Para: quem entrou em contato com uma revendedora de carros usados ou publicou uma avaliação pelo Carsensor.net (incluindo o aplicativo), revendedoras que usam o C-MATCH e quem administra um serviço que repassa consultas de clientes a parceiros comerciais. Este artigo é baseado no aviso oficial da Recruit Co., Ltd., empresa japonesa que opera o Carsensor, e não aborda técnicas de ataque.
Em desenvolvimento: este artigo será atualizado conforme a organização publicar mais informações
Até 13h30 (JST), 22 de outubro de 2026Ainda não se sabe
- Se algum dado realmente vazou (o aviso diz “pode ter vazado”)
- Detalhes da causa e da rota (em investigação)
- Como e quando as pessoas afetadas serão contatadas individualmente (correspondência, e-mail ou outro meio)
- Quantas pessoas o número de registros representa
- Quantos registros de contas bancárias de revendedores empresários individuais foram afetados
- Se a polícia foi consultada ou notificada (não mencionado)
A empresa diz que a causa e o alcance total estão em investigação. O aviso do Carsensor.net, de 19 de outubro, dizia que a empresa anunciaria, no site de cada serviço, quando houvesse uma data prevista para a retomada, e que informaria prontamente os fatos que devessem ser divulgados conforme a investigação avançasse.
Em 22 de outubro, o aviso da página inicial do Carsensor.net foi substituído por "Observações e pedidos sobre a retomada dos serviços do Carsensor.net". Ele diz que os serviços começaram a ser retomados por etapas a partir de cerca de 13h de 22 de outubro, começando pelos serviços e funções cuja segurança foi confirmada. Alterações de estoque e preços feitas durante a suspensão podem ainda não estar refletidas nos anúncios, por isso pede que as pessoas confirmem diretamente com a revendedora antes de visitá-la ou assinar um contrato. As respostas a consultas enviadas às revendedoras antes da suspensão também podem atrasar.
Não há prazo para uma atualização. Até 22 de outubro, nenhuma atualização havia aparecido na lista de comunicados à imprensa da empresa.
Verifique se você foi afetado
O aviso abrange os quatro grupos abaixo. Os números são o máximo identificado pela empresa e referem-se a registros, não a pessoas.
| Grupo (segundo a empresa) | Registros | Itens |
|---|---|---|
| Pessoas que entraram em contato com uma revendedora de carros usados pelo Carsensor.net (incluindo o aplicativo) | 3.210.421 | Nome e endereço (3.176.375) / nome, endereço, conteúdo da consulta, faixa etária, sexo (33.247) / nome, endereço, conteúdo da consulta, telefone, número de fax, e-mail (799) |
| Pessoas que publicaram avaliações no Carsensor.net (incluindo o aplicativo) | 5.289 | Nome (5.285) / nome e e-mail (4) |
| Revendedoras de carros usados cadastradas no C-MATCH | 483.168 | Nomes e telefones de representantes e funcionários; número de licença de revendedor de usados, nome do titular da licença e prefeitura emissora; ID de login. Para empresários individuais, também endereço do escritório ou balcão, CEP, telefone, número de fax e informações de conta bancária para débito direto |
| Funcionários da empresa (incluindo ex-funcionários), funcionários ou empresários individuais de terceirizados atuais ou antigos, e funcionários de agentes de vendas atuais ou antigos | 10.673 | Nome, e-mail, ID de login |
| Total | Até 3.709.551 | Todos os grupos também incluem um ID interno de gestão atribuído pela empresa |
Segundo a empresa, o "endereço" de pessoas que entraram em contato com revendedoras vai, em princípio, apenas até o município. No entanto, até 447.670 registros podem incluir endereço completo, até o número da rua, o nome do prédio e o número do apartamento.
Pessoas que apenas navegaram por carros no site ou no aplicativo não estão listadas. A empresa diz que entrará em contato individualmente, em sequência, com as pessoas afetadas, mas não informa como.
