Para: pessoas com conta na Daiwa Securities que entraram em contato com a empresa online, e empresas que usam serviços terceirizados para atender consultas de clientes. Este artigo se baseia no aviso oficial da Daiwa Securities Co. Ltd. e nos avisos do fornecedor e de outras empresas que usam o serviço do mesmo fornecedor (Citizen Watch, Sompo Japan, ORIX Life Insurance, Tobu Railway e au Jibun Bank), e não trata de técnicas de ataque.
O que os clientes devem fazer hoje
Verifique se você é afetado na sua caixa de mensagens
Segundo o site da empresa, os clientes afetados foram contatados individualmente em 5 de outubro pela caixa de mensagens (お知らせBOX) da negociação online. Entre por conta própria, pelo favorito ou pelo aplicativo oficial, não pelo link de um e-mail, e verifique ali.
Se tiver dúvidas, ligue para a linha dedicada (0120-851850, das 9h às 17h, horário do Japão, fechada aos fins de semana e feriados). Use o número publicado no site oficial da empresa, não um número informado em uma mensagem recebida.
Nunca faça login a partir de links em e-mails ou mensagens de texto
O que pode ter vazado são seu nome, endereço de e-mail, número de conta e o conteúdo de suas consultas. Juntos, esses dados permitem criar uma mensagem falsa com o nome certo, o número de conta certo e uma referência à sua consulta anterior.
A página de phishing da empresa orienta os clientes a não fazer login na negociação online a partir de e-mails. Mesmo que uma mensagem fale de verificação de segurança, desculpas ou compensação, não abra o link; entre pelo seu favorito habitual ou pelo aplicativo oficial (como identificar golpes: O que é phishing?).
Nunca informe a ninguém seu ID, senha, PIN ou senhas de uso único
A empresa pede que os clientes não informem seu ID de negociação, senha, PIN ou senhas de uso único em resposta a mensagens suspeitas. O mesmo vale se alguém ligar dizendo que é "para confirmar sua identidade".
Quem sabe seu nome e número de conta não provou nada. Essa é exatamente a informação que pode ter vazado.
Entre com uma chave de acesso (passkey) e verifique as notificações de operações
A empresa oferece login com passkey na negociação online, usando impressão digital ou reconhecimento facial. Uma passkey só funciona no site real, por isso ajuda a evitar o dano que ocorre quando você digita seu ID e senha em um site falso (como funciona: O que é passkey?; comparação com outros métodos: Escolhendo MFA do jeito certo).
Confirme também que as notificações de operações estão ativadas. Esses e-mails chegam quando alguém entra, negocia, saca dinheiro ou altera dados pessoais. A empresa afirma que as ativou, em princípio, para todos os clientes a partir de 11 de maio de 2025.
Revise seu histórico de operações
Depois de entrar na negociação online, abra o menu "お手続き・サポート" (procedimentos e suporte) e escolha "操作履歴" (histórico de operações) para ver os acessos e procedimentos recentes.
Se você vir um acesso, uma negociação ou uma alteração que não fez, troque sua senha imediatamente e entre em contato com a empresa. Se usa a mesma senha em outros serviços, troque-a também por lá (como verificar: Como verificar se sua senha vazou).
O que aconteceu (segundo o aviso da Daiwa Securities)
A Daiwa Securities Co. Ltd. publicou um aviso em 5 de outubro de 2026 sobre o possível vazamento de informações de clientes por meio de acesso não autorizado a um fornecedor externo. Tudo o que está abaixo vem desse aviso.
Cerca de 20h33 de 2 de outubro às 8h01 de 3 de outubro de 2026
Segundo o fornecedor, o acesso não autorizado ao servidor do fornecedor ocorreu nesse intervalo.3 de outubro
O fornecedor informou à empresa que havia encontrado sinais de acesso e recuperação de informações de clientes da empresa.5 de outubro
A empresa anunciou o incidente e entrou em contato individualmente com os clientes afetados pela caixa de mensagens da negociação online.
