Para: pessoas que estavam cadastradas no Toku-Kai, o serviço de benefícios para titulares de cartões Credit Saison oferecido pela Benefit One (incluindo quem já cancelou), e empresas que terceirizam trabalho. Este artigo se baseia no comunicado oficial da Benefit One e não trata de técnicas de ataque.
Em andamento: este artigo será atualizado conforme a organização publicar mais informações
Em 30 de outubro de 2026Ainda não se sabe
- Causa (como o atacante entrou)
- Número final de pessoas afetadas
- Se haverá uso indevido mais adiante
- Conclusão dos avisos individuais
- Quando o Toku-Kai será reaberto
A empresa escreveu em seu comunicado de 28 de outubro que a investigação continua, que o número pode mudar e que anunciará prontamente em seu site novas descobertas. Em 30 de outubro, nenhum comunicado de acompanhamento (segundo relatório) sobre este caso aparece na lista de notícias da empresa.
O que os membros atuais e antigos do Toku-Kai devem fazer hoje
Verifique se você foi afetado (quem cancelou está incluído)
Segundo o comunicado, os afetados são pessoas cadastradas no Toku-Kai, 29.465 no total, e o número inclui algumas pessoas que cancelaram. A empresa diz que entrará em contato um a um com os membros afetados pelo e-mail cadastrado. Para quem não conseguir alcançar, por exemplo por ter cancelado, diz que o anúncio e a central de atendimento substituem o aviso individual.
O comunicado diz que você pode perguntar à central de atendimento da Benefit One (e-mail security-support@benefit-one.co.jp) se foi afetado. Para verificar se um e-mail recebido é genuíno, não use os links dele; compare com o anúncio da empresa em um site oficial que você mesmo encontre e abra.
Não abra links em mensagens que se passem pela empresa ou por seus parceiros
Com nome, data de nascimento, gênero, CEP, e-mail e número de cliente juntos, alguém consegue escrever uma mensagem falsa convincente com o nome e os números corretos. A empresa alerta para e-mails, ligações e mensagens de texto suspeitos que se passam pela empresa, por seus parceiros ou por suas terceirizadas, e diz que nunca pede aos membros números de cartão de crédito ou senhas.
Como a empresa pretende enviar e-mails aos membros afetados, é concebível uma mensagem falsa do tipo "confirme se você foi afetado" ou "cadastre novamente seu cartão" feita para parecer semelhante. Trate como falsa qualquer mensagem que peça número de cartão ou senha e confirme em um site oficial que você mesmo abra (como reconhecê-las: O que é phishing?).
O comunicado não pede troca do número do cartão. Confira a fatura como precaução
A empresa diz que não mantém números de cartão de crédito, datas de validade nem códigos de segurança na empresa nem no sistema afetado. Quem os gerencia é uma processadora de pagamentos, e o sistema da processadora não foi atingido, portanto, diz ela, nenhum dado de cartão vazou. O comunicado não recomenda trocar números de cartão.
A empresa também diz que parte de suas informações de autenticação para a integração com o sistema de pagamento pode ter vazado e que, combinadas com o número de gerenciamento, era possível processar pagamentos de mensalidade de forma fraudulenta. Ela trocou essas informações em 26 de outubro e diz que essa rota não pode mais ser usada para fraude. Como precaução, confira na fatura se há cobranças de mensalidade do Toku-Kai que você não reconhece.
O comunicado não pede que você troque a senha
As senhas não estão entre os itens vazados listados, e o comunicado da empresa não pede que os membros as troquem. Se quiser aproveitar para revisar senhas fracas ou reutilizadas em outros serviços que usam o mesmo e-mail, vale considerar um gerenciador de senhas, mas não é um passo obrigatório para este incidente.
Uma terceirizada foi invadida e vazaram dados de membros de um parceiro
Segundo o anúncio, os dados vazados vieram de um sistema operado por uma terceirizada para um serviço que a Benefit One oferece aos membros de um parceiro. A empresa afirma que os dados não vazaram de um sistema gerenciado pela Credit Saison.
Do ponto de vista do membro, estão envolvidos uma emissora de cartão, a empresa que presta o serviço e a terceirizada que faz o trabalho, e este acesso não autorizado ocorreu no sistema da terceirizada. Um exemplo passado do mesmo tipo é o vazamento de e-mails da JR East, VIEW Card e JR Kyushu, em que várias organizações fizeram anúncios separados sobre a mesma causa. Este caso pode não seguir o mesmo caminho.
