Para: pessoas que têm (ou tiveram) uma conta de membro do Asoview! e pessoas que administram sites de reservas ou de membros. Este artigo explica o comunicado oficial da Asoview Inc. e não trata de métodos de ataque.
Em andamento: este artigo será atualizado conforme a organização publicar novas informações
- Quem é afetado
pessoas que têm (ou tiveram) uma conta de membro do Asoview! e pessoas que administram sites de reservas ou de membros.
- Confirmado até agoraVer a tabela ↓
- Acesso não autorizado de um terceiro ao serviço de envio de e-mail do fornecedor
- Escala
- Endereço de e-mail
Mais 3
- ID e número de membro, nome, gênero, data de nascimento, data de cadastro, data do último login
- Número de telefone, CEP, área de residência
- Data e hora da compra de ingressos, tipo, quantidade, instalação utilizada, data de uso, participantes, cancelamento
- Ainda não confirmado
- Se você foi afetado (identificação dos membros)
- Como e quando serão feitas as notificações individuais
- Causa e período do acesso não autorizado
Mais 3
- Se os sistemas da própria empresa foram acessados
- Se ocorre algum uso indevido
- Quando o envio de e-mail será retomado
- O que fazer agoraVer os passos ↓
- Não abra links em mensagens que digam ser do Asoview! e confira sua reserva no site ou app oficial que você mesmo abrir
- Também não siga o link de uma mensagem que diga «você foi afetado»
- Nunca informe senha ou número de cartão a quem entrou em contato com você. Se digitou o número do cartão em uma página falsa, ligue para a emissora do cartão
Mais 2
- Fique atento por um tempo a ligações e mensagens desconhecidas
- Use o contato dedicado publicado no comunicado
- Onde verificar (fonte)Todas as fontes ↓
- Asoview Inc., «Pedido de desculpas e comunicado sobre o acesso não autorizado a um serviço de envio de e-mail terceirizado» (em japonês, 3 de novembro de 2026)
- Última verificação
- Em 5 de novembro de 2026
Próximos avisos e o que verificamos
A empresa diz que, ao receber do fornecedor a lista de pessoas afetadas, vai cruzá-la com os membros e contatá-los individualmente. Diz que atualizará a página do comunicado prontamente quando surgirem novos fatos. Conferimos a página de comunicados da empresa em 5 de novembro; sua última atualização continua sendo de 3 de novembro e nenhum segundo relatório foi publicado.
O que os membros do Asoview! devem fazer hoje
Vazado: e-mail, nome, telefone, data de nascimento, gênero, CEP, área
Pode alimentar e-mails, mensagens e ligações com o nome correto. Não abra links
Vazado: hora da compra, tipo de ingresso, quantidade, instalação, data de uso, participantes, cancelamento
Pode alimentar avisos falsos de reembolso ou cancelamento que coincidem com uma reserva real
Não incluído: senhas e informações de cartão de crédito (não confiadas ao fornecedor)
Nada no comunicado pede troca de senha por causa deste incidente
Não abra links em mensagens que digam ser do Asoview! e confira sua reserva no site ou app oficial que você mesmo abrir
Entre os itens vazados estão nome, telefone e endereço de e-mail junto com a hora da compra do ingresso, a instalação utilizada, a data de uso e o número de participantes. Uma mensagem que siga uma reserva real pode acertar seu nome, a instalação e a data. A empresa também alerta que essas informações podem ser usadas para e-mails, mensagens de texto e ligações que se passem por ela, e pede que você apague e-mails e mensagens desconhecidos sem abrir a URL e evite atender ligações suspeitas.
Se receber uma mensagem dizendo «sua reserva foi cancelada», «informe sua conta bancária para o reembolso» ou «você ganhou um prêmio», não abra o link. Abra você mesmo o app ou o site oficial e veja o estado da sua reserva. Uma reserva existente, com a data certa, continua não sendo prova de que a mensagem seja genuína (veja o que é phishing?).
Também não siga o link de uma mensagem que diga «você foi afetado»
A empresa diz que contatará individualmente os membros afetados quando forem identificados, mas o comunicado não diz como (por e-mail ou outro meio). Portanto, se chegar um e-mail ou mensagem dizendo «você foi afetado, confirme aqui», não avance pelo link. A empresa diz que contatará individualmente os membros afetados quando forem identificados; até lá, consulte a página de comunicados da empresa para ver novidades. O número de contato dedicado está abaixo.