- Onde
- O servidor do fornecedor que presta o serviço usado pela empresa para gerenciar consultas online de clientes
- Escopo
- Dados de consultas de cerca de 110.000 clientes; cerca de 220.000 registros, incluindo consultas que não identificam ninguém
- Itens
- Nome, endereço de e-mail, número de conta e outras informações dos registros de consultas já recebidas
- Contas
- A empresa afirma que esses dados não podem ser usados para acessar contas de valores mobiliários nem para negociar, inclusive por meio de negociação online
- Sistemas da empresa
- O acesso se deu apenas ao servidor do fornecedor; não foi encontrado acesso não autorizado aos sistemas da empresa
- Causa
- Não informada no aviso da empresa. A empresa afirma que vai revisar a investigação da causa raiz feita pelo fornecedor (a versão do fornecedor está na próxima seção)
- Resposta do fornecedor
- O fornecedor informou reforço emergencial de segurança e que, até o momento, não foram encontrados outros acessos não autorizados nem vazamentos
- Contato
- Linha dedicada 0120-851850 (das 9h às 17h, horário do Japão, fechada aos fins de semana e feriados)
O aviso do fornecedor e outras empresas afetadas
Em 6 de outubro, o fornecedor que presta o serviço de gerenciamento de consultas e sua controladora publicaram, cada um, um aviso. Ele mostra que o acesso não autorizado não se limitou à Daiwa Securities: atingiu os ambientes de várias empresas clientes que rodam no mesmo servidor. O aviso do fornecedor não nomeia as empresas clientes.
- O que aconteceu
- Entre cerca de 20h30 de 2 de outubro e cerca de 8h de 3 de outubro, um terceiro fez login no site de gerenciamento do serviço sem autorização e colocou um programa não autorizado em um servidor gerenciado pelo fornecedor. Dados de consultas podem ter sido copiados dos bancos de dados dos ambientes de clientes que rodam no mesmo servidor
- Escopo
- Dados de consultas armazenados nos ambientes de clientes no mesmo servidor (até cinco empresas)
- Registros
- Até 713.126, contados por consulta; assim, várias consultas da mesma pessoa são contadas separadamente. O número real de pessoas ainda está sendo apurado
- Itens
- Nome, endereço de e-mail, conteúdo das consultas etc. (os itens variam conforme a empresa cliente)
- Detecção
- Uma investigação começou na manhã de 3 de outubro, após um alerta de monitoramento de banco de dados; o acesso foi interrompido por volta das 8h desse dia
- Resposta
- Troca da senha da conta usada para o login não autorizado, isolamento do programa não autorizado, troca de senhas de administrador em todos os ambientes e alteração de configurações para que arquivos enviados não possam ser executados como programas, entre outras medidas. Uma investigação forense (procurando vestígios da invasão) está em andamento com especialistas externos, e o incidente foi comunicado à Comissão de Proteção de Informações Pessoais do Japão
- Medidas planejadas
- Com base na investigação, autenticação mais forte para administradores (incluindo autenticação multifator), separação entre ambientes, monitoramento reforçado e avaliações regulares de vulnerabilidade por terceiros (aviso do fornecedor)
- Danos secundários
- Nenhum encontrado até 6 de outubro
Desde então, outras empresas clientes publicaram avisos informando que o mesmo fornecedor as comunicou sobre o incidente. Estes são os avisos oficiais que este site pôde confirmar até 10 de outubro.
