Para quem é: pessoas que recebem newsletters ou e-mails de notificação de empresas e organizações que usam o serviço de envio de e-mails Arara Message da Arara Inc. (incluindo a série ASP repica), e empresas e organizações que usam o serviço. Este artigo se baseia nos comunicados oficiais da Arara Inc. e das organizações clientes que divulgaram impacto. Não trata de como o ataque foi realizado.
Em andamento: este artigo será atualizado conforme a organização publicar mais informações
- Quem é afetado
pessoas que recebem newsletters ou e-mails de notificação de empresas e organizações que usam o serviço de envio de e-mails Arara Message da Arara Inc. (incluindo a série ASP repica), e empresas e organizações que usam o serviço.
- Confirmado até agoraVer a tabela ↓
- Dados pessoais levados (ambientes de clientes)
- Número de endereços de e-mail
- Ambiente compartilhado
Mais 6
- Ambiente B
- Período da retirada
- Itens de dados de membros
- Envio de e-mails falsos
- Situação do serviço
- Notificações às autoridades
- Ainda não confirmado
- A divisão entre endereços só com e-mail e com atributos (em verificação)
- O número e os nomes das empresas clientes afetadas (até cerca de 380 é uma estimativa)
- As pessoas e os itens afetados em cada empresa (a Arara está avisando os clientes individualmente, inclusive os do ambiente B)
Mais 4
- O impacto nos dados de funcionários dos clientes (nomes e e-mails de quem usa o console de administração)
- Quando e como a invasão começou
- Quando o serviço será retomado
- O impacto nos resultados (ainda em análise)
- O que fazer agoraVer os passos ↓
- Apague, sem abrir, e-mails de news@arara.com que se passam por empresa de cartão
- Por ora, não abra links nem anexos de e-mails que aleguem vir de um remetente que você assina
- Confira a tabela abaixo para os serviços que você usa
Mais 1
- Não digite senhas nem números de cartão quando pedirem
- Onde verificar (fonte)Todas as fontes ↓
- Arara Inc., "Vazamento de informações e parada do serviço por acesso não autorizado ao Arara Message (terceiro relatório)" (6 de novembro de 2026)
- Última verificação
- Em 7 de novembro de 2026 (horário do Japão; a página de comunicados da Arara foi atualizada pela última vez às 21h de 6 de novembro; a próxima atualização está prevista para cerca de 12h de 7 de novembro e não tinha aparecido quando verificamos)
Próximos avisos e o que verificamos
No terceiro relatório, de 6 de novembro, a Arara Inc. atualizou o número de endereços de e-mail ao acrescentar o ambiente B. Diz que a divisão entre endereços só com e-mail e com atributos e o impacto nos seus resultados ainda estão em análise, e que a data de retomada não foi definida. Sua página de comunicados diz que está informando cada empresa cliente sobre o próprio impacto, uma a uma, começando pelas que têm resultados confirmados.
O que os destinatários de e-mails devem fazer hoje
O serviço da Arara Inc. é o que empresas e organizações usam para enviar newsletters e avisos. Os destinatários cadastraram o e-mail na empresa ou organização remetente, não na Arara, então confira se você foi afetado pelo comunicado do próprio remetente.
Apague, sem abrir, e-mails de news@arara.com que se passam por empresa de cartão
A Arara Inc. diz que, de 28 a 30 de outubro, seu serviço foi usado indevidamente para enviar até cerca de 7,13 milhões de e-mails falsos que se passavam por empresas de cartão de crédito. O remetente é "news@arara.com" e os assuntos incluem um pedido para confirmar o uso do cartão ou um extrato de uso.
Ela pede que os destinatários não abram a URL do corpo e apaguem o e-mail. Se você digitou dados do cartão no link, fale imediatamente com o emissor do cartão. Os destinatários eram endereços de e-mail que um terceiro trouxe de fora, então receber um não prova que o seu endereço foi levado.
Por ora, não abra links nem anexos de e-mails que aleguem vir de um remetente que você assina
Os endereços e dados de membros levados poderiam ser usados em e-mails ou SMS falsos em nome da empresa remetente. Mesmo uma mensagem que mostre seu nome ou número de membro pode não ser verdadeira. Para conferir, abra o aplicativo oficial ou um site oficial que você tenha salvo nos favoritos (veja O que é phishing? para saber como identificar falsificações).
Confira a tabela abaixo para os serviços que você usa
A tabela abaixo lista o comunicado de cada empresa. Uma empresa que não está na tabela ainda pode anunciar. Confira de vez em quando a página de comunicados dos sites cujas newsletters você recebe. Se chegar um aviso individual, compare-o com o comunicado do site oficial em vez de confiar no link do e-mail.
Não digite senhas nem números de cartão quando pedirem
A Arara Inc. diz que não envia e-mails pedindo para digitar senhas ou dados de cartão, e as empresas clientes dizem algo parecido. Se um e-mail pede para digitá-los, confira pelo site oficial, não pelo e-mail.
O destinatário de um e-mail falso não é necessariamente um endereço que foi levado
Segundo o segundo relatório da Arara Inc., os e-mails falsos foram enviados para "endereços de e-mail que um terceiro trouxe de fora". O serviço da empresa foi usado indevidamente (segundo a empresa), por isso o remetente aparece como news@arara.com. Por outro lado, não ter recebido um não significa que seu endereço não foi levado.
