Para quem é este artigo: pessoas que recebem newsletters ou e-mails de aviso de empresas e organizações, e organizações que usam o blastmail, o serviço de envio de e-mails da RAKUS Lite Cloud Co., Ltd. Este artigo se baseia nos avisos oficiais da RAKUS Lite Cloud, de sua controladora RAKUS Co., Ltd. e das organizações clientes que divulgaram impacto. Ele não aborda como o ataque foi realizado.
Em andamento: este artigo será atualizado conforme a organização publicar mais informações
Até a atualização das 13h20 de 24 de outubro de 2026Ainda não se sabe
- Detalhes da rota da invasão
- Quais são as organizações clientes dos 344 contratos (a empresa só as contatou individualmente)
- Quais itens de dados dos destinatários vazaram, e quantos, em cada contrato
- Quando o serviço será retomado
- Se houve algum dano secundário (uso indevido dos dados)
A RAKUS Lite Cloud diz que uma investigação externa por uma organização especializada continua e que o próximo comunicado está previsto para por volta das 10h00 do domingo, 25 de outubro. A empresa diz que continuará informando durante o fim de semana. Ela descreve o número 344 como um valor "atual" que pode mudar conforme a investigação externa avança.
O que os destinatários de newsletters devem fazer hoje
Não abra links nem anexos, mesmo em e-mails com o nome verdadeiro do remetente
Os endereços para os quais o blastmail envia ficam em listas de destinatários cadastradas pela organização remetente. Por isso, se os dados forem usados indevidamente, a forma provável é e-mails falsos usando o nome verdadeiro do remetente.
Mesmo em e-mails como "Confirme seus dados de membro", "Seus pontos estão expirando" ou "O envio foi retomado", não abra links, anexos nem códigos QR da mensagem. Para verificar, abra o aplicativo oficial ou um site oficial que você tenha nos favoritos (como reconhecer falsificações: O que é phishing?).
Consulte os avisos das organizações cujas newsletters você recebe
Abra os avisos das organizações das quais você recebe newsletters na tabela "Organizações clientes que divulgaram impacto" abaixo. Para organizações que não estão na tabela, consulte a seção de notícias do site oficial. A JR Shikoku diz que enviará um e-mail de desculpas às pessoas possivelmente afetadas assim que estiver pronto.
Não informe senha, código de verificação nem número de cartão quando solicitado
A RAKUS Lite Cloud diz que não possui números de cartão de crédito. Mesmo assim, quem conhece seu nome e e-mail pode escrever uma mensagem pedindo esses dados. A JR Shikoku pede para não abrir URLs em e-mails ou mensagens de texto suspeitos e para não informar senhas, códigos de verificação e similares.
Tenha cuidado especial com e-mails de 'remetentes' enquanto as newsletters deles estão paradas
O The Niigata Nippo, o Ministério do Meio Ambiente, a JR Shikoku e outros dizem que o envio de e-mails deles pelo blastmail foi interrompido. Se, nesse período, você receber um e-mail em nome deles dizendo "o envio foi retomado" ou "atualize seu cadastro", confirme primeiro a retomada nas notícias do site oficial. O The Niigata Nippo diz que os e-mails automáticos enviados no cadastro ou cancelamento de membro continuam sendo enviados normalmente por um sistema separado, não afetado por este incidente; portanto, nem todos os e-mails dele foram interrompidos.
Organizações clientes que divulgaram impacto
Organizações que usam o blastmail publicaram seus próprios avisos. A lista abaixo cobre apenas avisos que este site abriu e verificou na página oficial de cada organização e que citam o blastmail ou a RAKUS Lite Cloud (em 24 de outubro de 2026).
