Bancos japoneses consideram interromper operações por até um mês para se proteger de ataques cibernéticos

Megabancos e regulador admitem suspender internet banking e caixas eletrônicos como defesa extrema contra ataques com IA.

O sistema financeiro do Japão passou a considerar a interrupção controlada de suas operações como um instrumento legítimo de defesa. A possibilidade de suspender serviços como internet banking e caixas eletrônicos por períodos que podem se estender por até um mês deixou de ser uma hipótese remota e entrou no radar das maiores instituições do país. A medida é tratada como a última linha de contenção diante de um cenário em que a velocidade dos ataques cibernéticos, turbinados por inteligência artificial de ponta, superou a capacidade humana de corrigir falhas nos sistemas.

A discussão ganhou contornos concretos a partir de maio de 2026, quando a Agência de Serviços Financeiros do Japão, em coordenação com o Banco do Japão, emitiu uma diretriz sem precedentes. O documento orientou formalmente bancos, cooperativas de crédito e demais instituições supervisionadas a considerar, de maneira preemptiva, o desligamento programado de sistemas críticos. A instrução foi além de uma recomendação genérica: estabeleceu que o risco representado por modelos de IA de fronteira deve ser tratado como uma questão de gestão de crises, no mais alto nível decisório, e que as instituições precisam estruturar respostas rápidas para um volume massivo de correções de segurança que pode surgir em intervalos curtos.

O elemento que catalisou essa mudança de paradigma atende pelo nome de Claude Mythos, um modelo desenvolvido pela startup americana Anthropic. A ferramenta demonstrou uma aptidão incomum para localizar vulnerabilidades em softwares de forma autônoma, com uma velocidade que ultrapassa em muito a de analistas humanos. O que antes levava semanas para ser descoberto passou a ser identificado em questão de minutos. O efeito prático é uma assimetria perigosa: enquanto as equipes de segurança dos bancos se desdobram para aplicar correções em seus sistemas, os atacantes, munidos da mesma tecnologia, conseguem mapear e explorar brechas antes que as defesas sejam restabelecidas.

Os números confirmam a dimensão do desafio. Até agosto de 2026, os grandes bancos japoneses haviam identificado um volume de vulnerabilidades equivalente ao dobro do registrado no ano anterior. O dado, compilado a partir de levantamento do Nikkei Asia, revela que a adoção do modelo Mythos não apenas ampliou a capacidade de defesa, mas também escancarou a fragilidade estrutural de sistemas que, até então, pareciam suficientemente protegidos. A conclusão a que chegaram os reguladores é que, em determinados cenários, a melhor defesa possível não é resistir, mas interromper o acesso antes que o dano se propague.

A verbalização mais direta dessa possibilidade partiu de Terai Osamu, diretor executivo e diretor de segurança da informação do Mizuho Financial Group. Em entrevista publicada em novembro de 2026, Terai, que também preside o grupo de trabalho de cibersegurança da agência reguladora, afirmou que paralisar os serviços financeiros por um mês para fins de defesa cibernética é uma possibilidade que pode se concretizar. O executivo vinha, desde o segundo semestre, endurecendo o tom de seus alertas, sustentando que a proteção dos ativos dos clientes exige, em última instância, a disposição de interromper a operação para garantir que ela seja retomada em um ambiente seguro.

A lógica por trás dessa aparente contradição, em que se para o serviço para se proteger o cliente, repousa sobre uma constatação operacional simples: o volume de patches de segurança gerados para corrigir as vulnerabilidades descobertas por modelos como o Mythos é tão grande que se torna inviável aplicá-los simultaneamente em toda a infraestrutura. A diretriz do regulador reconhece essa limitação e orienta as instituições a priorizarem seus sistemas essenciais, concentrando recursos humanos e técnicos neles, e aceitando que, em determinadas circunstâncias, o desligamento controlado é a única forma de evitar um colapso maior.

A resposta do setor não se limitou ao planejamento individual. Os três maiores bancos do país, Mitsubishi UFJ, Sumitomo Mitsui e Mizuho, passaram a estruturar um plano de continuidade de negócios conjunto. A premissa é que, caso o sistema de uma dessas instituições precise ser desligado, as outras possam assumir parte das operações, notadamente transferências e liquidações de fundos. A cooperação entre instituições de base de clientes massiva funciona como um amortecedor sistêmico, reduzindo o risco de que a paralisação de um único banco provoque um efeito em cadeia sobre a infraestrutura de pagamentos do país.

A medida, no entanto, não é isenta de complexidade. A definição de quais serviços seriam mutualizados, a forma de remuneração pelo esforço adicional e os limites operacionais de cada instituição ainda estão em discussão. O que parece consensual é o diagnóstico de que o cenário de ameaças mudou de forma irreversível. A interrupção de serviços bancários, historicamente associada a falhas operacionais ou crises de confiança, passa a ser encarada como uma decisão de gestão de risco, deliberada e planejada, cujo objetivo é preservar a integridade do sistema como um todo. O debate deixou de girar em torno da probabilidade de um ataque bem-sucedido e passou a se concentrar na gestão das consequências de um ambiente em que a defesa proativa pode significar, paradoxalmente, a paralisação temporária daquilo que se pretende proteger.

Fontes consultadas: Agência de Serviços Financeiros do Japão (FSA); Banco do Japão (BOJ); Reuters; Nikkei; Nikkei Asia; Valor Econômico; Kyodo News; Jiji Press; Hokkaido Shimbun; Iza; Toyo Keizai Online; 47News; Nippon.com; Risk Taisaku; LetsMoney; BigGo Finance.