Para: quem solicitou ou comprou títulos digitais ou valores mobiliários digitais (security tokens), especialmente quem pode ter o número da conta bancária incluído. Este artigo é uma explicação baseada nos comunicados oficiais das empresas; não trata de técnicas de ataque.
Em andamento: este artigo será atualizado conforme as organizações publicarem mais informações
- Quem é afetado
quem solicitou ou comprou títulos digitais ou valores mobiliários digitais (security tokens), especialmente quem pode ter o número da conta bancária incluído.
- Confirmado até agoraVer a tabela ↓
- Marui Group (emissor)
- Sony Bank (distribuidor)
- NTT Data (provedora da plataforma)
Mais 1
- Phillip Securities Japan (distribuidor)
Apontado como possivelmente afetado
- Rakuten Securities (distribuidor)
- Kagome (emissor)
- Kintetsu Group Holdings (emissor)
Mais 2
- West Japan Railway (emissor)
- Starts Securities (distribuidor)
- Ainda não confirmado
- Detalhes da causa (caminho e alcance)
- Lista final de afetados e números entre emissores e distribuidores
- Se outros emissores ou distribuidores farão comunicados
Mais 2
- Se os dados foram usados indevidamente
- Quando as negociações e os serviços serão retomados
- O que fazer agoraVer os passos ↓
- Não responda a contatos em nome dessas empresas
- Confira os avisos individuais abrindo-os você mesmo
- Se o número da sua conta bancária puder estar incluído, confira a movimentação da conta
Mais 3
- Proteja seu login de valores mobiliários (se tiver conta na Rakuten Securities)
- Saiba que algumas negociações estão suspensas
- Se informou dados ou enviou dinheiro, peça ajuda imediatamente
- Onde verificar (fonte)Todas as fontes ↓
- Marui Group, «Information leak of customers due to unauthorized access to an outside contractor managing digital bonds» (2 de novembro de 2026)
- Última verificação
- Em 14 de novembro de 2026
Próximos avisos e o que verificamos
Este site confirmou comunicados oficiais de 10 empresas. Outras empresas teriam feito comunicados também, mas não conseguimos confirmá-los, então não estão na tabela. As empresas dizem que nenhum dano secundário (como negociações não autorizadas) foi confirmado, ou não encontramos registro de algum. Quando conferimos os comunicados em 14 de novembro, a atualização mais recente era de 4 de novembro (Sony Bank).
O que os afetados devem fazer hoje
Não responda a contatos em nome dessas empresas
Os dados que podem ter vazado são nomes e dados de contato. O Marui Group diz que podem ser usados para falsificação de identidade e e-mails e SMS suspeitos, e pede que você não abra URLs de mensagens que não reconheça nem informe dados pessoais. A Kagome, o Kintetsu Group Holdings e a West Japan Railway também pedem cuidado com e-mails, SMS e ligações suspeitos em nome deles.
Confira se um contato é real abrindo você mesmo o site ou o app oficial, não por um link da mensagem. Como diferenciar está em O que é phishing?
Confira os avisos individuais abrindo-os você mesmo
As empresas dizem que contatarão individualmente os clientes afetados. A Kagome diz que avisará pelos Avisos importantes exibidos após o login na Rakuten Securities, a vendedora. A West Japan Railway diz que a Rakuten Securities contatará os afetados por e-mail ou outros meios. O Marui Group diz que contatará os clientes afetados em sequência.
Para conferir como será contatado, use os telefones e e-mails oficiais da tabela de contatos abaixo.
Se o número da sua conta bancária puder estar incluído, confira a movimentação da conta
Números de conta bancária podem estar incluídos para 54 pessoas do Marui Group e 4 do Sony Bank. Nenhum dos comunicados diz que PINs ou senhas de conta vazaram. Mas quem conhece seu número de conta e seu nome tem mais facilidade para fazer um contato que pareça uma transferência (opinião deste site). Confira o extrato no app do banco ou na caderneta, e não responda a nenhum contato que peça PINs ou senhas de uso único.
Se receber um depósito inesperado ou uma mensagem dizendo «transferi por engano, devolva», não envie dinheiro por conta própria; fale primeiro com seu banco. Nenhum dos comunicados recomenda trocar de conta. Para orientações gerais, veja o alerta da Associação de Banqueiros do Japão e o aviso da Agência Nacional de Polícia (ambos em japonês; orientações gerais, não sobre este incidente).
Proteja seu login de valores mobiliários (se tiver conta na Rakuten Securities)
A Rakuten Securities diz que IDs de login e senhas não estão entre os dados que podem ter vazado. Está tornando obrigatório o login com passkey, que resiste ao phishing, e recomenda configurá-lo se você ainda não o fez. Veja O que é uma passkey? e Como escolher a autenticação em dois fatores.
