Japão prepara pacote de emergência para a cibersegurança após ataque à GMO afetar clientes de serviços de negociação

Fugas de dados transformam-se em prejuízos para os clientes

O Japão elaborará um pacote de emergência para a cibersegurança até ao final da semana com início a 2 de novembro, afirmou a primeira-ministra Sanae Takaichi em 26 de outubro de 2026, numa altura em que ataques a empresas expuseram informações pessoais e deixaram alguns clientes sujeitos a prejuízos causados por transações financeiras não autorizadas.

O anúncio surgiu na sequência de uma violação de segurança que envolveu o GMO Internet Group, que afirmou que 26 739 servidores poderão ter sido afetados, incluindo contas de negociação em mais de 70 empresas de corretagem, prestadores de serviços cambiais e outras empresas no Japão e no estrangeiro. Um cliente da província de Kanagawa afirmou que operações cambiais não autorizadas lhe causaram prejuízos superiores a 6 milhões de ienes.

Takaichi convocou no seu gabinete, em Tóquio, a primeira reunião governamental dos ministros com responsabilidades na cibersegurança. Apelou a uma resposta coordenada que poderá incluir o recurso a novos poderes legais para aceder aos sistemas dos atacantes e neutralizar ameaças, bem como o reforço dos testes e da monitorização das empresas japonesas.

O comunicado de 26 de outubro do secretário-chefe do Gabinete, Minoru Kihara, anunciou que a reunião teria lugar às 18h00 e expôs a principal preocupação do Governo: as repetidas fugas de grandes volumes de informação estavam agora a ser seguidas por novos danos causados pela utilização indevida dos dados roubados. Os ministérios debateriam medidas adicionais e uma cooperação mais estreita.

Após a reunião, Takaichi descreveu a urgência da situação, apontando os danos causados quando as informações divulgadas são usadas contra as pessoas a quem dizem respeito.

«A situação é grave, com uma preocupação crescente quanto aos danos civis resultantes da utilização indevida de informações divulgadas. Temos de reforçar urgentemente as nossas medidas de resposta», afirmou.

A tarefa imediata vai além da reparação de computadores comprometidos. Os ministros têm de abordar a forma como as informações roubadas podem pôr em risco o dinheiro dos clientes, como as empresas detetam intrusões e em que circunstâncias o Estado deve intervir contra um atacante.

O que abrangerá o pacote de emergência

Takaichi apontou como medidas para reforçar as defesas do Japão a simulação de ataques com recurso à inteligência artificial generativa e a criação de uma rede de monitorização que abranja também pequenas e médias empresas. A inteligência artificial generativa produz conteúdos como texto ou código informático; num teste de segurança controlado, pode ajudar a criar cenários de ataque para avaliar a resposta de um sistema.

Um ataque simulado é um exercício autorizado. As equipas de segurança procuram pontos fracos antes de estes serem explorados por criminosos. Uma rede de monitorização tem outra finalidade: vigia atividades suspeitas para que as organizações possam detetar e responder a uma intrusão.

A inclusão de empresas de menor dimensão é importante porque a resposta do Governo deverá abranger não só grandes empresas e entidades públicas. O pacote envolveria mais empresas num esforço coordenado para detetar ataques e partilhar alertas.

Takaichi pediu aos ministros que analisassem rapidamente as medidas e o respetivo financiamento. Apelou também à mobilização de todos os recursos do Governo para acelerar o trabalho. Não foram anunciados o orçamento do pacote, os pormenores da monitorização nem a data exata da sua apresentação.

Porque estão envolvidos tantos ministérios

O anúncio de Kihara enumerou representantes com responsabilidades na cibersegurança, policiamento, finanças, comunicações, indústria, transportes e defesa. Além de Takaichi e Kihara, foram mencionados o ministro da cibersegurança, Toshiharu Furukawa, o presidente da Comissão Nacional de Segurança Pública, Yasuhiro Hanashi, e o ministro da Defesa, Shinjiro Koizumi.

A diversidade de responsabilidades reflete as várias dimensões do problema. Uma violação de segurança num fornecedor de servidores pode expor informações utilizadas por clientes do setor financeiro. A polícia pode investigar atividades criminosas, enquanto as autoridades de defesa têm responsabilidades ao abrigo do novo quadro de combate às ciberameaças.

A reunião de 26 de outubro destinava-se a proporcionar aos ministros uma visão partilhada dos incidentes atuais e a reforçar a cooperação entre os respetivos departamentos. Seguiu-se a propostas apresentadas a Takaichi, em 23 de outubro, pela sede de estratégia para a cibersegurança do Partido Liberal Democrático, no poder.

O partido apelou à criação de uma sede de resposta específica sob a alçada do gabinete do primeiro-ministro, a uma maior sensibilização dos dirigentes empresariais, em particular das empresas cotadas, e ao reforço do recrutamento e da formação de profissionais de cibersegurança. Takaichi comprometeu-se a tratar da cibersegurança sob a liderança do seu gabinete.

