Para quem é: quem verifica, com números, se as violações de dados no Japão estão aumentando, quem quer citar os números em relatórios ou treinamentos e organizações que decidem o que corrigir primeiro. Esta página se baseia nos relatórios anuais e nas divulgações trimestrais da Comissão de Proteção de Informações Pessoais do Japão (a PPC, ou "a comissão" abaixo) e em dados públicos de outros reguladores.
Relatórios de vazamento por ano fiscal
Estes são os números de relatórios de vazamento de dados pessoais dos relatórios anuais da comissão. Empresas (operadores de negócios que tratam informações pessoais) e entidades públicas (órgãos do governo nacional e governos locais) são contadas separadamente. O ano fiscal do Japão vai de abril até o março seguinte.
Laranja = antes da notificação obrigatória (até FY2021) / verde = depois / azul = apenas abril a junho de 2026
| Ano fiscal | Relatórios de empresas | Relatórios de entidades públicas | Como foi contado |
|---|---|---|---|
| FY2020 | 4.141 | — | Antes da notificação obrigatória. Relatórios recebidos, incluindo 1.992 por meio de organizações credenciadas |
| FY2021 | 5.846 | — | Antes da notificação obrigatória. Relatórios recebidos, incluindo 2.418 por meio de organizações credenciadas |
| FY2022 | 7.685 | 114 | Primeiro ano de notificação obrigatória. Relatórios enviados |
| FY2023 | 12.120 | 1.159 (nacional 162, local 997) | Relatórios processados |
| FY2024 | 19.056 | 1.951 (nacional 221, local 1.730) | Relatórios processados. Inclui 2.745 relatórios de um único incidente em um terceirizado |
| FY2025 | 17.139 | 2.278 (nacional 248, local 2.030) | Relatórios processados |
| FY2026 T1 | 5.451 | 650 (nacional 66, local 584) | Relatórios processados (abril a junho, preliminar) |
Os governos locais passaram a estar sujeitos às regras de notificação da lei em abril de 2023, por isso os números de entidades públicas sobem a partir de FY2023.
O total de 6.101 do 1º trimestre de FY2026 combina os 5.451 relatórios de empresas com os relatórios de entidades públicas. Considerando apenas as empresas, são cerca de 9% a mais que no mesmo trimestre do ano anterior (5.007). A comissão observa que os números trimestrais valem na data de publicação e podem ser revisados no relatório anual.
O que deve ser relatado e por que a contagem subiu a partir de FY2022
A Lei de Proteção de Informações Pessoais revisada entrou em vigor em 1º de abril de 2022. Desde então, um vazamento (ou possível vazamento) que atenda a qualquer uma das condições a seguir deve ser relatado à comissão e comunicado às pessoas afetadas.
| A notificação é obrigatória quando o vazamento | Exemplos | Relatórios de empresas no 1º trimestre de FY2026 |
|---|---|---|
| Envolve informações pessoais sensíveis | Histórico médico, registros de tratamento, receitas | 3.196 (58,6%) |
| Pode causar prejuízo financeiro se usado indevidamente | Números de cartão de crédito, IDs de login e senhas de serviços que podem enviar ou pagar dinheiro | 1.093 (20,1%) |
| Pode ter sido causado com intenção maliciosa | Acesso não autorizado, dados levados por um funcionário | 1.450 (26,6%) |
| Afeta mais de 1.000 pessoas | Uma grande lista de clientes | 246 (4,5%) |
Um caso pode atender a várias condições, por isso as parcelas somam mais de 100%. Um relatório preliminar é devido em cerca de 3 a 5 dias após a descoberta, e um relatório final em até 30 dias (60 dias quando há suspeita de intenção maliciosa).
Informações pessoais sensíveis devem ser relatadas mesmo para uma pessoa. Por isso, hospitais e farmácias que entregam os documentos de outro paciente (como contas médicas detalhadas) à pessoa errada representam grande parte dos relatórios. A própria comissão atribui o aumento de FY2022 à obrigatoriedade da notificação e à maior conscientização sobre ela. Comparar os números antes e depois de 2022 e concluir que "as violações dobraram" é uma interpretação equivocada.