Saiba que algumas negociações estão suspensas
O Sony Bank diz que a negociação de valores mobiliários digitais está suspensa e que avisará os clientes após a recuperação. A NTT Data também suspendeu sua plataforma de valores mobiliários digitais «STdirectServices» e decidirá sobre a retomada após confirmar as medidas de segurança. Cuidado com mensagens que finjam ser avisos sobre a suspensão.
Se informou dados ou enviou dinheiro, peça ajuda imediatamente
Se informou dados de conta ou dados pessoais na página de uma mensagem suspeita, ou enviou dinheiro, fale imediatamente com seu banco ou corretora. Você também pode ligar para a linha de consultas da polícia (#9110) ou para a Linha do Consumidor (188). Para atividade suspeita em uma conta, veja Como verificar acessos não autorizados.
O que aconteceu (segundo os comunicados das empresas)
Vários emissores e distribuidores dizem que o sistema da mesma terceirizada foi acessado sem autorização. Os comunicados do Marui Group, Sony Bank, NTT Data e outros nomeiam a terceirizada como Securitize Japan. O que segue vem dos comunicados deles. As datas são as de anúncio de cada empresa; nem todos saíram ao mesmo tempo.
29 out.
Um terceiro acessou o sistema da terceirizada. A Starts Securities diz que a terceirizada detectou o acesso em 29 de outubro. A Phillip Securities Japan diz que o acesso ocorreu na madrugada daquele dia e foi confirmado naquela manhã. O Marui Group e a NTT Data dizem que o acesso não autorizado ocorreu (foi recebido) em 29 de outubro.30 out.
A NTT Data informou emissores e distribuidores (Kagome, Kintetsu Group Holdings, West Japan Railway). O Sony Bank publicou seu comunicado com data de 30 de outubro.31 out.
A NTT Data anunciou a suspensão do «STdirectServices» (primeiro relatório). Rakuten Securities, Starts Securities, Kagome, Kintetsu Group Holdings e West Japan Railway fizeram seus anúncios. A Phillip Securities Japan também emitiu seu primeiro comunicado; no acompanhamento de 2 de novembro, diz que parte daquele comunicado, sobre o alcance das informações de clientes cujo vazamento foi confirmado, estava errada e a corrigiu.2 nov.
Marui Group (até 9.086 pessoas), NTT Data (segundo relatório), Pan Pacific International Holdings (primeiro relatório) e Phillip Securities Japan (acompanhamento, 162 pessoas) fizeram seus anúncios. O Sony Bank atualizou seu comunicado neste dia e em 4 de novembro (a página não descreve o que mudou).14 nov.
Este site conferiu o comunicado de cada empresa. Não encontramos nada mais recente que o acima.
- Ocorrência
- 29 de outubro de 2026 (acesso não autorizado de um terceiro ao sistema da terceirizada que fornece a gestão de títulos digitais e valores mobiliários digitais)
- Quem é afetado
- Pessoas que solicitaram ou compraram títulos digitais ou valores mobiliários digitais. Os números diferem por emissor e distribuidor
- Causa
- NTT Data, segundo relatório: uma fraqueza na função de autenticação do SaaS da terceirizada foi explorada, privilégios de administrador foram obtidos sem autorização e informações foram extraídas. O caminho detalhado e o alcance estão sob investigação
- Resposta
- A terceirizada interrompeu o serviço, bloqueou o caminho e invalidou os privilégios de administrador obtidos indevidamente (NTT Data). O Sony Bank suspendeu a negociação de valores mobiliários digitais
- Dano secundário
- Marui Group, Sony Bank, Rakuten Securities e NTT Data dizem que até agora nenhum uso indevido ou negociação não autorizada foi confirmado
O que se sabe e o que não se sabe
Este é o estado, em 14 de novembro de 2026, das 10 empresas cujos comunicados oficiais este site leu. Cada empresa conta de um jeito, e o mesmo comprador pode aparecer tanto em um emissor quanto em um distribuidor, então os números não podem ser somados.
