Uma fuga de dados põe em foco uma medida excecional
O Japão tenciona ponderar o bloqueio de sítios Web no âmbito de um pacote de emergência de cibersegurança, depois de atacantes terem publicado informações pessoais roubadas num ciberataque que envolveu a GMO Internet. A 27 de outubro, o Ministério dos Assuntos Internos e das Comunicações pediu aos operadores nacionais de telecomunicações que impedissem o acesso ao sítio onde as informações estavam disponíveis, invocando um risco real de danos adicionais.
Índice
- Uma fuga de dados põe em foco uma medida excecional
- O que aconteceu depois de as informações serem divulgadas?
- Porque queria o Governo impedir o acesso
- Como o bloqueio afecta outros utilizadores da Internet
- Porque foram consideradas com cautela propostas anteriores
- O pedido também enfrenta um problema de transparência
- O que muda com a suspensão do domínio
- Pontos principais
O pedido foi dirigido aos principais operadores de telecomunicações através de uma associação do sector. A medida proposta obrigaria os operadores a verificar os destinos das ligações dos utilizadores e a recusar ligações ao sítio visado. Esta abordagem coloca duas formas de privacidade no centro da mesma disputa: proteger as pessoas cujas informações foram roubadas e proteger os utilizadores da Internet do escrutínio das suas comunicações.
O sítio ficou posteriormente inacessível depois de o seu domínio ter sido suspenso. Acredita-se que a suspensão tenha sido decidida por um fornecedor nos Estados Unidos. Ao que tudo indica, as empresas japonesas de telecomunicações não chegaram a bloquear o acesso.
O Governo pretende agora analisar as questões jurídicas relacionadas com o bloqueio e outras formas de impedir a utilização indevida das informações roubadas. Não foi definido qualquer prazo para concluir essa análise ou aprovar o pacote de emergência.
O que aconteceu depois de as informações serem divulgadas?
O incidente envolveu serviços relacionados com a negociação de divisas com margem, habitualmente designada por FX, no âmbito do grupo GMO Internet. Estes serviços permitem aos clientes negociar moedas utilizando dinheiro depositado como garantia. O motivo imediato do debate sobre o bloqueio é a divulgação de informações pessoais obtidas através de acesso não autorizado.
A sequência dos acontecimentos situa o pedido do Governo entre a divulgação das informações e a indisponibilização do sítio:
- Antes de 27 de outubro: O acesso não autorizado afectou serviços do grupo GMO Internet relacionados com a negociação de divisas com margem.
- 27 de outubro: Os atacantes publicaram informações pessoais obtidas no incidente, e o Ministério das Comunicações pediu aos operadores nacionais que bloqueassem o acesso ao sítio.
- Após a divulgação: O domínio do sítio foi suspenso, tornando-o inacessível. Acredita-se que um fornecedor nos Estados Unidos tenha intervindo.
- Na sequência do incidente: O Governo planeou incluir a análise do bloqueio num pacote de emergência de cibersegurança.
A distinção entre um pedido e uma restrição efectivamente aplicada é importante para compreender o que aconteceu. Foi pedido aos operadores que preparassem uma barreira ao acesso, mas a intervenção no domínio do sítio parece ter eliminado a necessidade imediata dessa barreira.
Porque queria o Governo impedir o acesso
As informações pessoais podem continuar a prejudicar os seus titulares mesmo depois de terminar a intrusão inicial. Uma vez divulgadas, podem ser copiadas e partilhadas com outras pessoas. Dependendo do seu conteúdo, os criminosos podem utilizá-las para tornar mensagens fraudulentas mais convincentes ou visar pessoas para novos abusos.
A preocupação manifestada pelo Ministério das Comunicações era o risco real de danos secundários. Por outras palavras, trata-se dos danos causados pela utilização ou divulgação de informações roubadas após o próprio roubo. Impedir o acesso ao sítio onde foram publicadas poderia reduzir as oportunidades de obter os dados enquanto são tomadas outras medidas.
O secretário-chefe do Gabinete, Kihara, pronunciou-se sobre os danos para a privacidade causados pela divulgação de informações pessoais na Internet. Afirmou:
Não deve ser permitido publicar informações pessoais na Internet e violar os direitos à privacidade.
A sua declaração explica por que motivo o Governo procurou intervir. As pessoas cujas informações foram expostas não conseguem recuperar todas as cópias por si próprias, e cada transferência adicional pode dificultar a contenção. As autoridades sentem, por isso, pressão para agir com rapidez suficiente para limitar a divulgação.
Como o bloqueio afecta outros utilizadores da Internet
O bloqueio de sítios Web impõe a restrição ao nível do operador de telecomunicações, em vez de remover as informações do próprio sítio. O operador identifica uma ligação destinada ao endereço visado e impede que esta seja estabelecida. O utilizador não tem de consentir nessa restrição.
Para identificar as ligações a bloquear, os operadores têm de verificar os destinos das comunicações dos utilizadores. É por isso que a proposta diz respeito também a pessoas que não são clientes afectados pelo incidente da GMO. A operação implica examinar as ligações dos utilizadores de um operador para identificar as que se dirigem ao sítio seleccionado.
