Vazamento de dados da IDARE (129.659 pessoas): saldos, histórico de transações e alguns números de documentos de identidade vazados — o que os usuários devem fazer

Todas as pessoas que se cadastraram na IDARE até 27 de setembro de 2026 são afetadas, incluindo quem encerrou suas contas. Quais itens vazaram depende de como cada pessoa usou o serviço, e a empresa diz que informará cada uma por e-mail.

Não aja pelos links desse e-mail. Abra você mesmo o aplicativo IDARE ou acesse o site oficial por um favorito ou por uma busca. Dúvidas devem ser enviadas pelo Contato no aplicativo ou pelo formulário de contato no site.

A empresa alerta que podem chegar e-mails, mensagens de texto e ligações suspeitas se passando por ela ou pela IDARE. Ela diz que nunca pede senhas, PINs, códigos de segurança ou códigos de autenticação em múltiplos fatores por e-mail, mensagem de texto ou telefone.

Como saldos e histórico de transações vazaram, uma mensagem falsa pode citar seu saldo real ou compras recentes. Dados corretos não são prova de que uma mensagem é genuína. Não abra links ou anexos em mensagens inesperadas e não informe dados pessoais (como identificar golpes: O que é phishing?).

Segundo a empresa, para fazer login é exigida autenticação em múltiplos fatores pelo método que você cadastrou (uma segunda verificação além da senha). Entregar esse código a outra pessoa desativa essa proteção.

Para algumas pessoas, também vazaram os primeiros 6 e os últimos 4 dígitos de um cartão de crédito cadastrado para recargas, e os últimos 3 dígitos de uma conta bancária cadastrada. Os 6 primeiros dígitos de um número de cartão geralmente revelam qual empresa emitiu o cartão e a bandeira.

Isso torna possíveis mensagens com aparência realista, como "Foi detectado uso suspeito do seu cartão final ××××". Não use o número de telefone ou o link da mensagem. Entre em contato com a empresa pelo número no verso do seu cartão, pela sua caderneta bancária ou pelo aplicativo oficial do seu banco ou operadora de cartão. A empresa diz que não mantém números completos, datas de validade, códigos de segurança ou PINs, então eles não poderiam ter sido obtidos.

A empresa disse que, até 13 de outubro, nenhuma transação fraudulenta havia sido confirmada e os saldos estavam protegidos, e seu segundo comunicado, de 21 de outubro, diz o mesmo até aquela data. Ela afirma que qualquer prejuízo, como uso não autorizado de saldo, será compensado conforme sua política de compensação, e que recargas e pagamentos funcionam normalmente. Ainda assim, vale a pena olhar uma vez o histórico de transações no aplicativo em busca de pagamentos que você não reconhece.

A página da central de ajuda da IDARE sobre sua política de compensação diz que, se você notar uso fraudulento, deve primeiro bloquear seu cartão no aplicativo e, depois, escolher "transação que não reconheço" em Contato no aplicativo, informando data e hora, valor e estabelecimento. A compensação cobre apenas perdas comunicadas à empresa e a uma delegacia de polícia em até 30 dias a partir da data em que a perda ocorreu.

A mesma página diz que transações feitas pelo usuário, inclusive as feitas sob coação de terceiros, não são cobertas. Não envie dinheiro nem faça pagamentos por conta própria porque uma ligação ou mensagem mandou fazê-lo.

Para algumas pessoas, vazaram o nome, endereço, gênero e finalidade de uso informados para verificação de identidade, além do número do documento de identidade. O comunicado não diz de quais documentos (como a carteira de habilitação) os números vêm. Imagens de documentos de identidade e rostos, e o Meu Número (número individual do Japão), não vazaram, segundo a empresa.

Mesmo sem imagens, um número de documento combinado com nome, endereço e data de nascimento pode ser usado em solicitações feitas em nome de outra pessoa. Por precaução, considere registrar uma autodeclaração nos órgãos de proteção ao crédito do Japão (CIC, JICC e o centro de informações de crédito da Associação de Banqueiros do Japão). Custos, duração do alerta e como consultar o seu próprio arquivo de crédito estão em Se os dados da sua carteira de habilitação japonesa vazaram: o que fazer.

