ASIC insta corretores a elevarem urgentemente as defesas cibernéticas enquanto a IA de fronteira intensifica ameaças

A Comissão Australiana de Valores Mobiliários e Investimentos (ASIC) alerta empresas financeiras e participantes do mercado para intensificarem as proteções de segurança cibernética à medida que a inteligência artificial continua a amplificar as ameaças cibernéticas globalmente.

Ela manteve que, embora as ameaças cibernéticas sempre tenham sido uma preocupação, ferramentas de IA sofisticadas como Claude Mythos podem acelerar dramaticamente a descoberta e exploração de vulnerabilidades. 

Em uma carta aberta, o regulador aconselhou as empresas a protegerem seus sistemas contra riscos acelerados por IA agora, em vez de depender de ferramentas de IA futuras. Principalmente, defendeu uma abordagem neutra em termos de tecnologia e baseada em princípios para as atualizações cibernéticas urgentemente necessárias.

O que a ASIC espera dos licenciados em todo o país?

A IA de fronteira empurrou o risco cibernético para uma “nova era,” alertou Comissária da ASIC Simone Constant. Ela observou que, apesar dos benefícios potenciais dos modelos de IA avançados, eles ainda podem explorar vulnerabilidades muito mais rápido do que a maioria antecipa.

Isso significa que lacunas isoladas agora podem causar um colapso total do sistema, com atacantes médios ganhando acesso a técnicas de hacking de alto nível. 

Esta comunicação segue evidências da Connective de que corretores estão integrando ferramentas de IA sem as estruturas defensivas necessárias. O CEO da Connective, Glenn Lees, sustentou que a indústria de corretores está atualmente vibrando com a empolgação da IA, mas carece da estrutura necessária para uma implantação segura e estável.

No entanto, ele instou os corretores a construírem uma base sólida de estratégia, sistemas e governança, afirmando que esta é provavelmente a única maneira de fazer a adoção da IA funcionar. 

A carta aberta da ASIC também pediu aos licenciados que abordem suas lacunas de segurança agora, em vez de esperar para ver como as ameaças de IA evoluem. Constant explicou que um plano de resposta pronto é essencial, já que as regras básicas de segurança cibernética não mudam apenas porque a tecnologia muda.

Ela acrescentou que a alta gestão deve assumir a responsabilidade, garantindo que testes rigorosos e remediação precoce aconteçam bem antes que uma ameaça se torne uma crise. 

Ela comentou ainda: “O relógio está a um minuto para a meia-noite – se você não estiver no controle de sua resiliência cibernética já, a hora de agir e se preparar é agora.”

Além disso, além da ASIC, a Autoridade Australiana de Regulação Prudencial (APRA) alertou os bancos de que suas medidas de governança e controle para inteligência artificial estão ficando para trás em relação à rápida expansão de ferramentas de IA. 

A membro da APRA, Therese McCarthy Hockey, afirmou: “A revolução da IA apresenta oportunidades tremendas para bancos, seguradoras e fiduciários de fundos de pensão (superannuation) entregarem maior eficiência e serviços aprimorados aos clientes. Mas não podemos ser cegos aos riscos de uma tecnologia tão poderosa.”

A ASIC tomou medidas contra a FIIG Securities

A ASIC recentemente agiu contra a especialista australiana em renda fixa FIIG Securities Limited (FIIG) por não implementar salvaguardas cibernéticas adequadas para sua vasta base de clientes por anos. Como consequência, a empresa foi obrigada a pagar multas pecuniárias totalizando US$ 2,5 milhões e cerca de US$ 500.000 para cobrir os custos da ASIC. 

Relatou-se que as fraquezas de segurança da FIIG desempenharam um papel na escala de uma violação cibernética de 2023 que expôs dados confidenciais, incluindo números de arquivo fiscal, detalhes de contas bancárias e documentos de identificação. Cerca de 18.000 clientes receberam aviso de que seus dados pessoais sensíveis podem ter sido vazados.

Na época, a própria FIIG admitiu que seus arranjos de cibersegurança eram inadequados sob seus Requisitos da Licença de Serviços Financeiros (AFS) e que melhores salvaguardas poderiam ter reduzido o impacto da violação. Por sua própria admissão, a empresa também falhou em seguir suas próprias políticas projetadas para impedir exatamente esse tipo de vazamento de dados. 

O Tribunal Federal também determinou uma auditoria independente para elevar sua resiliência cibernética a um padrão profissional. 

Após o desfecho do caso, a vice-presidente da ASIC, Sarah Court, comentou, dizendo: “A ASIC espera que os detentores de licenças de serviços financeiros estejam na vanguarda todos os dias para proteger seus clientes. A FIIG não estava – e colocou milhares de clientes em risco. Neste caso, as consequências superaram em muito o que teria custado à FIIG implementar controles adequados desde o início.”