O que quem entrou em contato com revendedoras ou publicou avaliações deve fazer hoje
Não abra links ou anexos em cartas, e-mails ou mensagens de texto inesperados
A empresa alerta que podem chegar contatos suspeitos que usem os dados indevidamente e pede que as pessoas não abram e-mails, mensagens de texto ou cartas nem atendam ligações, não abram links neles e não abram anexos.
A maioria dos registros contém apenas nome e endereço, por isso cartas com destinatário correto merecem mais cuidado do que e-mails ou ligações. Os fundamentos para identificar golpes estão em o que é phishing.
Confira qualquer oferta de indenização ou reembolso pelo aviso oficial
A empresa diz que entrará em contato individualmente, em sequência, com as pessoas afetadas. Isso significa que contatos verdadeiros e falsos chegarão mais ou menos na mesma época.
Mesmo que uma carta ou e-mail ofereça "indenização pelo incidente", um "reembolso" ou uma "recompensa por pesquisa" (exemplos deste site), não use os telefones, URLs ou QR codes dele. Abra por conta própria a página de aviso da Recruit por meio de uma busca e siga o contato indicado ali.
Não responda a contatos que mencionem o carro sobre o qual você perguntou
O conteúdo das consultas está presente em 33.247 e 799 registros. Em geral, um contato que cite o modelo ou a revendedora sobre a qual você perguntou parece convincente.
Mesmo que um contato diga ser da revendedora, saber sobre o que você perguntou não prova nada. Não responda na hora; procure o número da revendedora por conta própria e ligue de volta.
Se você reutiliza senhas, troque-as
A empresa diz que senhas de login não estão incluídas e não pediu que ninguém as altere.
Independentemente disso, se você usa a mesma senha em vários serviços, este é um bom momento para torná-las diferentes. Esta é uma orientação geral deste site, não da empresa. Um gerenciador de senhas ajuda a organizá-las.
Se você já forneceu dados ou pagou, procure a central de atendimento e a polícia
Envie dúvidas à central de atendimento indicada na página de aviso (consulta por e-mail pela página de ajuda da Recruit).
Se você pagou dinheiro ou forneceu dados de cartão após um contato suspeito, procure também a operadora do seu cartão ou o seu banco e a linha de orientação policial (#9110, no Japão).
O que as revendedoras que usam o C-MATCH devem fazer
Fique atento a pedidos de novo login de alguém que conhece seu ID de login
Os itens de revendedoras incluem nomes e telefones de representantes e funcionários, além de IDs de login. A empresa diz que senhas de login não estão incluídas.
Em geral, um ID de login somado ao nome de um funcionário permite criar contatos falsos pedindo senha se passando pelo operador do serviço. Se você receber um contato sobre "fazer login novamente após a retomada do serviço" ou "conferir sua conta" (exemplos deste site), não digite nada pelos links dele; acesse o serviço pelos favoritos ou pelas orientações oficiais.
Empresários individuais: fique atento a contatos sobre a conta de débito direto
Para empresários individuais, as informações de conta bancária para débito direto também constam na lista. A Associação dos Bancos do Japão alerta sobre pessoas que se passam por funcionários de banco para obter dados de conta ou PINs (um alerta geral, não sobre este incidente).
Se você receber um contato dizendo que "um débito falhou" ou que "sua conta precisa de verificação", não use os números ou URLs dele; confirme com seu banco ou com o contato oficial da empresa por conta própria. Se vir um débito que não reconhece, procure o seu banco imediatamente. Como pensar sobre dados bancários vazados também é tratado em o artigo sobre o Lashinbang.
Avise os funcionários de que contatos falsos podem usar os nomes deles
Nomes e telefones de funcionários estão entre os itens. Em geral, uma ligação ou e-mail que cite um membro da equipe tende a ser tratado como legítimo dentro de uma empresa.
Combine internamente que, se um contato se apresentar como C-MATCH ou Carsensor e pedir alteração de dados de pagamento ou informações de login, os funcionários não agirão imediatamente e confirmarão por outro canal.