| Empresa (papel) | Anunciado | Afetados | Informações que podem ter vazado | Status |
|---|---|---|---|---|
| Marui Group (emissor) | 2 nov. | Até 9.086 pessoas (vazamento confirmado); 54 podem incluir números de conta | Nome, endereço, telefone, e-mail, data de nascimento, gênero, número de conta bancária, unidades de investimento | Vazamento confirmado (até 9.086 pessoas; números de conta possíveis para 54) (empresa) |
| Sony Bank (distribuidor) | 30 out. (atualizado em 2 e 4 nov.) | 621 pessoas | 4 pessoas: nome, endereço, data de nascimento, número de conta. 617 pessoas: nome | Confirmado (empresa) |
| NTT Data (provedora da plataforma) | 31 out. (primeiro relatório), 2 nov. (segundo relatório) | Compradores de títulos (111 e 2.678 em grupos separados), mais usuários do sistema (número em investigação) | Dois emissores, 111 pessoas: nome, endereço, telefone, e-mail, gênero, data de nascimento. Um emissor, 2.678 pessoas: nome em kana, quantidade de títulos comprada, e-mail. Usuários da equipe: nome, e-mail | Confirmado (empresa) |
| Rakuten Securities (distribuidor) | 31 out. | 362 casos no total (três títulos: Kagome, West Japan Railway, Kintetsu Group Holdings; sem detalhamento por título) | Itens em investigação. IDs de login, senhas e informações necessárias para negociar não estão incluídos | Possível (empresa) |
| Kagome (emissor) | 31 out. | 109 de 5.472 compradores | Nome, endereço, telefone, e-mail, gênero, data de nascimento | Possível (empresa) |
| Kintetsu Group Holdings (emissor) | 31 out. | 2.678 casos entre quem comprou 1 milhão de ienes ou mais do 135.º título sem garantia | Nome, valor da compra. Não mantém números de conta de valores mobiliários nem senhas | Possível (empresa) |
| West Japan Railway (emissor) | 31 out. | 2 casos | Nome, endereço, telefone, e-mail, gênero, data de nascimento | Possível (empresa) |
| Starts Securities (distribuidor) | 31 out. | Número não informado | Nome, posições. O acesso a dados de contato, como endereço, telefone e e-mail, e a dados de autenticação não foi confirmado | Possível (empresa) |
| Phillip Securities Japan (distribuidor) | 31 out., 2 nov. (acompanhamento) | 162 compradores do valor mobiliário digital do filme | Nome, quantidade negociada | Confirmado (empresa) |
| Pan Pacific International Holdings (emissor) | 2 nov. (primeiro relatório) | Em investigação | Se algo vazou, quem é afetado e quais dados estão em investigação | Não informado |
Sobre a causa: a NTT Data diz que uma fraqueza na função de autenticação do SaaS da terceirizada foi explorada (status: confirmado em parte, segundo a NTT Data). O caminho detalhado está sob investigação. Não encontramos comunicado da própria terceirizada na página inicial oficial em 14 de novembro de 2026 (status: não informado).
Contatos (conforme constam em cada comunicado)
| Empresa | Contato |
|---|---|
| Marui Group | Linha de atendimento ao cliente 0120-659-757 (10h às 18h, horário do Japão, fechada às quartas e domingos), e-mail maruigroup-socialbond@0101.co.jp |
| Sony Bank | Linha de emergência para uso não autorizado 0120-365-738 (9h às 17h, incluindo fins de semana e feriados). |
| Kagome | Departamento de Finanças e RI / Comunicação Corporativa 03-5623-8503 (dias úteis 9h às 17h) |
| Kintetsu Group Holdings | Divisão de Política Geral 06-6775-3472 (dias úteis 10h às 17h) |
| West Japan Railway | Divisão de Estratégia Corporativa 06-6375-8939 (dias úteis 9h30 às 17h) |
| Starts Securities | Departamento de Negócios de Valores Mobiliários 03-3686-2511 |
| Phillip Securities Japan | 0120-883-301 (dias úteis 9h às 17h) |
| Pan Pacific International Holdings | E-mail info-securitytoken@ppih-group.com |
| Rakuten Securities | O comunicado não traz contato específico; use a página de consultas do site |
| NTT Data | Relações Públicas (para a imprensa) e-mail nttdata-pr-inquiries@am.nttdata.co.jp |
O que muda quando o vazamento está em uma terceirizada
Desta vez o sistema acessado não era o da empresa com quem o cliente tratava (emissor ou distribuidor), mas o de uma terceirizada por trás. O Marui Group diz que até agora não foi confirmado vazamento de seus próprios sistemas, e a Phillip Securities Japan diz que não foi acesso não autorizado a seus próprios sistemas nem vazamento de informações que ela administra. A tabela a seguir mostra a que essas combinações de dados podem levar em geral. Não significa que isso aconteceu neste incidente.
