Para: quem está cadastrado em um fã-clube corporativo, grupo de usuários ou comunidade de fãs de governo local, e empresas e organizações que administram comunidades em serviços como o Commune. Este artigo se baseia nos comunicados oficiais da Commune Inc. e de empresas clientes e organizações que divulgaram impactos, e não aborda técnicas de ataque.
Em andamento: este artigo será atualizado conforme a organização publicar mais informações
Em 22 de outubro de 2026 (atualização da Commune Inc. de 21 de outubro)Ainda não se sabe
- Número de pessoas e itens por comunidade (sendo enviado individualmente aos clientes)
- Número de empresas clientes afetadas
- Detalhes das falhas do sistema
- Resultados da investigação forense por uma organização terceirizada (em preparação)
- Quando o serviço completo será retomado (reabertura em etapas com recursos restritos a partir de 16 de outubro para clientes que solicitarem)
- Quando o aplicativo, o novo cadastro por e-mail e as redefinições de senha estarão disponíveis novamente
- Quando as publicações e outros dados serão restaurados
Em 16 de outubro, a Commune Inc. anunciou que as comunidades confirmadas como seguras seriam reabertas em etapas. As comunidades de clientes que solicitarem reabrem uma a uma, apenas na versão para navegador web e com alguns recursos restritos, então as datas de reabertura variam por comunidade. O aplicativo, o novo cadastro com endereço de e-mail e alguns outros recursos não estão disponíveis na reabertura, e as redefinições de "esqueci minha senha" (que emitem senhas temporárias) estão atualmente suspensas. A empresa diz que nenhum novo acesso não autorizado ou vazamento foi encontrado durante a manutenção ou os testes. Sua atualização de 21 de outubro confirma 166.505 membros afetados (contagem acumulada) e diz que a análise de todos os registros não encontrou nada deixado pelo atacante. Está sendo preparada uma investigação forense por uma organização terceirizada para verificar a causa e o alcance de forma objetiva.
O que os membros devem fazer hoje
Verifique o comunicado da empresa que administra sua comunidade
O Commune é um serviço que empresas e governos locais usam para criar seus próprios fã-clubes e grupos de usuários. Os membros não se cadastram na própria Commune Inc., mas na comunidade do operador (por exemplo, Suzuki Village ou Koikeya GOGO! Land). Por isso, ser afetado depende de em qual comunidade você entrou.
Abra o comunicado da sua comunidade na tabela "Verifique se você foi afetado" abaixo. Se sua comunidade não estiver listada, consulte a seção de notícias do site oficial do operador. A Commune Inc. diz que entrará em contato com os membros afetados assim que os detalhes forem confirmados.
Não abra links em e-mails ou mensagens de texto que aleguem vir da comunidade ou da empresa
Os dados vazados incluem endereços de e-mail, nomes de exibição, perfis e participações em grupos. Com essa combinação, alguém pode escrever um e-mail que aparente vir dos organizadores da comunidade, com seu nome correto e os temas certos.
A Commune Inc. pede que as pessoas não abram URLs ou anexos em e-mails ou mensagens de texto suspeitos, que os apaguem, e diz que nunca pedirá senhas por e-mail ou telefone. Abra os avisos de reabertura e faça login por um favorito no navegador ou pelo site oficial do operador, e não pelos links de e-mail (veja O que é phishing?).
No comunicado de 13 de outubro, a Commune Inc. diz que terceiros podem usar os e-mails vazados para tentar o procedimento de redefinição de senha. Mesmo assim, segundo a empresa, a nova senha não pode ser vista nem obtida pelo atacante e não há risco de acesso não autorizado. Se você receber um e-mail de redefinição que não solicitou, este site recomenda ignorá-lo e não abrir seus links.
Os 144 membros cujas senhas foram trocadas devem redefini-las após a reabertura
Segundo a Commune Inc., 144 membros tiveram suas senhas trocadas por temporárias sem a ação deles. As senhas temporárias já expiraram, e a empresa diz não ter encontrado indícios de que tenham chegado ao atacante.