Além disso, a partir de abril de 2027, verificações de identidade online para abertura de contas bancárias e serviços semelhantes deixarão, em princípio, de aceitar fotos de documentos e passarão a ler o chip IC, o que exige o cartão físico e seu PIN (As verificações de identidade online do Japão passam para a leitura de chip IC).

Entre as pessoas cadastradas até outubro de 2021, aquelas que informaram renda anual, empregador e dados semelhantes para usar o LADDER, um serviço de crédito encerrado em outubro de 2021, também tiveram esses dados vazados.

Não responda a contatos que ofereçam empréstimos ou ajuda financeira baseados em conhecer sua renda ou empregador. Separadamente deste incidente, a Fivot alertou em comunicado de 7 de abril de 2026 sobre falsas ofertas de empréstimo feitas por pessoas que usam os nomes de seus funcionários ou serviços. Nele, a empresa diz que nunca envia aparelhos a clientes pedindo que informem e devolvam dados pessoais ou bancários, e lista fivot.co.jp, idare.jp e flex-capital.jp como seus sites oficiais.

Se você enviou dinheiro, compartilhou um código de autenticação ou PIN, ou informou dados de cartão em resposta a uma mensagem suspeita, bloqueie seu cartão no aplicativo IDARE e entre também em contato com sua operadora de cartão ou banco.

No Japão, você também pode ligar para a linha de consulta da polícia (#9110) ou para a central do consumidor (188). Se informou uma senha em uma página falsa, troque-a imediatamente, junto com qualquer outro serviço em que usou a mesma senha (Como escolher um gerenciador de senhas).

Ferramentas de atendimento como sistemas de tickets e chat costumam estar conectadas às telas de membros e de transações para que a equipe veja a situação do cliente. Comece listando, para cada ferramenta externa, quais campos ela pode ler e quais credenciais usa (chaves de API ou contas de banco de dados).

Para dados que o atendimento do dia a dia nunca precisa ler em massa, como números de documentos de identidade ou histórico de transações, bloqueie a leitura pela ferramenta ou limite o acesso a consultas de um registro por vez.

A empresa diz que imagens de documentos de identidade e rostos, senhas de login e dados semelhantes não poderiam ter sido obtidos, porque eram gerenciados de forma que o sistema comprometido não conseguia lê-los, ou não eram mantidos de forma alguma.

Manter dados sensíveis em um armazenamento separado, com permissões separadas, limita o que pode ser levado quando um sistema é invadido. Não manter dados que você não precisa, como números completos de cartões, é a proteção mais confiável de todas.

Este incidente incluiu renda anual e dados de empregador informados para um serviço de crédito encerrado em outubro de 2021. O comunicado não diz por que esses dados ainda eram mantidos, e registros de crédito podem estar sujeitos a exigências legais de retenção. Em seu segundo comunicado, de 21 de outubro, a empresa diz que, até 30 de novembro, definirá prazos de retenção para cada item que a lei não exige guardar, como endereços de e-mail e números de telefone, e os excluirá regularmente após o encerramento da conta.

Em geral, separe os dados de serviços encerrados entre o que a lei exige guardar e o que não exige; exclua o que não é necessário e transfira o que deve ser mantido para um local que os sistemas do dia a dia não consigam ler.

O comunicado diz que o acesso não autorizado ocorreu várias vezes entre 10 de agosto e 27 de setembro. As medidas de prevenção da empresa incluem monitoramento contínuo de informações sobre vulnerabilidades de software e monitoramento e alertas nos registros de acesso, e seu segundo comunicado, de 21 de outubro, diz que até 30 de outubro terá em funcionamento um monitoramento que detecta leituras em massa ou acessos incomuns a dados de clientes e emite alerta imediatamente.

Um primeiro passo simples é definir, para cada conta de banco de dados ou chave de API usada por uma ferramenta externa, um limite de registros lidos por hora, e alertar a equipe quando as leituras excederem várias vezes o nível habitual. Acompanhe informações sobre vulnerabilidades das ferramentas externas que você usa, assinando os comunicados e avisos de segurança de seus fornecedores.