Para quem é este texto: qualquer pessoa que use ou já tenha se cadastrado na CHAEVI (채비), um aplicativo sul-coreano de recarga de veículos elétricos; motoristas de EV em qualquer lugar que queiram saber o que um vazamento em aplicativo de recarga pode expor; e desenvolvedores e operadores de pequenas plataformas que tratam dados de usuários. Este artigo se baseia nos comunicados que a CHAEVI publicou em seu próprio site e não descreve métodos de ataque.
O que os usuários devem fazer agora
Verifique se você foi afetado acessando o site da CHAEVI por conta própria
O comunicado da CHAEVI diz que os itens vazados variam de pessoa para pessoa e podem ser verificados na página de "consulta de vazamento de dados pessoais". Não use um link de consulta que chegue por e-mail ou mensagem. Digite chaevi.com no navegador por conta própria, ou acesse pelo aplicativo da CHAEVI que você já tem instalado. Mensagens que oferecem "verificar se seus dados vazaram" são um pretexto comum para links falsos.
Troque a senha, começando por onde você a reutilizou
O comunicado da CHAEVI de 26 de julho pediu que os usuários trocassem a senha imediatamente, e o acompanhamento de 30 de julho recomendou que, se você usa a mesma senha ou uma parecida em outro site, troque também essa. E-mail e senha (criptografada) vazaram juntos em 131.411 + 829 registros.
A ordem recomendada é conta de e-mail → bancos e pagamentos → todo o resto, porque quem controla seu e-mail pode redefinir as senhas dos seus outros serviços.
A forma realista de usar uma senha diferente em todos os lugares é um gerenciador de senhas; para proteger sua conta de e-mail, veja como escolher o MFA da forma certa.
Verifique qualquer e-mail, mensagem ou ligação da CHAEVI pelo aplicativo ou pelo atendimento ao cliente
A CHAEVI diz que nunca pedirá sua senha, informações financeiras ou códigos de verificação por telefone, mensagem ou e-mail. A orientação dela é não abrir links ou anexos de mensagens ou e-mails de origem incerta, e não instalar aplicativos quando solicitado.
Se uma ligação ou mensagem que alega ser da CHAEVI ou de um órgão público parecer suspeita, não ligue de volta para o número de onde veio — entre em contato diretamente com o atendimento ao cliente da CHAEVI pelo 1522-2573 (24 horas). Os fundamentos para identificar phishing estão em o que é phishing.
Denuncie spam, smishing e ligações de vendas não solicitadas
A CHAEVI pede que os usuários que recebam ofertas de produtos não solicitadas (telemarketing ilegal) ou mensagens de spam e smishing as denunciem ao 118 (Centro de Denúncia de Violação de Informações Pessoais da Coreia) ou à própria CHAEVI.
Os canais de denúncia e verificação recomendados pelo governo sul-coreano, e o que fazer se você já clicou em um link, estão descritos — com base no alerta de segurança do Ministério da Ciência e TIC — em nosso artigo sobre o que os usuários da TVING devem fazer após o vazamento. As mesmas etapas se aplicam aqui.
Se você sofreu prejuízo, guarde registros e entre em contato com os canais de ajuda
O comunicado da CHAEVI diz que até agora não foram confirmados casos de dano secundário. Ainda assim, se uma personificação lhe causou perda financeira, ou se você suspeita que isso ocorreu, guarde capturas de tela dos e-mails ou mensagens em vez de apagá-los, e denuncie ao atendimento ao cliente da CHAEVI.
Para reparação ou orientação, a CHAEVI indica o Comitê de Mediação de Disputas de Informações Pessoais da Coreia (1833-6972) e o Centro de Denúncia de Violação de Informações Pessoais (118).
Mensagens falsas sobre 'taxa de recarga não paga' e 'pontos expirando' são difíceis de distinguir das reais
Motoristas de EV recebem com frequência mensagens sobre pagamentos de recarga, cartões de associado e mudanças de preço em roaming. Quando o "cliente CHAEVI" já é conhecido junto com seu endereço de e-mail, como agora pode ser, e-mails sobre pagamento de taxa em atraso, expiração de pontos de recarga, reemissão de cartão de associado ou pedido de indenização por vazamento ficam difíceis de distinguir dos verdadeiros.
Este site recomenda uma regra: para qualquer mensagem que peça pagamento ou login, não julgue se é real pelo conteúdo — abra o aplicativo por conta própria e veja se o mesmo aviso está lá.
O que aconteceu (segundo os comunicados da CHAEVI)
A seguir está o que a CHAEVI escreveu em dois comunicados em seu site: "Comunicado e pedido de desculpas sobre o incidente de vazamento de dados pessoais" (26 de julho de 2026) e "Comunicado adicional sobre o vazamento de dados pessoais" (30 de julho).