Cada situação e cada número são apresentados nas palavras da própria organização. As unidades de contagem diferem (pessoas, registros cumulativos, cadastros); por isso, os números não podem ser somados. A tabela também inclui organizações, como a giftee, que anunciaram que seus próprios contratos não estavam entre os afetados.
| Organização | O que usava o serviço (segundo a organização) | Dados em questão (segundo a organização) | Quantidade (segundo a organização) | Situação |
|---|---|---|---|---|
| The Niigata Nippo | Newsletters, e-mails de últimas notícias e similares para os membros do Niigata Nippo Passport | Nome (katakana), província, cidade, e-mail, gênero, faixa etária, produto assinado, serviços de newsletter assinados. Dados de cartão de crédito, telefones, datas de nascimento, números de conta bancária e senhas não incluídos | Até cerca de 253.000 pessoas (todos os membros) | Vazamento confirmado (empresa) |
| JR Shikoku | Newsletter JR Shikoku Tour Web | Nome, data de nascimento, endereço e e-mail informados no cadastro | Cerca de 30.000 registros (máximo) | Possível (empresa) |
| Cidade de Yokohama (candidatos a voluntários da área de exposição da cidade na GREEN×EXPO 2027) | E-mails em massa para os candidatos | Nome, e-mail | 6.334 pessoas | Possível (cidade) |
| Cidade de Yokohama (Yokohama Women's Association for Communication and Networking) | Newsletters da sede da associação e de três centros de igualdade de gênero | 3.932 registros cumulativos (cadastros no fim de março de 2026; pode haver duplicados) | Possível (cidade e associação) | |
| Cidade de Yokohama (Shirahata District Center) | Boletim informativo emitido pelo gestor da instalação designado | Cerca de 200 registros | Possível (distrito) | |
| Ministério do Meio Ambiente | Seis newsletters, incluindo as do Global Environmental Outreach Centre (GEOC), da Regional Circular and Ecological Sphere e do espaço de restauração ambiental de Fukushima | E-mail; conforme a newsletter, nome, atributos, afiliação, província e município, e observações (motivo do cadastro) | Não informado | Possível (ministério; nenhum vazamento confirmado) |
| giftee | Envio de e-mails do Tabisaki Nouzei, da plataforma e-machi e do giftee Benefit | ID do Tabisaki Nouzei e e-mail / nome do governo local ou da empresa, nome do contato, departamento e e-mail / e-mail, ID do giftee Benefit e URL de login da empresa | Não informado | Não confirmado (empresa; seu contrato não estava entre os 288 em 23 de outubro) |
'Possível' na tabela não significa que um vazamento foi confirmado
A JR Shikoku e os três itens da cidade de Yokohama foram publicados em 22 de outubro como casos em que os dados "podem ter vazado". Os documentos da cidade de Yokohama sobre o Shirahata District Center e a associação de igualdade de gênero dizem que um vazamento "não pode ser confirmado no momento". O Ministério do Meio Ambiente também diz que, até agora, nenhum vazamento de dados de destinatários foi confirmado. O The Niigata Nippo diz que, na tarde de 22 de outubro, a RAKUS Lite Cloud lhe informou que os dados de todos os membros haviam vazado. Verifique se uma organização da qual você recebe newsletters está na tabela e fique atento aos avisos posteriores dessa organização.
O documento da GREEN×EXPO da cidade de Yokohama também inclui um aviso da Japan Association for the International Horticultural Expo 2027. A contratada que envia e-mails em massa aos seus voluntários também usa o blastmail, e os dados que podem ter vazado são o número de inscrição do voluntário, o número da atividade e o e-mail (a associação diz que não forneceu nomes nem outros dados de identificação). Não foi confirmado se os voluntários cadastrados foram afetados.
O The Niigata Nippo havia dito em seu segundo aviso que cerca de 7.000 membros do Niigata Salmon Project poderiam ser afetados; seu terceiro aviso disse que eles não estavam entre os 288, e seu quinto aviso disse que não estavam entre os 56 recém-identificados.
O que aconteceu (segundo os avisos da RAKUS e da RAKUS Lite Cloud)
O texto a seguir se baseia no primeiro e no segundo comunicados da RAKUS Co., Ltd. de 21 de outubro e no aviso da RAKUS Lite Cloud (versão atualizada às 13h20 de 24 de outubro). A RAKUS Lite Cloud é uma subsidiária integral da RAKUS Co., Ltd. O site do produto blastmail foi retirado do ar temporariamente para verificações de segurança.