O que aconteceu (segundo a Recruit)
A Recruit Co., Ltd. publicou em 21 de outubro de 2026 o "Pedido de desculpas e aviso sobre vazamento de dados pessoais por acesso não autorizado ao Carsensor.net e ao C-MATCH". Tudo o que está abaixo se baseia nesse aviso e no aviso do Carsensor.net.
17 de outubro de 2026 (sáb.)
Foi detectado acesso suspeito de fora aos sistemas relacionados ao Carsensor.net. A partir de cerca de 17h desse dia, todos os serviços relacionados ao Carsensor.net, incluindo o próprio Carsensor.net, o aplicativo Carsensor e o C-MATCH, foram suspensos.20 de outubro (ter.)
A investigação identificou os itens e o número (máximo) de registros de dados pessoais que podem ter vazado por acesso não autorizado de fora.21 de outubro (qua.)
O aviso foi publicado. A empresa diz que já apresentou um relatório preliminar à Comissão de Proteção de Informações Pessoais. Foi criada uma central de atendimento específica.22 de outubro (qui.)
A partir de cerca de 13h, serviços e funções cuja segurança foi confirmada começaram a ser retomados por etapas. O aviso do Carsensor.net foi substituído por um sobre a retomada dos serviços.
O aviso não informa quando o acesso não autorizado começou. 17 de outubro é a data em que a empresa detectou o acesso suspeito.
- Operadora
- Recruit Co., Ltd.
- Serviços abrangidos
- Carsensor.net, site de anúncios de carros usados (incluindo o aplicativo); C-MATCH, serviço de apoio a negócios para revendedoras de carros usados
- Número
- Até 3.709.551 registros (registros que podem ter vazado)
- Itens
- Conforme a tabela acima. Todos os grupos incluem um ID interno de gestão atribuído pela empresa
- Não incluídos
- Dados de pagamento, como cartões de crédito, e senhas de login (todos os grupos)
- Causa
- Acesso não autorizado por terceiros. Os detalhes da causa e do alcance estão em investigação
- Comunicação ao órgão regulador
- Relatório preliminar apresentado à Comissão de Proteção de Informações Pessoais
- Contato com as pessoas afetadas
- Contato individual, em sequência. Pessoas que não puderem ser contatadas serão informadas pelo aviso e poderão usar a central de atendimento
- Dano secundário
- Nenhum confirmado dentro do que a empresa sabia até 21 de outubro
- Prevenção
- A empresa diz que vai apurar a causa e considerar e implementar outras medidas como grupo. Não são dados detalhes específicos
- Contato
- Central de atendimento indicada no aviso (página de ajuda da Recruit; consultas por e-mail)
O que se sabe e o que não se sabe
Situação em 22 de outubro de 2026. Quando houver uma atualização, a coluna de situação será atualizada.
| Item | O que diz o aviso | Situação |
|---|---|---|
| Detecção e suspensão | Acesso suspeito detectado em 17 de outubro; todos os serviços relacionados suspensos a partir de cerca de 17h desse dia | Confirmado (empresa) |
| Causa | Acesso não autorizado por terceiro; detalhes em investigação | Confirmado (empresa) / detalhes em investigação |
| Número | Até 3.709.551 registros (registros, não pessoas) | Possível (empresa) |
| Nomes e endereços de pessoas que entraram em contato com revendedoras | 3.210.421 registros; endereços, em princípio, só até o nível de município (até 447.670 podem incluir endereço completo) | Possível (empresa) |
| Conteúdo de consultas, faixa etária, sexo, telefone, e-mail | Parte das pessoas que entraram em contato com revendedoras (33.247 e 799 registros) | Possível (empresa) |
| Dados de funcionários de revendedoras e IDs de login | 483.168 registros | Possível (empresa) |
| Informações de conta para débito direto de revendedoras empresárias individuais | Incluídas (número não informado) | Possível (empresa) |
| Nomes, e-mails e IDs de login de funcionários e de equipes terceirizadas | 10.673 registros | Possível (empresa) |
| Dados de pagamento, como cartões de crédito | Não incluídos | Não incluídos (empresa) |
| Senhas de login | Não incluídas | Não incluídas (empresa) |