| Empresa (data) | Serviço envolvido | Contagem (conforme declarada por cada empresa) | Dados próprios |
|---|---|---|---|
| Daiwa Securities (5 de outubro) | Gerenciamento de consultas online | Cerca de 110.000 pessoas (cerca de 220.000 registros) | Podem ter vazado (empresa) |
| Citizen Watch (6 de outubro) | Formulários de contato dos sites das marcas | Cerca de 100.000 pessoas (formulário de consulta dedicado disponível) | Podem ter vazado (empresa) |
| Sompo Japan (7 de outubro) | FAQ e consultas do SMILING ROAD | Cerca de 60.000 registros, contados por consulta | Podem ter vazado (empresa) |
| ORIX Life Insurance (8 de outubro) | Gerenciamento de consultas do site | Cerca de 26.500 registros (incluindo consultas repetidas) | Podem ter vazado (empresa) |
| Tobu Railway (7 de outubro) | Formulário de contato do centro de atendimento ao cliente | Não informado | Nenhum sinal de visualização ou cópia encontrado (empresa) |
| au Jibun Bank (9 de outubro) | FAQ e formulário de contato por e-mail | Não informado | Não está entre os até cinco ambientes; nenhum vazamento encontrado (empresa) |
Citizen Watch Co., Ltd. (6 de outubro) anunciou que o mesmo fornecedor comunicou acesso não autorizado ao sistema que usa para consultas recebidas pelos formulários de contato de seus sites.
- Escopo: consultas às marcas Citizen, Bulova e Frederique Constant, cerca de 100.000 pessoas
- Itens: nome, endereço, telefone, endereço de e-mail etc. Se os clientes escreveram informações de conta bancária ou de cartão de crédito no campo de consulta, isso também pode ter vazado
- Janela de tempo: cerca de 20h33 de 2 de outubro às 8h01 de 3 de outubro (a mesma do aviso da Daiwa)
- A empresa afirma que entrará em contato individualmente com os clientes afetados; nenhum dano secundário havia sido encontrado até 6 de outubro
- Contato: o formulário de consulta dedicado listado no aviso (contact.citizen.co.jp, em japonês)
Sompo Japan Insurance Inc. (7 de outubro) anunciou o incidente relativo ao SMILING ROAD, seu serviço de dashcam conectado para empresas, para o qual usa os servidores do mesmo fornecedor, principalmente para FAQ e consultas de funcionários de empresas clientes.
- Contagem: cerca de 60.000 registros, contados por consulta (várias consultas da mesma pessoa são contadas separadamente)
- Itens: nome, telefone, endereço, e-mail, dados do empregador (empresa, departamento, setor, nome da agência etc.), ID do motorista, dados de alertas de direção (tipo e horário), dados do dispositivo (como o número de série da dashcam), número do pedido e conteúdo das consultas (assunto e corpo)
- Não incluídos: informações de conta bancária, cartão de crédito e cartão My Number
- Janela de tempo: cerca de 20h33 de 2 de outubro às 8h01 de 3 de outubro (a mesma do aviso da Daiwa)
- A empresa afirma que entrará em contato individualmente com os clientes afetados e que não havia encontrado uso indevido até o aviso. Sua linha dedicada é 0120-268-567 (dias úteis, das 9h às 17h, horário do Japão)
ORIX Life Insurance Corporation (8 de outubro) anunciou o incidente relativo ao serviço do mesmo fornecedor, que usa para gerenciar consultas recebidas pelo seu site oficial.
- Contagem: cerca de 26.500 registros (incluindo consultas repetidas do mesmo cliente)
- Itens: nome, data de nascimento, endereço, telefone, e-mail, número da apólice e conteúdo das consultas (incluindo informações médicas relatadas pelos clientes)
- Não incluídos: informações que possam levar a prejuízo financeiro, como My Number (número nacional de identificação do Japão) ou números de cartão de crédito
- A empresa afirma que entrará em contato individualmente com os clientes afetados por carta ou e-mail, e que não havia encontrado danos secundários até o aviso. Seu centro de atendimento ao cliente é 0120-330-053 (segunda a sexta, das 9h às 17h, horário do Japão)
Outras empresas que usam o serviço do mesmo fornecedor disseram não ter encontrado efeito sobre seus próprios dados.