Esses membros precisam definir uma nova senha depois que a comunidade reabrir, usando "Esqueceu sua senha?" na tela de login. Porém, a empresa diz que, em 16 de outubro, as redefinições de "esqueci minha senha" (que emitem senhas temporárias) estão suspensas. Consulte os comunicados do operador ou da Commune Inc. para saber quando as redefinições voltam.
Por segurança, todos os membros foram desconectados, então os demais também precisam fazer login novamente após a reabertura. As comunidades reabertas funcionam apenas no navegador web; o aplicativo ainda não está disponível. Faça login por um favorito no navegador ou pelo site oficial do operador.
Se você usa a mesma senha em outros lugares, troque-a
A Commune Inc. diz que não foi confirmado vazamento das próprias senhas. Mesmo assim, em 16 de outubro, pediu aos membros que usam uma senha fácil de adivinhar, ou a mesma senha de outros serviços, que a trocassem por uma diferente e difícil de adivinhar. A Suzuki e a Bandai Namco Experience também recomendam, por precaução, que quem usa a mesma senha em outros serviços considere trocá-la. Não reutilizar senhas impede que um vazamento em um lugar se espalhe (um gerenciador de senhas facilita isso).
Se você escreveu seu endereço ou telefone no perfil, fique atento a ligações e cartas
Os itens variam por comunidade e por membro. A JMAM informou que, em sua comunidade Toki Labo, informações de perfil incluindo nomes, endereços, idades e telefones também vazaram.
Se você escreveu seu endereço ou telefone no perfil, saiba que mensagens de texto, ligações ou cartas que aleguem vir da empresa ou da comunidade também são possíveis, não apenas e-mails. Se alguém que ligar pedir senha, número de cartão ou código de verificação, não responda; desligue e ligue de volta para o número listado no site oficial.
Para dúvidas, use os contatos indicados no comunicado
No comunicado de 13 de outubro, a Commune Inc. informou que pessoas cadastradas nas comunidades Commune podem enviar dúvidas ou pedidos de cancelamento para user-security@commune.co.jp (o comunicado de 9 de outubro indicava um formulário para membros e security@commune.co.jp). A empresa diz que também enviou e-mails separados aos membros com detalhes. As datas de reabertura também são divulgadas nos comunicados de cada operador.
Verifique se você foi afetado (comunicados de empresas clientes e organizações)
As empresas e organizações que administram comunidades publicaram, cada uma, seus comunicados. A tabela reúne os que este site consultou e verificou em suas páginas oficiais (em 12 de outubro de 2026). Outras empresas e organizações também publicaram comunicados.
Os números são os informados por cada operador, e cada um conta de forma diferente ("vazado", "pode ter sido visualizado ou obtido", "até"), por isso não podem ser somados.
| Operador | Comunidade | Pessoas (conforme informado) | Principais itens (conforme informado) | Situação | Data |
|---|---|---|---|---|---|
| Yamaha | Yamaha Network Engineer Association (YNE) | Cerca de 1.600 | E-mail, nome de exibição, nome de conta, texto de perfil, ícone, grupos | Vazamento confirmado (empresa) | 9 de out |
| JMAM (Japan Management Association Management Center) | Toki Labo | 2.950 (cadastrados após a reabertura de 12 de maio) | Nome de exibição, nome de usuário, e-mail, informações de perfil (incluindo nome, endereço, idade e telefone) | Vazamento confirmado (empresa) | 9 de out |
| Província de Aomori | Aomori Biiki | Até 2.950 (máximo estimado visualizado, de 15.847 membros) | E-mail, apelido, nome de conta, prefeitura de residência, faixa etária, sexo, ID de membro, texto de perfil e outros | Possível (prefeitura) | 8 de out |
| Suzuki | Suzuki Village | Cerca de 3.000 | E-mail, apelido, data de adesão, sexo, faixa etária, prefeitura, carro que possui | Possível (empresa) | 9 de out |
| Sansan | Sansan User Forum | 1.325 confirmados, 8.687 possíveis | Confirmados: e-mail, nome de exibição, texto de perfil, foto de perfil, grupos (o grupo possível exclui e-mail) | Vazamento confirmado / possível (empresa) | 9 de out |
