Para: pessoas que entregaram uma declaração de imposto sobre doações pelo e-Tax, pessoas que fizeram as doações, contadores tributários que cuidaram dessas declarações, qualquer pessoa que use o MyPage do e-Tax e desenvolvedores de serviços web em que os usuários fazem login para ver os próprios dados. Este artigo se baseia em reportagens sobre o anúncio da Agência Nacional de Receita Tributária do Japão (NTA) e em orientações oficiais da NTA e do e-Tax. Ele não descreve como reproduzir a falha.
Você foi afetado? Uma tabela rápida
| Detalhes (a partir de reportagens sobre o anúncio da NTA) | |
|---|---|
| Recurso | "Informações sobre imposto sobre doações" no MyPage do e-Tax |
| Quando outros usuários podiam ver as declarações | 24 de setembro de 2026, das 8h30 à meia-noite; 25 de setembro, das 4h às 15h58 |
| Declarações visíveis | Declarações de imposto sobre doações e documentos relacionados de 79 declarantes |
| Pessoas cujos dados podem ter sido vistos | 203 no total (declarantes, doadores citados nas declarações, contadores tributários) |
| Usuários que podem de fato ter visto os dados | 19 |
| Informações que podem ter sido vistas | Nome, endereço, data de nascimento, telefone, valor da doação e valor do imposto sobre doações, nome e data de nascimento do doador, nome do contador tributário, entre outros |
| Contato com as pessoas afetadas | Equipes dos escritórios regionais e das repartições tributárias entraram em contato individualmente para explicar e pedir desculpas |
| Causa | Falha introduzida pela atualização de 24 de setembro (não foi um ataque); corrigida |
As pessoas afetadas são os 79 declarantes cujas declarações de imposto sobre doações estavam visíveis, além dos doadores e contadores tributários citados nessas declarações. Nem todos os usuários do e-Tax foram afetados.
As reportagens que verificamos não informam se o Meu Número (número individual do Japão) estava entre as informações visíveis. Este artigo não afirma nem uma coisa nem outra.
O que os usuários do e-Tax devem fazer hoje
Se alguém ligar dizendo ser da repartição tributária, desligue e ligue de volta
Segundo reportagens, equipes dos escritórios regionais e das repartições tributárias entraram em contato individualmente com as pessoas afetadas. Mas um incidente noticiado também dá a golpistas um motivo pronto para ligar.
A NTA orienta que, se uma ligação de alguém que se diz funcionário tributário parecer suspeita, você não responda na hora: peça o nome do setor, o nome e o telefone da pessoa, desligue e entre em contato com a seção de assuntos gerais da repartição tributária mais próxima ou com o coordenador de atendimento ao contribuinte do escritório regional de tributação. Use um número que você pesquisar no diretório de repartições tributárias do site da NTA, e não o número que a pessoa informou.
Não abra links em mensagens ou e-mails que se digam da NTA
A NTA afirma que nunca envia mensagens de texto com URLs e nunca envia mensagens de texto, e-mails ou mensagens pelo LINE exigindo pagamento de imposto ou sobre apreensão de bens.
Se você receber uma mensagem oferecendo um "pedido de desculpas por sua declaração de imposto ter sido vista" ou pedindo para "confirmar seus dados pessoais", apague-a sem abrir o link (como identificar esses golpes: O que é phishing?).
Saiba como são os e-mails genuínos do e-Tax
Segundo a NTA, o e-Tax só envia e-mails em formatos padronizados avisando que uma notificação chegou à sua caixa de mensagens. Eles nunca têm anexos e, em regra, não contêm URLs.
Leia a notificação entrando no e-Tax que você mesmo abriu por um favorito ou por uma busca, e verificando a caixa de mensagens ali.
Nunca opere caixa eletrônico, faça transferências nem forneça dados bancários sob pedido
A NTA afirma que nunca pede que você opere um caixa eletrônico para receber restituição ou pagar imposto, e nunca pede que você transfira pagamentos de impostos para uma conta bancária indicada.
Mesmo que alguém diga "há um pagamento de indenização para você" ou "você precisa concluir um procedimento de restituição", não vá a um caixa eletrônico nem forneça números de conta ou senhas.
