GMO Internet hackeada: CEO pede defesa ativa ao governo

A GMO Internet, uma das maiores empresas de tecnologia do Japão, sofreu um grave ataque cibernético que afetou seu serviço de nuvem Desktop Cloud, operado pela marca Onamae.com. Segundo o NHK WORLD-JAPAN, cerca de 26.739 servidores virtuais usados por traders de forex ficaram em risco após acesso não autorizado. A empresa confirmou que transações não autorizadas foram realizadas em contas de clientes, muitas delas sem o conhecimento dos usuários.

Ataque com impacto financeiro real

O ataque foi detectado em 20 de outubro de 2026, quando a GMO identificou um programa malicioso em servidores de clientes. A partir de 21 de outubro, a empresa desligou progressivamente todos os planos do serviço Desktop Cloud para conter a propagação. Apesar de inicialmente não confirmar vazamentos de dados pessoais — já que a empresa afirma não armazenar informações de pagamento —, a situação evoluiu. Em 24 de outubro, a GMO admitiu que dados de acesso foram usados em operações ilícitas, comprometendo-se a cobrir perdas dos clientes afetados.

O número de 26.739 refere-se aos servidores potencialmente expostos, não necessariamente infetados. A quantidade real de contas afetadas ainda não foi divulgada. A empresa não informou quando o serviço será restaurado, gerando preocupação entre investidores e traders que dependem da plataforma para operações automatizadas. O impacto não se limita à perda de dados: o uso ilícito de contas de trading pode gerar prejuízos financeiros diretos a milhares de pessoas, especialmente em um mercado como o forex, onde operações são rápidas e altamente sensíveis a falhas de segurança.

Demanda por ciberdefesa ativa

Diante da gravidade do ataque, o fundador e CEO da GMO, Masatoshi Kumagai, pediu ao governo japonês a aplicação da nova lei de ciberdefesa ativa, em vigor desde 1º de outubro de 2026. Segundo o Pasquale Pillitteri, a empresa descreveu o caso como o primeiro de aplicação da lei, que permite às autoridades identificar e neutralizar servidores de origem de ataques, em vez de apenas reagir após o dano.

Kumagai argumenta que empresas privadas não têm capacidade para combater ameaças sofisticadas que operam além das fronteiras nacionais. A empresa destacou que o ataque foi "extremamente malicioso e sem precedentes", com manipulação e destruição não autorizada de ativos financeiros de cidadãos comuns. A demanda pela ciberdefesa ativa não é apenas técnica, mas estratégica: a empresa alega que, sozinha, não consegue erradicar ameaças que se originam em infraestruturas internacionais e que operam com alta velocidade e anonimato.

Limitações e desafios legais

Apesar do apelo, há dúvidas sobre a aplicabilidade da lei. Segundo a ITmedia, a ciberdefesa ativa se aplica inicialmente a operadores de infraestruturas críticas — como energia, água e transporte — e não a empresas de tecnologia privadas, mesmo com grande impacto social. A GMO argumenta que o critério deve ser o impacto real sobre a população, não apenas a classificação formal.

Além disso, o ataque não foi confirmado como envolvendo inteligência artificial, apesar de rumores. A ITmedia destaca que não há provas de uso efetivo de IA no ataque, o que reduz a possibilidade de classificação como ameaça híbrida ou autônoma. Isso reforça que o foco atual deve estar em melhorar a resposta a incidentes, a gestão de riscos e a colaboração entre setor privado e público — e não em especulações sobre tecnologias emergentes.

O que isso muda para quem empreende, trabalha ou cria?

• Empreendedores de tecnologia: O caso mostra que mesmo empresas de grande porte são vulneráveis. É essencial investir em segurança proativa, além de ter planos de resposta a incidentes bem definidos. A dependência de serviços em nuvem exige auditorias regulares e monitoramento contínuo de acesso.
• Profissionais de TI e segurança: A demanda por ciberdefesa ativa indica uma mudança na cultura de segurança. Profissionais precisam estar preparados para atuar em cenários de colaboração entre setor privado e público. Isso inclui capacitação em comunicação com autoridades, documentação de incidentes e protocolos de notificação.
• Criadores e traders: Usuários de plataformas de trading automatizado devem revisar a segurança de seus dados, usar autenticação multifator e monitorar contas com frequência. Evitar o uso de senhas simples e não compartilhar credenciais é fundamental.
• Empresas de serviços financeiros: O ataque reforça a necessidade de garantir que os provedores de infraestrutura de nuvem tenham políticas de segurança robustas. Contratos devem incluir cláusulas de responsabilidade em caso de falhas de segurança.
• Empresários e gestores: A crise mostra que a segurança cibernética é um risco operacional, não apenas técnico. É preciso incluir a cibersegurança na estratégia de negócios, com orçamento específico, treinamento de equipe e simulações de ataques.

O caso da GMO Internet é um alerta claro: a segurança cibernética não é apenas uma questão técnica, mas estratégica. Empresas que operam com dados sensíveis devem exigir políticas públicas mais robustas — e o governo, por sua vez, precisa repensar como classifica e protege infraestruturas críticas no século XXI. A ciberdefesa ativa pode ser uma ferramenta poderosa, mas só funcionará se houver clareza sobre quem está coberto, como as decisões são tomadas e como a colaboração entre privado e público será estruturada.

O que observar nos próximos meses

Os próximos meses serão decisivos para entender o alcance da nova lei de ciberdefesa ativa. A resposta do governo japonês ao pedido da GMO será um teste de fogo para o novo marco legal. Se a lei for aplicada, será um precedente para outras empresas privadas com alto impacto social. Se for negada, pode gerar pressão por revisão da classificação de infraestruturas críticas — especialmente em setores como fintech, cloud e plataformas financeiras.

Além disso, a transparência da GMO sobre o número real de contas afetadas, o valor das perdas e o plano de recuperação será essencial para reconstruir a confiança. Empresas brasileiras com operações em nuvem ou serviços financeiros devem acompanhar de perto esse caso como referência para a gestão de riscos cibernéticos em escala global.