- Tobu Railway Co., Ltd. (7 de outubro): diz ter sido notificada pelo provedor do serviço por trás do formulário de contato de seu centro de atendimento e que, segundo o fornecedor, a investigação até agora não encontrou sinal de que informações sobre a Tobu tenham sido visualizadas ou copiadas. Por precaução, pede aos clientes que não abram links ou anexos em e-mails suspeitos
- au Jibun Bank Corporation (9 de outubro): diz ter sido notificada pelo provedor do serviço por trás de seu formulário de FAQ e e-mail de contato, que não está entre os até cinco ambientes de clientes anunciados pelo fornecedor, e que não foi encontrado sinal de acesso ou login não autorizado nem vazamento de dados de clientes
O fornecedor diz que até cinco empresas estão envolvidas. Até onde este site pôde confirmar (até 10 de outubro), quatro anunciaram que seus dados de clientes podem ter vazado: Daiwa Securities, Citizen Watch, Sompo Japan e ORIX Life Insurance. Os demais clientes não foram nomeados, e este artigo não especula sobre quem são.
O Iwate Bank e o Shikoku Bank também publicaram avisos repassando o anúncio da Daiwa a seus próprios clientes. Ambos fazem isso como parceiros de negócios da Daiwa; nenhum dos avisos diz que o banco era, ele mesmo, cliente do serviço do fornecedor.
As contagens usam unidades diferentes: o fornecedor, a Sompo Japan e a ORIX Life Insurance contam cada consulta; a Daiwa Securities informa registros e pessoas; a Citizen Watch informa pessoas. Elas não podem ser simplesmente somadas nem subtraídas.
Trate também o que você escreveu em uma consulta como possivelmente vazado
O aviso da Daiwa lista os itens como "nome, endereço de e-mail, número de conta e outros" e não diz como o texto das consultas é tratado. O aviso do fornecedor, por outro lado, inclui o conteúdo das consultas entre os itens.
Se você se lembra de ter escrito um número de cartão de crédito, de conta bancária ou uma data de nascimento em uma consulta, a conduta prudente é presumir que isso também pode ter vazado (visão deste site). No caso de cartão, ligue para a emissora no número no verso do cartão e pergunte se ele deve ser substituído.
Para que os dados vazados podem ser usados
Nenhum desses itens é raro por si só, mas juntos tornam mensagens falsas parecidas com as verdadeiras. O que diferencia este caso é que, além de nome e contato, inclui números de conta e o que os clientes perguntaram.
Nome + e-mail + número de conta
↓→
Pedidos falsos de login com o nome e número de conta certos
→ Nunca faça login a partir de links / use passkey
Nome + conteúdo de consulta anterior
↓→
Ligações ou e-mails falsos começando com "Sobre sua consulta recente…"
→ Nunca informe PIN ou senha de uso único / ligue de volta no número oficial
Não encontrado, segundo o aviso
- Acesso aos sistemas próprios da empresa
- Negociações fraudulentas (até 5 de outubro)
- Publicação ou disseminação dos dados (até 5 de outubro)
- Acesso a contas ou negociação apenas com estes dados (a empresa diz que não é possível)
Podem ter vazado
- Nome
- Endereço de e-mail
- Número de conta e outros detalhes
- Conteúdo das consultas (registros de consultas já recebidas)
Como ler: 'estes dados não podem ser usados para negociar' não significa 'não faça nada'
A empresa afirma que os dados que podem ter vazado não bastam por si sós para acessar contas ou negociar. Ou seja, estes dados sozinhos não são suficientes.
Se você digitar seu ID e senha em um e-mail ou site falso, a situação é outra. A Agência de Serviços Financeiros do Japão alertou que negociações fraudulentas usando IDs e senhas de login roubados por meio de sites falsos que se passam por corretoras têm sido frequentes (alerta da FSA, em japonês). Os dados de login são o provável próximo alvo, por isso não fazer login a partir de links e usar passkey são as defesas essenciais.
O conteúdo das consultas varia de pessoa para pessoa. Se você se lembra do que perguntou, pode perceber quando uma mensagem menciona esse assunto e suspeitar que os dados vazados estão sendo usados.
Para empresas que usam serviços terceirizados para consultas de clientes
Os dados foram armazenados não nos sistemas próprios da empresa, mas no servidor de um fornecedor usado para gerenciar consultas. O fornecedor diz que começou com um login não autorizado no site de gerenciamento, mas a forma como isso se tornou possível não foi divulgada; por isso, esta seção se atém a pontos aplicáveis a qualquer configuração semelhante. Um caso em que o próprio sistema de help desk foi alvo de invasão está coberto em o incidente da DIVD. Aqui acrescentamos o que é específico dos registros de consultas.
