Para: pessoas com uma conta no GETTIIS, usado para comprar ingressos de shows, espetáculos, esportes e eventos no Japão. Este artigo se baseia nos avisos oficiais da Linkstation Inc. em gettiis.jp. Não trata de como os ataques funcionam.
Em andamento: este artigo será atualizado conforme a organização publicar mais informações
Em 31 de outubro de 2026Ainda não se sabe
- Número de pessoas afetadas (os números são por item)
- Período e alcance dos membros abrangidos, incluindo ex-membros
- Detalhes da causa
- Resultados da investigação e eventual compensação
Esta é uma primeira informação tardia de nossa parte: a empresa anunciou o incidente em 19 de outubro e publicou um segundo relatório em 20 de outubro, e só começamos a cobri-lo em 31 de outubro. Em 31 de outubro, não encontramos nenhum aviso mais recente que o segundo relatório na lista de avisos da empresa (os avisos posteriores tratam de manutenção e de cancelamento). A empresa diz que continua investigando a causa e o alcance e que anunciará novas descobertas em seu site.
O que os membros do GETTIIS devem fazer hoje
Troque a senha do GETTIIS
A empresa pede a todos os membros que troquem a senha, embora diga que as senhas estavam guardadas como hashes. Passos do aviso: faça login, abra a página de edição das informações de membro pelo botão na borda direita da tela, escolha editar a senha e digite a nova. Em uma atualização de 20 de outubro às 20h00, a empresa disse que as senhas podem ter de 8 a 64 caracteres, com letras e números de largura simples e símbolos opcionais, e que quem já trocou pode mantê-la. Quanto mais longa, melhor; um gerenciador de senhas facilita isso.
Troque a mesma senha em todos os outros lugares
Um e-mail vazado mais uma senha de outro site é um caminho comum para o roubo de contas. Se você reutilizou a senha do GETTIIS em algum lugar, troque-a lá por outra diferente e ative a verificação em duas etapas. Como escolher está em como escolher a autenticação multifator, e como verificar se sua senha vazou explica as verificações.
Trate como suspeitas as mensagens com seu nome, telefone ou e-mail
Os itens vazados incluem nome, telefone e e-mail (cada um em cerca de 310.000 registros). Uma mensagem que os usa parece genuína, mas também é exatamente o que alguém com esses dados poderia enviar. Diante de qualquer mensagem que diga «GETTIIS», «seus ingressos» ou «seu cartão», não use o link da mensagem; abra o site por um favorito e veja a página de avisos. A empresa diz que não pedirá senhas, números de cartão nem PIN por e-mail, telefone ou SMS. Contexto: o que é phishing.
Confira a fatura do cartão
Se você cadastrou um cartão, a empresa diz que os dados vazados são informações parciais criptografadas (os quatro primeiros e os quatro últimos dígitos, o nome do titular e a validade) e não servem sozinhos para um pagamento com cartão. Mesmo assim, procure na fatura cobranças que você não reconheça. Se vir alguma, ou se digitou dados de cartão em uma página alcançada por uma mensagem, ligue para a emissora do cartão e pergunte sobre bloqueá-lo e emitir outro.
Veja o que você tinha cadastrado e decida se mantém a conta
A empresa diz que você pode conferir seus próprios itens cadastrados fazendo login, abrindo o MENU e depois a página de edição do cadastro: perfil (ID de membro, nome, telefone, e-mail, CEP, sexo, data de nascimento) e cadastro de cartão. Os itens que você vê ali correspondem ao que vazou, mas, se você os alterou depois do acesso, podem diferir dos da época do vazamento. Se não vai usar a conta, o aviso da empresa de 24 de outubro explica o cancelamento. Confira antes seu histórico de compra de ingressos e depois cancele; a página diz que as informações de membro cadastradas são excluídas ao concluir.
O que aconteceu (segundo os avisos da Linkstation Inc.)
A empresa publicou o primeiro relatório em 19 de outubro de 2026 e o segundo em 20 de outubro. As datas e os números a seguir são do segundo relatório.