Nunca informe senha ou número de cartão a quem entrou em contato com você. Se digitou o número do cartão em uma página falsa, ligue para a emissora do cartão
A empresa diz que senhas e informações de cartão de crédito não foram confiadas ao fornecedor e não fazem parte do vazamento. Diz também que nunca pede, por e-mail, mensagem de texto ou telefone, que você digite ou informe uma senha ou dados de cartão. Se pedirem, trate a mensagem como falsa.
Se você digitou dados de cartão em uma página falsa, contate prontamente a emissora do cartão, como a empresa recomenda. Se digitou uma senha, troque-a em todos os serviços em que a usa (gerenciador de senhas, como verificar se sua senha vazou).
Fique atento por um tempo a ligações e mensagens desconhecidas
Seu número de telefone, CEP e data de nascimento são difíceis de mudar. Em geral, golpes por ligação e mensagem podem alcançar um número vazado com nomes diferentes de Asoview! (visão deste site). Ativar os filtros de ligações e mensagens de spam do telefone reduz quantas chegam (noções básicas de segurança do smartphone).
Use o contato dedicado publicado no comunicado
A empresa indica uma linha dedicada para clientes (pessoas que fizeram reservas): 0120-30-3521 (das 10:00 às 19:00 JST, em dias úteis e em fins de semana/feriados; um número gratuito japonês). Pegue o número deste comunicado no site oficial da empresa, não de uma mensagem que tenham enviado a você.
O que aconteceu (segundo a Asoview)
A Asoview Inc. publicou «Pedido de desculpas e comunicado sobre o acesso não autorizado a um serviço de envio de e-mail terceirizado» (título traduzido; o original está em japonês) em seu site oficial em 3 de novembro de 2026. Tudo o que segue se baseia nesse comunicado.
Segundo a empresa, o serviço de envio de e-mail de um fornecedor que ela usava foi acessado sem autorização por um terceiro, e parte dos dados de membros que ela havia confiado a esse serviço vazou. A empresa diz que o incidente se origina no serviço do fornecedor, e não em seus próprios sistemas. O lado do fornecedor e seu escopo mais amplo são tratados em acesso não autorizado a um serviço de envio de e-mail (a divulgação do fornecedor).
2 de novembro de 2026
A empresa recebeu do fornecedor um relatório de que os dados levados no acesso não autorizado incluíam informações que ela havia confiado a ele.No mesmo dia
A empresa interrompeu todo o envio de e-mail por esse serviço e invalidou suas credenciais (senha do console de administração, chave de API e outras). Pediu ao fornecedor que identificasse e informasse os itens e o número vazados, e começou a verificar se seus próprios sistemas haviam sido acessados.3 de novembro
A empresa recebeu do fornecedor o número e os itens vazados e publicou este comunicado no mesmo dia. Pretendia apresentar nesse dia um relatório preliminar à Comissão de Proteção de Informações Pessoais e ao Japan Institute for Promotion of Digital Economy and Community (JIPDEC).Próximo passo
Ao receber do fornecedor a lista de pessoas afetadas, a empresa diz que cruzará os endereços de e-mail com os membros, identificará os afetados e os contatará individualmente.Em 5 de novembro
A última atualização da página de comunicados da empresa continua sendo de 3 de novembro. Nenhum segundo relatório foi encontrado.
