Quem é afetado: membros do site de membros GFS (inclusive quem saiu), quem se candidatou e quem enviou uma consulta. Principalmente quem enviou documentos de identidade ou imagens do My Number Card. Este artigo se baseia no comunicado oficial da GFS Education e não trata de métodos de ataque.
Em andamento: este artigo será atualizado conforme a organização publicar mais informações
- Quem é afetado
membros do site de membros GFS (inclusive quem saiu), quem se candidatou e quem enviou uma consulta. Principalmente quem enviou documentos de identidade ou imagens do My Number Card.
- Confirmado até agoraVer a tabela ↓
- Descoberta
- Levado para fora
- Causa
Apontado como possivelmente afetado
- Contagem (informações pessoais)
- Nome, e-mail, data de nascimento, telefone, endereço
- Informações relacionadas a senhas
Mais 4
- Histórico de visualização e compras, conteúdo de consultas
- Imagens de tarefas enviadas
- Imagens de documentos de identidade
- Verso do My Number Card (com o número individual)
- Ainda não confirmado
- O alcance total do impacto (em investigação)
- As imagens de quais documentos de identidade estão incluídas
- A conclusão dos avisos individuais
Mais 2
- Se os dados foram usados indevidamente
- Um contato por telefone (não consta no comunicado)
- O que fazer agoraVer os passos ↓
- Troque a senha do site de membros
- Se o verso do seu My Number Card estiver envolvido (84 pessoas): aguarde o aviso individual e pergunte sobre o número
- Se você enviou documentos de identidade: fique atento a contratos e cobranças que você não fez
Mais 4
- Não responda a contatos que usem o nome da empresa ou de um órgão público (inclusive e-mails de aviso)
- Examine as faturas do seu cartão (por precaução)
- Se estiver preocupado, use o canal de contato oficial
- Se você digitou dados ou enviou dinheiro, procure ajuda imediatamente
- Onde verificar (fonte)Todas as fontes ↓
- GFS Education Inc., "Pedido de desculpas e aviso sobre o vazamento de informações pessoais por acesso não autorizado ao site de membros GFS" (13 de novembro de 2026, em japonês)
- Última verificação
- Em 15 de novembro de 2026
Próximos avisos e o que verificamos
A empresa diz que ainda investiga o alcance total. Quando surgirem novos fatos, diz que atualizará seu site e, se necessário, contatará novamente as pessoas afetadas. Consultamos o comunicado da empresa em 15 de novembro de 2026 e não encontramos nenhuma atualização desde o comunicado de 13 de novembro.
O que os afetados devem fazer hoje
Troque a senha do site de membros
A empresa diz que informações relacionadas a senhas também podem ter vazado e pede que você troque a senha o quanto antes. Descreve os dados como valores protegidos no armazenamento, mas, se você usa a mesma senha em outros serviços, eles também podem ser afetados (avaliação deste site).
Entre no site de membros, abra "Configurações da conta" pelo ícone no canto superior direito e use "Alterar senha" no campo da senha. Entre pelo seu favorito de sempre, não por um link de um e-mail. A empresa pede também que você troque a senha em qualquer outro serviço em que usou a mesma. Para verificar a reutilização, veja Como verificar se sua senha vazou; para o login em duas etapas, veja Como configurar a autenticação multifator.
Se o verso do seu My Number Card estiver envolvido (84 pessoas): aguarde o aviso individual e pergunte sobre o número
A empresa diz que havia guardado as imagens do verso do My Number Card enviadas por algumas pessoas. Como o verso mostra o número individual de 12 dígitos, diz que esse número vazou ou pode ter vazado. Isso abrange 84 pessoas.
A empresa diz que o vazamento de documentos de identidade ou do número individual não leva, por si só, a uso indevido imediato. Acrescenta que se o número individual vazou e é considerado sob risco de uso indevido, você pode pedir ao município onde mora que o troque. Leia primeiro o aviso individual da empresa e depois consulte a prefeitura. A orientação do governo nacional (o FAQ da Agência Digital e o FAQ do site geral do My Number Card, em japonês) diz que o número é, em princípio, mantido por toda a vida, que só pode ser trocado quando vazou e é considerado sob risco de uso indevido, a pedido da pessoa ou por iniciativa do prefeito, que você não pode escolher o número e que deve consultar o município onde mora. Isto é informação geral e não trata deste incidente.
O comunicado não diz se o próprio cartão precisa ser reemitido.
Se você enviou documentos de identidade: fique atento a contratos e cobranças que você não fez
A empresa diz que, se imagens de documentos de identidade forem usadas indevidamente, um terceiro poderia se passar por você e solicitar contratos com vários serviços ou cartões de crédito. O comunicado não diz quais documentos (como carteira de habilitação) estão incluídos.
