Para quem: membros da Hotto Motto, especialmente quem recebe (ou recebia) a newsletter por e-mail. Este artigo é uma explicação baseada no aviso oficial da Plenus Co., Ltd.; não trata de métodos de ataque.
Em andamento: este artigo será atualizado conforme a organização publicar mais
- Quem é afetado
membros da Hotto Motto, especialmente quem recebe (ou recebia) a newsletter por e-mail.
- Confirmado até agoraVer a tabela ↓
- Data da ocorrência
- Comunicado do terceirizado
- Endereço de e-mail
Mais 5
- Nome
- Data de nascimento
- Número de telefone
- Número
- Causa
- Ainda não confirmado
- Causa (como o acesso aconteceu)
- Lista completa dos dados de membros vazados
- Se e como os membros afetados serão contatados
Mais 1
- Quando o envio da newsletter será retomado
- O que fazer agoraVer os passos ↓
- Não abra links em e-mails que usam o nome da Hotto Motto
- Desconfie de qualquer coisa que pareça a newsletter
- Tenha cuidado também com ligações e SMS
Mais 2
- Se estiver preocupado, use o contato oficial
- Se você informou dados ou pagou dinheiro, busque ajuda imediatamente
- Onde verificar (fonte)Todas as fontes ↓
- Plenus Co., Ltd., aviso sobre o acesso não autorizado ao serviço de envio da newsletter da Hotto Motto prestado por um terceirizado externo e a resposta da empresa (4 de novembro de 2026, site da Hotto Motto; em japonês)
- Última verificação
- Em 7 de novembro de 2026
Próximos avisos e o que verificamos
A empresa diz que, se surgirem novos fatos que devam ser divulgados, vai anunciá-los prontamente em seu site e por outros canais. A data de retomada do serviço de envio da newsletter está «indefinida». Quando verificamos os sites oficiais da Hotto Motto e da Plenus em 7 de novembro de 2026, não encontramos nenhum aviso posterior.
O que os membros da Hotto Motto devem fazer hoje
Não abra links em e-mails que usam o nome da Hotto Motto
A empresa pede aos clientes que tomem cuidado com e-mails suspeitos que se passam pela empresa ou por seus serviços. Se receber uma mensagem suspeita, não abra a URL que ela contém, não abra anexos e não informe dados de membro, senhas nem dados de cartão de crédito.
A empresa diz que nunca pede aos clientes por e-mail que informem senhas ou dados de cartão de crédito. Apague os e-mails suspeitos. Para saber como identificá-los, veja O que é phishing?
Desconfie de qualquer coisa que pareça a newsletter
A empresa suspendeu totalmente o serviço de envio da newsletter e diz que a data de retomada está indefinida. Se, durante a suspensão, chegar um e-mail com cara de newsletter da Hotto Motto, mesmo oferecendo cupons ou uma campanha, não abra seus links; verifique se a mesma oferta aparece no site ou app oficial (nossa opinião).
Os pedidos online continuam disponíveis, então e-mails que não são a newsletter, como a confirmação de um pedido que você mesmo fez, ainda podem chegar. Na dúvida, abra você mesmo o site ou app oficial e confira seu histórico de pedidos lá.
Tenha cuidado também com ligações e SMS
As informações vazadas incluem números de telefone. Em geral, um nome e um número de telefone bastam para ligar ou mandar SMS para alguém usando o nome de uma empresa. Quem liga e sabe seu nome ou sua data de nascimento não provou nada.
Desligue e ligue de volta para o número que consta no site oficial. Não informe números de cartão, PINs ou códigos de verificação por telefone ou SMS.
Se estiver preocupado, use o contato oficial
O contato indicado no aviso é a central de atendimento ao cliente da Hotto Motto (ligação gratuita 0120-2074-86, das 10h às 17h30, horário do Japão). A empresa pede cuidado para não discar um número errado.
Use o número que aparece no site oficial, não um escrito em um e-mail ou SMS.