| LY Corporation | DS.LAB (no DS.INSIGHT) | 1.750 | Apelido, nome de conta, nome, texto de perfil, ícone, grupos, e-mail, campos personalizados de perfil e outros | Possível (empresa) | 9 de out |
| Koikeya | Koikeya GOGO! Land | Até 1.800 registros | E-mail, apelido, nome de conta, texto de perfil, grupos, campos personalizados de perfil (sexo, faixa etária, prefeitura e outros) e outros | Vazamento confirmado (empresa) | 9 de out |
| Calbee | Fã-clube Zeppin-bu | Não informado | E-mail, nome de exibição, nome de usuário, texto de perfil, campos de perfil, grupos | Visualizados e obtidos (empresa) | 9 de out |
| Morinaga Milk | Mount Cafe-bu | 291 | E-mail, nome de exibição e de usuário, texto de perfil, campos personalizados de perfil, grupos e outros | Possível (empresa) | 9 de out |
| LIXIL | Sumai Hiroba / Nyanpeki Hiroba | Não informado | Apelido, nome de conta, e-mail, texto de perfil (os campos variam por serviço), pontos e outros | Possível (empresa) | 9 de out |
| Bandai Namco Experience | Wangan Midnight Arcade Portal | Não informado | E-mail, apelido, nome de conta, texto de perfil, campos de perfil, grupos e outros | Possível (empresa) | 9 de out |
| DyDo DRINCO | dydo Issho ni Lab | — | Informada de que não foram encontrados danos e que nenhum dado de membro vazou (serviço suspenso) | Não incluída (empresa) | 9 de out |
Mesmo dentro de uma única comunidade, depende do que você cadastrou
A Calbee e a Koikeya dizem que não coletam nem guardam endereços ou telefones em suas comunidades. Por outro lado, a JMAM informou que nomes, endereços e telefones vazaram como parte do conteúdo do perfil. Se os "principais itens" da sua comunidade incluem um perfil de texto livre, lembre-se do que você escreveu ali.
O que aconteceu (segundo a Commune Inc.)
O que se segue se baseia no comunicado da Commune Inc. de 9 de outubro de 2026, no aviso de manutenção emergencial de 13 de outubro, no aviso de reabertura de 16 de outubro e na atualização de 21 de outubro. Os horários são do Japão.
5 de outubro de 2026, por volta das 18h00
Commune e Commune for Work começam a ser acessados sem autorização por um terceiro externo.6 de outubro
A empresa detecta o acesso, interrompe a comunicação e aplica medidas defensivas. A partir de por volta das 21h00, todas as comunidades passam ao modo de manutenção e são paradas.7 de outubro
Cadastros e visualizações não autorizados de membros ocorrem em alguns pontos por meio de um canal de comunicação deixado aberto durante a manutenção; ele é fechado às 14h58.8 de outubro, por volta das 12h00
Após confirmar a segurança em comunidades de teste internas, as comunidades que solicitaram reabrir começam a ser reabertas em etapas.8 de outubro
A empresa publica pela primeira vez um comunicado sobre a "Aomori Biiki", a comunidade de fãs de turismo de Aomori que administra para a Prefeitura de Aomori.9 de outubro
A empresa publica um pedido de desculpas e um comunicado sobre o vazamento. Empresas clientes e organizações publicam seus próprios comunicados entre o dia anterior e este dia. No mesmo dia, como operadora de telecomunicações, a empresa apresenta um relatório preliminar ao Ministério de Assuntos Internos e Comunicações (Gabinete Regional de Telecomunicações de Kanto) (conforme a atualização de 21 de outubro).10 de outubro, 00h50
Começa a manutenção emergencial, para impedir o uso indevido dos e-mails vazados (como envios automatizados em massa ou tentativas de redefinição de senha com e-mails de outras pessoas) (conforme o comunicado de 13 de outubro).A partir de 10 de outubro
Com todas as comunidades ainda paradas, a empresa torna obrigatória a autenticação em dois fatores para contas de administradores, adiciona limites de taxa de requisições, reduz o tempo de validade dos logins (no máximo 30 dias) e restringe temporariamente alguns recursos, como as mensagens diretas. Reabriu primeiro uma comunidade de teste interna e diz ter confirmado que os riscos de uso indevido e de incômodo que previa no momento foram eliminados (conforme o comunicado de 16 de outubro).13 de outubro
A empresa publica um comunicado sobre a manutenção emergencial, dizendo que nenhum novo acesso não autorizado ou vazamento foi encontrado desde 9 de outubro.16 de outubro (sex.)