Se chegar um aviso, correspondência ou cobrança de um contrato que você não fez, confira com essa empresa pelo canal de contato oficial e consulte a polícia ou um centro do consumidor, se necessário (linha do consumidor 188 no Japão). Os passos por tipo de documento estão em O que fazer quando uma carteira de habilitação ou documento de identidade vaza.
Não responda a contatos que usem o nome da empresa ou de um órgão público (inclusive e-mails de aviso)
A empresa diz que as informações vazadas poderiam ser usadas para enviar e-mails ou ligações suspeitos que se passam pela empresa ou por um órgão público. Se receber um contato que não reconhece, não abra as URLs, não abra anexos e não forneça dados pessoais.
Os avisos individuais da empresa vão para o seu e-mail cadastrado. Uma mensagem falsa pode chegar do mesmo modo (avaliação deste site), então não abra links no e-mail; troque a senha ou confira tudo pelo site de membros que você mesmo abrir. Como distinguir está em O que é phishing?.
Examine as faturas do seu cartão (por precaução)
A empresa diz que guarda números de cartão parcialmente mascarados e que o vazamento de números completos não foi confirmado. O comunicado não diz que você precisa reemitir o cartão apenas por este incidente. Por precaução, confira na fatura de qualquer cartão que você usou no site de membros se há cobranças que você não reconhece.
Se estiver preocupado, use o canal de contato oficial
O canal de contato no comunicado é o e-mail da Central de Suporte ao Cliente da GFS Education: privacy(at)gfse.jp (troque "(at)" por "@" ao enviar). O comunicado não informa telefone nem horário.
Use o canal de contato do comunicado oficial, não um escrito em um e-mail ou SMS.
Se você digitou dados ou enviou dinheiro, procure ajuda imediatamente
Se você digitou dados pessoais em um link suspeito ou enviou dinheiro, contate imediatamente seu banco ou a operadora do cartão. Você também pode ligar para a linha de orientação da polícia (#9110 no Japão) ou para a linha do consumidor (188). Para conferir atividade suspeita em uma conta, veja Como verificar acesso não autorizado.
O que aconteceu (segundo o comunicado da GFS Education)
Em 13 de novembro de 2026, a empresa publicou um comunicado sobre o vazamento de informações pessoais por acesso não autorizado ao site de membros GFS. Tudo abaixo é o que a empresa diz.
9 de novembro
A empresa detectou uma carga anormal no servidor, investigou e constatou que um terceiro havia acessado sem autorização. Cortou imediatamente as comunicações e tomou medidas para impedir que o dano se espalhasse.Constatado na investigação
Confirmou-se que uma falha no recurso de envio de imagens foi explorada e que informações do banco de dados e arquivos de imagem guardados no servidor foram levados para fora. A empresa ainda investiga o alcance total.Resposta
Bloqueou as comunicações do atacante, isolou o programa malicioso, reduziu as permissões do servidor e trocou a senha do banco de dados. Corrigiu a falha de programa que causou o problema. Registrou um boletim de ocorrência na polícia e comunicou à Comissão de Proteção de Informações Pessoais.13 de novembro
Publicou o comunicado. Disse que contatará as pessoas afetadas, uma a uma e em sequência, no e-mail cadastrado.
- Descoberta
- 9 de novembro de 2026 (uma carga anormal levou a uma investigação que encontrou acesso não autorizado de um terceiro). O comunicado não diz quando o acesso começou
- Pessoas afetadas
- Informações pessoais de cerca de 110.000 pessoas. Dessas, informações que contêm o número individual (My Number): 84 pessoas
- Informações que vazaram ou podem ter vazado
- Nome, e-mail, data de nascimento, informações relacionadas a senhas (valores protegidos no armazenamento), telefone, endereço, histórico de visualização e compras, conteúdo de consultas, imagens de tarefas enviadas, imagens de documentos de identidade. Para 84 pessoas, imagens do verso do My Number Card
- Não incluídos
- Números de cartão de crédito completos (guardados parcialmente mascarados; vazamento de números completos não confirmado até agora)
- Causa
- Uma falha de programa no recurso de envio de imagens foi explorada e um programa malicioso foi colocado e executado; uma falha nas configurações de permissão de acesso do servidor
- Contato
- Central de Suporte ao Cliente privacy(at)gfse.jp (sem telefone nem horário informados)
O que se sabe e o que não se sabe
Isto se baseia no comunicado da empresa de 13 de novembro, com situação em 15 de novembro de 2026. A empresa lista as informações pessoais abaixo como informações que vazaram ou podem ter vazado e diz que os itens variam de pessoa para pessoa. Quando houver novidades, atualizaremos a coluna de situação.