0h30, quarta-feira, 21 de outubro de 2026
Foi detectado acesso suspeito ao sistema e o blastmail foi desligado em caráter de emergência (o console de administração e a API não podem ser usados). O envio de e-mails também parou por volta de 1h00.21 de outubro
A RAKUS publicou seu primeiro comunicado (impacto e causa sob investigação; comunicado à Comissão de Proteção de Informações Pessoais e ao Japan Institute for Promotion of Digital Economy and Community (JIPDEC)). Seu segundo comunicado disse então que havia confirmado que um terceiro externo acessou o sistema sem autorização e extraiu dados, incluindo informações pessoais. No mesmo dia, a RAKUS também suspendeu sete outros serviços por precaução.Noite de 21 de outubro
Segundo os documentos da cidade de Yokohama, a operadora do serviço de envio informou que foi confirmado o vazamento de parte das listas de destinatários e dados relacionados de todos os seus clientes (por volta das 17h32 para o Shirahata District Center, por volta das 17h00 para a associação de igualdade de gênero).22 de outubro
Os sete outros serviços da RAKUS foram retomados (a empresa disse que não foi confirmado acesso não autorizado nem vazamento de dados neles). As organizações clientes começaram a publicar avisos.23 de outubro
Foi publicado um guia para a comunicação conjunta à Comissão de Proteção de Informações Pessoais (inscrições até 29 de outubro). Segundo os avisos da giftee e do The Niigata Nippo, a empresa anunciou nesse dia que havia terminado de contatar todos os 288 contratos em que o vazamento de dados de envio havia sido confirmado.13h20, 24 de outubro
Atualização informando que o contato individual foi concluído para todos os 344 contratos, incluindo 56 recém-identificados. Data de retomada não definida.
Destinatários de e-mails
E-mails cadastrados e outros dados mantidos pela organização remetente. Vazamento de dados de envio, como listas de destinatários, confirmado em 344 contratos
O que fazer: não abra links em e-mails que se dizem do remetente
Organizações clientes (contratantes)
Nome da empresa, nome do contato, telefone, e-mail, endereço de cobrança e histórico de contratos e pagamentos de todos os clientes foram extraídos
O que fazer: decidir sobre comunicação e aviso; atenção a e-mails de cobrança falsos
RAKUS Lite Cloud
Dois servidores de API foram invadidos, e houve conexão ao sistema de gestão de vendas e ao banco de dados do serviço
Rota da invasão sob investigação
- Serviço
- O sistema de envio de e-mails blastmail (fornecido pela RAKUS Lite Cloud Co., Ltd., subsidiária da RAKUS Co., Ltd.)
- O que foi confirmado
- Um terceiro externo acessou o sistema sem autorização e extraiu dados, incluindo informações pessoais
- Dados dos clientes
- Do sistema de gestão de vendas, nome da empresa, nome do contato, telefone, e-mail, e-mail de cobrança, histórico de contratos e pagamentos e dados semelhantes de todos os clientes. A empresa não possui números de cartão de crédito
- Dados de envio
- Para alguns clientes, também foi confirmado o vazamento de listas de destinatários e similares: 344 contratos às 13h20 de 24 de outubro (pode mudar), todos contatados individualmente
- Causa conforme descrita
- Um terceiro externo invadiu dois servidores de API, executou comandos e se conectou ao sistema de gestão de vendas e ao banco de dados do serviço para extrair dados. Detalhes da rota da invasão sob investigação
- Resposta
- Desligamento de emergência do serviço, comunicados à Comissão de Proteção de Informações Pessoais e ao JIPDEC, investigação externa por uma organização especializada e comunicações conjuntas com as organizações clientes
- Contato
- Central de suporte do blastmail (support@blastmail.jp, telefone 03-6862-7337, dias úteis das 10h00 às 17h00)
O que se sabe e o que não se sabe
Situação conforme a atualização das 13h20 de 24 de outubro de 2026. Quando houver novos comunicados, a coluna de situação desta tabela será atualizada.