A empresa publica um comunicado sobre a reabertura de algumas comunidades. As comunidades de clientes que solicitarem reabrem uma a uma, apenas na versão para navegador web e com alguns recursos restritos. O aplicativo, o novo cadastro com endereço de e-mail e as redefinições de "esqueci minha senha" continuam indisponíveis. Diz que está trabalhando para a reabertura total.21 de outubro
A empresa publica uma atualização. Após uma investigação detalhada, confirma 166.505 membros afetados (contagem acumulada por comunidade, não pessoas únicas), 125.601 deles com dados incluindo endereços de e-mail. Diz que começou a consultar a polícia, que a análise de todos os registros não encontrou programas, contas ou configurações deixados pelo atacante, e que está preparando uma investigação forense por uma organização terceirizada.
- Períodos de vazamento
- Por volta das 18h00 de 5 de outubro até por volta das 21h00 de 6 de outubro, e das 13h17 às 14h36 de 7 de outubro
- Membros afetados (atualização de 21 de outubro)
- 166.505, contados por comunidade (contagem acumulada, não pessoas únicas). Destes, 125.601 tiveram dados incluindo endereços de e-mail vazados
- Como as pessoas foram contadas (atualização de 21 de outubro)
- O total de IDs de membros contados por comunidade. Pessoas em várias comunidades são contadas uma vez para cada uma (contagem acumulada). Inclui comunidades administradas pela empresa e comunidades de teste/demonstração; exclui contas criadas pelo atacante
- Números do primeiro comunicado (9 de outubro)
- Cerca de 307.000 (estimativa) como máximo possivelmente afetado: cerca de 126.000 com dados incluindo endereços de e-mail (incluindo cerca de 42.000 contas de funcionários e de teste/demonstração da própria empresa) e cerca de 181.000 com dados sem endereços de e-mail (nomes de exibição, perfis, participações em grupos privados e assim por diante). O primeiro comunicado descreveu isso como uma estimativa de pessoas únicas, excluindo IDs de membros duplicados e contas criadas pelo atacante
- Senhas
- 144 membros tiveram suas senhas trocadas por temporárias sem a ação deles. Não foi confirmado vazamento das próprias senhas
- Não encontrado
- Não foi confirmado vazamento de mensagens diretas entre membros nem de senhas. A empresa não guarda dados de cartão de crédito ou outros dados de pagamento
- Outros produtos
- Commune CRM e Commune Engage: houve tentativa de acesso, mas não ocorreu vazamento. Commune Voice, Navigator e DataHub: não acessados, segundo a investigação até o momento
- Medidas antes da reabertura (16 de outubro)
- Autenticação em dois fatores obrigatória para contas de administradores, limites de taxa de requisições acrescentados contra pedidos em massa e ataques automatizados, limite de sessão de login reduzido (no máximo 30 dias) e restrições temporárias em alguns recursos, como as mensagens diretas
- Causa informada
- Falhas no sistema da empresa foram exploradas. O atacante obteve de forma ilegítima links de convite para comunidades privadas e se cadastrou como membro comum, e se passou por administradores para visualizar e obter dados de membros e sobrescrever dados
- Resposta
- Corrigiu as falhas, renovou as chaves de assinatura usadas no login, fechou o canal de acesso e bloqueou endereços IP maliciosos, e removeu contas e publicações criadas pelo atacante
- Resposta (atualização de 21 de outubro)
- Substituiu os links de convite compartilhados das comunidades privadas e invalidou convites não utilizados. Parou todas as comunidades para renovar as chaves de assinatura, invalidando todas as credenciais de login forjadas. Começou a monitorar os acessos e a detectar acessos suspeitos. Analisou todos os registros; a investigação da empresa até agora não encontrou programas, contas ou configurações deixados pelo atacante. Está preparando uma investigação forense por uma organização terceirizada
- Relatórios (atualização de 21 de outubro)
- Relatório preliminar ao Ministério de Assuntos Internos e Comunicações (Gabinete Regional de Telecomunicações de Kanto) em 9 de outubro, como operadora de telecomunicações. Começou a consultar a polícia local
- Dados
- Revertidos ao estado das 18h00 de 6 de outubro. A restauração das publicações está sendo preparada; espera-se que mensagens diretas, curtidas e reações e novos cadastros não sejam restaurados