Causas: erros de destinatário predominam, e o acesso não autorizado varia de um ano para o outro
As tabelas de anexo dos relatórios anuais trazem as causas dos relatórios enviados diretamente à comissão (excluindo os encaminhados por outros ministérios). Este site combinou as linhas sobre onde o vazamento ocorreu (a empresa que relatou, um terceirizado ou desconhecido) para calcular as parcelas abaixo.
| Causa | FY2023 (7.075) | FY2024 (14.198) | FY2025 (13.345) |
|---|---|---|---|
| Entregue à pessoa errada | 62,7% | 40,0% | 48,3% |
| Enviado ao destinatário errado | 18,0% | 20,8% | 26,0% |
| Perda | 5,1% | 4,0% | 5,7% |
| Acesso não autorizado | 6,3% | 27,3% | 9,4% |
| Descarte indevido, roubo, má conduta interna | 1,6% | 1,3% | 1,8% |
| Outras | 6,4% | 6,6% | 8,8% |
O acesso não autorizado saltou para 27,3% em FY2024, provavelmente porque uma empresa que operava um sistema de administração de seguro social e de recursos humanos foi atingida por ransomware, e muitas de suas empresas clientes enviaram relatórios. Segundo a comissão, 2.745 relatórios sobre esse único incidente estão incluídos na contagem de FY2024.
Sem eles, FY2024 seria de cerca de 16.300, e os 17.139 de FY2025 são superiores a esse número. A queda em FY2025 reflete em grande parte a ausência de um grande incidente único semelhante; não mostra que os vazamentos cotidianos diminuíram.
Visão deste site: contar relatórios e contar pessoas aponta para prioridades diferentes
Pelo número de relatórios, os casos que afetam 1.000 pessoas ou menos representam 93,6% (FY2025), e as principais causas são documentos em papel entregues ou enviados à pessoa errada. Pelo número de pessoas afetadas em incidentes anunciados pelas empresas, o acesso não autorizado domina (na contagem da Tokyo Shoko Research abaixo, incidentes causados por malware ou acesso não autorizado afetaram em média cerca de 560.000 pessoas cada).
Assim, organizações que tratam dados pessoais em balcões ou por correio podem reduzir a maior parte de seus relatórios com verificações de destinatário. Organizações que mantêm grandes bases de clientes em seus sistemas devem priorizar as defesas contra acesso não autorizado, mesmo que esses incidentes sejam menos frequentes. Decida o primeiro passo de acordo com o perfil que mais se parece com o seu.
Dos 1.256 relatórios de acesso não autorizado em FY2025, 328 (cerca de 26%) ocorreram em um terceirizado e 395 tinham origem desconhecida. Proteger apenas os próprios sistemas não basta; os terceirizados que mantêm seus dados pessoais também fazem parte do escopo.
Incidentes divulgados por empresas listadas (Tokyo Shoko Research)
A empresa de pesquisa de crédito Tokyo Shoko Research contabiliza, por ano-calendário, os incidentes de vazamento e perda de dados pessoais divulgados por empresas listadas e suas subsidiárias. Em 2025 foram 180 (em 158 empresas), atrás apenas do recorde de 189 em 2024. Cerca de 30,6 milhões de pessoas tiveram dados vazados ou perdidos, quase o dobro do ano anterior.
Infecções por malware e acessos não autorizados responderam por 116 dos incidentes, mais de 60%. Essa contagem difere dos relatórios à comissão em escopo (apenas incidentes anunciados por empresas listadas) e em método (ano-calendário, por incidente), por isso os dois números não devem ser somados nem comparados diretamente.
Segundo a 東京商工リサーチ TSRデータインサイト (Tokyo Shoko Research, TSR Data Insight, 7 de outubro de 2026), já havia 10 incidentes de 1 milhão de registros ou mais em 2026 até 5 de outubro, contra 6 em todo o ano de 2025. Vazamentos de 10 milhões ou mais ocorreram 3 vezes nos 14 anos até 2025, e 3 vezes em 2026 somente até 5 de outubro; o maior foi de 12.231.954 endereços de e-mail da KDDI. Alguns incidentes citados na divulgação são contados por contas ou foram anunciados como possíveis vazamentos, por isso os números nem sempre correspondem a pessoas.
Outros países (para referência)
As condições de notificação e os métodos de contagem variam de país para país. Os números abaixo não podem ser comparados diretamente com os do Japão.