Como a violação de segurança na GMO chegou às contas de negociação

A GMO reconheceu, em 24 de outubro, que poderão ter sido roubadas informações do Onamae.com Desktop Cloud, um serviço que aluga acesso a servidores remotos. Os clientes utilizam o serviço para operações cambiais automatizadas, permitindo que o software de negociação funcione num computador remoto, em vez de depender de um computador em casa.

A negociação cambial com margem, geralmente designada por negociação FX, consiste em assumir posições sobre as variações dos preços das moedas, depositando apenas uma parte do valor da operação. Os clientes podem sofrer perdas avultadas quando as transações evoluem contra eles. Neste caso, os clientes queixaram-se de que tinham sido realizadas operações sem a sua autorização.

A GMO afirmou que palavras-passe e outras informações associadas a contas de negociação nos seus servidores poderão ter sido consultadas por terceiros. A potencial exposição abrangeu 26 739 servidores, envolvendo contas em mais de 70 empresas. A empresa não divulgou um total confirmado de clientes que perderam dinheiro nem o valor global dos prejuízos.

Um trabalhador de escritório de 44 anos da província de Kanagawa afirmou que transações não autorizadas realizadas em 21 de outubro lhe tinham causado prejuízos superiores a 6 milhões de ienes. Descreveu simplesmente a sua reação:

«Entrei em pânico», afirmou.

Mais tarde, o cliente recebeu um email de um remetente que se identificava como «Hacking Team» e alegava ter eliminado o saldo da sua conta. A sua experiência ilustra por que motivo o Governo considera a utilização indevida de informações divulgadas uma ameaça imediata às finanças das pessoas, além de um problema para as empresas que guardam os seus dados.

Indemnizações e ameaças contra utilizadores

A GMO afirmou que pagaria 5000 ienes a todos os utilizadores do serviço afetado, incluindo os que não sofreram perdas financeiras. Prometeu também indemnizações pelas perdas que determinar terem resultado de acessos não autorizados. O pagamento geral e o processo de indemnização destinam-se, portanto, a grupos diferentes: todos os utilizadores do serviço recebem o pagamento, enquanto as perdas resultantes de operações de negociação terão de ser avaliadas.

O diretor executivo da GMO, Masatoshi Kumagai, pediu desculpa numa publicação de blogue, em 25 de outubro, por a empresa não ter protegido os clientes e comprometeu-se a indemnizá-los. Pediu também ao Governo que recorresse a medidas de defesa cibernética ativa.

A GMO afirmou que o presumível atacante exigiu dinheiro e ameaçou divulgar informações da empresa e dos clientes. A empresa explicou por que motivo o pagamento não protegeria os clientes:

«Mesmo que cedêssemos às exigências, não haveria qualquer garantia de que as informações obtidas fossem apagadas ou de que a sua utilização indevida fosse impedida», afirmou a GMO.

Em 24 de outubro, uma pessoa que se acredita estar por detrás do ataque ameaçou também, numa publicação online, lançar ataques de ransomware contra os computadores dos clientes. O ransomware é um software malicioso que pode bloquear ficheiros ou sistemas e exigir um pagamento. A GMO aconselhou os utilizadores a fazer cópias de segurança dos dados e a executar análises antivírus.

O que permite a defesa cibernética ativa

A Lei de Defesa Cibernética Ativa do Japão foi aprovada pelo parlamento em maio de 2025 e entrou em vigor em 1 de outubro de 2026. As disposições que permitem neutralizar ameaças através do acesso a sistemas autorizam as autoridades a aceder aos sistemas dos atacantes e a agir para travar ciberameaças na sua origem.

Esta abordagem vai além da defesa dos computadores da vítima. Em vez de apenas bloquear atividades de entrada ou reparar danos, as autoridades podem agir contra os sistemas utilizados para realizar um ataque. A polícia e as Forças de Autodefesa têm funções na aplicação deste quadro.

Takaichi afirmou que o Governo selecionaria e executaria estrategicamente as respostas disponíveis, incluindo a neutralização através do acesso a sistemas, contra ciberataques cujas circunstâncias tivessem sido apuradas. A sua declaração colocou a investigação e o juízo operacional no centro de qualquer decisão.

O pedido da GMO trouxe esses poderes para o contexto concreto de uma disputa que envolve os ativos de clientes privados. Kumagai reconheceu que a intervenção governamental está normalmente associada a operadores de infraestruturas críticas, como empresas de serviços públicos e de transportes, e reconheceu que cabe às autoridades decidir quando e como agir.

Kumagai argumentou que ataques que utilizem os mesmos métodos poderão alastrar dos serviços de uma empresa privada a outras infraestruturas e a bens pessoais. O seu apelo procurou integrar a lei, recentemente entrada em vigor, na resposta aos prejuízos já comunicados pelos clientes.

Quem decide se deve haver intervenção?

Kihara afirmou que o Governo decidiria por si próprio se se justificava neutralizar ameaças através do acesso a sistemas. O pedido de uma empresa pode transmitir informações às autoridades e chamar a atenção para a urgência da situação, mas, ao abrigo dos requisitos legais aplicáveis, a decisão cabe ao Estado.