| Quando o acesso começou e a rota | Não informado | Não mencionado |
| Uso indevido dos dados | Nenhum dano secundário confirmado até 21 de outubro | Não confirmado (empresa) |
| Contato individual com as pessoas afetadas | Contato em sequência (método não informado) | Em andamento (empresa) |
| Comunicação à Comissão de Proteção de Informações Pessoais | Relatório preliminar apresentado | Confirmado (empresa) |
| Consulta ou registro na polícia | Não informado | Não mencionado |
| Retomada dos serviços | Retomada por etapas a partir de cerca de 13h de 22 de outubro, começando pelos serviços e funções confirmados como seguros | Retomada por etapas |
| Anúncios e respostas a consultas após a suspensão | Alterações de estoque e preços podem ainda não estar refletidas; respostas a consultas feitas antes da suspensão podem atrasar | Cautela indicada pela empresa |
Como ler: possível versus não incluído
Os números e itens são dados que "podem ter vazado". Não foi confirmado que todos os 3.709.551 registros vazaram. Também não foi confirmado que não vazaram.
Apenas dados de pagamento, como cartões de crédito, e senhas de login são informados como não incluídos. Os números também não são de pessoas; o aviso não diz como uma pessoa que entrou em contato com várias revendedoras foi contabilizada.
Para que a combinação dos itens poderia ser usada
A seguir está o que pode acontecer, em geral; isso não significa que tenha acontecido neste caso. A empresa diz que nenhum dano secundário havia sido confirmado até 21 de outubro.
Nome + endereço (pessoas que entraram em contato com revendedoras)
↓→
Cartas com destinatário correto oferecendo indenização, reembolso ou pesquisas
→ Não use números nem QR codes enviados; confira na página de aviso
Nome + endereço + conteúdo da consulta
↓→
Contatos se passando por revendedora e citando o carro sobre o qual você perguntou
→ Conhecer os detalhes não é prova / ligue de volta para um número que você procurou
Nome de funcionário + telefone + ID de login (revendedoras)
↓→
Contatos se passando pelo operador, pedindo senha ou alteração de dados de pagamento
→ Não digite nada pelos links / confirme por outro canal
Informados no aviso como não incluídos
- Dados de pagamento, como cartões de crédito
- Senhas de login
Itens que podem ter vazado (segundo a empresa)
- Nome e endereço (não são fáceis de alterar)
- Conteúdo da consulta, faixa etária, sexo (em alguns registros)
- Telefone e e-mail (em alguns registros)
- IDs de login e números de licença de revendedoras; informações de conta de débito direto de empresários individuais
Endereços permanecem os mesmos por muito tempo, por isso, em geral, podem ser usados em contatos com outros pretextos bem depois. Fique atento a contatos que mencionem este incidente por um tempo.
Em um caso anterior, o vazamento de dados de membros da Bookoff, de outubro de 2026 (Bookoff), o número inicial de "até cerca de 6,43 milhões de registros (números de membro)" foi confirmado no segundo relatório como número de pessoas (6.383.279). Isso pode não acontecer desta vez.
Para quem administra serviços que repassam consultas de clientes a parceiros comerciais
A empresa não divulgou os detalhes da causa, por isso este artigo não diz como preveni-la. Esta seção não avalia a resposta da empresa. O que o aviso informa é que dados de quatro grupos bem diferentes (pessoas que fizeram consultas, revendedoras parceiras, e funcionários da própria empresa e de terceirizados) foram afetados em um único incidente e que, embora os endereços estivessem "em princípio apenas até o município", um número considerável pode incluir endereço completo. Os pontos abaixo se limitam ao que pode ser revisado antecipadamente com base nisso.
Meça a diferença entre a regra e os dados realmente armazenados
A empresa disse que os endereços de pessoas que entraram em contato com revendedoras vão, em princípio, só até o município, mas informou até 447.670 registros que podem incluir endereço até a rua.