18 de outubro de 2026
A empresa notou um acesso suspeito a seus sistemas e iniciou uma investigação. Descobriu que, de cerca de 0h00 a cerca de 7h00 daquele dia, um terceiro explorou uma vulnerabilidade no programa do Gettii-Lite e obteve dados de membros do GETTIIS.19 de outubro
Primeiro relatório publicado. Listava os itens que haviam vazado ou podiam ter vazado (ID de membro, nome, telefone, e-mail, CEP, sexo, data de nascimento, senha com hash, informações parciais do cartão), não dava números e dizia que o alcance ainda estava sob investigação. O primeiro relatório usava expressões como «vazou ou pode ter vazado»; o segundo relatório, de 20 de outubro, confirmou o vazamento. No mesmo dia foi publicada uma página sobre como trocar a senha.20 de outubro
Segundo relatório publicado, com números por item e uma forma de conferir os próprios itens cadastrados. A empresa disse que o servidor foi trocado e a vulnerabilidade tratada, e que e-mails individuais haviam sido enviados aos membros afetados. Às 20h00, a página das regras de senha foi atualizada para de 8 a 64 caracteres.24 de outubro
Foi publicado um aviso sobre como cancelar a conta do GETTIIS.
- Serviço afetado
- GETTIIS, um serviço de compra de ingressos para clientes. O acesso foi ao servidor do Gettii-Lite, um serviço de cadastro de apresentações para organizadores; a empresa diz que o Gettii e o Gettii-EC funcionam em um ambiente diferente e que nenhum efeito foi confirmado ali
- Itens vazados (números por item)
- ID de membro 317.971; senha com hash 311.451; e-mail 311.426; nome 309.759; telefone 309.668; informações relacionadas ao cartão 29.515; sexo 5.900; data de nascimento 5.192; CEP 489. A empresa afirma que são números por item, não um total de pessoas
- Informações relacionadas ao cartão
- Os quatro primeiros e os quatro últimos dígitos do número, o nome do titular e a validade, de forma criptografada. A empresa diz que não guarda números completos de cartão nem códigos de segurança, e que os dados vazados sozinhos não servem para pagamentos com cartão
- Senhas
- Guardadas como hashes; a empresa diz que senhas em texto simples não vazaram. Como o hash foi feito não foi publicado
- Causa
- Exploração por um terceiro de uma vulnerabilidade no programa do Gettii-Lite (empresa). Detalhes não publicados
- Resposta
- Servidor trocado, vulnerabilidade tratada, e-mails individuais aos membros afetados, comunicações aos órgãos competentes feitas e consulta à polícia em andamento (empresa)
- Outros vazamentos
- Nenhum confirmado além dos itens acima, até o relatório de 20 de outubro
- Contato
- A central de atendimento sobre dados pessoais da empresa (PMS), pms@linkst.jp, atendida 24 horas por dia em revezamento (conforme escrito no aviso)
Gettii-Lite (organizadores)
Um terceiro explorou uma vulnerabilidade (cerca de 0h00 a 7h00, 18 out)
GETTIIS (compradores de ingressos)
Dados de membros foram obtidos
Gettii / Gettii-EC
Funcionam em um ambiente separado; nenhum efeito confirmado (empresa)
Os avisos não descrevem como os dois se conectam, então nenhum caminho é desenhado.
O que se sabe e o que não se sabe
Situação em 31 de outubro de 2026 (reflete o segundo relatório de 20 de outubro e os avisos de 20 e 24 de outubro). Esta tabela será reescrita quando a empresa publicar mais.
| Item | O que a empresa diz | Situação |
|---|---|---|
| Acesso não autorizado | Um terceiro explorou uma vulnerabilidade no programa do Gettii-Lite, de cerca de 0h00 a 7h00 de 18 de outubro | Confirmado (empresa) |
| Vazamento de dados de membros do GETTIIS | Vazamento confirmado | Confirmado (empresa) |
| ID de membro | 317.971 | Confirmado (empresa) |
| Nome, telefone, e-mail | 309.759 / 309.668 / 311.426 | Confirmado (empresa) |
| Sexo, data de nascimento, CEP | 5.900 / 5.192 / 489 | Confirmado (empresa) |
| Senha com hash | 311.451. Texto simples não vazou | Confirmado (empresa) |
| Informações relacionadas ao cartão | 29.515. Primeiros e últimos 4 dígitos, nome e validade, criptografados | Confirmado (empresa) |
| Número completo do cartão, código de segurança | A empresa não os guarda | Não incluídos (empresa) |
| Itens diferentes dos acima | Nenhum confirmado até agora | Não informado |
| Número de pessoas afetadas | Os números são por item e não um total | Número não publicado |
| Período de associação abrangido, ex-membros, não membros | Não informado | Não informado |
| Gettii e Gettii-EC | Ambiente diferente, nenhum efeito confirmado | Não confirmado (empresa) |
| Detalhes da causa | Vulnerabilidade no programa do Gettii-Lite. Detalhes não publicados | Publicado em parte |
| Organizadores e locais envolvidos | Não informado nos avisos | Não informado |
| Uso indevido dos dados vazados | A empresa pede aos membros que fiquem atentos a mensagens que se aproveitam do incidente. Nenhum caso real publicado | Não informado |
Sobre os locais: o GETTIIS é usado por muitos organizadores e locais para vender ingressos, mas os avisos da empresa não citam nenhum. Procuramos avisos oficiais de organizadores e locais e não encontramos nenhum que pudéssemos abrir e confirmar, então nenhum é listado aqui. Se você comprou por meio de um organizador, consulte o site do próprio organizador.