Se você informou dados ou pagou dinheiro, busque ajuda imediatamente
Se você informou dados de cartão em uma página aberta a partir de um e-mail suspeito, entre em contato imediatamente com a emissora do cartão. Se digitou uma senha, troque-a logo e troque-a também em qualquer outro serviço onde use a mesma (Como escolher um gerenciador de senhas).
No Japão, você também pode ligar para a linha de consultas da polícia (#9110) ou para a linha de defesa do consumidor (188).
O que aconteceu (segundo o aviso da Plenus)
Em 4 de novembro de 2026, a Plenus Co., Ltd. publicou o mesmo aviso no site da Hotto Motto e em seu próprio site corporativo. Tudo o que segue vem desse aviso. A empresa não nomeou o terceirizado.
De 28 a 31 de outubro
Ocorreu um acesso não autorizado ao serviço de envio da newsletter da Hotto Motto prestado por um terceirizado externo (o período indicado como data da ocorrência).2 de novembro
O terceirizado externo do serviço de envio da newsletter comunicou que um terceiro havia obtido acesso não autorizado e que informações de membros, incluindo endereços de e-mail, haviam vazado.4 de novembro
A Plenus tornou o incidente público. O serviço de envio da newsletter foi totalmente suspenso, sem data de retomada. Nenhum impacto no serviço de pedidos online foi confirmado.
- Data da ocorrência
- De 28 a 31 de outubro de 2026
- Registros afetados
- Até cerca de 7 milhões
- Informações vazadas
- Informações de membros que incluem endereços de e-mail, nomes, datas de nascimento e números de telefone
- Não incluído
- Dados de cartão de crédito (a empresa não os guarda)
- Causa
- Acesso não autorizado por parte de terceiros ao serviço de envio de e-mail prestado pelo terceirizado externo
- Situação atual
- Serviço de envio da newsletter totalmente suspenso (data de retomada indefinida). Nenhum impacto nos pedidos online confirmado; eles continuam disponíveis
- Contato
- Central de atendimento ao cliente da Hotto Motto, ligação gratuita 0120-2074-86 (das 10h às 17h30, horário do Japão)
Outros incidentes em terceirizados de envio de e-mail no mesmo período
No mesmo período, várias empresas japonesas divulgaram acessos não autorizados em terceirizados que enviam seus e-mails (por exemplo, o acesso não autorizado ao Arara Message). A Plenus não nomeou seu terceirizado, e o aviso não diz se este incidente é o mesmo que algum outro. Este artigo não aplica a este caso números ou causas de outros incidentes.
O que se sabe e o que não se sabe
Esta tabela se baseia no aviso da empresa de 4 de novembro, em 7 de novembro de 2026. Quando surgirem avisos posteriores, atualizaremos a coluna de situação.
| Item | O que o aviso diz | Situação |
|---|---|---|
| Data da ocorrência | De 28 a 31 de outubro de 2026 | Confirmado (empresa) |
| Comunicado do terceirizado | Recebido em 2 de novembro do terceirizado externo | Confirmado (empresa) |
| Endereço de e-mail | Incluído nas informações de membros vazadas | Vazamento confirmado (empresa) |
| Nome | Incluído nas informações de membros vazadas | Vazamento confirmado (empresa) |
| Data de nascimento | Incluída nas informações de membros vazadas | Vazamento confirmado (empresa) |
| Número de telefone | Incluído nas informações de membros vazadas | Vazamento confirmado (empresa) |
| Outros dados de membros | O aviso fala em informações de membros que «incluem» os itens acima; não diz se havia outros | Não informado |
| Dados de cartão de crédito | Não incluídos. A empresa não os guarda | Não incluídos (empresa) |
| Senha | Não consta na lista de informações vazadas | Não informado |
| Endereço postal | Não consta na lista de informações vazadas | Não informado |
| Número | Até cerca de 7 milhões (a unidade é registros; a relação com o número de pessoas não é informada) | Confirmado (empresa; número máximo) |
| Impacto nos pedidos online | Não confirmado. Os pedidos online continuam disponíveis | Não confirmado (empresa) |
| Causa | Acesso não autorizado por parte de terceiros ao serviço de envio de e-mail do terceirizado externo | Confirmado (empresa) |
| Como o acesso aconteceu | Não informado | Não informado |
| Uso indevido | Não informado. A empresa alerta sobre e-mails suspeitos | Não informado |
| Avisos individuais aos membros afetados | Não informado | Não informado |
| Retomada do envio da newsletter | Totalmente suspenso. Data de retomada indefinida | Sob investigação |
Para que podem ser usados um e-mail, um nome, uma data de nascimento e um telefone
Com endereço de e-mail, nome, data de nascimento e número de telefone juntos, fica mais fácil fazer uma mensagem parecer autêntica. Os pontos abaixo são o que pode acontecer em geral; não significam que tenha acontecido neste incidente.