Organizações clientes que divulgaram impacto
As organizações que usam o serviço da Arara Inc. publicaram seus próprios comunicados. A tabela lista os que este site verificou abrindo a página oficial de cada organização entre 5 e 7 de novembro, e apenas comunicados que citam a Arara Inc. (ou seu serviço). Estão em ordem de anúncio, do mais antigo ao mais recente.
Cada situação segue a redação da própria organização. A Arara Inc. não nomeou suas empresas clientes. Os números informados por cada organização não podem ser somados nem comparados com os cerca de 81,3 milhões (e o endereço da mesma pessoa pode aparecer nas contagens de várias organizações).
| Organização | Para que usava o serviço (conforme declarado) | Dados que podem ser afetados (conforme declarado) | Situação | Data |
|---|---|---|---|---|
| Kagoshima Bank, Minami-Nippon Bank, Kagoshima Sogo Shinkin Bank e Kagoshima Shinkin Bank (Pay-don) | Notificações por e-mail do aplicativo "Pay-don" (envio de e-mails confiado à Arara Inc.). Notificações por e-mail e novos cadastros suspensos | E-mails de usuários e lojistas do Pay-don, e informações de pagamento (data e hora, nome da loja, valor pago). Sem número. Nenhum dano secundário informado | Possível (os quatro bancos) | 28 de outubro |
| Província de Okinawa (projeto de intercâmbio com ilhas remotas "Shimamaru") | Newsletter (a contratada do projeto usava o Arara Message) | 2.560 endereços de e-mail. Nomes e outros dados não vazaram | Possível (a província) | 29 de outubro |
| Suzuki (Suzuki Media Site) | Comunicados de imprensa para a mídia (a Arara Inc. cuidava do envio de e-mails sob o provedor de serviços do site) | Até 2.575 endereços de e-mail cadastrados. Sem nomes nem endereços postais. Nenhum uso indevido ou dano secundário confirmado | Possível (a empresa) | 30 de outubro |
| Bic Camera, Kojima e Sofmap (comunicado conjunto) | Envio de e-mails confiado a uma contratada; sistema de envio de e-mails fornecido pela Arara Inc. | Endereços de e-mail e dados semelhantes. Cerca de 14,9 milhões no total para o grupo. Dados de cartão de crédito e de login das lojas online não são tratados pelo serviço e estão fora do escopo. Nenhum dano secundário específico confirmado | Possível (cada empresa) | 2 de novembro |
| Osaka Gas (assinatura de refeições "FitDish") | E-mails para clientes do "FitDish" | 34.489 endereços de e-mail (aqueles para quem se enviou de 8 a 29 de outubro). Sem nomes, endereços postais, telefones, dados de cartão nem dados de compra | Vazamento confirmado (a empresa) | 2 de novembro |
| Kinko's Japan | Newsletter para os membros do Smart Membership | Endereços de e-mail (número em verificação). Nomes, números de membro, datas de cadastro, aniversários e lojas favoritas: nenhum vazamento confirmado até agora. Tinha sido informada de que seu ambiente estava fora do escopo; uma nova verificação após o segundo relatório confirmou o vazamento | Vazamento confirmado (a empresa); outros itens não confirmados | 2 de novembro |
| Asoview (explicação deste site) | E-mails para membros do Asoview! (dados de membros confiados ao serviço da Arara Inc.) | 15.821.184 registros. Endereços de e-mail, ID ou número de membro, nome, gênero, data de nascimento, telefone, código postal, região, dados de compra e uso de ingressos, e mais. Senhas e dados de cartão não foram confiados e estão fora do escopo. A identificação dos membros afetados ainda vai ser feita | Vazamento confirmado (a empresa) | 3 de novembro |
| The Yokohama Rubber Co. | Envio de comunicados de imprensa e e-mails de notícias (por meio da contratada que cuida do envio de e-mails) | Nomes de empresas e endereços de e-mail cadastrados. Sem número. A Arara Inc. tinha informado primeiro que não havia vazamento relacionado e, em 3 de novembro, comunicou à empresa um vazamento | Vazamento confirmado (a empresa) | 3 de novembro |
| Workman | A "newsletter da Workman Online Store". Os e-mails de notificação do seu site online (incluindo avisos no aplicativo) não usam o serviço e não foram afetados | Endereços de e-mail, até cerca de 1,45 milhão. Nenhum outro dado vazou. Em 29 de outubro foi informada de que os endereços de membros não estavam incluídos e, em 2 de novembro, recebeu um relato telefônico urgente de vazamento (confirmação por escrito pendente) | Vazamento confirmado (a empresa) | 4 de novembro |
| JR Kyushu | Newsletter para quem visitou apartamentos-modelo de condomínios ou pediu materiais (a contratada que cuida do envio usa o serviço da Arara Inc.) | Nomes e endereços de e-mail. Até cerca de 13.000. Não há possibilidade de que endereços postais ou telefones tenham vazado. Nenhum dano secundário confirmado | Possível (a empresa) | 4 de novembro |
| TKC | Envio de e-mails a clientes que usam sistemas da TKC (envio confiado à Arara Inc.). Os serviços da TKC não conseguem enviar e-mails no momento | Endereços de e-mail, até 2.230.812. Corpos dos e-mails, My Number e solicitações a municípios não vazaram. De quais clientes são os endereços ainda está em investigação (terceiro relatório) | Vazamento confirmado (a empresa) | 4 de novembro |