A Constituição japonesa e outras leis protegem o sigilo das comunicações. Esta protecção abrange a confidencialidade das comunicações, incluindo informações sobre os seus destinos. O próprio destino pode revelar algo privado, mesmo que o conteúdo de uma mensagem não seja examinado.
A escolha política implica, por isso, proteger diferentes pessoas através de medidas que apontam em direcções distintas. As autoridades querem restringir o acesso a informações roubadas, enquanto os operadores de telecomunicações têm de ponderar as suas obrigações de preservar o sigilo das comunicações dos utilizadores. A análise jurídica proposta terá de abordar ambas as responsabilidades.
Porque foram consideradas com cautela propostas anteriores
O Japão autorizou excepcionalmente o bloqueio de sítios Web que divulgam material de abuso sexual de menores, referido no debate como sítios de pornografia infantil. A justificação tem sido o dano grave e duradouro causado às crianças pela circulação continuada desse material, a par da necessidade de limitar a interferência no sigilo das comunicações.
Também foram ponderadas propostas para bloquear sítios de pirataria e casinos em linha, mas a sua aplicação foi suspensa. Esses precedentes ajudam a explicar a delicadeza de recorrer à mesma medida perante um roubo de informações pessoais.
O incidente da GMO colocaria o bloqueio num contexto diferente: uma tentativa urgente de conter os danos após um ciberataque. O Governo está a ponderar de que forma uma medida anteriormente aceite apenas em circunstâncias excepcionais poderá integrar a resposta a fugas graves de informações.
As críticas ao pedido têm incidido sobre a questão de saber se o perigo era suficientemente iminente e se tinham sido esgotadas outras formas de impedir a divulgação. Os apelos a regras jurídicas claras reflectem uma preocupação prática: os operadores precisam de saber em que circunstâncias podem restringir o acesso, que condições se aplicam e como pode a decisão ser revista.
O pedido também enfrenta um problema de transparência
O Governo fez o pedido sem discussão prévia no seio do Executivo ou na Dieta, o parlamento nacional do Japão. O Ministério das Comunicações também não reconheceu publicamente que o fez, apesar dos relatos sobre a abordagem aos operadores a 27 de outubro.
Esta falta de reconhecimento deixa o público sem uma explicação completa da decisão. A base jurídica do pedido, os motivos da urgência e as condições que o acompanhavam são elementos fundamentais para avaliar se a medida se justificava.
A preocupação é particularmente acentuada porque a restrição proposta seria aplicada por empresas privadas de telecomunicações. Estas teriam de agir na sequência de um pedido do Governo, tendo simultaneamente em conta as protecções jurídicas dos seus utilizadores.
Alguns consideraram o pedido uma resposta adequada a uma ameaça imediata à privacidade. Os críticos classificaram-no como precipitado e pediram uma explicação pública antes de o bloqueio passar a fazer parte mais regular da política de cibersegurança. A disputa diz respeito tanto à necessidade de proteger as vítimas como ao processo utilizado para autorizar restrições.
O que muda com a suspensão do domínio
A suspensão do domínio dos alegados atacantes tornou o sítio inacessível através do seu endereço habitual. Um domínio é o nome utilizado para aceder a um sítio Web. A sua suspensão interrompe esse acesso, enquanto o bloqueio pelos operadores de telecomunicações japoneses restringiria as ligações feitas através das suas redes.
Neste caso, a intervenção no domínio parece ter resolvido o problema imediato de acesso antes de ser aplicado qualquer bloqueio nacional. Mais tarde, o sítio foi descrito como eliminado, embora a explicação específica para a interrupção do acesso aponte para a suspensão do domínio e para uma alegada intervenção de um fornecedor nos Estados Unidos.
O episódio coloca no centro da análise do Governo a relação entre o bloqueio e outras medidas de resposta. As autoridades terão de ponderar a rapidez com que cada opção pode produzir efeitos, que organizações podem intervir e em que circunstâncias se justifica uma restrição aplicada através dos operadores nacionais.
O bloqueio continua ainda em fase de análise no âmbito do pacote de emergência. O principal desafio é transformar uma resposta urgente em regras compreensíveis: quando se justifica uma intervenção, quem a autoriza e como se protege a privacidade das comunicações enquanto as autoridades procuram conter uma fuga de dados prejudicial.
Pontos principais
- O Japão tenciona analisar o bloqueio de sítios Web no âmbito de um pacote de emergência de cibersegurança, na sequência do incidente da GMO Internet.
- O Ministério das Comunicações pediu o bloqueio a 27 de outubro, quando os atacantes divulgaram informações pessoais roubadas.
- O pedido foi dirigido aos principais operadores nacionais de telecomunicações através de uma associação do sector.
- O domínio do sítio visado foi posteriormente suspenso e, ao que tudo indica, não chegou a ser aplicado um bloqueio nacional.
- O bloqueio obriga os operadores a verificar os destinos das comunicações, levantando questões relacionadas com as protecções japonesas do sigilo das comunicações.
- O Ministério não reconheceu publicamente o pedido e não foi definido qualquer prazo para a análise jurídica.