Não deixe formulários de consulta coletarem números de conta como texto livre
No campo de mensagem de um formulário de consulta, os clientes costumam digitar números de conta, datas de nascimento e, às vezes, até senhas. Se forem necessárias verificações de identidade, peça que os clientes enviem consultas a partir de uma tela com login feito, e não armazene esses números nos registros de consultas.
Um primeiro passo é detectar, no envio do formulário, sequências com formato de número de conta ou telefone e mascarar parte delas antes de salvar. Alguns serviços de gerenciamento de consultas oferecem a ocultação de dados sensíveis ou a possibilidade de processar o conteúdo antes de armazená-lo.
Defina um prazo de retenção para consultas encerradas e exclua-as ao final
Depois que uma consulta é encerrada, o registro raramente é usado, mas, em um vazamento, todo registro fica exposto. Decida por quanto tempo manter registros antigos e faça com que sejam excluídos automaticamente ao fim do prazo.
Se um fornecedor armazena os dados, defina o prazo de retenção e o método de exclusão no contrato e verifique pelo menos uma vez por ano se a exclusão realmente acontece. Um caso em que os dados não foram excluídos após o fim de um contrato está na entrada ApplyNow da lista de incidentes de 2026.
Liste os fornecedores que guardam dados de clientes, com volumes e prazo de notificação
Liste todo serviço externo que guarde dados de clientes ou candidatos: gerenciamento de consultas, envio de e-mails, pesquisas, recrutamento e assim por diante. Para cada um, anote quantos registros e quais itens ele guarda, e em quantas horas deve avisá-lo se detectar acesso não autorizado.
Comece pelos fornecedores que guardam mais registros e verifique se as telas de administração têm autenticação multifator, restrições de origem e alertas para exportações de grande volume (contexto: Autenticação vs autorização).
Pergunte também se seus dados ficam no mesmo servidor que os ambientes de outros clientes. Neste caso, os ambientes de até cinco empresas em um mesmo servidor foram afetados. Se os seus forem compartilhados, descubra se uma invasão no lado de outro cliente poderia alcançar seus dados.
Fontes (registros públicos)
Os fatos deste artigo se baseiam nas informações públicas abaixo. Não especulamos sobre métodos ou causas não divulgados.
- Daiwa Securities Co. Ltd., aviso sobre o possível vazamento de informações de clientes por acesso não autorizado a um fornecedor externo (5 de outubro de 2026, em japonês) — comunicado da empresa (PDF)
- Aviso no site da Daiwa Securities (contato individual pela caixa de mensagens, em japonês) — daiwa.jp
- Daiwa Securities, alerta de phishing (em japonês) — daiwa.jp
- Daiwa Securities, configurações de segurança (passkeys, notificações de operações, histórico de operações; em japonês) — daiwa.jp
- [A controladora do fornecedor], pedido de desculpas e aviso sobre vazamento de informações pessoais causado por acesso não autorizado em uma subsidiária consolidada (当社連結子会社における不正アクセスによる個人情報漏えいに関するお詫びとお知らせ, 6 de outubro de 2026, em japonês) — aviso da controladora do fornecedor (PDF)
- [O fornecedor], pedido de desculpas e aviso sobre vazamento de informações pessoais causado por acesso não autorizado ao sistema de FAQ [serviço do fornecedor] (6 de outubro de 2026, em japonês) — aviso do fornecedor
- Citizen Watch Co., Ltd., aviso sobre o possível vazamento de informações de clientes por acesso não autorizado a um terceirizado (委託先事業者に対する不正アクセスによるお客様情報の漏えいの可能性について, 6 de outubro de 2026, em japonês) — citizen.co.jp
