Empresa japonesa de energia perde disco com dados de 10,9 milhões de clientes

A Kyushu Electric Power Co., Inc. perdeu um disco rígido externo com dados de 10,9 milhões de contas de clientes em 26 de maio de 2024. O dispositivo havia sido usado em 27 de abril para um backup de rotina, pois o servidor principal estava com capacidade esgotada. Ele foi armazenado em um armário dentro de uma sala de servidores que, embora protegida por múltiplas camadas de segurança física, foi encontrada destrancada na data da descoberta.

As informações expostas incluem nomes, endereços de instalação, histórico de consumo de energia, números de telefone e nomes dos fornecedores varejistas, mas não há dados bancários ou de cartão de crédito. A empresa entrevistou os 57 funcionários com acesso à sala e registrou boletim de ocorrência na polícia em 4 de junho, sob suspeita de remoção indevida. O Ministério da Economia, Comércio e Indústria do Japão exigiu relatório completo até 8 de julho.

Esse caso é um alerta claro sobre falhas em controles operacionais básicos, mesmo em empresas críticas com infraestrutura robusta. A perda não foi causada por invasão cibernética, mas por desvio de procedimentos: uso de mídia removível para backup, armazenamento físico inadequado e falha no controle de acesso à sala de servidores. No Japão, o número de incidentes de vazamento de dados atingiu 19.056 no ano fiscal de 2024, aumento de 57% em relação a 2023, mostrando que a ameaça cresce mais rápido que as práticas de governança de dados.

Para desenvolvedores e equipes de segurança, esse incidente reforça que políticas de backup devem proibir explicitamente o uso de drives externos não criptografados e sem rastreabilidade. A solução técnica não é só escolher um sistema de storage, mas integrar auditoria de mídia física ao ciclo de vida de dados, desde a geração até a destruição. Em ambientes regulados como o setor elétrico japonês, a ausência de log de acesso físico ao armário já configura violação da Lei de Proteção de Dados Pessoais (APPI), que exige 'medidas técnicas e organizacionais adequadas', não apenas digitais, mas também físicas.