RAON: dados de pesquisa nuclear vazados por dentro, 4 anos sem detecção

O RAON (Rare Isotope Accelerator complex for ON-line experiments) é o maior projeto de ciência básica já financiado pelo governo sul-coreano, com investimento superior a 1,5 trilhão de won. Opera sob o IBS (Institute for Basic Science), vinculado ao Ministério da Ciência e TIC. A instalação em Daejeon, na região de Daedeok, entrou em operação científica efetiva apenas em 2025-2026, após anos de atrasos — o que torna o vazamento de dados de 2022 especialmente sensível, pois coincide com a fase de conclusão da primeira etapa de construção.

O incidente é classificado aqui como exposição por insider com confirmação institucional. Não há ator externo reivindicando a ação, não há ransomware, não há defacement. O suspeito é um ex-funcionário que ocupava cargo de liderança na gestão de dispositivos durante a fase de construção e implantação — função com acesso privilegiado a documentação técnica e administrativa crítica. A motivação não foi revelada por nenhuma fonte verificada.

A principal divergência entre a narrativa do IBS e a realidade apurada está no timing: o IBS só detectou o vazamento em agosto de 2026, mais de quatro anos após a estimativa de ocorrência. Isso não é apenas falha de detecção — é indicativo de que o ambiente carecia de qualquer mecanismo de monitoramento contínuo de exfiltração de dados (DLP, UEBA ou auditoria de acesso a arquivos). Em um projeto de infraestrutura científica estratégica financiado com dinheiro público, essa lacuna é estrutural, não acidental.

A unidade de medida '1.894 casos' precisa de qualificação que nenhuma fonte forneceu. Não se sabe se são arquivos, registros de banco de dados, documentos individuais ou entradas em um sistema de gestão de projetos. Essa ambiguidade é relevante: ela impede calcular o real impacto em termos de propriedade intelectual comprometida. O DataBreaches.net não clarificou essa distinção na cobertura disponível, e a fonte original (reportagem de Choi Won-woo, reproduzida parcialmente) não foi acessada em sua versão integral.

O contexto histórico adiciona uma camada de preocupação que a cobertura atual não desenvolveu: a NamuWiki já listava 'controvérsia sobre vazamento de informações para a China' como tópico no verbete do RAON antes deste incidente. Não há evidência de que os dados de 2022 tenham chegado à China — isso é inferência, não fato. Mas o RAON é exatamente o tipo de instalação que interessa a programas de proliferação nuclear e pesquisa de isótopos raros, áreas de alto valor para Estados com ambições nucleares. A questão do destino final dos dados permanece como a maior lacuna deste caso.

A informação emergiu via parlamento, não via comunicado do IBS. Isso é padrão em Coreia do Sul quando há pressão de fiscalização legislativa, mas também indica que o IBS não escolheu a transparência proativa. Não há declaração pública do IBS, não há boletim de incidente, não há notificação da PIPC (Personal Information Protection Commission) ou de outro regulador identificada nas fontes disponíveis. Se dados pessoais de pesquisadores foram incluídos nos 1.894 arquivos, a ausência de notificação regulatória seria uma violação da Lei de Proteção de Informações Pessoais coreana.

O impacto direto é sobre a segurança de propriedade intelectual e dados operacionais de uma instalação de pesquisa nuclear estratégica do governo sul-coreano. Os 1.894 arquivos exfiltrados cobrem categorias administrativas e de pesquisa — o que pode incluir documentação técnica de sistemas supercondutores, dados de design de feixes de íons e protocolos internos de operação. Não há indicação de exposição de dados pessoais em larga escala (sem CPF, cartão de crédito ou informações de saúde de cidadãos comuns). O risco primário é de espionagem tecnológica e industrial, não de fraude de identidade. O dano secundário é reputacional e de governança: um projeto que consumiu mais de 1,5 trilhão de won públicos não tinha controles básicos de monitoramento de exfiltração por quatro anos.