| Informação que pode ter vazado | O que em geral pode acontecer | O que fazer |
|---|---|---|
| Nome + e-mail + telefone | E-mails, SMS ou ligações realistas em nome do emissor ou do distribuidor | Não abra links; confira no site ou app oficial |
| Nome + data de nascimento + endereço | «Verificações de identidade» usadas para obter o resto dos seus dados | Não responda mesmo que quem liga cite sua data de nascimento |
| Número de conta bancária + nome | Contato que parece uma transferência, pedidos de devolução de «enviei dinheiro por engano» | Não envie dinheiro por conta própria; fale com seu banco |
| Nome + unidades de investimento / valor da compra | Ofertas dirigidas a quem tem patrimônio, ou contatos que fingem tratar de resgate ou benefícios | Confira os avisos de resgate e benefícios no site oficial do emissor |
O que pode ter vazado
- Nome, endereço, telefone, e-mail, data de nascimento, gênero (varia conforme a empresa)
- Unidades de investimento, quantidade comprada, valor da compra (varia conforme a empresa)
- Número de conta bancária (54 pessoas do Marui Group, 4 do Sony Bank)
Informado como não incluído, segundo os comunicados
- Dados de cartão de crédito (Marui Group; não confiados à terceirizada)
- IDs de login e senhas, e informações necessárias para negociar (Rakuten Securities)
- Números de conta de valores mobiliários, senhas e dados semelhantes de transações financeiras (Kintetsu Group Holdings; não os mantém)
O que emissores e distribuidores devem revisar: privilégios de administrador na terceirizada
A causa ainda está sob investigação, então escrevemos apenas o que os fatos publicados sustentam.
- Verifique os privilégios de administrador da terceirizada. A NTT Data diz que privilégios de administrador do SaaS da terceirizada foram obtidos sem autorização. Em geral, quais dados de clientes uma terceirizada consegue ver com privilégios de administrador, e com que força esses privilégios são autenticados, são questões que o contratante pode perguntar.
- Confie menos dados. O Kintetsu Group Holdings não mantém números de conta de valores mobiliários nem senhas, e o Marui Group diz que não confiou dados de cartão de crédito à terceirizada. Dados que não são entregues não podem vazar de lá.
- Combine quem anuncia o quê e quando. Desta vez os comunicados se espalharam de 30 de outubro a 4 de novembro, e não encontramos nenhum da própria terceirizada. Definir antes do contrato quem informa os usuários, sobre o quê e quando, caso a terceirizada pare, acelera o contato com os usuários.
Fontes (registros públicos)
Os fatos deste artigo se baseiam nos comunicados oficiais abaixo (todos em japonês). Não especulamos sobre detalhes da causa que não foram divulgados.
- Marui Group, «Information leak of customers due to unauthorized access to an outside contractor managing digital bonds» (2 de novembro de 2026) — 0101maruigroup.co.jp
- Sony Bank, «Information leak due to unauthorized access to an outside contractor for digital securities» (30 de outubro de 2026; atualizado em 2 e 4 de novembro) — sonybank.jp
- NTT Data, «Suspension of STdirectServices (second report)» (2 de novembro de 2026) — nttdata.com
- Rakuten Securities, «Possible leak of customer information due to unauthorized access to an outside service provider» (31 de outubro de 2026) — rakuten-sec.co.jp
- Starts Securities, «Possible leak of personal information due to unauthorized access» (31 de outubro de 2026) — starts-sc.com
- Phillip Securities Japan, «Customer information leak due to unauthorized access to an outside contractor (follow-up)» (2 de novembro de 2026) — phillip.co.jp
- Kagome, «Possible leak of personal information of customers who bought our digital-perk bond, and our response» (31 de outubro de 2026, PDF) — kagome.co.jp
- Kintetsu Group Holdings, «Possible leak of investor information due to unauthorized access to an outside service» (31 de outubro de 2026, PDF) — comunicado do Kintetsu Group Holdings (PDF)
- West Japan Railway, «Possible leak of investor information due to unauthorized access to an outside service» (31 de outubro de 2026, PDF) — westjr.co.jp
- Pan Pacific International Holdings, «Apology and notice about unauthorized access to the management system of our digital bonds (first report)» (2 de novembro de 2026, PDF) — ppih.co.jp
Histórico de atualizações
2026-11-14: Primeira versão. Com base em comunicados do Marui Group (2 de novembro), Sony Bank (30 de outubro, atualizado em 2 e 4 de novembro), NTT Data (2 de novembro), Rakuten Securities, Starts Securities, Kagome, Kintetsu Group Holdings e West Japan Railway (31 de outubro), Phillip Securities Japan (2 de novembro) e Pan Pacific International Holdings (2 de novembro). Conferimos os comunicados no mesmo dia e não encontramos nada mais recente que 4 de novembro. Outras empresas teriam feito comunicados também, mas a tabela traz apenas os comunicados que conseguimos confirmar.
Leia em seguida
- Como reconhecer contatos falsos: O que é phishing? / O que é uma passkey?
- Protegendo seu login: Como escolher a autenticação em dois fatores
- Atividade suspeita em uma conta: Como verificar acessos não autorizados
- Um incidente semelhante pela via de terceirizada em uma corretora: Vazamento em terceirizada da Daiwa Securities (cerca de 110 mil pessoas)
- Outros incidentes de 2026: Vazamentos de dados e ciberataques (Japão e no mundo)