Credit Saison
Oferece o serviço aos seus titulares de cartão. Os dados não vazaram de seus sistemas
↓→
Benefit One
Presta o Toku-Kai
↓→
Sistema da terceirizada
Onde ocorreu o acesso não autorizado
Os dados dos membros vazaram de um sistema operado pela terceirizada (anúncio da empresa).
O que aconteceu (segundo o anúncio da Benefit One)
O que segue se baseia no anúncio da Benefit One de 28 de outubro de 2026 (PDF) e no comunicado da Credit Saison do mesmo dia.
14 de outubro de 2026, 13h45
O acesso não autorizado ocorre na terceirizada e se repete de forma intermitente até 20 de outubro às 14h05.21 de outubro
A terceirizada detecta parte do acesso não autorizado (10h30). A Benefit One recebe o relatório da terceirizada (11h40) e suspende temporariamente o serviço (17h00).23 de outubro
Comunicado à Comissão de Proteção de Informações Pessoais (relatório preliminar).24 a 25 de outubro
A terceirizada detecta acesso não autorizado adicional que não havia sido identificado até o dia 21. A Benefit One recebe um segundo relatório no dia 25 às 18h50.26 de outubro
Para evitar novos danos, a Benefit One troca as informações de autenticação usadas na integração com o sistema de pagamento.27 de outubro
Às 19h00, recebe um terceiro relatório da terceirizada e reconhece que parte das informações de autenticação pode ter vazado.28 de outubro
A Benefit One confirma que, por causa da troca de 26 de outubro, não é mais possível o processamento fraudulento por essa rota. Publica seu pedido de desculpas e o comunicado.
- Serviço afetado
- Toku-Kai (um serviço para titulares de cartões da Credit Saison Co., Ltd.). A empresa diz que os dados não vazaram dos sistemas da Credit Saison
- Itens vazados
- Nome, furigana, data de nascimento, gênero, CEP, e-mail, número de cliente, informações de adesão e cancelamento e um número de gerenciamento usado no processamento do pagamento da mensalidade. Quais itens se aplicam varia conforme o membro, de acordo com o que cadastrou
- Sobre o número de gerenciamento
- Um número que liga as informações do membro às informações de pagamento; não é um número de cartão de crédito
- Possivelmente vazadas, à parte dos dados dos membros
- Parte das informações de autenticação da empresa usadas na integração com o sistema de pagamento. Combinadas com o número de gerenciamento, era possível processar pagamentos de mensalidade de forma fraudulenta; foram trocadas em 26 de outubro
- Segundo a empresa, não incluídos
- Dados de cartão, como números de cartão, datas de validade e códigos de segurança (gerenciados por uma processadora de pagamentos, cujo sistema não foi atingido)
- Situação do uso indevido
- Verificado o período até a troca das informações de autenticação, nenhum pagamento fraudulento atribuível a este incidente foi encontrado. Nenhum dano por uso indevido destes dados foi confirmado
- Medidas tomadas
- Suspensão temporária do serviço, bloqueio das rotas conhecidas de acesso não autorizado, troca das informações de autenticação
- Medidas em andamento
- Investigação conjunta com as partes envolvidas e a terceirizada, investigação por empresa especializada externa, comunicado à Comissão de Proteção de Informações Pessoais, consulta à polícia, investigação do alcance e da causa
O que se sabe e o que não se sabe
A situação em 30 de outubro de 2026. Quando houver acompanhamento, a coluna de situação desta tabela será reescrita.
| Item | O que o anúncio diz | Situação |
|---|---|---|
| Período do acesso não autorizado | De forma intermitente de 14 de outubro de 2026, 13h45, a 20 de outubro, 14h05. Acesso adicional não identificado até o dia 21 foi detectado em 24 e 25 de outubro | Confirmado (empresa) |
| Número de pessoas | 29.465 (inclui algumas que cancelaram). Pode mudar conforme a investigação continua | Confirmado (por ora; pode mudar) |
| Nome, furigana, data de nascimento, gênero, CEP, e-mail | Varia conforme o membro (depende do cadastro) | Vazamento confirmado (empresa) |
| Número de cliente, informações de adesão e cancelamento | Igual | Vazamento confirmado (empresa) |
| Número de gerenciamento para o pagamento da mensalidade | Não é um número de cartão de crédito | Vazamento confirmado (empresa) |
| Informações de autenticação para a integração com o sistema de pagamento | Parte pode ter vazado. Trocadas em 26 de outubro | Possível (empresa) |
| Número do cartão, validade, código de segurança | Não mantidos; sem vazamento | Não incluídos (empresa) |
| Senhas | Não listadas entre os itens vazados | Não informado |
| Processamento fraudulento de pagamentos | Nenhum atribuível a este incidente foi encontrado | Não confirmado (empresa) |
| Dano por uso indevido | Não confirmado no momento | Não confirmado (empresa) |
| Causa e rota de invasão | O sistema de uma terceirizada recebeu acesso não autorizado de terceiros. Detalhes sob investigação | Sob investigação |
| Avisos individuais | Enviados um a um aos e-mails cadastrados | Previsto |
| Reabertura do Toku-Kai | Após identificar a causa e concluir as medidas de prevenção; a data será anunciada no site da empresa | Sem data |
Como ler: 'não confirmado' não significa 'não aconteceu'
A empresa escreve que pagamentos fraudulentos e danos por uso indevido "não foram confirmados". Diz que a investigação continua e que o número pode mudar. Nomes, datas de nascimento e e-mails já vazaram e podem ser usados depois em mensagens falsas; portanto, o fato de dados de cartão não estarem incluídos e a necessidade de cautela com mensagens são assuntos distintos.
