Para: quem está cadastrado na loja de e-books Comic Cmoa (コミックシーモア, cmoa.jp), quem usa o mesmo e-mail e senha em outros serviços e quem administra um serviço que trata dados de usuários. Este artigo se baseia nos comunicados oficiais da NTT Solmare Corporation, empresa japonesa que administra o Comic Cmoa, e não trata de técnicas de ataque.
Em andamento: este artigo será atualizado conforme a organização publicar novas informações
Até as 11:00 JST, 23 de outubro de 2026Ainda não se sabe
- Quantas pessoas os 319 registros do banco de dados e os 4,2 milhões de registros de log representam
- Contagens de cada item nos registros de log
- Quais foram a rota de invasão e o método de ataque (identificados, mas não divulgados)
- Quando o acesso não autorizado começou
- Data e hora em que o serviço será retomado
- Se a Comissão de Proteção de Informações Pessoais ou a polícia foram notificadas (não mencionado)
- Como será o pedido de desculpas pela suspensão
A empresa diz que está coordenando a data de retomada com os órgãos competentes e a anunciará quando estiver definida. Dará detalhes sobre a redefinição de senhas e as medidas de desculpas quando o serviço for retomado.
Às 11:00 JST de 23 de outubro, verificamos que a lista de comunicados da empresa não tem nada mais recente que o quarto relatório (21 de outubro). O site do Comic Cmoa está suspenso e direciona os usuários para os comunicados da NTT Solmare para a situação mais recente.
O que os membros devem fazer hoje
Troque a senha de outros serviços em que usa a mesma
A empresa alerta que terceiros podem usar as combinações de e-mail e senha vazadas para tentar entrar em outros serviços web. Ela pede que quem usa a mesma combinação em outros serviços troque a senha por lá também.
Uma senha com hash não pode ser lida como está. Em geral, porém, senhas curtas ou simples podem ser descobertas com o tempo. Ao trocá-las, use uma senha longa e diferente para cada serviço; um gerenciador de senhas facilita isso.
Ative a verificação em duas etapas nos serviços importantes
Com um e-mail vazado, alguém pode tentar entrar com ele em serviços cuja senha você ainda não trocou. A verificação em duas etapas (uma confirmação por aplicativo de celular ou similar, além da senha) dificulta o acesso mesmo que a senha seja conhecida. Este é um conselho geral deste site, não uma orientação da empresa.
Comece por e-mail, bancos e serviços de compras. Como escolher um método está explicado em Qual método de 2FA é o mais seguro?
Não abra links nem anexos em e-mails que se apresentem como da empresa
A empresa alerta que podem chegar contatos suspeitos que se passam por ela e levam a sites falsos (sites de phishing). Pede que as pessoas não abram URLs ou anexos em e-mails inesperados e não insiram dados pessoais ou senhas em sites suspeitos.
As pessoas afetadas devem ser contatadas pela empresa por e-mail. Mesmo com um assunto como "redefinição de senha", "retomada do serviço" ou "pontos de desculpas" (exemplos nossos), não entre por um link do e-mail; verifique o conteúdo na página de notícias da NTT Solmare, aberta por conta própria. As noções básicas para identificar fraudes estão em O que é phishing?
Redefina sua senha na retomada, pelo aplicativo oficial ou por um favorito
A empresa planeja pedir a todos os usuários que redefinam suas senhas quando o serviço for retomado, com detalhes a serem informados nesse momento.
Quando chegar o aviso de redefinição, acesse o serviço pelo aplicativo oficial que você costuma usar ou por um favorito, não por um link de e-mail. Não reutilize uma senha de outro serviço como nova.
Confira suas assinaturas e extratos de pagamento
Segundo a empresa, para o serviço de leitura ilimitada e os planos mensais, as taxas basicamente não são cobradas automaticamente durante o período em que o serviço não pôde ser usado. Alguns meios de pagamento ainda podem ser cobrados, e esses usuários serão tratados individualmente.
Se você vir uma cobrança que não reconhece, entre em contato com a operadora do cartão ou a operadora de celular pela qual pagou. A empresa diz que dados de cartão de crédito não vazaram.
O contato indicado nos comunicados é o Centro de Suporte do Comic Cmoa (info@nttsolmare.com, em japonês). Se você pagou algo ou informou um número de cartão em resposta a um e-mail suspeito, entre em contato com a operadora do seu cartão e com a linha de consulta da polícia (#9110, no Japão).
