Sete categorias de dados de mais de 24 mil funcionários da Korea Electric Power Corporation (한국전력공사, 한전) — nome, departamento, número de funcionário, número de celular, telefone interno, e-mail e cargo — foram expostas em um site externo. A empresa tomou conhecimento do caso por volta das 15h59 de 1º de outubro, e, segundo notícias, os dados foram removidos do site por volta da meia-noite que marcou a virada para 3 de outubro, cerca de 32 horas após a empresa ter sido informada. As causas da exposição e a ocorrência de danos secundários concretos ainda não foram confirmadas.

Antecedentes e contexto

Os dados expostos não eram informações de identificação únicas, como números de registro de residente, nem informações sensíveis. Eram dados relacionados à identidade, ao departamento e aos contatos profissionais dos funcionários. A empresa também afirmou que os dados de clientes, gerenciados em um sistema dedicado separado, não foram expostos. Esse é um dado importante para avaliar a extensão da exposição, mas não diminui a gravidade do próprio incidente, que deixou informações de funcionários disponíveis externamente.

A empresa informou que, depois de tomar conhecimento da exposição, bloqueou o acesso aos sistemas internos relacionados aos dados pessoais dos funcionários e pediu à operadora do site externo que removesse as informações. Ainda assim, a remoção levou cerca de 32 horas.

A empresa comunicou o caso à Comissão de Proteção de Informações Pessoais (개인정보보호위원회) por volta das 13h22 de 4 de outubro e montou uma sala de situação para resposta emergencial. Informou que está investigando as circunstâncias exatas da exposição junto com órgãos relacionados, mas, com base apenas nas informações divulgadas até agora, não é possível saber por que caminho os dados foram parar no site externo. A empresa também notificou individualmente os funcionários sobre o incidente e suas circunstâncias, por mensagem de texto e e-mail, entre outros meios, e os orientou sobre cuidados para prevenir danos secundários.

O que esta notícia significa

As pessoas diretamente afetadas pelo incidente são, na prática, os mais de 24 mil funcionários da empresa. A afirmação da empresa de que os números de registro de residente e os dados de clientes não foram expostos é um fator a considerar ao avaliar a extensão dos danos. No entanto, como a exposição conjunta de nomes, departamentos, números de funcionário, telefones e e-mails pode ser usada para identificar e contatar funcionários específicos, os afetados precisam ficar atentos a contatos inesperados e tentativas de falsificação de identidade. Trata-se de uma interpretação de riscos possíveis, não de uma afirmação de que esses danos tenham efetivamente ocorrido.

Por exemplo, se um funcionário receber um contato que pareça relacionado a uma atividade interna da empresa e em que lhe peçam informações adicionais ou alguma confirmação, pode ser prudente considerar se isso está relacionado a uma tentativa de falsificação de identidade após a exposição. No entanto, não foi confirmado que o incidente tenha provocado casos concretos de phishing ou falsificação de identidade. Como a empresa informou que enviou orientações individuais para prevenir danos, os funcionários que receberam a notificação devem consultá-las e, se receberem contatos suspeitos, evitar responder precipitadamente ou fornecer informações.

A avaliação da resposta ao incidente depende não apenas do fato de as informações terem sido removidas, mas também de se as circunstâncias da exposição foram esclarecidas, de se foram confirmados danos concretos e de se haverá reparação caso tenham ocorrido danos. A empresa afirmou que identificará as causas por meio de uma investigação conjunta com órgãos relacionados e de uma investigação própria, além de elaborar medidas para evitar que o caso se repita. Também informou que, se receber denúncias de danos ocorridos ou previstos, realizará as investigações necessárias e dará andamento a procedimentos de reparação, incluindo indenização por danos. Isso não significa que a reparação já esteja garantida, mas sim que a empresa pretende realizar o processo após receber denúncias e investigar o caso.