Reino Unido: relatórios de violação ao ICO
- O regulador britânico de proteção de dados (ICO) publica dados sobre os relatórios de violação de dados pessoais que recebe a cada trimestre
- Contando os dados publicados (até o 4º trimestre de 2025), este site encontrou cerca de 13.500 relatórios em 2025
- Cerca de três quartos não eram de natureza cibernética, e o tipo mais comum foi "dados enviados por e-mail ao destinatário incorreto" (cerca de 2.500)
EUA: violações no setor de saúde (HHS)
- O Escritório de Direitos Civis do HHS publica cada violação de dados de saúde que afete 500 pessoas ou mais
- Uma contagem privada (HIPAA Journal) registra 710 violações desse tipo relatadas em 2025
- Na lista de casos sob investigação em 11 de outubro de 2026, 365 das 386 violações relatadas em 2026 são "Hacking/IT Incident"
No Reino Unido também, o e-mail enviado ao destinatário errado é o tipo mais comum, por isso erros humanos respondem por grande parte das notificações, como no Japão. A lista de saúde dos EUA mostra apenas violações de 500 pessoas ou mais, então pequenos envios equivocados não aparecem e o acesso não autorizado se destaca.
O que os números significam para você
Organizações: adotem verificações de destinatário ao entregar ou enviar documentos
Entregar à pessoa errada e enviar ao destinatário errado somam juntos cerca de três quartos dos relatórios enviados diretamente à comissão. Nos balcões, confirme a identidade com dois dados, como nome e data de nascimento, antes de entregar documentos, e peça que outra pessoa confira o endereço com o conteúdo ao embalar correspondências. Para e-mails, use uma configuração que retenha mensagens externas por alguns minutos para revisão, e use um sistema de envio em massa em vez dos campos Para ou Cc ao escrever para muitas pessoas de fora ao mesmo tempo.
Organizações: criptografem notebooks e armazenamento que saem do escritório
A perda ocorre em cerca de 5% todos os anos. Notebooks e pendrives criptografados são muito mais difíceis de ler se forem perdidos (segurança de notebooks em viagens).
Organizações: corrijam dispositivos expostos à internet e adotem autenticação multifator
A comissão lista as causas que identificou nos casos de acesso não autorizado: equipamentos VPN e outros softwares sem correções após o lançamento de atualizações, IDs e senhas fáceis de adivinhar e configurações incorretas (relatório anual de FY2024). Mantenha uma lista de dispositivos expostos à internet, cada um com um responsável nomeado pelas atualizações (por que dispositivos VPN se tornam portas de entrada e como se defender), e exija autenticação multifator para acesso remoto e telas administrativas (como escolher a autenticação multifator).
Organizações: listem os terceirizados que mantêm seus dados pessoais
Registrem quais terceirizados mantêm quais dados pessoais e de quantas pessoas, e definam no contrato em quanto tempo eles devem avisar sobre um incidente. Mesmo quando o vazamento ocorre em um terceirizado, a empresa que confiou os dados também tem o dever de relatar. As prioridades gerais estão em a linha de base de segurança para organizações.
Organizações: estabeleçam um fluxo de notificação que cumpra o prazo de 3 a 5 dias
Definam antecipadamente quem deve ser avisado por quem percebe um vazamento e em que ordem. A comissão também orientou empresas cujos relatórios foram atrasados de forma significativa.
Pessoas físicas: verifiquem o site oficial antes de agir diante de um aviso de desculpas
Não façam login a partir de links em comunicados de violação ou e-mails de "desculpas"; abram o site oficial por conta própria para confirmar. Se uma senha pode ter vazado, altere-a em todos os serviços onde a usou (como verificar se sua senha vazou).
Como ler estes números
Contagens de relatórios não são contagens de incidentes
Um incidente pode gerar vários relatórios. Quando o tratamento de dados pessoais é terceirizado, tanto a empresa que confiou os dados quanto o terceirizado geralmente precisam relatar, por isso um incidente em um terceirizado pode gerar relatórios de muitas empresas clientes (os 2.745 de FY2024 são um exemplo). Os relatórios também podem ir a mais de um ministério.