- De onde os dados vazaram
- Do serviço do fornecedor que a empresa usava para enviar e-mail (a empresa diz que não é um sistema próprio)
- Escala
- 15.821.184 registros. O escopo são os membros para quem a empresa enviou e-mail por esse serviço
- Endereço de e-mail
- Vazado
- Informações de membro
- ID e número de membro, nome, gênero, data de nascimento, data de cadastro, data do último login, e outros
- Dados de contato
- Número de telefone, CEP, área de residência (nota: a tabela de itens lista esses três; o texto que pede cuidado aos membros diz que o endereço está incluído, e não é possível determinar pelo comunicado se o endereço completo está incluído)
- Informações de compra e uso de ingressos
- Data e hora da compra, tipo de ingresso, quantidade, instalação utilizada, data de uso, número de participantes, se foi cancelado, e outros
- Não incluído
- Senhas e informações de cartão de crédito (não confiadas ao fornecedor)
- Dano
- No momento do comunicado, nenhum dano por uso indevido das informações vazadas havia sido confirmado
- Medidas tomadas
- Interrompeu todo o envio de e-mail pelo serviço, invalidou as credenciais, pediu ao fornecedor que identificasse itens e número, começou a verificar seus próprios sistemas, relatório preliminar à Comissão de Proteção de Informações Pessoais e outros (previsto)
- Próximos passos previstos
- Pedir ao fornecedor que informe prontamente os resultados e adote medidas preventivas confiáveis; rever os critérios de seleção de fornecedores e serviços externos; limitar ao mínimo necessário as informações confiadas aos fornecedores
O que se sabe e o que ainda não se sabe
Situação em 5 de novembro de 2026. Atualizaremos esta tabela conforme a empresa publicar mais informações.
| Item | O que diz o comunicado | Situação |
|---|---|---|
| Acesso não autorizado de um terceiro ao serviço de envio de e-mail do fornecedor | Constatou-se que parte dos dados de membros confiados havia vazado | Confirmado (empresa) |
| Escala | 15.821.184 registros | Confirmado (empresa; a unidade é registros, não se diz pessoas) |
| Endereço de e-mail | Listado como informação vazada | Vazamento confirmado (empresa) |
| ID e número de membro, nome, gênero, data de nascimento, data de cadastro, data do último login | Listados como informações vazadas (com ‘etc.’) | Vazamento confirmado (empresa) |
| Número de telefone, CEP, área de residência | Listados como informações vazadas | Vazamento confirmado (empresa) |
| Endereço completo | A tabela de itens lista CEP e área de residência, mas o texto que pede cuidado aos membros diz que o endereço está incluído. Não é possível determinar pelo comunicado se o endereço completo está incluído | Não informado |
| Data e hora da compra de ingressos, tipo, quantidade, instalação utilizada, data de uso, participantes, cancelamento | Listados como informações vazadas (com ‘etc.’) | Vazamento confirmado (empresa) |
| Itens além dos listados | O comunicado diz ‘etc.’ mas não dá detalhamento | Não informado |
| Senhas | Não confiadas ao fornecedor; não incluídas | Não incluídas (empresa) |
| Informações de cartão de crédito | Não confiadas ao fornecedor; não incluídas | Não incluídas (empresa) |
| Dano por uso indevido | Nenhum confirmado no momento do comunicado | Não confirmado (empresa) |
| A quais membros pertencem os endereços de e-mail vazados | Ainda não identificado; o fornecedor está investigando | Sob investigação |
| Notificação individual | Prevista quando os membros afetados forem identificados; nenhum método informado | Prevista (empresa) |
| Acesso não autorizado aos sistemas da própria empresa | Investigação iniciada | Sob investigação |
| Via e período da invasão | Não constam do comunicado da empresa | Não informado |
| Retomada do envio de e-mail | Interrompido; sem data de retomada | Não informado |
Nota: 15.821.184 é uma contagem de registros, não de membros
A coluna de «contagem» do comunicado é o número de registros vazados. Ela não diz pessoas, e a empresa ainda não identificou a quais membros pertencem os endereços de e-mail vazados. Também não diz se o mesmo membro é contado mais de uma vez, então não a convertemos em número de pessoas. Alguns veículos a apresentam como 15,82 milhões de registros; é a mesma contagem, tirada do comunicado da empresa.
Para que a combinação de itens vazados pode servir
O que segue é o que em geral pode acontecer com essa combinação de itens. A empresa não anunciou que nada disso tenha ocorrido neste incidente e diz que, no momento do comunicado, nenhum dano por uso indevido havia sido confirmado.