| Bank of the Ryukyus (segundo relatório) | O serviço externo de e-mails "repica" (fornecido pela Arara Inc.). Envio suspenso | 96.477 endereços de e-mail (parte dos e-mails enviados de 8 a 29 de outubro). Nenhum vazamento confirmado de nomes, endereços postais, dados de conta ou PINs. Identificação dos afetados (segundo relatório) | Vazamento confirmado (o banco) | 4 de novembro |
| Zaif | E-mails de notificação (serviço da Arara Inc.). Envio temporariamente suspenso | 380.536 endereços de e-mail (sem duplicatas). Sem nomes nem outros atributos, sem corpos de e-mail, sem dados de autenticação. A contagem de usuários atuais está sendo verificada (segundo relatório) | Vazamento confirmado (a empresa) | 4 de novembro |
| IIJ (IIJmio) | E-mails para clientes do IIJmio | 983.458 endereços de e-mail (incluindo contratos cancelados). Os detalhes dos atributos dos clientes estão sendo confirmados com a Arara Inc. Dados de cartão não foram compartilhados com o serviço e estão fora do escopo | Vazamento confirmado (a empresa) | 4 de novembro |
| Hasegawa | Servidores "repica" da Arara Inc. ligados ao seu serviço de envio de e-mails | 305 endereços de e-mail (aqueles para quem se enviou de 8 a 29 de outubro). Dados de clientes que guarda (nomes, dados de compra) e assuntos e corpos dos e-mails estão fora do escopo (primeiro relatório) | Vazamento confirmado (a empresa) | 4 de novembro |
| Tribeck | Suas informações de envio de e-mails (registros de envio). O site e os dados de membros do seu site de formulários empresariais "bizocean" e seus serviços de publicidade (incluindo newsletters) não usam o serviço e estão fora do escopo | 61.213 registros (incluindo duplicatas e e-mails de teste). Endereços de e-mail e cadeias de mesclagem (itens definidos como campos de mesclagem, como nomes) | Vazamento confirmado (a empresa) | 4 de novembro |
| Chobirich | Envio de e-mails a membros (Arara Message). Parou de enviar e avisa os membros em seu site | 1.348.525 endereços de e-mail (não é uma contagem de membros). Endereço de e-mail, número de membro, apelido, data de nascimento, gênero, província de residência e saldo de pontos podem ter vazado. Nomes, telefones, senhas e dados de contas bancárias não foram confiados e estão fora do escopo. A identificação dos membros afetados ainda vai ser feita | Possível (a empresa) | 4 de novembro |
| MOS Food Services | Newsletters e outros e-mails para os "membros do MOS WEB" ("repica", fornecido pela Arara Inc.) | 7.517.087 registros. Endereço de e-mail, idade, gênero, província de residência etc. Informações relacionadas a pagamento, como dados de cartão de crédito, não estão incluídas | Vazamento confirmado (a empresa) | 4 de novembro |
| GMO Payment Service | Arara Message, usado por um escritório de advocacia contratado da empresa, para enviar e-mails. Dados de pessoas alvo de envios de 20 de julho a 30 de outubro de 2026 | Só endereço de e-mail: até 101.226. Endereço de e-mail, nome, valor cobrado, detalhes da cobrança (loja e produto usado ou comprado), número de consulta e conteúdo do aviso: até 5.771. Total de até 106.997 (número da própria empresa). As pessoas afetadas são avisadas individualmente por e-mail. Sem impacto nos próprios sistemas e serviços | Vazamento confirmado (a empresa) | 5 de novembro |
| CYBIRD | Usa o serviço de envio de e-mails da Arara Inc. em vários serviços. Os serviços e as pessoas afetadas ainda não foram identificados | 98.738 endereços de e-mail. O único item vazado que a Arara informou a ela são endereços de e-mail. Nenhum acesso não autorizado aos próprios serviços foi confirmado | Vazamento confirmado (a empresa) | 6 de novembro |
| Pacific League Marketing (envio de e-mails de cinco clubes da Pacific League) | E-mails de resultados de jogos e outros para membros pagantes dos sites oficiais dos clubes que pediram o serviço, em endereços para os quais os clubes enviaram desde 1º de julho de 2026 (Nippon-Ham, Rakuten, Seibu, Lotte, SoftBank). Os cinco clubes pararam de usar o serviço da Arara Inc. O Orix não o usa | Só endereços de e-mail. Por clube: Nippon-Ham 3.575, Rakuten 1.165, Seibu 2.693, Lotte 2.618, SoftBank 3.660 (a empresa informa um total de 13.711). Dados de membros dos fã-clubes estão fora do escopo. Nenhum dano secundário confirmado. O mesmo comunicado descreve também um acesso não autorizado ao site oficial do Chiba Lotte Marines, que trata como um assunto separado da Arara | Vazamento confirmado (a empresa) | 6 de novembro |
Empresas que ouviram que não estavam afetadas e depois se descobriu que estavam
Os comunicados da Workman, da The Yokohama Rubber e da Kinko's Japan dizem que, no primeiro contato de 28 ou 29 de outubro, seu próprio ambiente foi informado como fora do escopo (ou não se confirmou vazamento relacionado), e que lhes foi comunicado um vazamento por volta do segundo relatório, de 2 de novembro. O motivo é que os servidores onde o acesso não autorizado foi confirmado se ampliaram do ambiente compartilhado para os ambientes das empresas clientes. Mesmo que tenham dito primeiro que um serviço não foi afetado, isso pode mudar em um acompanhamento.