O que aconteceu (segundo a NTT Solmare)
A NTT Solmare Corporation publicou quatro comunicados em suas notas à imprensa, do primeiro aviso, em 15 de outubro, até o quarto relatório, em 21 de outubro. Tudo o que se segue se baseia nesses comunicados.
Quinta-feira, 15 de outubro de 2026
Primeiro aviso, "Manutenção de emergência do Comic Cmoa". A empresa julgou que um acesso não autorizado de fora para os servidores do Comic Cmoa muito provavelmente tinha ocorrido e suspendeu o serviço para investigar. Segundo o segundo relatório, o serviço foi interrompido às 11:35 e o acesso não autorizado foi bloqueado ao mesmo tempo.Sexta-feira, 16 de outubro
Segundo relatório. A empresa disse ter confirmado acesso não autorizado ao sistema que gerencia as informações de membros e o vazamento dos dados de membros nele armazenados para um terceiro. Itens: e-mail, senha com hash, data de nascimento, gênero, apelido. Quantidade em apuração. Pediu que os usuários trocassem as senhas em outros serviços.Domingo, 18 de outubro
Terceiro relatório. A empresa disse ter identificado a rota de invasão e o método de ataque e que estava tratando deles. Havia constatado que alguns arquivos de log do sistema também tinham sido visualizados e levados, e estava examinando se continham dados de membros.Quarta-feira, 21 de outubro
Quarto relatório. A empresa disse que identificar e bloquear a rota de invasão e o método de ataque estava concluído. Descreveu os dados confirmados como vazados como 319 registros do banco de dados de membros e até cerca de 4,2 milhões de registros em arquivos de log do sistema, e disse que enviaria e-mails às pessoas afetadas.
Os comunicados não dizem quando o acesso não autorizado começou. 15 de outubro é o dia em que a empresa julgou que o acesso não autorizado muito provavelmente tinha ocorrido e interrompeu o serviço.
Como os comunicados mudaram
As contagens e os itens mudaram a cada comunicado, como segue.
| Comunicado | Situação do vazamento | Quantidade | Itens | Senhas |
|---|---|---|---|---|
| Primeiro aviso (15 de out.) | Acesso não autorizado julgado muito provável | Não mencionada | Não mencionados | Não mencionadas |
| Segundo relatório (16 de out.) | Vazamento de dados de membros confirmado | Em apuração | E-mail, senha com hash, data de nascimento, gênero, apelido | Senhas com hash incluídas |
| Terceiro relatório (18 de out.) | Além disso, alguns arquivos de log do sistema foram visualizados e levados | Ainda em apuração | Igual ao segundo relatório (logs em apuração) | Senhas com hash incluídas |
| Quarto relatório (21 de out.) | Vazamento confirmado em (1) banco de dados de membros e (2) arquivos de log do sistema | (1) 319 (2) até cerca de 4,2 milhões | (1) Os cinco itens do segundo relatório (2) e-mail, apelido, data de nascimento, gênero | (1) Senhas com hash incluídas (2) Não incluídas |
A afirmação de que dados de cartão de crédito não vazaram se manteve do segundo ao quarto relatório. Do segundo ao quarto relatório, todos também afirmam que não foi confirmado vazamento de históricos de compras nem vazamento, perda ou dano da MY Bookshelf.
- Operadora
- NTT Solmare Corporation
- Serviço
- Loja de e-books Comic Cmoa (コミックシーモア)
- Quantidade
- 319 registros de dados de cadastro do banco de dados de membros; até cerca de 4,2 milhões de registros em arquivos de log do sistema (podem incluir duplicatas da mesma pessoa)
- Itens
- Os 319 registros: e-mail, senha com hash, apelido, data de nascimento, gênero. Os 4,2 milhões de registros: e-mail, apelido, data de nascimento, gênero, com itens diferentes para pessoas diferentes
- Não vazou
- Dados de cartão de crédito (não mantidos nos sistemas afetados)
- Não confirmado
- Vazamento de históricos de compras; vazamento, perda ou dano da MY Bookshelf
- Causa
- Acesso não autorizado de terceiros. A identificação e o bloqueio da rota de invasão e do método de ataque estão concluídos, mas não foram divulgados
- Investigação
- Com uma organização especialista externa
- Contato com as pessoas afetadas
- Por e-mail, em breve
- Comunicação às autoridades
- Não mencionada (a empresa diz que está coordenando a retomada com "os órgãos competentes")
- Serviço
- Suspenso. Será retomado em etapas, começando pela leitura web de títulos comprados e pela leitura no serviço de leitura ilimitada
- Contato
- Centro de Suporte do Comic Cmoa (info@nttsolmare.com)
O que se sabe e o que não se sabe
Situação em 23 de outubro de 2026. Quando houver um novo comunicado, a coluna de situação será atualizada.
