Vazamento da Baitoru (até cerca de 3,89 milhões de endereços de e-mail): apenas e-mails vazados — como os membros podem identificar mensagens falsas de entrevista e golpes de emprego

A empresa diz que avisou os membros afetados da Baitoru e da Baitoru NEXT em 6 de outubro de 2026 e que está entrando em contato com eles individualmente por e-mail e por outros meios. Nenhum meio para os membros verificarem por conta própria foi publicado.

Como as pessoas sabem que um e-mail da empresa está por vir, e-mails falsos que imitam esse aviso são possíveis. Para verificar, não use um link em e-mail; abra o site pelo aplicativo oficial na tela inicial do seu celular ou por um favorito seu e leia os avisos ali.

Em um site de emprego, é normal receber mensagens de empregadores sobre horários de entrevista ou confirmando uma candidatura. Justamente por isso mensagens que imitam essas são difíceis de distinguir.

Para qualquer mensagem desse tipo, verifique no aplicativo ou site oficial se você realmente se candidatou à vaga e se ela ainda existe. Se você não se lembra de ter se candidatado, ou se a vaga não puder ser encontrada, ignore a mensagem sem abrir o link (o básico: O que é phishing?).

Segundo o comunicado da empresa, senhas e dados de cartão de crédito não estavam entre os dados vazados. A empresa também diz que nunca pede senhas ou dados de cartão de crédito por e-mail ou outras mensagens.

Portanto, uma mensagem que peça para digitar uma senha ou número de cartão "para verificar sua identidade" ou "para proteger sua conta" é falsa. Se você já digitou algum desses dados, troque a senha imediatamente pelo aplicativo oficial e troque-a também em qualquer outro serviço em que usou a mesma senha (como verificar se uma senha vazou).

Este é um conselho geral sobre sites de emprego, não uma declaração sobre a Baitoru. A Agência Nacional de Polícia do Japão alerta que, mesmo em vagas de sites de emprego legítimos, podem existir anúncios nocivos que recrutam pessoas para crimes, como recolher dinheiro em golpes por telefone. Os sinais listados incluem ser orientado a instalar um aplicativo de mensagens altamente anônimo, ser pressionado repetidamente por dados pessoais sobre você, sua família ou amigos, e não conseguir confirmar o local de trabalho ou o conteúdo da função.

A agência diz que empregos legítimos de meio período não precisam desses aplicativos e pede que quem receber esses pedidos pare de responder e consulte a polícia. Se você já enviou foto de um documento de identidade, veja o que fazer se os dados da sua carteira de motorista japonesa vazaram.

A Agência Nacional de Polícia lista, como sinais de recrutamento para crimes (conhecidos no Japão como yami baito), anúncios que prometem pagamento alto sem uma descrição clara da função, expressões como "pagamento alto", "pago no mesmo dia" e "trabalho limpo (branco)", e ofertas de pagamento alto apenas por transportar ou receber encomendas.

Se você já se candidatou e não consegue sair da situação, a agência pede que você ligue para a linha de consulta da polícia #9110 ou vá a uma delegacia próxima.

O Centro Nacional de Assuntos do Consumidor do Japão alerta sobre bicos que prometem dinheiro fácil por tarefas simples no tempo livre, mas que terminam com a pessoa pagando dinheiro. A maioria começa em redes sociais ou anúncios, e alguns envolvem candidatura por aplicativo de mensagens.

Se pedirem que você envie dinheiro por um trabalho que deveria lhe pagar, ligue para a linha de defesa do consumidor 188 antes de pagar.

Anote cada tela ou API que retorna dados de membros, como endereços de e-mail, cada função que informa se uma conta existe (cadastro, redefinição de senha, login) e cada função em que um número seleciona os dados de alguém. Para cada uma, verifique se o servidor confere a cada vez se este usuário pode ver aquele registro (a ideia: autenticação versus autorização).

Conte não apenas as requisições, mas também o número de registros de outras pessoas retornados, por conta logada ou chave de API. Meça o que o uso normal exige, defina o limite a partir disso e comece alertando alguém quando o uso atingir 80% dele. Endereços IP podem ser trocados, então conte por conta ou chave. O desenho completo está em limitação de taxa e controle de abuso.

Nos logs de acesso, procure um usuário consultando IDs sequenciais ou endereços de e-mail semelhantes em rápida sucessão. Pessoas navegando pelas telas não produzem esse padrão, então requisições por hora e o número de alvos distintos consultados são bons sinais.

A empresa diz que, logo após confirmar o acesso, bloqueou todo o acesso do exterior e também modificou o programa. O bloqueio por país funciona rapidamente como primeira resposta para interromper danos. Mas, em geral, ele depende de como a origem da conexão aparece, então sozinho deixa o problema na função. Use o tempo que ele ganha para acrescentar verificações de permissão por registro e limites de volume na própria função; essa é a correção real.