O usuário A faz login e abre "minhas informações de imposto sobre doações" no MyPage
↓
1. Autenticação: quem é este?
Usuário A autenticado → passa
2. Autorização: este documento é de A?
Se esta verificação falhar, documentos de outras pessoas são exibidos
↓
Comportamento correto
Mostrar apenas os documentos de A
O que aconteceu
Declarações de outros declarantes ficaram visíveis (79 declarantes)
Correção: fazer login como A, pedir o documento de B e confirmar que é recusado — a cada alteração
O que aconteceu (a partir de reportagens sobre o anúncio da NTA)
A NTA anunciou este incidente em 2 de outubro de 2026. Até 6 de outubro, não encontramos um aviso sobre ele nas listas de anúncios dos sites da NTA ou do e-Tax. O relato abaixo se baseia em várias reportagens sobre o anúncio e em avisos oficiais do e-Tax.
27 de maio de 2026
O e-Tax anuncia que o recurso "informações sobre imposto sobre doações" do MyPage será ampliado (aviso oficial).24 de setembro (qui.)
A atualização acrescenta ao MyPage, nas informações sobre imposto sobre doações, avisos de declaração retificadora e de lançamento, a situação da opção de tributação de liquidação no momento da herança e registros de declarações entregues em papel. No mesmo dia, a NTA substituiu seu sistema tributário nacional.24 de setembro, das 8h30 à meia-noite
Segundo reportagens, outros usuários puderam ver declarações (primeiro período).25 de setembro, das 4h às 15h58
A mesma situação voltou a ocorrer (segundo período).2 de outubro
A NTA anuncia que as declarações de 79 declarantes puderam ser vistas por outros usuários, diz que a falha foi corrigida e pede desculpas.
- Recurso
- "Informações sobre imposto sobre doações" no MyPage do e-Tax
- Causa
- Falha introduzida pela atualização do sistema de 24 de setembro, que ampliou esse recurso. Não foi um ataque vindo de fora
- Informações que podem ter sido vistas
- Nome, endereço, data de nascimento e telefone do declarante; valor da doação e valor do imposto sobre doações; nome e data de nascimento do doador; nome do contador tributário, entre outros (as reportagens listam itens um pouco diferentes)
- Resposta às pessoas afetadas
- Equipes dos escritórios regionais e das repartições tributárias entraram em contato individualmente com declarantes, doadores e contadores tributários para explicar e pedir desculpas
- Resposta aos usuários que viram os dados
- Todos os 19 foram orientados a manter as informações em sigilo e apagá-las. Não foi encontrado sinal de armazenamento nem de dano secundário
- Próximos passos
- A NTA diz que vai implementar de forma completa medidas para evitar a recorrência
- Relação com o KSK2
- Segundo o Nikkei xTECH, sem relação com o novo sistema central (KSK2)
Contexto: o KSK2, o novo sistema tributário central da NTA
A NTA afirma oficialmente que substituiu seu sistema tributário nacional em 24 de setembro de 2026. Segundo o Nikkei xTECH, por causa de problemas com o novo sistema (KSK2), a NTA orientou os funcionários a usar o sistema antigo para preparar as certidões de pagamento de impostos e a verificar seu conteúdo antes de emiti-las, o que está causando atrasos.
O e-Tax também publicou avisos sobre problemas como a impossibilidade de pagar a taxa da certidão pelo internet banking, posteriormente marcados como resolvidos. A NTA diz que o incidente com as declarações de imposto sobre doações é não relacionado ao KSK2.
Lições para desenvolvedores: faça testes de autorização mesmo em atualizações de "conveniência"
Não foi uma invasão vinda de fora. Foi um caso em que os dados de outro usuário apareceram na tela de um usuário devidamente autenticado. Em termos de segurança, trata-se de uma falha de controle de acesso (as regras sobre quem pode acessar quais dados).
Um padrão muito relacionado é o IDOR (referência direta insegura a objeto): basta alterar um número ou identificador em uma requisição para acessar os dados de outra pessoa. A diferença entre verificar quem você é (autenticação) e verificar se você pode acessar estes dados (autorização) é explicada em Autenticação versus autorização.
A falha no WebFiling do Companies House do Reino Unido, em março de 2026, foi do mesmo tipo: uma falha introduzida por uma atualização do sistema permitiu que usuários autenticados vissem detalhes não públicos de outras empresas. Este incidente acrescenta dois pontos.