Não misture anos fiscais e anos-calendário. A comissão conta de abril a março; a Tokyo Shoko Research conta de janeiro a dezembro. A comissão também conta um relatório quando termina de processá-lo, o que pode diferir da data em que o incidente ocorreu.
A notificação não era obrigatória até FY2021, por isso a base mudou em FY2022. Os relatórios anuais também formulam de maneira diferente: "relatórios enviados" para FY2022 e "relatórios processados" a partir de FY2023.
Vazamentos de dados que contenham o My Number (número individual do Japão) são contados separadamente dos números acima (em FY2025 a comissão processou 392 relatórios, incluindo casos de possíveis violações da Lei do My Number, dos quais 74 eram relatórios legais de vazamento).
Fontes e uso dos dados
Os números desta página foram conferidos com os documentos oficiais abaixo em 11 de outubro de 2026 (os números da divulgação da Tokyo Shoko Research de 7 de outubro de 2026 foram conferidos em 23 de outubro). A página é atualizada quando a comissão publica cada trimestre (próximo: 2º trimestre de FY2026).
- Comissão de Proteção de Informações Pessoais, "Processamento de relatórios de vazamento no 1º trimestre de FY2026" (2 de setembro de 2026, em japonês) — ppc.go.jp
- Comissão de Proteção de Informações Pessoais, "Relatório Anual FY2025" (texto e tabelas de anexo, em japonês) — HTML / PDF
- Idem, FY2024 — HTML / PDF
- Idem, FY2023 — HTML / PDF
- Idem, FY2022, FY2021 e FY2020 — FY2022 / FY2021 / FY2020
- Comissão de Proteção de Informações Pessoais, "Resposta a vazamentos" (quando a notificação é obrigatória e os prazos, em japonês) — ppc.go.jp
- Tokyo Shoko Research, incidentes de vazamento e perda de dados pessoais em empresas listadas em 2025 (30 de janeiro de 2026, em japonês) — tsr-net.co.jp
- 東京商工リサーチ TSRデータインサイト (Tokyo Shoko Research, TSR Data Insight): vazamentos de dados pessoais em empresas listadas em ritmo recorde, com 10 incidentes de 1 milhão ou mais já em 2026 (7 de outubro de 2026, em japonês) — tsr-net.co.jp
- ICO, "Tendências de incidentes de segurança de dados" (dados: 1º trimestre de 2019 ao 4º trimestre de 2025) — ico.org.uk
- US HHS Office for Civil Rights, "Breach Portal" — ocrportal.hhs.gov
- HIPAA Journal, "2025 Healthcare Data Breach Report" — hipaajournal.com
Uso dos dados e atribuição
Fonte: site da Comissão de Proteção de Informações Pessoais (https://www.ppc.go.jp/aboutus/report/ e https://www.ppc.go.jp/files/pdf/260902quarter-report_roueihoukoku.pdf), acessado em 11 de outubro de 2026. A tabela anual, o gráfico e as parcelas de causas desta página foram criados por este site a partir do processamento dos relatórios anuais da comissão e de sua divulgação do 1º trimestre de FY2026 sobre relatórios de vazamento; não foram produzidos pela comissão. O conteúdo da comissão é usado sob a Public Data License (Versão 1.0) (PDL1.0).
Os números do Reino Unido foram contados por este site a partir dos dados publicados pelo ICO. Contém informações do setor público licenciadas sob a Open Government Licence v3.0.
Histórico de atualizações
2026-10-23: Acrescentados os números de 2026 de vazamentos de 1 milhão e 10 milhões de registros ou mais (até 5 de outubro) da 東京商工リサーチ TSRデータインサイト (7 de outubro de 2026).
2026-10-11: Primeira publicação. Conferidos os números anuais e outros dados com os documentos da PPC e da Tokyo Shoko Research.
Leia em seguida
- Principais incidentes de 2026: linha do tempo de violações de dados e ciberataques de 2026
- Como os atacantes entraram: pontos de entrada nas violações de 2026 no Japão (análise de vários casos)
- Para organizações: a linha de base de segurança para organizações / como defender dispositivos VPN / como escolher a autenticação multifator
- Para pessoas físicas: verifique se sua senha vazou / se os dados da sua carteira de motorista vazaram
- Termos: o que é ransomware / o que é phishing