A empresa diz que o incidente resultou de um ataque ao próprio sistema e não foi causado pelas configurações ou operações de seus clientes. Como operadora de telecomunicações, apresentou um relatório preliminar ao Ministério de Assuntos Internos e Comunicações (Gabinete Regional de Telecomunicações de Kanto) em 9 de outubro, e está fornecendo aos clientes as informações necessárias para que relatem à Comissão de Proteção de Informações Pessoais. Sua atualização de 21 de outubro diz que começou a consultar a polícia local.
O que sabemos e o que não sabemos
Situação em 22 de outubro de 2026 (atualização da Commune Inc. de 21 de outubro). Quando houver nova atualização, a coluna de situação será revisada.
| Item | O que o comunicado diz | Situação |
|---|---|---|
| Períodos de vazamento | Por volta das 18h00 de 5/10 até por volta das 21h00 de 6/10; 13h17 às 14h36 de 7/10 | Vazamento confirmado (empresa) |
| Número de pessoas afetadas | 166.505 (contagem acumulada por comunidade; atualização de 21/10). O cerca de 307.000 do primeiro comunicado era uma estimativa de pessoas únicas, como máximo possivelmente afetado | Confirmado (empresa) |
| Endereços de e-mail | 125.601 pessoas (contagem acumulada; atualização de 21/10) | Vazamento confirmado (empresa) |
| Nomes de exibição, texto de perfil, participações em grupos privados | Listados como itens vazados. O primeiro comunicado indicou cerca de 181.000 pessoas (estimativa) sem endereços de e-mail; a atualização não traz número | Vazamento confirmado (empresa) |
| Nomes, endereços, telefones nos perfis | Não informados no comunicado da Commune Inc. A JMAM informou vazamento na Toki Labo | Vazamento confirmado (cliente) |
| Senhas | 144 trocadas por temporárias; não foi confirmado vazamento das próprias senhas | Não confirmado (empresa) |
| Mensagens diretas | Nenhum vazamento confirmado | Não confirmado (empresa) |
| Cartão de crédito e outros dados de pagamento | Não guardados pela empresa | Não incluídos (empresa) |
| Números por comunidade | Sendo enviados individualmente aos clientes afetados | Em investigação |
| Número de empresas clientes afetadas | Não informado no comunicado | Não informado |
| Causa | Links de convite obtidos de forma ilegítima e personificação de administradores; detalhes das falhas não informados | Explicada (detalhes não informados) |
| Algo deixado pelo atacante | Após analisar todos os registros, nenhum programa, conta ou configuração encontrado até agora (21/10) | Não encontrado (empresa) |
| Investigação por terceiros | Preparando investigação forense (21/10) | Em preparação (empresa) |
| Relatórios e polícia | Relatório preliminar ao Gabinete Regional de Telecomunicações de Kanto em 9/10; consulta à polícia local (21/10) | Publicado (empresa) |
| Novo acesso não autorizado ou vazamento | Nenhum encontrado desde o comunicado de 9/10 (até 13/10), nem durante a manutenção ou os testes (16/10) | Nenhum encontrado (empresa) |
| Uso indevido ou dano secundário | Nenhum confirmado até 9/10 | Em investigação |
| Reabertura | Todas as comunidades paradas a partir das 00h50 de 10/10. A partir de 16/10, comunidades de clientes que solicitarem reabrem uma a uma, apenas na versão para navegador web e com alguns recursos restritos (as datas variam por comunidade) | Confirmado (empresa) |
| Aplicativo, novo cadastro | O aplicativo, o novo cadastro com endereço de e-mail e alguns outros recursos não estão disponíveis na reabertura. O cronograma de recuperação completa está sendo enviado aos clientes | Confirmado (empresa) |
| Redefinição de senhas | As redefinições de "esqueci minha senha" (que emitem senhas temporárias) estão suspensas (16/10) | Confirmado (empresa) |
Os comunicados dos clientes podem mostrar horários e números diferentes
Os horários no comunicado da Commune Inc. abrangem todo o serviço. Por exemplo, a Yamaha informou que, segundo a Commune Inc., o acesso aos dados de sua própria comunidade ocorreu entre cerca de 11h59 e cerca de 20h36 de 6 de outubro. Cada operador também informa o número de sua própria comunidade, contado à sua maneira. Verifique sua situação no comunicado da comunidade em que você entrou.