Em geral, mesmo que um formulário seja projetado para coletar apenas o município, campos de texto livre e formatos de dados antigos podem guardar mais detalhes do que o planejado. Verificar os itens armazenados nos dados reais, e não apenas nos documentos de projeto, permite informar rapidamente e com precisão o que está no escopo caso ocorra um vazamento.
Liste quais grupos têm dados em cada sistema
Dados de usuários, parceiros, funcionários e terceirizados têm finalidades e necessidades de retenção diferentes. Em geral, sistemas relacionados criados em torno de um serviço tendem a coletar um pouco de cada um.
Para cada sistema, liste quais grupos têm dados nele, quais itens e por quanto tempo, e decida se consultas já repassadas podem ser removidas das telas do dia a dia. Se grupos e itens forem mantidos separados, fica mais fácil responder "eu fui afetado?" no dia de um incidente.
Decida com antecedência como contatará as pessoas e como elas podem identificar golpes
A maioria das pessoas envolvidas aqui tem apenas nome e endereço registrados, não e-mail ou telefone. Em geral, as formas de contatar individualmente essas pessoas são limitadas, e contatos verdadeiros e falsos chegam ao mesmo tempo.
Antes de um incidente, defina quais canais e remetentes usará para comunicados importantes e o que nunca pedirá, e publique isso no seu site oficial. Isso ajuda as pessoas a distinguir o real do falso. Para proteção contra falsificação de remetente de e-mail, veja SPF, DKIM e DMARC contra e-mails falsificados.
Fontes (registros públicos)
Os fatos deste artigo se baseiam nas informações públicas abaixo. Os detalhes não divulgados sobre a causa e a rota de acesso não foram especulados.
- Recruit Co., Ltd., "Pedido de desculpas e aviso sobre vazamento de dados pessoais por acesso não autorizado ao Carsensor.net e ao C-MATCH" (em japonês, 21 de outubro de 2026) — recruit.co.jp (PDF: recruit.co.jp)
- Recruit Co., Ltd., "Sobre o acesso não autorizado ao Carsensor.net" (página da central de atendimento, em japonês, atualizada em 21 de outubro de 2026) — recruit-help.jp
- Carsensor.net, "Observações e pedidos sobre a retomada dos serviços do Carsensor.net" (aviso na página inicial, em japonês, atualizado em 22 de outubro de 2026) — carsensor.net
- Recruit Co., Ltd., lista de comunicados à imprensa (consultada em 22 de outubro de 2026; sem atualização sobre este incidente) — recruit.co.jp
- Associação dos Bancos do Japão, "Cuidado com sites falsos da Associação dos Bancos do Japão" (em japonês; alerta geral) — zenginkyo.or.jp
Histórico de atualizações
2026-10-22 (13h30 JST): Incluída a retomada dos serviços por etapas a partir de cerca de 13h de 22 de outubro e o aviso atualizado do Carsensor.net (cautelas sobre anúncios e respostas a consultas). Corrigida a descrição do grupo de funcionários e terceirizados para corresponder ao aviso.
2026-10-22: Primeira versão, com base no aviso da Recruit de 21 de outubro, no aviso do Carsensor.net e na lista de comunicados à imprensa da empresa (consultada em 22 de outubro). Os detalhes da causa e do alcance estão em investigação; este artigo será atualizado quando houver uma atualização oficial.
Leia a seguir
- Incidentes do mesmo período: violação do sistema de aplicativos NIFTY line / vazamento de dados do H2O ID / vazamento de dados de membros do Comic Cmoa
- Proteção contra golpes derivados: o que é phishing / noções básicas de segurança no smartphone
- Senhas: como escolher e usar um gerenciador de senhas / como verificar se sua senha vazou
- Outro serviço relacionado a carros: incidente de ransomware na Cariteco (Meitetsu Kyosho)
- Outros incidentes de 2026: lista de vazamentos de dados e ciberataques