43 milhões de wons gastos em tarifas de linhas de rede, os 28 milhões de wons em serviços de computação em nuvem e os 22 milhões de wons em equipamento para apagar suportes de armazenamento magnético.

Estas três categorias totalizavam 93 milhões de wons. A comparação centra a atenção naquilo que os orçamentos de segurança financiam, além dos montantes atribuídos às instituições. Algumas instalações de antivírus estavam previstas para 2027 ou 2028, levando Lee a exigir a conclusão dos trabalhos mais cedo.

Ficheiros de investigação também deixados num disco rígido

O Conselho de Auditoria e Inspeção identificou uma falha de segurança física da informação no Instituto de Investigação Aeroespacial da Coreia. Um investigador que se transferiu para outra instituição retirou um disco rígido sem autorização. O disco continha 60 956 ficheiros de investigação, incluindo material relacionado com quatro projetos de segurança nacional.

O incidente traz os dispositivos de armazenamento para o mesmo debate que os servidores. A proteção da informação de investigação também exige regras sobre quem pode retirar um disco, quem autoriza essa remoção e como é registada a transferência.

Vários aspetos continuam por esclarecer: os relatos não confirmam qualquer divulgação de dados de investigação relacionada com as deteções de software malicioso ou com a remoção do disco, não indicam que tenha sido concluída uma investigação sobre esses casos e não estabelecem uma data firme para terminar todas as correções das vulnerabilidades. Os próximos marcos anunciados dizem respeito aos critérios de inspeção do ministério e à análise exigida pelos deputados.

Ministério tem prazo para definir prioridades de inspeção

O ministério prevê estabelecer critérios comuns de prioridade até ao final de 2026 e aplicá-los a partir de 2027. Também afirmou que irá recolher os critérios já utilizados pelos institutos e incorporar os elementos prioritários essenciais durante 2026, numa etapa preliminar à entrada em vigor do quadro mais abrangente.

As regras de prioridade indicariam quais as máquinas que devem ser analisadas primeiro quando há falta de pessoal e de ferramentas. Lee defendeu que a definição de uma ordem de inspeção deve preservar a obrigação anual de inspecionar e corrigir vulnerabilidades em todos os servidores.

Lee pediu também uma análise completa da segurança dos servidores antes do final do ano. Ao abordar a responsabilidade do ministério pelos equipamentos incompatíveis com antivírus, afirmou:

«O ministério tem também de verificar se os servidores nos quais não é possível instalar antivírus dispõem de proteções alternativas equivalentes e reforçar a sua responsabilidade de supervisão, para garantir que os responsáveis dos institutos assumem diretamente a segurança da informação», afirmou.

Em conjunto, as conclusões colocam na mesma agenda a cobertura das inspeções, os trabalhos de correção, a proteção contra software malicioso e a responsabilização da gestão. Para os institutos, o teste prático consiste em garantir que cada servidor tem um calendário de inspeção definido, que as vulnerabilidades identificadas são corrigidas e que os equipamentos especializados dispõem de proteções adequadas ao seu funcionamento.

Principais pontos

• Os 23 institutos de investigação selecionaram 3 025 dos 19 041 servidores para verificações de vulnerabilidades em 2026, uma taxa de 15,9%.
• Registaram 34 536 vulnerabilidades até 16 de outubro, e os trabalhos de correção continuavam em curso.
• 17 387 servidores não tinham antivírus, incluindo 372 ligados diretamente à Internet.
• Uma auditoria anterior detetou 38 tipos de software malicioso em 21 dos 251 servidores examinados.
• Seis institutos que alegaram limitações de financiamento tinham recebido um aumento combinado de 46,3% nos orçamentos de segurança.
• O ministério prevê definir prioridades comuns de inspeção até ao final do ano, para aplicação em 2027; os deputados exigem uma análise completa mais cedo.