Questionado sobre a resposta ao caso da GMO, Kihara recusou-se a comentar pormenores operacionais, afirmando que falar sobre ataques específicos poderia revelar a estratégia do Governo. Descreveu a abordagem habitual do Governo às informações recebidas de organizações afetadas:

«Em termos gerais, o Governo recebe vários tipos de informação das organizações afetadas, presta o apoio necessário e toma as medidas adequadas em função das circunstâncias de cada caso», afirmou.

Um funcionário do gabinete do primeiro-ministro afirmou que seria necessária uma análise mais aprofundada para determinar se o caso da GMO se enquadrava nos critérios. É provável que qualquer operação não seja divulgada, pois a sua publicitação poderia revelar as capacidades do Governo. Assim, para clientes e empresas, poderá ser mais fácil acompanhar a resposta pública através das indemnizações, da proteção dos serviços e dos anúncios de políticas do que através de informações sobre ações contra atacantes.

Testar as defesas e investigar o ataque

O ministro da Indústria, Ryosei Akazawa, anunciou também planos para criar, no mês seguinte, uma equipa de hackers éticos. Os especialistas em cibersegurança trabalharão na Agência da Plataforma de Inovação, ligada ao Ministério da Economia, Comércio e Indústria, para identificar pontos fracos em sistemas informáticos.

Os hackers éticos testam sistemas com autorização, para que os pontos fracos possam ser corrigidos. O seu trabalho complementaria os testes de ataque simulados e a rede de monitorização propostos: os testes procuram vulnerabilidades, enquanto a monitorização deteta sinais de tentativas de as explorar.

O anúncio de Akazawa surgiu numa altura em que algumas páginas do Ministério e serviços empresariais estavam parcialmente suspensos por precaução, após terem sido detetadas vulnerabilidades no PHP, uma linguagem de programação amplamente utilizada na criação de sítios Web. O Ministério tinha difundido alertas de cibersegurança através de cerca de 1000 organizações e associações do setor.

Os investigadores estavam também a analisar as ferramentas associadas à intrusão na GMO. A GMO Cybersecurity by Ierae, uma subsidiária do grupo, afirmou ter rastreado o ataque até uma ferramenta de inteligência artificial chamada Artex. Uma investigação da CrowdStrike sobre ataques com recurso ao Artex na Coreia do Sul concluiu que, muito provavelmente, essas ameaças tiveram origem na China. A origem do ataque à GMO não foi confirmada.

As datas por detrás da resposta de emergência

Outubro ficou marcado pela entrada em vigor de novos poderes governamentais, por relatos de prejuízos para clientes e por uma rápida sucessão de decisões políticas. As principais datas mostram a rapidez com que a questão passou de um incidente que afetou clientes de serviços de negociação para uma resposta que envolve vários ministérios.

• Maio de 2025: o parlamento aprovou a legislação de Defesa Cibernética Ativa.
• 1 de outubro de 2026: entrou em vigor o quadro jurídico, incluindo disposições para neutralizar ameaças através do acesso a sistemas.
• 21 de outubro: o cliente de Kanagawa afirmou que transações FX não autorizadas lhe tinham causado prejuízos superiores a 6 milhões de ienes.
• 23 de outubro: o Partido Liberal Democrático apresentou propostas de emergência, incluindo a criação de uma sede de resposta sob a alçada do gabinete do primeiro-ministro.
• 24 de outubro: a GMO reconheceu o presumível roubo de informações do Onamae.com Desktop Cloud. Foi também publicada online uma ameaça contra os computadores dos clientes.
• 25 de outubro: Kumagai pediu desculpa, comprometeu-se a indemnizar os clientes e pediu a intervenção do Governo.
• 26 de outubro: Takaichi realizou a reunião ministerial e ordenou a preparação de um pacote de emergência para a semana seguinte.

O pacote é o próximo marco público em matéria de políticas. A sua utilidade prática para empresas e clientes dependerá das medidas escolhidas pelos ministros, do financiamento que lhes for atribuído e da rapidez com que os testes, a monitorização e a resposta a incidentes chegarem às organizações visadas.

Pontos principais

• Takaichi pretende que o pacote de emergência para a cibersegurança esteja concluído durante a semana com início a 2 de novembro de 2026.
• A GMO afirmou que 26 739 servidores poderão ter sido afetados, envolvendo contas de negociação em mais de 70 empresas.
• Um cliente comunicou perdas superiores a 6 milhões de ienes devido a transações FX não autorizadas.
• A GMO prometeu pagar 5000 ienes a todos os utilizadores do serviço afetado e indemnizar as perdas que atribua a acessos não autorizados.
• As medidas governamentais propostas incluem simulações de ataques com inteligência artificial generativa e monitorização que abranja empresas de menor dimensão.
• As autoridades decidirão de forma independente se recorrem aos novos poderes para aceder aos sistemas dos atacantes e neutralizar ameaças.