Por volta de janeiro de 2025
Ao investigar o incidente de julho, a CHAEVI descobriu que nome do cliente, endereço, número de contato e número de celular (todos criptografados), horário de criação dos dados e número sequencial dos dados também haviam vazado por volta dessa época (acompanhamento de 30 de julho). Circunstâncias, itens e escala estão sob investigação com uma organização especializada externa.23 de julho de 2026
Dados pessoais vazaram em um ataque externo ilegal de hacking. A CHAEVI diz que bloqueou o caminho do ataque assim que tomou conhecimento.26 de julho
A CHAEVI publica em seu site o vazamento e sua escala (298.333 registros no total), dizendo que comunicou a Comissão de Proteção de Informações Pessoais e a Agência Coreana de Internet e Segurança (KISA). Links para consulta de vazamento e página de troca de senha.Fim de julho
Comunicados individuais aos clientes afetados (datados de 27 de julho no primeiro comunicado e de 26 de julho no acompanhamento).30 de julho
Comunicado de acompanhamento: a CHAEVI diz que comunicou a Comissão de Proteção de Informações Pessoais, a KISA, a Comissão de Serviços Financeiros, o Serviço de Supervisão Financeira e autoridades investigativas, e divulga o vazamento de janeiro de 2025.
Não está na lista de itens vazados do comunicado: histórico de recarga · localização das estações · informações do veículo · dados de pagamento
- Total
- 298.333 registros. Os itens vazados variam de pessoa para pessoa
- Em todos os registros
- Endereço de e-mail (não marcado como criptografado)
- Em alguns registros
- Senha (criptografada), nome (criptografado), número de contato (criptografado), sexo, data de nascimento, número sequencial de membro, data de cadastro
- Explicação da CHAEVI
- As informações marcadas como 'criptografadas' são armazenadas e gerenciadas com criptografia unidirecional, que não pode ser revertida, por isso o conteúdo real não pode ser lido de fora mesmo se vazar
- Não vazados
- Números de registro de residente, números de passaporte e dados de pagamento, como números de cartão e de conta. A CHAEVI diz que não coleta nem mantém esses dados e confirmou, por meio de verificações repetidas, que não foram vazados
- Separado (por volta de jan. 2025)
- Nome do cliente (criptografado), endereço (criptografado), número de contato (criptografado), número de celular (criptografado), horário de criação dos dados, número sequencial dos dados. Circunstâncias, itens e escala sob investigação
- Resposta da CHAEVI
- Bloqueou o caminho de invasão e corrigiu a vulnerabilidade; revisou a separação de redes e firewalls; ampliou a criptografia; reforçou o controle de acesso; monitoramento 24 horas; investiga a causa e prepara medidas de prevenção com uma organização especializada externa
Aplicativos de recarga podem registrar quando e onde seu carro esteve — isso vazou desta vez?
Um aplicativo de recarga de EV pode guardar um tipo de dado diferente de um aplicativo de compras comum. Qual estação, em que horário e quanto você recarregou formam um mapa dos seus deslocamentos diários. Um registro de recargas todas as noites em um carregador lento perto de casa equivale, na prática, à sua residência e ao horário em que você chega. Por isso, a primeira pergunta em qualquer vazamento de plataforma de recarga é: "o histórico de recarga foi incluído?"
Na lista de itens vazados dos comunicados
- Endereço de e-mail (todos os 298.333 registros)
- Senha (criptografada, 132.240 registros)
- Nome e número de contato (criptografados), sexo, data de nascimento, número sequencial de membro, data de cadastro (2.064 registros)
- Incidente de janeiro de 2025: endereço (criptografado) e outros dados — escala sob investigação
Fora da lista
- Histórico de recarga, localização das estações, informações do veículo (não listados — mas não declarados explicitamente como "não vazados")
- Números de registro de residente e de passaporte (não coletados nem mantidos — declarado pela CHAEVI)
- Dados de pagamento, como números de cartão e de conta (não coletados nem mantidos — declarado pela CHAEVI)
Uma distinção importa. O que a CHAEVI declara explicitamente que não coleta nem mantém, e portanto não vazou, são números de registro de residente, números de passaporte e números de cartão e de conta. Os comunicados nada dizem especificamente sobre histórico de recarga ou localização; esses itens estão simplesmente ausentes da lista de itens vazados. Com base nos comunicados, este site só pode afirmar isto: "o histórico de recarga não foi divulgado como item vazado."
O incidente de janeiro de 2025 inclui endereço (criptografado), mas esse é o campo de endereço dos registros de clientes, não locais de recarga, e sua escala ainda não foi divulgada. Atualizaremos este artigo quando a investigação for divulgada.
O que a "criptografia" protege e o que não protege
A CHAEVI diz que nomes, números de contato e senhas foram criptografados com um método unidirecional que não pode ser revertido, por isso "não podem ser usados para identificar pessoas nem para fazer login". Em geral, "unidirecional" significa que nunca é criada uma chave para reverter o valor, portanto não há risco de uma chave vazar junto com os dados e desbloqueá-los. Isso é um bom desenho.