Informações sobre sistemas e apoio relacionados

A empresa informou que, se receber denúncias de danos ocorridos ou previstos, realizará as investigações necessárias e dará andamento a procedimentos de reparação, incluindo indenização por danos. No entanto, a exposição de dados pessoais, por si só, não determina automaticamente se haverá indenização nem o valor dela. De acordo com materiais baseados em casos de consulta da Corporação de Assistência Jurídica (법률구조공단), o valor da indenização é calculado levando em conta o tipo de dano, as circunstâncias em que ocorreu, a culpa da vítima, os termos de um acordo e o recebimento de indenização de seguro ou de benefícios, entre outros fatores. Esses materiais explicam princípios gerais de indenização por danos e não determinam a responsabilidade individual nem o valor da indenização neste incidente.

Assim, funcionários que considerem ter sofrido danos concretos podem guardar a notificação sobre a exposição, os contatos relacionados ao caso e documentos que comprovem os prejuízos, além de consultar a empresa sobre os procedimentos de denúncia e os documentos necessários. Se estiverem avaliando um acordo, também devem verificar seu alcance. Em geral, um acordo pode limitar pedidos posteriores, mas, segundo os materiais, pode haver a possibilidade de pedidos adicionais no caso de danos posteriores graves que fossem difíceis de prever quando o acordo foi firmado. A aplicação concreta e questões como o prazo de prescrição podem variar conforme o conteúdo do dano e o momento em que ele foi descoberto, por isso não é possível fazer uma afirmação geral e definitiva.

Diferenças entre as notícias

As notícias descrevem de formas diferentes o momento em que os dados foram removidos. Uma reportagem informou que a remoção ocorreu por volta da meia-noite que marcou a virada para 3 de outubro, enquanto outra reportagem em inglês afirmou que ela foi concluída por volta da meia-noite de sexta-feira. Com base apenas nas informações disponíveis, é difícil confirmar se as duas expressões se referem ao mesmo momento ou se há uma diferença real entre os horários. A estimativa de que a remoção levou cerca de 32 horas consta das notícias em coreano.

O que foi confirmado e o que ainda não se sabe

Fatos confirmados

  • A empresa tomou conhecimento por volta das 15h59 de 1º de outubro de que dados pessoais de funcionários estavam expostos em um site externo.
  • Os dados expostos incluíam sete categorias — nome, departamento, número de funcionário, número de celular, telefone interno, e-mail e cargo — e diziam respeito a mais de 24 mil pessoas.
  • A empresa afirmou que não foram expostos informações de identificação únicas nem dados sensíveis, tampouco dados de clientes armazenados em um sistema dedicado separado.
  • A empresa bloqueou o acesso aos sistemas internos e solicitou a remoção dos dados; em 4 de outubro, comunicou o caso à Comissão de Proteção de Informações Pessoais e montou uma sala de situação para resposta emergencial.
  • A empresa notificou os funcionários individualmente e informou que, se receber denúncias de danos, investigará o caso e dará andamento a procedimentos de reparação.

O que ainda não se sabe

  • Quais foram as circunstâncias e as causas específicas que levaram à exposição dos dados dos funcionários no site externo?
  • A exposição provocou danos secundários concretos?
  • Se houve danos, de que tipo e extensão foram, e como serão conduzidas a investigação e a reparação?

O que os leitores devem verificar

  • Se você é funcionário da empresa, pode consultar a notificação individual e as orientações para prevenir danos secundários recebidas por mensagem de texto ou e-mail, e tomar cuidado para não fornecer dados pessoais ou informações adicionais em resposta a contatos suspeitos.
  • Se sofreu danos concretos ou acredita que eles podem ocorrer, guarde os contatos relacionados ao caso e documentos que permitam comprovar os prejuízos; depois, consulte a empresa sobre o procedimento de denúncia e os documentos necessários. Não é possível afirmar que a notificação indique um método específico para fazer a denúncia.
  • Se estiver avaliando uma indenização por danos ou um acordo, verifique os documentos que comprovam os prejuízos e o conteúdo do acordo. Questões que exijam uma avaliação específica podem ser analisadas em uma consulta jurídica.

Referências