O que aconteceu (segundo os comunicados da Arara Inc.)
O que segue se baseia no terceiro relatório da Arara Inc., de 6 de novembro de 2026, no segundo relatório, de 2 de novembro (seu comunicado de imprensa e a divulgação oportuna da controladora no mesmo dia) e na sua página de comunicados. No primeiro relatório, de 29 de outubro, ela tinha anunciado o vazamento de cerca de 3,01 milhões de endereços de e-mail no ambiente compartilhado.
27 de outubro
Houve um acesso que parece de reconhecimento (o terceiro relatório corrige o "27 a 28 de outubro" do segundo).28 de outubro
Um terceiro entrou sem autorização no console de administração do ambiente compartilhado e levou dados usando funções como a exportação de dados. A empresa fez uma parada de emergência desse ambiente às 16h31 (segundo e terceiro relatórios).28 de outubro
Parte dos ambientes do serviço foi usada indevidamente e começou o envio de e-mails falsos que se passavam por empresa de cartão (por volta das 3h59). Às 7h a empresa interrompeu o acesso externo a esse ambiente. O envio falso continuou também em outro ambiente a partir das 8h47 aproximadamente (descoberto em 30 de outubro).29 de outubro
A empresa publicou seu primeiro relatório, fez um relatório inicial à Comissão de Proteção de Informações Pessoais, avisou a polícia e enviou um relatório inicial à JIPDEC.28 a 31 de outubro
Um terceiro entrou em muitos servidores por meio dos servidores do serviço e levou o conteúdo de bancos de dados (97 servidores em ambientes de empresas clientes). O segundo relatório já dizia de 28 a 31 de outubro. Em 6 de novembro a empresa corrigiu o período que tinha informado individualmente a alguns clientes em 2 de novembro ("em algum momento entre 28 e 29 de outubro"): os dados foram levados continuamente de 28 de outubro até a parada de 31 de outubro (o momento varia conforme o servidor). Em um ambiente de nuvem separado (ambiente B), credenciais também foram usadas sem autorização e dados foram levados no mesmo período (terceiro relatório).30 de outubro
A empresa descobriu o envio falso e cortou a comunicação com esse ambiente às 13h26 (nenhum novo envio foi confirmado depois das 13h32).31 de outubro
Pela manhã, descobriu que os dados tinham sido levados pelo serviço. Invalidou as credenciais usadas indevidamente, cortou a comunicação de cada servidor em sequência e parou todo o serviço (a parada começou às 14h50 e foi concluída às 19h53). Também invalidou as credenciais do ambiente B e parou o ambiente B (terceiro relatório).2 de novembro
A empresa publicou seu segundo relatório (a controladora fez uma divulgação oportuna no mesmo dia). Diz que pretende informar à Comissão de Proteção de Informações Pessoais os novos itens descobertos e enviar um relatório intermediário à JIPDEC.6 de novembro
A empresa publicou seu terceiro relatório. Acrescentou os 3.249.492 endereços levados do ambiente B e fixou o total, com as duplicatas entre categorias removidas, em 81.329.467. Corrigiu o número do ambiente compartilhado para 2.842.400. No mesmo dia, sua página de comunicados corrigiu o período de retirada que tinha informado individualmente a alguns clientes em 2 de novembro ("em algum momento entre 28 e 29 de outubro").
Destinatários de e-mails e membros
Cadastraram um e-mail no remetente (às vezes também nome, número de membro etc.)
O que fazer: não abra links em e-mails em nome do remetente
Empresas e organizações remetentes (clientes)
Gerenciam as listas de e-mail e as cadastram no serviço da Arara Inc. para enviar e-mails. São responsáveis pelos dados pessoais
O que fazer: confirmar se foram afetadas e decidir sobre notificação e aviso
Arara Inc. (Arara Message)
78.102.937 pelo serviço no ambiente A, 2.842.400 no ambiente compartilhado e 3.249.492 no ambiente B. O total com as sobreposições subtraídas é 81.329.467
Os itens variam conforme o cliente; em investigação
- Serviço
- O serviço de envio de e-mails Arara Message e a série ASP repica. As partes paradas são a GUI do Arara Message, as APIs v1 e v2, o editor, o remetente e o e-mail automático do ASP repica, e a função de lista de erros do BMA. A repica local (on-premises) não é afetada. Os outros serviços da empresa não são afetados
- Categoria (1): pelo serviço (ambiente A)
- De 28 de outubro até a parada de 31 de outubro, continuamente (o momento varia conforme o servidor; o período informado individualmente a alguns clientes em 2 de novembro foi corrigido em 6 de novembro): confirmada a retirada de endereços de e-mail e dados de membros em 97 servidores de ambientes de clientes (até cerca de 380 empresas). O segundo relatório dizia cerca de 77 milhões (em 1º de novembro); o terceiro diz 78.102.937 (31.346.375 só com e-mail, 46.756.562 com atributos)
- Categoria (2): ambiente compartilhado do primeiro relatório (ambiente A)
- O dia 27 de outubro foi um acesso que parece de reconhecimento; o login não autorizado e a retirada foram em 28 de outubro. 61 empresas clientes. Endereços de e-mail e informações de atributos. O terceiro relatório corrige os 3.386.187 do segundo relatório para 2.842.400 (2.507.311 só com e-mail, 335.089 com atributos) e diz que alguma informação em texto foi incluída. Os "dados de clientes de até 411.827 de cinco empresas" do segundo relatório não são atualizados no terceiro