| Item | O que dizem os comunicados | Situação |
|---|---|---|
| Julgamento de acesso não autorizado e suspensão do serviço | Julgado muito provável em 15 de outubro; serviço interrompido às 11:35 | Confirmado (empresa) |
| Dados de cadastro do banco de dados de membros | 319 registros: e-mail, senha com hash, apelido, data de nascimento, gênero | Vazamento confirmado (empresa) |
| Dados em arquivos de log do sistema | Até cerca de 4,2 milhões de registros: e-mail, apelido, data de nascimento, gênero (os itens variam por pessoa) | Vazamento confirmado (empresa) |
| Quantas pessoas os registros representam | Os 4,2 milhões podem incluir duplicatas da mesma pessoa | Não mencionado |
| Senhas nos arquivos de log | Não incluídas | Não incluídas (empresa) |
| Dados de cartão de crédito | Não mantidos nos sistemas afetados; não vazaram | Não incluídos (empresa) |
| Históricos de compras, MY Bookshelf | Nenhum vazamento, perda ou dano confirmado | Não confirmado (empresa) |
| Causa | Acesso não autorizado de terceiros | Confirmada (empresa) |
| Rota de invasão e método de ataque | Identificados e bloqueados; não descritos | Não mencionados |
| Quando o acesso começou | Não informado | Não mencionado |
| Uso indevido dos dados vazados | Alerta que podem chegar e-mails suspeitos; não diz que houve uso indevido | Não mencionado |
| Contato com as pessoas afetadas | Por e-mail, em breve | Previsto (empresa) |
| Comunicação à Comissão de Proteção de Informações Pessoais e à polícia | Não informado | Não mencionado |
| Retomada do serviço | Em coordenação com os órgãos competentes; será retomado em etapas | Ainda não definida (em coordenação) |
| Redefinição de senha na retomada | Todos os usuários serão solicitados; detalhes na retomada | Previsto (empresa) |
| Assinaturas, pontos, desculpas | Mensalidades basicamente não cobradas durante a suspensão; novo crédito de pontos e desculpas em análise | Em análise (empresa) |
Nota de leitura: não some as duas quantidades
Os 319 registros e os até cerca de 4,2 milhões de registros são números separados, de locais diferentes (o banco de dados de membros e os arquivos de log do sistema), com itens diferentes. Os comunicados não dizem se as mesmas pessoas aparecem nos dois, por isso este site não as soma.
O número de 4,2 milhões também é uma contagem de registros, não de pessoas. A empresa diz que pode incluir duplicatas da mesma pessoa.
O que as combinações de itens vazados podem levar a
A seguir está o que pode acontecer em geral; isso não significa que já tenha acontecido neste caso.
E-mail + senha com hash (319 registros)
↓→
Tentativas de entrar em outros serviços em seu nome
→ Troque a senha onde ela é reutilizada / verificação em duas etapas
E-mail + apelido
↓→
E-mails falsos que se passam pela empresa e se dirigem a você pelo apelido
→ Um apelido correto não é prova / não abra links
E-mail + data de nascimento
↓→
Contatos que citam seu aniversário como "verificação de identidade"; tentativas de adivinhar senhas com base em datas de nascimento
→ Saber sua data de nascimento não é prova de identidade / não a use em senhas
Descritos como não vazados ou não confirmados
- Dados de cartão de crédito (não mantidos nos sistemas afetados)
- Históricos de compras, MY Bookshelf (nenhum vazamento, perda ou dano confirmado)
- Senhas nos 4,2 milhões de registros de arquivos de log
Itens confirmados como vazados (comunicados da empresa)
- Apelido, data de nascimento, gênero
- Senha com hash (os 319 registros do banco de dados de membros)
A data de nascimento não pode ser alterada. Fique atento por algum tempo a e-mails falsos que usem este incidente como pretexto e a contatos que citem seu aniversário. Como verificar se seu e-mail aparece em outros vazamentos está explicado em Como verificar se sua senha vazou.