Para que os itens vazados podem ser usados
Em geral, as combinações a seguir tornam possíveis os usos indevidos descritos. Isso não significa que tenha acontecido neste caso.
- E-mail + nome de exibição + nome da comunidade: um e-mail convincente de "reabertura" ou "pontos concedidos", que aparente vir dos organizadores da comunidade, endereçado a você pelo nome
- Participações em grupos (incluindo grupos privados): mensagens falsas sob medida para temas internos, como "Para membros do grupo XX"
- Texto e campos de perfil (faixa etária, prefeitura, carro que possui, produtos favoritos): material para criar confiança ao mencionar coisas que só você deveria saber
- Nome + endereço + telefone (se escritos no perfil): mensagens de texto, ligações ou cartas falsas que aleguem vir da empresa
Outro caso em que o serviço de um fornecedor expôs dados de clientes de várias empresas que o utilizam é a violação do fornecedor da Daiwa Securities, divulgada em outubro de 2026 (várias empresas que usam o mesmo fornecedor divulgaram impactos). Ali também os itens e números variaram por cliente, e as pessoas verificaram se foram afetadas pelo comunicado da empresa com a qual se relacionam.
O que os operadores de comunidades devem revisar
A Commune Inc. atribui o incidente a falhas em seu próprio sistema e diz que não foi causado pelas configurações ou operações de seus clientes. Esta seção não julga a forma como os clientes lidaram com o caso. Ela apresenta o que operadores de comunidades em serviços semelhantes podem verificar em sua própria comunidade, com base na sequência de eventos publicada e nos itens vazados.
Sempre guardado
E-mail, nome de exibição, grupos
Se vazar: e-mails se passando pelos organizadores
Escrito pelos membros
Texto de perfil, campos de perfil de texto livre
Se vazar: nem o operador sabe o que vazou
Solicitado pelo operador
Faixa etária, prefeitura, sexo, campos personalizados
Pode ser reduzido: mantenha apenas os campos que você usa
Projete perfis para que os membros não escrevam endereços nem telefones
Neste caso, a Calbee e a Koikeya conseguiram afirmar que endereços e telefones não são coletados nem guardados em suas comunidades. Um perfil de texto livre é diferente: o que os membros escrevem ali não é um campo definido, então informações que o operador nunca pretendeu guardar podem vazar.
Se sua comunidade não precisa de endereços nem telefones, diga claramente para não escrevê-los nos exemplos e nas instruções do perfil, e não crie campos personalizados para eles. Revise os campos que você pede para análise, como faixa etária ou prefeitura, e remova os que não usa de fato.
Não use um único link de convite como senha compartilhada para uma comunidade privada
A Commune Inc. diz que links de convite para comunidades privadas foram obtidos de forma ilegítima e usados para se cadastrar como membros comuns. Não foi publicado como esses links foram obtidos.