| Item | O que dizem os avisos | Situação |
|---|---|---|
| Dados extraídos | Um terceiro externo acessou o sistema sem autorização e extraiu dados, incluindo informações pessoais | Vazamento confirmado (empresa) |
| Dados dos clientes | Nome da empresa, nome do contato, telefone, e-mail, e-mail de cobrança, histórico de contratos e pagamentos e dados semelhantes de todos os clientes | Vazamento confirmado (empresa) |
| Listas de destinatários e similares | Contratos com vazamento confirmado de dados além dos dados de conta do cliente (como listas de destinatários): 344 (valor atual) | Vazamento confirmado (empresa) |
| Quais organizações são os 344 contratos | Não divulgado; clientes afetados contatados individualmente | Sob investigação |
| Número de destinatários | Não informado nos avisos da RAKUS Lite Cloud | Não informado |
| Números de cartão de crédito | Não mantidos pela empresa | Não incluídos (empresa) |
| Causa | Invasão de dois servidores de API, execução de comandos e conexão ao sistema de gestão de vendas e ao banco de dados | Confirmada (empresa); rota de entrada sob investigação |
| Rota da invasão | Detalhes sob investigação | Sob investigação |
| Retomada do serviço | Não definida | Sob investigação |
| Outros serviços da RAKUS | Sete serviços suspensos por precaução e retomados em 22 de outubro; nenhum acesso não autorizado ou vazamento confirmado | Não confirmado (RAKUS) |
| Dano secundário (uso indevido dos dados) | Não informado pela RAKUS Lite Cloud. O The Niigata Nippo disse em seu segundo aviso de 22 de outubro que nenhum uso indevido foi confirmado | Não confirmado (The Niigata Nippo) |
Para que os dados vazados podem ser usados
Em geral, quando as combinações a seguir estão disponíveis, os seguintes usos indevidos podem ocorrer. Isso não significa que ocorreram neste caso.
- E-mail mais o nome do remetente: e-mails falsos em nome dessa organização chegam ao mesmo endereço da newsletter verdadeira, e os destinatários facilmente presumem que é "a organização que sempre me envia newsletters"
- Nome, faixa etária, endereço e similares (varia conforme o remetente): e-mails falsos podem incluir seu nome ou sua região reais, o que os torna mais convincentes do que spam em massa
- Nome da empresa cliente, nome do contato, telefone, e-mail de cobrança e histórico de pagamentos: material para faturas falsas, pedidos de alteração de dados de pagamento ou e-mails ou ligações de "faça login novamente para a retomada" que aleguem ser do blastmail ou da RAKUS
Outros casos deste mês em que um serviço de envio expôs os destinatários de muitas organizações clientes incluem o acesso não autorizado ao serviço de envio de e-mails Cuenote FC, da Ymirlink e o acesso não autorizado ao serviço de e-mails de alerta de desastres SpeeCAN RAIDEN. Em ambos, os destinatários verificaram se foram afetados pelos avisos das organizações das quais recebem e-mails. Desta vez, além disso, os dados de contato e o histórico de pagamentos de todas as organizações clientes foram extraídos.
O que as organizações que usam o blastmail devem fazer
A RAKUS Lite Cloud diz que contatou individualmente os clientes cujas listas de destinatários e dados semelhantes tiveram o vazamento confirmado. As etapas abaixo se baseiam na orientação da empresa e da Comissão de Proteção de Informações Pessoais.
Verifique se você foi contatado individualmente
A RAKUS Lite Cloud diz que terminou de contatar todos os 344 contratos em que foi confirmado o vazamento de dados além dos dados de conta do cliente, como listas de destinatários. Verifique se chegou uma mensagem aos endereços de contato e de cobrança cadastrados no seu contrato. A empresa diz que o número pode mudar; por isso, continue acompanhando as atualizações dela mesmo que nada tenha chegado. Entre em contato com a central de suporte indicada na página de avisos da empresa.