- Categoria (4): ambiente B (acrescentado no terceiro relatório)
- De 28 a 31 de outubro, credenciais foram usadas sem autorização para acessar o ambiente B e 3.249.492 endereços de e-mail (só e-mail) foram levados. Não foi uma nova invasão. O ambiente B fica em uma nuvem diferente da dos outros servidores do serviço. No segundo relatório estava em investigação e o número não pôde ser confirmado, por isso não foi incluído. As credenciais foram invalidadas e ele foi parado em 31 de outubro
- Categoria (3): uso indevido
- 28 a 30 de outubro: até cerca de 7,13 milhões de e-mails falsos enviados de dois ambientes. Não se confirmou que o próprio envio tenha vazado algo além de endereços de e-mail
- Sobre as contagens
- O total de 81.329.467 do terceiro relatório tem as sobreposições entre categorias subtraídas (34.285.087 só com e-mail e 47.044.380 com atributos; essa divisão está em verificação). Somar as categorias do segundo relatório como se não houvesse sobreposição dá 80.386.187, e o terceiro relatório tem 943.280 a mais. O número é de endereços de e-mail, não de pessoas. "Possivelmente levado" é avaliado pela quantidade de registros lidos (segundo relatório)
- Itens
- Endereços de e-mail; itens que os clientes cadastraram (nome, gênero, data de nascimento, telefone, número de membro, endereço postal etc., conforme o cliente); e registros como destinos de entrega. Não há números de cartão de crédito guardados. O impacto nos nomes e e-mails de funcionários que usam o console de administração está sendo verificado
- O que diz sobre a causa
- Uma vulnerabilidade em servidor web e problemas no ambiente do sistema estiveram envolvidos. Quando e como a invasão começou está em investigação. Diz que a série de invasões parece ser do mesmo terceiro do relatório anterior, a julgar pela origem comum do acesso
- Retomada
- Será decidida depois de identificar o caminho, trocar as credenciais em bloco e confirmar a segurança do sistema. A data não foi definida (o mesmo no terceiro relatório). Na retomada, pretende pedir aos clientes que redefinam senhas do console de administração e credenciais como chaves de API
- Contato
- Linha de atendimento a empresas clientes 03-5414-3611. É só para clientes diretos; quem contratou por revendedor deve falar com o revendedor (da página de comunicados)
O que se sabe e o que não se sabe
Situação em 7 de novembro de 2026. Quando houver novidades, a coluna de situação desta tabela será reescrita.
| Item | O que diz o comunicado | Situação |
|---|---|---|
| Dados pessoais levados (ambientes de clientes) | Confirmada a retirada de endereços de e-mail e dados de membros em 97 servidores (incluindo dados que podem ter sido levados) | Vazamento confirmado (a empresa; inclui possíveis) |
| Número de endereços de e-mail | 81.329.467 com as duplicatas entre categorias removidas (terceiro relatório). O segundo relatório dizia cerca de 77 milhões. Não é uma contagem de pessoas. A divisão em 34.285.087 só com e-mail e 47.044.380 com atributos está em verificação | Confirmado (a empresa; divisão em verificação) |
| Número de empresas clientes afetadas | Até cerca de 380 (a estimativa do segundo relatório; o terceiro relatório explica que inclui as 61 do ambiente compartilhado e as do ambiente B). Nomes não divulgados | Em investigação |
| Ambiente compartilhado | 61 empresas clientes, 2.842.400 (sem duplicatas; corrigido a partir de 3.386.187 do segundo relatório e atualizado a partir dos cerca de 3,01 milhões do primeiro). Os dados de clientes de até 411.827 de cinco empresas do segundo relatório não são atualizados no terceiro | Vazamento confirmado (a empresa) |
| Ambiente B | 3.249.492, só endereços de e-mail. Durante a mesma série de acessos de 28 a 31 de outubro; não é uma nova invasão. Credenciais invalidadas e parado em 31 de outubro | Vazamento confirmado (a empresa) |
| Período da retirada | 27 de outubro: acesso que parece de reconhecimento. Login não autorizado e retirada de 28 de outubro até a parada de 31 de outubro, continuamente (varia conforme o servidor). O "em algum momento entre 28 e 29 de outubro" informado individualmente a alguns clientes em 2 de novembro estava errado e foi corrigido em 6 de novembro (o segundo relatório publicado dizia de 28 a 31 de outubro) | Confirmado (a empresa) |
| Itens de dados de membros | Nome, gênero, data de nascimento, telefone, número de membro, endereço postal etc. (variam conforme o cliente), e registros como destinos de entrega | Vazamento confirmado (a empresa; os itens variam conforme o cliente) |
| Números de cartão de crédito | O serviço não os guarda de forma alguma (segundo e terceiro relatórios) | Não incluídos (a empresa) |
| Credenciais do console de administração e da API | As credenciais usadas indevidamente foram invalidadas. Pretende pedir aos clientes que as redefinam na retomada. Na tabela do segundo relatório, as células correspondentes dizem "uso suspenso" (pelo serviço) e "não aplicável" (ambiente compartilhado), e não dizem se foram levadas | Não informado |