- Nome + número de telefone + endereço de e-mail: e-mails, mensagens de texto e ligações de aparência real com o nome e os dados de contato corretos
- Instalação utilizada + data de uso + quantidade + participantes: avisos falsos que coincidem com uma reserva real, como «cancelada por causa da instalação» ou «é preciso um procedimento de reembolso». Parecem conhecer sua reserva, então é mais difícil duvidar deles
- Se foi cancelado: material para uma mensagem que se passa por reembolso de uma reserva cancelada
- Data de nascimento + gênero + CEP: uma consulta falsa que parece conhecer as respostas às perguntas de verificação de identidade
- ID e número de membro + nome: uma mensagem que se passa por consulta para forçar uma verificação de identidade. Citar um número de membro não é prova de que seja genuína
- Senhas, dados de cartão: a empresa diz que não estão incluídos, então não se espera uso indevido direto deles dentro do escopo do comunicado
O que os operadores de sites de reservas e de membros devem revisar
A causa não foi publicada. Esta seção não julga a resposta da empresa; limita-se ao que você pode verificar no seu próprio site a partir dos fatos do comunicado.
Verifique quanta informação você confia ao seu fornecedor de envio de e-mail
Segundo o comunicado, as informações confiadas incluíam, além do endereço de e-mail, a data de nascimento, o número de membro e o histórico de compra e uso de ingressos. Senhas e dados de cartão não foram confiados, portanto não fizeram parte do vazamento. Na nossa visão, dados que não são confiados não podem vazar do fornecedor, o que limita o dano. No seu próprio site, liste o que o envio realmente precisa (um endereço e um nome, mais ou menos) frente ao que você confiou e verifique a diferença. A empresa diz também que limitará o que confia aos fornecedores ao mínimo necessário.
Verifique se você consegue invalidar no mesmo dia as credenciais do fornecedor
Segundo o comunicado, no mesmo dia em que recebeu o relatório do fornecedor, a empresa interrompeu todo o envio de e-mail e invalidou a senha do console de administração, a chave de API e outras. Liste hoje onde estão a senha do console, as chaves de API e as configurações de integração do seu fornecedor, e quem pode invalidá-las e quando.
Decida quem vai confirmar itens e números quando o fornecedor reportar
Segundo o comunicado, o primeiro relatório do fornecedor veio em 2 de novembro, o relatório do número e dos itens vazados em 3 de novembro, e a empresa publicou no mesmo dia. Decida de antemano quem perguntará ao fornecedor, e até quando, o que foi confiado e quantos registros, se o fornecedor disser que dados foram levados. Isso encurta o tempo até a divulgação.
Fontes (registros públicos)
Os fatos deste artigo se baseiam nas informações públicas abaixo. Não conjecturamos sobre a causa, o período ou a via da invasão, que não foram publicados.
- Asoview Inc., «Pedido de desculpas e comunicado sobre o acesso não autorizado a um serviço de envio de e-mail terceirizado» (em japonês, 3 de novembro de 2026) — asoview.co.jp
- Asoview Inc., lista de notícias (em japonês, consultada em 5 de novembro de 2026) — asoview.co.jp/news
- Imprensa (usada apenas para conferir que o número e os itens coincidem com o comunicado da empresa): ITmedia NEWS (em japonês, 4 de novembro de 2026) — itmedia.co.jp
Histórico de atualizações
2026-11-05: Primeira versão, com base no comunicado da empresa de 3 de novembro e na sua página de comunicados consultada em 5 de novembro (última atualização em 3 de novembro). Não encontramos nenhum acompanhamento mais recente que o de 3 de novembro. Atualizaremos quando forem anunciados os membros afetados e o método de notificação individual, a causa e o período, se os sistemas da própria empresa foram acessados ou a retomada do envio de e-mail.
Leia a seguir
- Casos semelhantes (acesso não autorizado a serviços de envio de e-mail): Acesso não autorizado a um serviço de envio de e-mail (a divulgação do fornecedor) / Acesso não autorizado ao blastmail / Acesso não autorizado ao serviço de envio de e-mail Cuenote FC
- Outro incidente em um terceirizado de envio de e-mail no mesmo período: Acesso não autorizado ao serviço de envio da newsletter da Hotto Motto (até cerca de 7 milhões de registros)
- Casos de reservas e ingressos: Acesso não autorizado ao skyticket / Vazamento de dados de compradores de ingressos do GETTIIS
- Como distinguir mensagens falsas: O que é phishing? / Noções básicas de segurança do smartphone
- Outros incidentes de 2026: Vazamentos de dados e ciberataques (Japão e exterior)