Em geral, se um link de convite é compartilhado com todos e mantido por muito tempo, qualquer pessoa pode entrar depois que o link vazar. Se o serviço permitir, emita convites individuais, com data de validade e limite de uso. Se você usar um link compartilhado, substitua-o regularmente e combine-o com aprovação (o operador aprova cada cadastro), para que cadastros desconhecidos sejam percebidos.
Revise as contas de administradores e os cadastros recentes
A Commune Inc. diz que os dados dos membros foram visualizados e obtidos por meio da personificação de administradores. Antes da reabertura, tornou obrigatória a autenticação em dois fatores para contas de administradores. Embora isso tenha vindo de falhas do lado do serviço, operadores que verificam regularmente quem tem direitos de administrador, e quantos, têm mais chance de perceber um administrador que não reconhecem ou um lote de membros cadastrados em horários estranhos. A Commune Inc. diz que removeu contas criadas pelo atacante; ainda assim, vale a pena revisar uma vez a lista de membros da sua comunidade antes da reabertura.
Defina e anuncie com antecedência o canal legítimo para contatar os membros
Após um vazamento, o que protege os membros é saber quais mensagens dos organizadores são legítimas. Se você decidir que os avisos sempre aparecem em uma página fixa da comunidade e no site oficial, que os e-mails nunca contêm links pedindo para os membros fazerem login, e anunciar isso em tempos normais, os membros conseguem distinguir um e-mail falso de um real. Neste caso também, várias empresas clientes afirmaram em seus comunicados que nunca pedem senhas por e-mail.
Avaliação deste site: você pode terceirizar a plataforma, mas continua decidindo o que coletar
Mesmo quando a plataforma da comunidade é fornecida por um serviço externo, o operador decide o que é pedido aos membros e quais campos são obrigatórios. Ao colocar lado a lado os comunicados dos clientes, os itens listados por cada um variaram conforme o que cada comunidade havia coletado, mesmo que todas usassem o mesmo serviço. Dados que você nunca coleta não podem vazar.
Fontes (registro público)
Os fatos deste artigo se baseiam nas informações públicas abaixo. Não especulamos sobre técnicas de ataque não publicadas. Os títulos foram traduzidos do japonês.
- Commune Inc., "[Atualização] Acesso não autorizado aos nossos serviços" (21 de outubro de 2026, em japonês) — communeinc.com
- Commune Inc., "Aviso sobre a reabertura de algumas comunidades nos nossos serviços" (16 de outubro de 2026, em japonês) — communeinc.com
- Commune Inc., "Pedido de desculpas e aviso sobre a manutenção emergencial dos nossos serviços" (13 de outubro de 2026) — communeinc.com
- Commune Inc., "Pedido de desculpas e aviso sobre o vazamento de dados pessoais devido ao acesso não autorizado aos serviços Commune e Commune for Work" (9 de outubro de 2026) — communeinc.com
- Yamaha Corporation, "Vazamento de informações de clientes devido a acesso não autorizado a um prestador de serviços terceirizado" (9 de outubro de 2026) — yamaha.com
- JMAM, "Pedido de desculpas e aviso sobre vazamento de dados pessoais devido a acesso não autorizado à nossa comunidade de usuários Toki Labo" (9 de outubro de 2026) — jmam.co.jp
- Prefeitura de Aomori, "Acesso não autorizado confirmado na comunidade oficial de fãs Aomori Biiki" (8 de outubro de 2026) — pref.aomori.lg.jp
- Suzuki Motor Corporation, "Aviso de acesso não autorizado à nossa comunidade Suzuki Village" (9 de outubro de 2026) — suzuki.co.jp
- Sansan, Inc., "Pedido de desculpas e aviso sobre o vazamento de dados de membros na comunidade online Sansan User Forum" (9 de outubro de 2026) — corp-sansan.com
- LY Corporation, "Aviso e pedido de desculpas sobre vazamento de informações decorrente de acesso não autorizado ao sistema de um prestador de serviços" (9 de outubro de 2026) — lycorp.co.jp