| Dados de funcionários dos clientes | O impacto nos nomes e e-mails de quem usa o console de administração está sendo verificado | Em investigação |
| Envio de e-mails falsos | De 28 a 30 de outubro, até cerca de 7,13 milhões de dois ambientes. Remetente news@arara.com. Os destinatários eram endereços que um terceiro trouxe de fora | Confirmado (a empresa) |
| Causa | Uma vulnerabilidade em servidor web e problemas no ambiente do sistema. Início e caminho em investigação | Em investigação |
| Uso indevido dos dados vazados | Não informado pela Arara. Bic Camera, Kojima e Sofmap, Asoview e Zaif dizem em seus comunicados que, no momento, não há dano secundário nem uso indevido confirmado | Não confirmado (cada empresa) |
| Situação do serviço | Todos os serviços parados em 31 de outubro. Data de retomada não definida (terceiro relatório). Envios agendados não são executados | Confirmado (a empresa) |
| Notificações às autoridades | Comissão de Proteção de Informações Pessoais: relatório inicial em 29 de outubro, relatório intermediário em 2 de novembro, relatório adicional previsto para 6 de novembro. Ministério dos Assuntos Internos e Comunicações (Escritório de Telecomunicações de Kanto): informado em 4 de novembro, relatório adicional previsto para 6 de novembro. Polícia avisada em 29 de outubro. JIPDEC: relatório inicial em 29 de outubro, relatório intermediário em 4 de novembro, relatório adicional previsto para 6 de novembro | Confirmado (itens até 4 de novembro; os relatórios adicionais de 6 de novembro constam como previstos) |
| Impacto nos resultados | Ainda em análise (terceiro relatório) | Em investigação |
A contagem de cada empresa não pode ser comparada com os cerca de 81,3 milhões
81.329.467 (cerca de 81,3 milhões) é a contagem de endereços de e-mail que a Arara Inc. deu para o incidente como um todo, com as duplicatas entre categorias removidas. Números como os até cerca de 1,45 milhão da Workman ou os 15.821.184 da Asoview podem fazer parte dele, mas não foi divulgado quais empresas compõem quanto. As contagens são medidas de formas diferentes, então não some nem subtraia.
Para que endereços de e-mail e dados de membros podem ser usados
Em geral, as combinações a seguir permitem os seguintes tipos de uso indevido. Isso não significa que tenha acontecido aqui.
- Endereço de e-mail mais o nome do remetente: chegam e-mails falsos em nome dessa empresa ao mesmo endereço da newsletter verdadeira, e as pessoas tendem a presumir que é o remetente de sempre
- Nome mais telefone mais endereço postal: e-mails e SMS falsos que usam o nome verdadeiro, e falsas verificações de identidade por telefone
- Número de membro mais nome mais data de nascimento: fingir ser um serviço de membros e pedir mais dados sob o pretexto de "verificação de identidade"
- Histórico de uso (tipos de ingressos comprados, instalações usadas, datas e valores de pagamento): material para mensagens plausíveis de "cancelamento" ou "reembolso" baseadas em reservas e pagamentos reais
Os incidentes de outubro de 2026 no serviço de envio de e-mails da Ymirlink, Cuenote FC, e no Blastmail também foram casos em que os endereços de muitas organizações vazaram de um único serviço de envio. Em cada um, você conferia se foi afetado pelos comunicados das organizações cujos e-mails recebe.
O que empresas e organizações que usam o Arara Message devem fazer
A Arara Inc. diz que contatará prontamente todas as empresas clientes após o segundo relatório, informando individualmente a cada uma se seu ambiente foi afetado e quais dados vazaram. No terceiro relatório, diz que também contatará individualmente os clientes que usaram o ambiente B. Como mostra a tabela, há casos em que uma empresa que ouviu primeiro que não estava afetada depois se descobriu que estava.
Confirme se seu ambiente foi afetado, pelo contato individual da Arara Inc. e pela linha de atendimento
Não fique apenas esperando o contato; ligue para a linha de atendimento a clientes (03-5414-3611, só para clientes diretos; se contratou por revendedor, pergunte ao revendedor). Compare os itens e números que ela informar com os itens que você cadastrou no sistema de envio.
Para a notificação à Comissão de Proteção de Informações Pessoais, confira o prazo da notificação conjunta (18h de 9 de novembro)
A Arara Inc. diz que empresas e organizações privadas podem notificar em conjunto com ela, e órgãos públicos e governos locais podem pedir que ela notifique em seu nome, à Comissão de Proteção de Informações Pessoais. O prazo do pedido é 18h da segunda-feira, 9 de novembro de 2026. Se você pedir, não precisa notificar por conta própria, e ela diz ter confirmado com a Comissão que exceder o prazo orientativo do relatório inicial não será tratado como notificação tardia. Se notificar por conta própria, não precisa pedir.
A notificação conjunta não cobre os relatórios à JIPDEC de titulares da Privacy Mark; esses você mesmo cuida. O procedimento está em sua página de orientação. Para saber se você deve avisar as pessoas envolvidas, consulte o atendimento da Comissão ou um especialista.