Para que nome, telefone e e-mail juntos podem servir
A empresa lista nome, telefone e e-mail como vazados em cerca de 310.000 registros cada. Em geral, essa combinação faz uma mensagem parecer vir de uma empresa com a qual você lida. Pode servir para:
- mensagens que dizem que «sua compra de ingressos» ou «sua conta» exige uma ação, enviadas em seu nome ao seu próprio telefone ou e-mail
- fazer-se passar pelo serviço de ingressos para pedir que você digite o cartão de novo para um reembolso ou uma «verificação»
- tentativas de login em outros serviços com seu e-mail e uma senha reutilizada
Isso não significa que alguma dessas coisas tenha acontecido neste incidente; a empresa não publicou nenhum caso de uso indevido. As linhas a manter são as dos passos acima: use um favorito, e quem pede por mensagem a senha ou o número do cartão não é a empresa.
O que outros serviços de ingressos e de associação podem tirar disso
Esta parte é geral e não afirma nada sobre a causa. A empresa escreveu que o acesso foi a um servidor do serviço para organizadores e que dados de membros do serviço para clientes foram obtidos, enquanto outros dois serviços em um ambiente separado não foram afetados. Para quem opera um serviço com um lado vendedor e um lado comprador:
- liste quais sistemas conseguem alcançar os dados de membros dos compradores, incluindo as ferramentas do lado vendedor, e quem consegue alcançá-los
- mantenha os dados dos compradores no menor número de lugares possível e guarde dados de cartão parciais e criptografados apenas se precisar deles
- decida como responderá à primeira pergunta que os membros fazem: «estou nisso e o que exatamente vocês tinham sobre mim?». Aqui a empresa deu aos membros uma forma de ver seus próprios itens cadastrados
Mais sobre o mesmo conjunto de itens: skyticket (dados de reserva e senhas), skimming de cartões na PhotoGoods.
Fontes (registro público)
Os fatos deste artigo se apoiam nos avisos públicos abaixo. O que não foi publicado não é adivinhado.
- Linkstation Inc., «Pedido de desculpas e aviso sobre o vazamento de informações de membros do GETTIIS por acesso não autorizado (segundo relatório)» (20 de outubro de 2026; título traduzido) — gettiis.jp
- Linkstation Inc., primeiro relatório (19 de outubro de 2026) — gettiis.jp
- Linkstation Inc., como trocar a senha (19 de outubro, atualizado em 20 de outubro) — gettiis.jp
- Linkstation Inc., como cancelar a conta do GETTIIS (24 de outubro) — gettiis.jp
- Lista de avisos do GETTIIS (verificada em 31 de outubro) — gettiis.jp
Histórico de atualizações
2026-10-31: Primeira versão. Baseada no primeiro relatório da empresa (19 de outubro), no segundo relatório (20 de outubro), no aviso da senha (19 de outubro, atualizado em 20 de outubro) e no aviso do cancelamento (24 de outubro). Nenhum relatório mais recente foi encontrado em 31 de outubro. Este artigo foi escrito depois do anúncio, portanto é posterior aos avisos da empresa.
Leia a seguir
- Dados de reserva e senhas: vazamento de dados da skyticket
- Dados de cartão em uma página de pagamento: skimming de cartões na PhotoGoods
- Proteja suas contas: como escolher a autenticação multifator / como escolher um gerenciador de senhas
- Por que o hash importa: hash de senhas
- Outros incidentes de 2026: lista de vazamentos de dados e ciberataques