- Sompo Japan Insurance Inc., aviso sobre o possível vazamento de informações de clientes por acesso não autorizado a um sistema terceirizado usado em um serviço empresarial (当社事業者向けサービスで使用する外部委託先システムへの不正アクセスによるお客さま情報漏えいの可能性について, 7 de outubro de 2026, em japonês) — sompo-japan.co.jp (PDF)
- ORIX Life Insurance Corporation, aviso sobre um possível vazamento de informações pessoais em um terceirizado (当社の委託先における個人情報漏えいの可能性について, 8 de outubro de 2026, em japonês) — orixlife.co.jp (PDF)
- Tobu Railway Co., Ltd., aviso sobre acesso não autorizado a um terceirizado (委託先事業者への不正アクセスについて（お知らせ）, 7 de outubro de 2026, em japonês) — tobu.co.jp (PDF)
- au Jibun Bank Corporation, aviso sobre como o incidente de acesso não autorizado a um sistema de FAQ [serviço do fornecedor] afeta o banco (9 de outubro de 2026, em japonês) — jibunbank.co.jp (PDF)
- Iwate Bank, Ltd., aviso repassando aos clientes o anúncio da Daiwa Securities no âmbito de sua aliança de negócios com a Daiwa (em japonês) — iwatebank.co.jp
- The Shikoku Bank, Ltd., aviso repassando aos clientes o anúncio da Daiwa Securities (5 de outubro de 2026, em japonês) — shikokubank.co.jp
- Agência de Serviços Financeiros, alerta sobre acesso não autorizado e negociações fraudulentas em negociação online (em japonês) — fsa.go.jp
- Nikkei (5 de outubro de 2026, em japonês) — nikkei.com
- Kyodo News (5 de outubro de 2026, via Yahoo! News Japan, em japonês) — news.yahoo.co.jp
Histórico de atualizações
2026-10-06: Primeira versão, baseada no aviso da Daiwa Securities de 5 de outubro. A empresa diz que vai revisar a investigação da causa raiz feita pelo fornecedor; este artigo será atualizado quando novos fatos forem publicados.
2026-10-07: Acrescentados os avisos do fornecedor (6 de outubro) e da Citizen Watch (6 de outubro): uma nova seção sobre o aviso do fornecedor e outras empresas afetadas, perguntas frequentes sobre outras empresas e sobre números de cartão escritos em consultas, e descrição atualizada da causa com base no aviso do fornecedor.
2026-10-10: Acrescentados os avisos da Sompo Japan (7 de outubro) e da ORIX Life Insurance (8 de outubro), e da Tobu Railway (7 de outubro) e do au Jibun Bank (9 de outubro), que usam o mesmo serviço do fornecedor, mas não encontraram efeito sobre seus próprios dados. Acrescentada uma tabela das empresas na seção sobre o aviso do fornecedor e atualizadas as perguntas frequentes sobre outras empresas.
2026-10-11: Acrescentado às fontes o próprio aviso do fornecedor de 6 de outubro (incluindo as medidas planejadas). Acrescentado o formulário de consulta dedicado da Citizen Watch. Registrado que os avisos do Iwate Bank e do Shikoku Bank repassam o anúncio da Daiwa como parceiros e não acrescentam empresas clientes afetadas.
2026-10-22: Em Leia também, descrito o número 166.505 da Commune como contado por comunidade.
Leia também
- Preparação para golpes derivados: O que é phishing? / O que é passkey?
- Proteção do seu login: Escolhendo MFA do jeito certo / Como verificar se sua senha vazou
- Outros incidentes japoneses deste mês: violação de dados do aplicativo Yakiniku King / violação de dados da Times Car
- Dados de clientes em risco no computador de um terceirizado: Malware em computador de um terceirizado da Daiichikosho (cerca de 8,72 milhões de registros)
- Dados de membros de várias empresas vazados por um único serviço: Acesso não autorizado à Commune (166.505 membros de comunidades, contados por comunidade)
- Outra corretora deste mês: Vazamento da Iwai Cosmo Securities via fornecedor (4.975 clientes, ordens não intencionais em 7 contas)
- Outros incidentes de 2026: Vazamentos de dados e ataques cibernéticos de 2026