A que podem levar as combinações dos itens vazados
Em geral, combinações como as seguintes podem levar a abusos deste tipo. Isso não significa que tenha acontecido aqui.
- Nome + data de nascimento + e-mail + número de cliente: é possível escrever um e-mail convincente de "confirme" ou "aviso de procedimento" com o nome e os números corretos
- E-mail + nome do serviço (Toku-Kai): uma porta de entrada para mensagens que se passam por "mensalidade do Toku-Kai", "procedimento de cancelamento" ou "novo cadastro de cartão"
- Informações de adesão e cancelamento: quem cancelou também pode receber mensagens que se passam por "confirmação de cancelamento"
Para empresas que usam terceirizadas: o que a cronologia divulgada permite verificar
A causa não foi divulgada. Esta seção não avalia a resposta da empresa nem da terceirizada; limita-se ao que as empresas que usam terceirizadas podem verificar do seu lado, com base na cronologia divulgada.
- Uma terceirizada pode encontrar mais acessos não autorizados depois. Na cronologia, acesso adicional não identificado até o dia 21 foi encontrado em 24 e 25 de outubro, e os relatórios chegaram em três partes. Avalie se é possível acertar em contrato, de antemão, que um relatório pode não ser o último e com que frequência você receberá atualizações intermediárias.
- Mantenha substituíveis as informações de autenticação de integrações de pagamento. O comunicado diz que a empresa trocou as informações de autenticação da integração para evitar novos danos e depois recebeu um relatório da terceirizada de que parte delas pode ter vazado. Em geral, se você entrega credenciais de integração a uma terceirizada, conhecer os passos para trocá-las a qualquer momento, e o que seria afetado ao fazê-lo, reduz o tempo para conter o dano.
- Faça um inventário do que a terceirizada guarda. Aqui o sistema da terceirizada guardava itens desde os nomes dos membros até as informações de adesão e cancelamento e o número de gerenciamento do pagamento. Revise regularmente se os itens guardados pela terceirizada estão dentro do que o trabalho exige e se é preciso manter as informações de membros que cancelaram.
Fontes (registros públicos)
Os fatos deste artigo se baseiam nas informações públicas abaixo. Rotas e métodos de invasão que não foram divulgados não são especulados.
- Benefit One Inc., "Apology and notice regarding the leak of partner members' personal information due to unauthorized access to our outsourcing contractor" (28 de outubro de 2026, PDF, em japonês) — corp.benefit-one.co.jp
- Credit Saison Co., Ltd., "Regarding the personal information leak in Toku-Kai provided by Benefit One Inc." (28 de outubro de 2026, em japonês) — saisoncard.co.jp
- ITmedia NEWS (29 de outubro de 2026, em japonês). Usado para confirmar a consistência com o anúncio oficial — itmedia.co.jp
Histórico de atualizações
2026-10-30: Primeira versão. Com base no anúncio da Benefit One de 28 de outubro (PDF) e no comunicado da Credit Saison do mesmo dia. Confirmado que, em 30 de outubro, nenhum acompanhamento (segundo relatório) sobre este caso aparece na lista de notícias da empresa. A empresa diz que anunciará novas descobertas, e este artigo será atualizado quando forem publicadas.
Leia em seguida
- Caso do mesmo tipo: possível vazamento de e-mails da JR East, VIEW Card e JR Kyushu
- Reconhecer golpes posteriores: O que é phishing? / Como funcionam os gerenciadores de senhas e como escolher um
- Outros incidentes de 2026: Vazamentos de dados e ciberataques de 2026 (Japão e no mundo)