Liste o que você cadastrou nas suas listas de destinatários
Os dados em questão dependem do que você colocou nas suas listas de destinatários. O The Niigata Nippo lista oito itens, incluindo nome (em katakana), gênero e faixa etária, enquanto o e-mail em massa para voluntários da GREEN×EXPO lista o número de inscrição do voluntário, o número da atividade e o e-mail e diz que nomes não foram fornecidos. Saber dizer quais itens você não mantinha deixa curta a sua explicação aos destinatários.
Decida sobre a comunicação à Comissão de Proteção de Informações Pessoais e a notificação dos indivíduos
Os dados pessoais de uma lista de destinatários são dados pessoais geridos pela organização que envia o e-mail. Segundo a Comissão de Proteção de Informações Pessoais, vazamentos que possam ter sido praticados com fim indevido (incluindo casos suspeitos) e vazamentos que envolvam mais de 1.000 pessoas (mais de 100 para órgãos administrativos e entidades do governo local) devem ser comunicados (Responding to leaks and helpful resources, em japonês).
A RAKUS Lite Cloud oferece um procedimento para as organizações clientes comunicarem à Comissão em conjunto com a empresa (guia de comunicação conjunta, inscrições até 29 de outubro de 2026). Segundo a empresa, mesmo com a comunicação conjunta, as organizações clientes cujas listas de destinatários tiveram o vazamento confirmado devem notificar elas mesmas os indivíduos, e as organizações que possuem o PrivacyMark devem comunicar elas mesmas ao JIPDEC. Em caso de dúvida, consulte o balcão de atendimento da Comissão ou um profissional, como um advogado.
Avise os seus destinatários
A maioria das organizações que divulgaram impacto pede que as pessoas fiquem atentas a e-mails suspeitos que se passem por elas e que não abram as URLs. Publique o alerta nas notícias do seu site oficial e, se o enviar por e-mail, faça com que seja fácil distingui-lo de falsificações: sem links e com o endereço do remetente informado.
Alerte a sua própria equipe sobre e-mails falsos de cobrança e de novo login
Os nomes de contato, telefones, e-mails, e-mails de cobrança e o histórico de pagamentos de todos os clientes foram extraídos. Avise a equipe de contabilidade e de e-mail de que, se receberem faturas, alterações de dados de pagamento ou instruções de novo login para a retomada que aleguem ser do blastmail ou da RAKUS, devem verificar pelos avisos oficiais ou pela central de suporte da empresa, e não por links no e-mail (como verificar remetentes: noções básicas de SPF, DKIM e DMARC).
Visão deste site: os clientes de um serviço de envio são ao mesmo tempo remetentes e partes com dados vazados
Em incidentes com serviços de envio de e-mails, a atenção costuma ir para os endereços dos destinatários. Desta vez, além disso, os dados de contato e o histórico de pagamentos de todas as organizações clientes foram extraídos. As organizações clientes precisam explicar o incidente aos seus destinatários e, ao mesmo tempo, a sua própria equipe pode ser alvo.
Verifique os contatos cadastrados no serviço de envio
Verifique se o e-mail de contato ou de cobrança cadastrado na contratação ainda é o endereço pessoal de alguém que saiu da organização. Isso aparece como avisos individuais perdidos ou faturas falsas que ninguém percebe. Usar um endereço compartilhado do departamento mantém o contato quando a equipe muda.
Revise chaves de API e senhas de administrador seguindo a orientação da empresa após a retomada
Segundo os avisos, o terceiro invadiu servidores de API e se conectou ao banco de dados do serviço. Eles não dizem se chaves de API ou senhas do console de administração vazaram. Quando o serviço for retomado, consulte a orientação da empresa, gere novamente as chaves de API se puder e verifique se a senha de administrador não é reutilizada em outros serviços (noções básicas de manuseio de chaves: noções básicas de .env e chaves de API).