- Koikeya Co., Ltd., "Vazamento de informações de clientes devido a acesso não autorizado a um prestador de serviços" (9 de outubro de 2026) — koikeya.co.jp
- Calbee, Inc., "Aviso e pedido de desculpas sobre o impacto nos dados de membros devido a acesso não autorizado no fã-clube Zeppin-bu" (9 de outubro de 2026) — calbee.co.jp
- Morinaga Milk Industry Co., Ltd., "Pedido de desculpas e aviso sobre o vazamento de dados de membros do Mount Cafe-bu devido a acesso não autorizado ao sistema de um prestador de serviços" (9 de outubro de 2026) — morinagamilk.co.jp
- LIXIL Corporation, "Pedido de desculpas e relatório sobre vazamento de dados pessoais devido a acesso não autorizado ao servidor de um prestador de serviços usado pelas comunidades da LIXIL" (9 de outubro de 2026) — lixil.co.jp
- Bandai Namco Experience Inc., "Pedido de desculpas sobre possível vazamento de dados de membros devido a acesso não autorizado ao Wangan Midnight Arcade Portal, e manutenção em andamento" (9 de outubro de 2026) — wanganmaxi-official.com
- DyDo DRINCO, Inc., "Suspensão do fã-clube dydo Issho ni Lab" (9 de outubro de 2026) — dydo.co.jp
Histórico de atualizações
2026-10-22: Incluída a atualização da Commune Inc. de 21 de outubro. Número de membros afetados atualizado para 166.505 (contagem acumulada por comunidade), sendo 125.601 com dados incluindo endereços de e-mail, e revisados o título e a explicação de como as pessoas foram contadas (o cerca de 307.000 do primeiro comunicado era o máximo estimado). Acrescentados o relatório preliminar ao Gabinete Regional de Telecomunicações de Kanto, a consulta à polícia, medidas como a substituição de links de convite, o resultado da análise completa dos registros e a investigação forense planejada por uma organização terceirizada. Acrescentado "contados por comunidade" ao título, e indicado que o cerca de 307.000 do primeiro comunicado era uma estimativa de pessoas únicas. A lista de comunicados dos clientes continua como verificada em 12 de outubro.
2026-10-17: Incluído o comunicado da Commune Inc. de 16 de outubro: reabertura em etapas de algumas comunidades a partir de 16 de outubro (para clientes que solicitarem, apenas navegador web, com alguns recursos restritos), recursos indisponíveis na reabertura (o aplicativo, novo cadastro por e-mail, redefinições de "esqueci minha senha"), medidas tomadas durante a manutenção (incluindo a autenticação em dois fatores obrigatória para administradores) e o pedido para trocar senhas. A empresa diz que nenhum novo acesso não autorizado ou vazamento foi encontrado durante a manutenção ou os testes. A lista de comunicados dos clientes continua como verificada em 12 de outubro.
2026-10-14: Incluído o comunicado da Commune Inc. de 13 de outubro: manutenção emergencial desde 00h50 de 10 de outubro, o plano de reabertura em etapas a partir de 16 de outubro, possíveis tentativas de redefinição de senha e seu efeito, e o endereço de contato para membros (user-security@commune.co.jp). A empresa diz que nenhum novo acesso não autorizado ou vazamento foi encontrado desde 9 de outubro.
2026-10-12: Primeira versão, com base no comunicado da Commune Inc. de 9 de outubro e em 12 comunicados de empresas clientes e organizações (em 12 de outubro, confirmamos que não houve atualização ou revisão do comunicado da Commune Inc.). Será atualizada quando forem publicados números por comunidade ou detalhes da causa.
Leia em seguida
- Divulgações relacionadas: Acesso não autorizado à Studio e orientações aos usuários
- Casos semelhantes: Violação do fornecedor da Daiwa Securities / Acesso não autorizado ao serviço de alerta de desastres SpeeCAN RAIDEN
- Mensagens falsas e senhas: O que é phishing? / Como verificar se sua senha vazou / Como escolher a MFA da forma certa
- Outros incidentes de 2026: Violações de dados e ataques cibernéticos de 2026