Para quem administra serviços que tratam dados de usuários
A empresa não divulgou a rota de invasão nem o método de ataque, por isso esta seção não diz como prevenir isso. Não é uma avaliação da resposta da empresa. O que os comunicados mostram é que muito mais registros vazaram dos arquivos de log do sistema (até cerca de 4,2 milhões) do que do banco de dados de membros (319). Os pontos abaixo se limitam ao que pode ser revisado antecipadamente à luz disso.
Verifique se os arquivos de log reais contêm dados pessoais
No quarto relatório, a maior parte dos registros vazados estava em arquivos de log do sistema. Em geral, logs que registram o comportamento de um sistema podem acabar guardando endereços de e-mail, datas de nascimento e outras entradas tal como são, sem que ninguém pretenda isso.
Em vez de confiar apenas em documentos de projeto, pesquise nos arquivos de log realmente armazenados por textos com formato de e-mail ou de data de nascimento. Se encontrar algum, mascare-o antes de ser gravado ou deixe de registrar esses campos.
Defina um prazo de retenção para os logs e limite quem pode lê-los
Os logs são necessários para investigações e resolução de problemas, mas manter logs antigos aumenta o número de registros expostos em um vazamento. Defina um prazo de retenção e exclua ou mova os logs quando ele expirar.
Limite as pessoas e os sistemas que podem ler os logs, como faria com o banco de dados de produção. Verifique se o local onde os logs são guardados não tem permissões mais frouxas que o banco de dados.
Esteja preparado para informar em que local estava cada item
A empresa anunciou quantidades e itens separadamente para o banco de dados de membros e para os arquivos de log, e a inclusão de senhas também variou conforme o local.
Manter uma lista de quais sistemas e arquivos guardam quais itens permite orientar as pessoas afetadas sobre o que fazer de forma rápida e precisa após um incidente. Como as senhas devem ser armazenadas está explicado em O que é hash de senha?
Fontes (registro público)
Os fatos deste artigo se baseiam nas informações públicas abaixo. A rota de invasão e o método de ataque não divulgados não foram objeto de suposições.
- NTT Solmare Corporation, "Manutenção de emergência do Comic Cmoa (primeiro aviso)" (em japonês, 15 de outubro de 2026) — nttsolmare.com
- NTT Solmare Corporation, "Pedido de desculpas e comunicado sobre o vazamento de dados de membros do Comic Cmoa (segundo relatório)" (em japonês, 16 de outubro de 2026) — nttsolmare.com
- NTT Solmare Corporation, "Relatório sobre o vazamento de dados de membros do Comic Cmoa (terceiro relatório)" (em japonês, 18 de outubro de 2026) — nttsolmare.com
- NTT Solmare Corporation, "Relatório sobre o vazamento de dados de clientes do Comic Cmoa (quarto relatório)" (em japonês, 21 de outubro de 2026) — nttsolmare.com
- NTT Solmare Corporation, lista de notas à imprensa (em japonês; verificada em 23 de outubro de 2026; nada mais recente que o quarto relatório) — nttsolmare.com
- Comic Cmoa, "Aviso e pedido de desculpas sobre a suspensão do Comic Cmoa" (aviso no site, em japonês, sem data; verificado em 23 de outubro de 2026) — cmoa.jp
Histórico de atualizações
2026-10-23: Primeira versão, com base no primeiro aviso da NTT Solmare (15 de outubro) até o quarto relatório (21 de outubro), na lista de notas à imprensa e no aviso do site do Comic Cmoa (verificados em 23 de outubro). Os dados de contato do primeiro aviso e do segundo relatório foram acrescentados após a publicação (confirmados em capturas do Internet Archive; o conteúdo não mudou). Este artigo será atualizado quando o serviço for retomado ou quando for publicado um novo comunicado.
Leia a seguir
- Senhas: Como verificar se sua senha vazou / Escolher e usar um gerenciador de senhas / Qual método de 2FA é o mais seguro?
- Proteção contra golpes derivados: O que é phishing
- Incidentes do mesmo período: Vazamento do Carsensor.net e do C-MATCH / Vazamento de dados de membros da Bookoff / Vazamento da Furusato Choice
- Outros incidentes de 2026: Lista de vazamentos de dados e ataques cibernéticos