Se você recebeu um período de retirada em 2 de novembro, corrija-o para o período revisado
Segundo a página de comunicados da Arara Inc., o período que ela informou individualmente a alguns clientes em 2 de novembro ("em algum momento entre 28 e 29 de outubro") estava errado. O período correto é a retirada contínua de cada servidor de 28 de outubro até a parada do serviço em 31 de outubro (o momento varia conforme o servidor). Se você usou o período anterior em uma notificação à Comissão de Proteção de Informações Pessoais ou em um comunicado interno, troque-o pelo período corrigido.
Os envios agendados não são executados enquanto o serviço está parado; passe as mensagens importantes para outro canal
Segundo a página de comunicados, enquanto o serviço está parado o console de administração e a API não podem ser usados, e os e-mails já agendados não são enviados. Cobranças, prazos e campanhas que você agendou não vão chegar. Anuncie as mensagens importantes por outros meios, como uma publicação no site oficial ou notificações do aplicativo. Algumas empresas, como TKC e Hasegawa, já estão migrando para outra plataforma de envio de e-mails.
Revise suas próprias credenciais antes da retomada
A Arara Inc. pretende pedir aos clientes que redefinam senhas do console de administração e credenciais como chaves de API na retomada. Como conselho deste site, confira antes se a mesma senha é usada em outros serviços e se a chave de API está escrita em outros sistemas ou arquivos de configuração; a redefinição será mais rápida.
Avise seus destinatários
Em seus comunicados, todas as empresas da tabela pedem aos destinatários que não abram links em e-mails suspeitos em seu nome. Ajuda não colocar links no próprio e-mail de aviso e dizer que, enquanto o envio está parado, os e-mails que chegarem provavelmente são falsos.
Opinião deste site: quando o sistema de envio para, para a comunicação que depende só de e-mail
Neste caso, além do vazamento de dados, o serviço parou por completo e os envios agendados não são executados. As empresas da tabela são afetadas em graus diferentes: "função de notificação por e-mail suspensa (Pay-don)", "e-mails de notificação temporariamente suspensos (Zaif)", "os serviços da TKC não conseguem enviar e-mails".
Liste o que você envia por e-mail, por tipo
Separe avisos de cobrança e de prazo, códigos de autenticação, confirmações de reserva e campanhas, e marque os que causariam problema se o sistema de envio ficasse fora do ar por vários dias.
Decida uma alternativa antes que pare
Decida de antemão uma plataforma de envio separada que não dependa do mesmo provedor, um aviso no site oficial e notificações do aplicativo. Se você só começa a procurar uma troca depois da parada, a comunicação fica com uma lacuna nesse meio-tempo, como nas empresas da tabela.
Mantenha ao mínimo os itens que você cadastra no sistema de envio
Como mostra a tabela, o impacto no mesmo incidente vai de empresas que guardavam só endereços de e-mail a empresas que cadastraram nomes, datas de nascimento e dados de compra. Pare de cadastrar qualquer item que você não use para campos de mesclagem ou segmentação.
Fontes (registros públicos)
Os fatos deste artigo se baseiam nas informações públicas abaixo. Não especulamos sobre métodos de ataque não divulgados. Os títulos foram traduzidos do japonês.
- Arara Inc., "Vazamento de informações e parada do serviço por acesso não autorizado ao Arara Message (terceiro relatório)" (6 de novembro de 2026) — arara.com
- Arara Inc., "[Importante] Pedido de desculpas e relatório sobre a parada do serviço e o vazamento de informações pessoais do Arara Message" (página de comunicados atualizada em 6 de novembro de 2026, 21h; verificada em 7 de novembro; inclui a correção do período de retirada) — am.arara.com
- Arara Inc., "Vazamento de informações e parada do serviço por acesso não autorizado ao Arara Message (segundo relatório)" (2 de novembro de 2026) — arara.com
- Arara Inc., "Orientação sobre a notificação conjunta e a notificação em nome de terceiros à Comissão de Proteção de Informações Pessoais" — am.arara.com
- PayCloud Holdings Co., Ltd., "Vazamento de informações e parada do serviço por acesso não autorizado ao Arara Message, fornecido por uma subsidiária consolidada (segundo relatório)" (2 de novembro de 2026, divulgação oportuna) — xj-storage.jp
- Kagoshima Bank e outras três instituições, comunicado sobre o possível vazamento de informações pessoais por acesso não autorizado ao Pay-don (28 de outubro de 2026) — kagin.co.jp
- Província de Okinawa, comunicado sobre o possível vazamento de informações por acesso não autorizado ao serviço de envio de newsletter do projeto de intercâmbio com ilhas remotas "Shimamaru" (29 de outubro de 2026) — pref.okinawa.jp
- Suzuki Motor Corporation, "Possível vazamento de informações pessoais em uma contratada" (30 de outubro de 2026) — suzuki.co.jp
- Bic Camera, Kojima e Sofmap, pedido de desculpas e comunicado sobre o vazamento de dados de inscritos em newsletter por acesso não autorizado a uma contratada (2 de novembro de 2026) — biccamera.com