Decida como alcançar as pessoas quando o envio parar
O envio está parado desde 21 de outubro e não há data definida para a retomada. O The Niigata Nippo e a associação da GREEN×EXPO passaram a comunicar-se pelos seus sites oficiais durante a interrupção. Decida com antecedência o que você usará quando o envio parar (sobre a gestão de provedores, veja também Quando o seu provedor de hospedagem sofre uma invasão).
Fontes (registro público)
Os fatos deste artigo se baseiam nas informações públicas abaixo. A rota da invasão, que não foi divulgada, não é objeto de especulação.
- RAKUS Co., Ltd., "[First report] Detection of suspicious access to blastmail, provided by our subsidiary, and service suspension" (21 de outubro de 2026, em japonês) — rakus.co.jp
- RAKUS Co., Ltd., "[Second report] Data leak due to unauthorized access to blastmail, provided by our subsidiary, and service suspension" (21 de outubro de 2026, em japonês) — rakus.co.jp
- RAKUS Lite Cloud Co., Ltd., "[Important] Apology and report on the emergency suspension of blastmail and the personal data leak (updated 13:20, October 24, 2026)" (em japonês) — info.blastmail.jp
- RAKUS Lite Cloud Co., Ltd., "Temporary suspension of the blastmail website" (em japonês) — info.blastmail.jp
- RAKUS Lite Cloud Co., Ltd., "Guide to joint reporting to the Personal Information Protection Commission" (23 de outubro de 2026, em japonês) — info.blastmail.jp
- RAKUS Co., Ltd., avisos da suspensão temporária (21 de outubro) e da retomada (22 de outubro) de sete serviços (em japonês) — suspensão / retomada
- The Niigata Nippo, avisos sobre o vazamento de dados de membros por acesso não autorizado na RAKUS Lite Cloud (segundo aviso de 22 de outubro, terceiro de 23 de outubro, quinto de 24 de outubro, em japonês) — segundo / terceiro / quinto
- Shikoku Railway Company (JR Shikoku), "Possible leak of personal data due to unauthorized access at RAKUS Lite Cloud" (22 de outubro de 2026, em japonês) — jr-shikoku.co.jp
- Comunicados de imprensa da cidade de Yokohama sobre possíveis vazamentos nos e-mails dos candidatos a voluntários da GREEN×EXPO, nas newsletters da Yokohama Women's Association for Communication and Networking e na newsletter do Shirahata District Center (todos de 22 de outubro de 2026, em japonês) — GREEN×EXPO / associação de igualdade de gênero / Shirahata District Center
- Ministério do Meio Ambiente, "Possible leak of recipient data for newsletters involving the Ministry of the Environment" (23 de outubro de 2026, em japonês) — env.go.jp
- giftee, Inc., "[Follow-up] Possible leak of personal data due to unauthorized access at RAKUS Lite Cloud" (publicado em 22 de outubro, atualizado em 23 de outubro de 2026, em japonês) — giftee.co.jp
- Comissão de Proteção de Informações Pessoais, "Responding to leaks and helpful resources" (em japonês) — ppc.go.jp
Histórico de atualizações
2026-10-24: Primeira versão, baseada no primeiro e no segundo comunicados da RAKUS de 21 de outubro, no aviso da RAKUS Lite Cloud atualizado às 13h20 de 24 de outubro e em seu guia de comunicação conjunta, e nos avisos das organizações clientes. Será atualizada quando a rota da invasão, as organizações clientes afetadas ou a retomada do serviço forem divulgadas.
Leia a seguir
- Acesso não autorizado ao construtor de sites Studio: dados de todos os usuários e envios de formulários podem ter vazado — o que quem enviou formulários e donos de sites devem fazer
- Incidentes semelhantes: Acesso não autorizado ao Cuenote FC, da Ymirlink / Acesso não autorizado ao SpeeCAN RAIDEN
- Como reconhecer e-mails falsos: O que é phishing? / Quando chega spam do seu próprio endereço
- Verificação de remetentes (para operadores de sites): Noções básicas de SPF, DKIM e DMARC
- Outros incidentes de 2026: Lista de vazamentos de dados e ataques cibernéticos