A visão deste site: atualizações que acrescentam recursos são onde as verificações de autorização costumam ser esquecidas
Esta atualização aumentou os tipos de informação exibidos no MyPage. Cada novo dado consultado precisa de sua própria verificação de que pertence à pessoa autenticada. Atualizações que tornam uma página mais prática raramente são tratadas como mudanças de segurança, e por isso essa verificação é fácil de deixar passar.
- Coloque os testes de autorização na mesma suíte dos testes funcionais e execute-os automaticamente a cada alteração. Configure os usuários de teste A e B. Autenticado como A, solicite as listas, detalhes, downloads de B e cada tela e consulta de dados acrescentada pela atualização, e confirme que cada uma é recusada ou retorna apenas os dados de A. Testes funcionais verificam se o que deve funcionar funciona; estes testes verificam se o que não pode acontecer não acontece.
- Registre tanto o "dono do documento" quanto "quem o exibiu", e emita alertas quando não coincidirem. Aqui, a NTA divulgou o número de declarações visíveis (79 declarantes) separadamente do número de pessoas que podem tê-las visto (19). Em geral, para produzir esses números é preciso ter um registro de quem exibiu os documentos de quem. Se um alerta disparar sempre que quem visualiza e o dono forem diferentes, ele pode ajudar a detectar um problema logo após uma publicação. Exclua previamente relações de representação legítimas, como um contador tributário que vê os documentos de um cliente.
Outros casos de vazamento de dados pessoais de órgãos públicos, e o que os cidadãos podem fazer, são tratados em Quatro vazamentos de dados governamentais de 2026.
Fontes (registros públicos)
Os fatos deste artigo se baseiam nas informações públicas abaixo. Até 6 de outubro de 2026, não encontramos o anúncio da própria NTA nos sites da NTA ou do e-Tax, por isso citamos reportagens sobre ele. O mecanismo detalhado da falha não foi publicado, e não especulamos sobre ele.
- Nikkei xTECH, "Declarações de 79 pessoas podem ter sido vistas por outros no e-Tax da NTA; falha separada do KSK2" (em japonês, 5 de outubro de 2026) — xtech.nikkei.com
- Nikkei, "79 declarações de imposto sobre doações podem ter sido exibidas; falha na atualização do e-Tax" (em japonês, 2 de outubro de 2026) — nikkei.com
- TV Asahi (ANN), "Informações de imposto sobre doações de outras pessoas temporariamente visíveis no e-Tax" (em japonês, 2 de outubro de 2026) — news.yahoo.co.jp
- Zei no Shirube, "NTA divulga que informações de declarações de imposto sobre doações podiam ser vistas por outros no MyPage do e-Tax" (em japonês, 2 de outubro de 2026) — shirube.zaikyo.or.jp
- e-Tax, aviso sobre a ampliação das "informações sobre imposto sobre doações" no MyPage (em japonês, 27 de maio de 2026, atualizado em 24 de setembro) — e-tax.nta.go.jp
- Agência Nacional de Receita Tributária, "Sobre a substituição do sistema tributário nacional" (em japonês) — nta.go.jp
- e-Tax, "[Resolvido] Não foi possível pagar taxas de certidões pelo internet banking" (em japonês, 29 de setembro de 2026, atualizado em 5 de outubro) — e-tax.nta.go.jp
- Agência Nacional de Receita Tributária, "Cuidado com e-mails e ligações suspeitas" (em japonês) — nta.go.jp
Histórico de atualizações
2026-10-06: Primeira versão, com base em reportagens sobre o anúncio da NTA de 2 de outubro (Nikkei xTECH, Nikkei, TV Asahi, Zei no Shirube) e em orientações oficiais da NTA e do e-Tax. Atualizaremos este artigo se a NTA publicar o anúncio em seu site ou divulgar oficialmente quais itens estavam visíveis.
Leia em seguida
- Como se proteger de mensagens falsas: O que é phishing?
- Incidente do mesmo tipo: A falha no WebFiling do Companies House (Reino Unido)
- Termos e conceitos: O que é IDOR? / Autenticação versus autorização
- Incidentes governamentais: Quatro vazamentos de dados governamentais de 2026
- Outros incidentes de 2026: Vazamentos de dados e ataques cibernéticos de 2026 (Japão e no mundo)