Métodos unidirecionais ainda têm um limite geral. Em vez de reverter um valor, um atacante pode aplicar o mesmo método a senhas comuns e verificar se algum resultado coincide. Métodos lentos para calcular ou que usam um salt (um valor aleatório adicionado a cada senha) tornam essa comparação mais custosa, mas uma senha como "1234abcd" está entre as primeiras adivinhadas em qualquer método.
Os comunicados da CHAEVI não informam o método específico, então este site não avalia sua força. Para os usuários, a conclusão é a mesma: a própria CHAEVI recomenda trocar a senha, e os endereços de e-mail nunca foram criptografados. Como funcionam o hash e o salt é explicado em como armazenar senhas com segurança.
Lições para operadores de pequenas plataformas
O primeiro comunicado da CHAEVI dividiu o vazamento em quatro grupos pela combinação de itens, declarou o que não coleta e vinculou uma página de consulta e uma página de troca de senha. Permitir que o usuário veja imediatamente "em qual grupo eu estou?" é um formato que outras plataformas podem adotar. A partir daqui, este site resume três coisas que operadores podem fazer antes de um incidente.
Separe os dados de histórico dos dados de membros
Dados com carimbo de tempo e lugar — recargas, viagens, pagamentos — mostram onde uma pessoa esteve e quando, assim que são associados aos registros de membros. Revise a lista de tabelas, marque toda tabela que revela um lugar e um horário quando unida pelo ID do membro, e defina um período de retenção para cada uma. Apague o histórico além do período necessário, ou desvincule-o do ID do membro. Como decidir quais dados você não deveria manter de forma alguma está em seis prioridades de segurança para organizações.
Identifique o que fica em texto puro (não criptografado) — geralmente o endereço de e-mail
Mesmo quando nomes e números de contato são protegidos, como aqui, o endereço de e-mail usado como ID de login tende a ficar em texto puro. Uma vez vazado, cada membro se torna alvo de phishing; por isso, inclua em suas mensagens do dia a dia a frase que você adicionaria a um aviso de vazamento — "nunca pedimos sua senha ou códigos de verificação por e-mail" — e o domínio oficial de envio. Configurações que impedem outros de falsificar seu domínio de envio estão em como impedir a falsificação de e-mail com SPF, DKIM e DMARC.
Prepare com antecedência o modelo de aviso de vazamento
Antes de precisar, prepare um modelo com campos para as quantidades por tipo de vazamento, os itens que você não coleta, uma página de consulta, um link de troca de senha, uma linha de contato 24 horas e as autoridades às quais você comunicou. Redigir do zero no dia de um incidente leva a omissões e a formulações inconsistentes.
Visão deste site: dizer o que NÃO foi incluído reduz a ansiedade
O que mais deixa os usuários ansiosos após um aviso de vazamento é aquilo que o aviso não menciona — "e o meu histórico de recarga?" A CHAEVI reduziu essa ansiedade quanto a números de registro de residente e dados de pagamento ao afirmar claramente que não os coleta.
Para qualquer serviço que trate dados de localização ou histórico, este site considera que uma linha separada informando se os dados de histórico foram incluídos é a forma mais simples de reduzir ao mesmo tempo as consultas ao suporte e os danos secundários.
Fontes (registro público)
Os fatos deste artigo seguem os materiais públicos abaixo. Não especulamos sobre métodos de ataque ou causas não divulgadas.
- Comunicado da CHAEVI, "개인정보 유출 사고 관련 안내 및 사과의 말씀" (Comunicado e pedido de desculpas sobre o incidente de vazamento de dados pessoais), 26 de julho de 2026 — chaevi.com
- Comunicado da CHAEVI, "개인정보 유출 관련 추가 안내" (Comunicado adicional sobre o vazamento de dados pessoais), 30 de julho de 2026 — chaevi.com
- Reportagem sobre o comunicado — Boan News
- Canais de ajuda — Comitê de Mediação de Disputas de Informações Pessoais ／ Centro de Denúncia de Violação de Informações Pessoais
Histórico de atualizações
30/09/2026: Publicação inicial, com base no comunicado da CHAEVI de 26 de julho e no acompanhamento de 30 de julho. Atualizaremos quando forem divulgados resultados sobre o vazamento de janeiro de 2025 ou um anúncio da Comissão de Proteção de Informações Pessoais da Coreia.
Leia a seguir
- Coreia: quatro vazamentos em bancos (outubro de 2026)
- Personificação: o que os usuários da TVING devem fazer após o vazamento ／ o que é phishing ／ noções básicas de segurança do smartphone
- Vazamentos em carros e mobilidade: o que os membros da Times Car devem fazer ／ o que os membros da Cariteco devem fazer
- Senhas: guia de gerenciadores de senhas ／ hash e salt
- Operadores: seis prioridades de segurança para organizações ／ SPF, DKIM e DMARC