- Osaka Gas Co., Ltd., "Vazamento de informações de clientes por acesso não autorizado ao serviço de envio de e-mails de uma contratada" (2 de novembro de 2026) — osakagas.co.jp
- Kinko's Japan Co., Ltd., pedido de desculpas e comunicado sobre o vazamento de e-mails de clientes por acesso não autorizado ao Arara Message (primeiro relatório, 2 de novembro de 2026) — kinkos.co.jp
- Asoview, Inc., "Pedido de desculpas e comunicado sobre o acesso não autorizado ao serviço de envio de e-mails de uma contratada" (3 de novembro de 2026) — asoview.co.jp
- The Yokohama Rubber Co., Ltd., "Vazamento de informações pessoais no serviço de envio de e-mails que usamos" (3 de novembro de 2026) — y-yokohama.com
- Workman Co., Ltd., pedido de desculpas e solicitação sobre o vazamento de e-mails dos inscritos na newsletter da Workman Online Store (4 de novembro de 2026) — workman.co.jp
- Kyushu Railway Company, comunicado sobre o possível vazamento de e-mails por acesso não autorizado ao serviço de envio de e-mails de um parceiro (4 de novembro de 2026) — jrkyushu.co.jp
- TKC Corporation, "Vazamento de informações por acesso não autorizado a uma contratada de envio de e-mails (terceiro relatório)" (4 de novembro de 2026) — tkc.jp
- The Bank of the Ryukyus, "Vazamento de e-mails de clientes por acesso não autorizado ao serviço de envio de e-mails de uma contratada (segundo relatório)" (4 de novembro de 2026) — ryugin.co.jp
- Zaif, "Vazamento de informações por acesso não autorizado a uma contratada (segundo relatório, 4 de novembro de 2026)" — corp.zaif.jp
- Internet Initiative Japan Inc., "Vazamento de informações de clientes por acesso não autorizado ao serviço de envio de e-mails que usamos" (4 de novembro de 2026) — iij.ad.jp
- Hasegawa Co., Ltd., "Pedido de desculpas e comunicado sobre o vazamento de informações pessoais por acesso não autorizado a uma contratada de envio de e-mails (primeiro relatório)" (4 de novembro de 2026) — hasegawa.jp
- Tribeck Corporation, pedido de desculpas e comunicado sobre o vazamento de informações pessoais por acesso não autorizado à Arara Inc. (4 de novembro de 2026) — tribeck.jp
- Chobirich Co., Ltd., pedido de desculpas e comunicado sobre o acesso não autorizado ao serviço de envio de e-mails de uma contratada (4 de novembro de 2026) — chobirich.co.jp
- MOS Food Services, Inc., pedido de desculpas e comunicado sobre o vazamento de informações de clientes por acesso não autorizado ao serviço de envio de e-mails de uma contratada (4 de novembro de 2026) — mos.co.jp
- GMO Payment Service, Inc., "Vazamento de informações pessoais por acesso não autorizado na Arara Inc." (5 de novembro de 2026) — gmo-ps.com
- CYBIRD Co., Ltd., "[Aviso importante] Pedido de desculpas e comunicado sobre o vazamento de informações pessoais por acesso não autorizado a um serviço de envio de e-mails (Arara Inc.)" (6 de novembro de 2026) — cybird.co.jp
- Pacific League Marketing, Inc., "Pedido de desculpas e comunicado sobre o vazamento de e-mails de clientes por acesso não autorizado" (6 de novembro de 2026; comunicado como publicado no Sportsmania) — sportsmania.jp
- Comissão de Proteção de Informações Pessoais, "Resposta a vazamentos e materiais úteis" — ppc.go.jp
Histórico de atualizações
2026-11-07: Incorporado o terceiro relatório de 6 de novembro: os endereços de e-mail levados passam de cerca de 77 milhões para 81.329.467 (cerca de 81,3 milhões), com as duplicatas entre categorias removidas. Acrescenta os 3.249.492 de um ambiente de nuvem separado (ambiente B), a correção do número do ambiente compartilhado (3.386.187 para 2.842.400) e a correção do período de retirada informado individualmente a alguns clientes em 2 de novembro (contínuo de 28 de outubro até a parada de 31 de outubro), e acrescenta Tribeck, Chobirich, MOS Food Services, GMO Payment Service, CYBIRD e Pacific League Marketing à tabela de clientes. A página de comunicados foi atualizada pela última vez às 21h de 6 de novembro; a atualização prevista para cerca de 12h de 7 de novembro não tinha aparecido quando verificamos.
2026-11-05: Primeira versão. Com base no segundo relatório da Arara Inc., de 2 de novembro (cerca de 77 milhões, até cerca de 380 empresas, até cerca de 7,13 milhões de e-mails falsos) e nos comunicados oficiais de 15 organizações clientes. A página de comunicados foi atualizada pela última vez às 21h de 4 de novembro; a atualização prevista para cerca de 12h de 5 de novembro não tinha aparecido quando este artigo foi escrito.
Leia em seguida
- Casos semelhantes: Acesso não autorizado ao Cuenote FC da Ymirlink / Acesso não autorizado ao Blastmail / Vazamento de endereços de e-mail da JR East, View Card e JR Kyushu
- Explicação de um cliente específico: Vazamento de dados de membros da Asoview
- Identificar e-mails falsos: O que é phishing? / Spam enviado do seu próprio endereço de e-mail
- Verificar remetentes (para operadores): Noções básicas de SPF, DKIM e DMARC
- Outros incidentes de 2026: Vazamentos de dados e ciberataques de 2026 (Japão e mundo)