Endereço de e-mail + nome
↓→
E-mails convincentes de cupons ou campanhas endereçados a você pelo nome
→ Não abra links; verifique no app ou site oficial
Nome + número de telefone
↓→
Ligações ou SMS que usam o nome da empresa
→ Desligue e ligue para o número do site oficial
Nome + data de nascimento
↓→
Mensagens que pedem mais dados «para confirmar sua identidade»
→ Não responda, mesmo que saibam seu aniversário
Para que os dados vazados podem ser usados
- E-mails endereçados a você pelo nome que parecem autênticos, incluindo «ofertas de aniversário»
- Ligações ou SMS que usam seu nome e o nome da empresa
- Mensagens que levam a páginas falsas que pedem senha ou dados de cartão
O que os dados vazados sozinhos não permitem
- Fraude com cartão (a empresa não guarda dados de cartão, e eles não foram incluídos)
- Substituir uma página que você abriu por conta própria pelo app oficial ou por um favorito
- Entrar na conta de quem não digitou a senha em lugar nenhum (senhas não estão na lista do aviso)
O que os operadores devem revisar: o que você entrega ao seu terceirizado de envio de e-mail
Os detalhes da causa não foram divulgados, então esta seção trata apenas do que decorre dos fatos publicados.
- Limite os campos usados no envio. As informações de membros vazadas no terceirizado da newsletter incluíam datas de nascimento e números de telefone. Quais campos foram entregues ao terceirizado, e por quê, não foi divulgado. Em geral, se você entrega a um terceirizado de envio de e-mail apenas o que o envio exige (o endereço de e-mail e, se você trata as pessoas pelo nome, o nome), vaza menos quando o terceirizado sofre um incidente. Se usa a data de nascimento para ofertas de aniversário, pode repassar apenas o mês.
- Decida antes o que acontece quando um terceirizado comunica um incidente. O aviso traz as datas da ocorrência (de 28 a 31 de outubro), o comunicado do terceirizado (2 de novembro) e o aviso público (4 de novembro). Se sua newsletter passa por um terceirizado, decidir antes quem suspende o envio, o que diz o aviso aos membros e qual contato atende as dúvidas encurta o tempo até a divulgação.
Fontes (registro público)
Os fatos deste artigo baseiam-se nas informações públicas abaixo. Não especulamos sobre detalhes da causa nem sobre o nome do terceirizado.
- Plenus Co., Ltd., aviso sobre o acesso não autorizado ao serviço de envio da newsletter da Hotto Motto prestado por um terceirizado externo e a resposta da empresa (4 de novembro de 2026, site da Hotto Motto; em japonês) — hottomotto.com
- Plenus Co., Ltd., o mesmo aviso (4 de novembro de 2026, comunicado à imprensa no site corporativo da Plenus; em japonês) — plenus.co.jp
Histórico de atualizações
2026-11-07: primeira versão, com base no aviso da Plenus Co., Ltd. de 4 de novembro. Verificamos os sites da Hotto Motto e da Plenus no mesmo dia e não encontramos nenhum aviso posterior.
Leia a seguir
- Outros incidentes em terceirizados de envio de e-mail no mesmo período: Acesso não autorizado ao Arara Message / Vazamento de dados de membros do Asoview!
- Como identificar e-mails falsos: O que é phishing? / Noções básicas de segurança do smartphone
- Senhas: Como escolher um gerenciador de senhas
- Outros incidentes de 2026: lista de vazamentos e ciberataques (Japão e mundo)