| Item | O que diz o comunicado | Situação |
|---|---|---|
| Descoberta | Encontrado em 9 de nov. após uma carga anormal levar a uma investigação | Confirmado (empresa) |
| Quando o acesso começou | Não informado | Não informado |
| Levado para fora | Uma falha no recurso de envio de imagens foi explorada, e informações do banco de dados e arquivos de imagem foram confirmados como levados para fora | Confirmado (empresa) |
| Contagem (informações pessoais) | Cerca de 110.000 pessoas (membros e ex-membros, candidatos, pessoas que enviaram consultas) | Possível (empresa; os itens variam por pessoa) |
| Nome, e-mail, data de nascimento, telefone, endereço | Entre as informações que vazaram ou podem ter vazado | Possível (empresa) |
| Informações relacionadas a senhas | Valores protegidos no armazenamento. Podem ter vazado | Possível (empresa) |
| Histórico de visualização e compras, conteúdo de consultas | Entre as informações que vazaram ou podem ter vazado | Possível (empresa) |
| Imagens de tarefas enviadas | Entre as informações que vazaram ou podem ter vazado | Possível (empresa) |
| Imagens de documentos de identidade | Incluídas. Quais documentos não é informado | Possível (empresa); tipo não informado |
| Verso do My Number Card (com o número individual) | 84 pessoas. O número individual de 12 dígitos vazou ou pode ter vazado | Possível (empresa) |
| Frente do My Number Card | Não informado | Não informado |
| Números de cartão de crédito | Guardados parcialmente mascarados; os números completos não são mantidos. Vazamento de números completos não confirmado | Não confirmado (empresa) |
| Causa | Uma falha de programa no recurso de envio de imagens foi explorada e um programa malicioso foi colocado e executado; uma falha nas configurações de permissão de acesso do servidor | Confirmado (empresa) |
| Uso indevido | Nenhum uso indevido confirmado no comunicado. Diz que podem ocorrer contatos suspeitos e fraudes de identidade | Não informado |
| Alcance total do impacto | Ainda em investigação | Em investigação (empresa) |
| Autoridades e polícia | Comunicado à Comissão de Proteção de Informações Pessoais; boletim de ocorrência registrado na polícia | Feito (empresa) |
| Avisos individuais | A empresa diz que contatará as pessoas em sequência no e-mail cadastrado, adaptado aos dados de cada pessoa. Não diz se já começou | Previsto (empresa; início não informado) |
O que pode acontecer com as informações que vazaram ou podem ter vazado
- E-mails e ligações de aparência genuína que usam o nome da empresa ou de um órgão público
- Pedidos de contrato a outros serviços ou emissores de cartão usando imagens de documentos de identidade
- Logins não autorizados em outros serviços que compartilham a mesma senha (avaliação deste site)
- Para quem tem o verso do My Number Card envolvido, o número individual passar a ser conhecido
O que o comunicado diz não ter sido confirmado
- Vazamento de números de cartão de crédito completos
- Uso indevido (o comunicado não diz que algum foi confirmado)
Para operadores: como guardar imagens de documentos enviados
A causa foi divulgada apenas em linhas gerais, então esta seção cobre apenas o que os fatos divulgados sustentam.
- Não guarde as imagens no servidor indefinidamente: a empresa escreve que as imagens enviadas incluíam o verso do My Number Card e que as havia guardado no sistema. Definir um prazo e um escopo de retenção para imagens de documentos de identidade e apagá-las quando não forem mais necessárias costuma ser eficaz. A lei japonesa também limita as finalidades e o escopo do tratamento do My Number.
- Verifique o recurso de envio e as permissões do servidor: a causa foi uma falha no recurso de envio de imagens e uma falha nas configurações de permissão de acesso do servidor. Validar o tipo e o local de armazenamento dos arquivos enviados, não dar a eles permissão de execução e manter as permissões do servidor no mínimo costumam ser salvaguardas eficazes.
Fontes (registros públicos)
Os fatos deste artigo se baseiam no comunicado oficial abaixo. Não conjecturamos sobre causas que não foram divulgadas.
- GFS Education Inc., "Pedido de desculpas e aviso sobre o vazamento de informações pessoais por acesso não autorizado ao site de membros GFS" (13 de novembro de 2026, em japonês) — gfse.jp
- Condições gerais para trocar um número individual (orientação do governo nacional): Agência Digital, FAQ do My Number — digital.go.jp / site geral do My Number Card, FAQ (em japonês) — kojinbango-card.go.jp
Histórico de atualizações
2026-11-15: Primeira versão. Com base no comunicado da GFS Education de 13 de novembro. Verificamos o comunicado da empresa no mesmo dia e não encontramos nenhum acompanhamento.
Leia em seguida
- Quando documentos de identidade vazam: O que fazer quando uma carteira de habilitação ou documento de identidade vaza / O incidente da Lashinbang (documentos de identidade e dados bancários)
- Como reconhecer contatos falsos: O que é phishing?
- Verificação de senhas e login em duas etapas: Como verificar se sua senha vazou / Como configurar a autenticação multifator
- Atividade suspeita em uma conta: Como verificar acesso não autorizado
- Outros incidentes de 2026: Vazamentos de dados e ciberataques (Japão e exterior)