Para: pessoas que usam a negociação online da Iwai Cosmo Securities, e instituições financeiras e empresas que terceirizam a operação de seus sistemas de negociação. Este artigo se baseia nos comunicados oficiais da Iwai Cosmo Securities Co., Ltd. e da Iwai Cosmo Holdings, Inc., e não trata de técnicas de ataque.
Em andamento: este artigo será atualizado conforme a organização publicar novas informações
Em 23 de outubro de 2026Ainda não se sabe
- O método específico do acesso não autorizado e do ataque ao sistema de gestão de negociações
- O que são os "outros dados" vazados
- Valores e títulos envolvidos nas ordens não intencionais
O segundo comunicado, de 20 de outubro, elevou o número de pessoas para 4.975 e divulgou as ordens não intencionais em 7 contas. A empresa diz que anunciará com rapidez qualquer fato novo que venha a ser descoberto. Até 23 de outubro, não encontramos um terceiro comunicado. O site da empresa (www.iwaicosmo.co.jp) exibia uma página de manutenção emergencial em 23 de outubro, por isso consultamos o segundo comunicado por meio de uma cópia salva no Internet Archive (Wayback Machine).
O que os clientes da Iwai Cosmo Securities devem fazer hoje
Mantemos separado o que a empresa pede aos clientes dos conselhos gerais deste site. Cada título de passo indica de qual tipo ele é.
Não use links nem números em ligações ou e-mails que se digam da empresa (alerta da empresa)
A empresa alerta que podem ocorrer ligações e e-mails que se façam passar por ela. Como nomes e endereços de e-mail vazaram, espere mensagens falsas com seu nome correto, enviadas por alguém que sabe que você é cliente.
Mesmo que uma mensagem fale em confirmar negociações fraudulentas, indenização ou verificação de segurança, não abra seus links e não ligue para nenhum número de telefone informado na mensagem (como identificar golpes: O que é phishing?).
Entre pela página de login salva nos favoritos e consulte seus avisos (contato individual da empresa)
A empresa diz que já havia informado individualmente as 4.611 pessoas do primeiro comunicado até 16 de outubro, e que contatou as 364 pessoas acrescentadas no segundo comunicado por meio da tela de avisos após o login e por e-mail. Entre por um favorito que você salvou ou pelo seu acesso habitual, e não por um link de e-mail, e consulte ali.
Em 23 de outubro, o site da empresa exibiu uma página de manutenção emergencial, que pede aos clientes que salvem diretamente nos favoritos as páginas de login da negociação online. Segundo o site de negociação online da empresa, essa manutenção serve para corrigir a vulnerabilidade do PHP anunciada em 21 de outubro e não é causada por acesso não autorizado nem por ciberataque (sobre a vulnerabilidade do PHP: Vulnerabilidades críticas do PHP explicadas).
Consulte seu histórico de ordens e execuções (conselho deste site)
A empresa diz que contatou individualmente os clientes das 7 contas com ordens não intencionais em 14 de outubro e que, desde então, restaurou as contas ao estado anterior às negociações. Mesmo que você não tenha sido contatado, vale verificar seu histórico recente de ordens e execuções e se seus dados cadastrais foram alterados sem seu conhecimento.
Se encontrar uma ordem ou alteração que você não fez, entre em contato com o Escritório de Atendimento ao Cliente, como a empresa pede.
Nunca informe a ninguém sua senha ou senha de negociação (conselho deste site)
A empresa diz que os dados vazados não incluem senhas de negociação e que não podem ser usados para entrar em contas nem para negociar. Isso significa que a próxima coisa que uma mensagem falsa tentará obter de você é sua senha de login e sua senha de negociação.
Não as informe, nem mesmo a quem diga que é "para confirmar sua identidade". Se você usa a mesma senha em outros serviços, troque-a (como verificar: Como verificar se sua senha vazou; proteção extra: Como escolher a MFA da forma certa).
Use o canal de contato indicado no comunicado oficial (orientação da empresa)
O canal de contato indicado nos comunicados é o Escritório de Atendimento ao Cliente da Iwai Cosmo Securities, telefone 0120-405-546 (dias úteis, das 9h às 17h, horário do Japão). A empresa pede que os clientes entrem em contato com qualquer dúvida ou preocupação.
Use o número dos comunicados oficiais listados nas fontes deste artigo, e não um número informado em um e-mail ou mensagem de texto que você tenha recebido.
O que aconteceu (segundo os comunicados da Iwai Cosmo Securities)
O que segue se baseia no comunicado da empresa de 16 de outubro de 2026 (divulgação oportuna da Iwai Cosmo Holdings) e em seu segundo comunicado, de 20 de outubro. A terceirizada é a empresa que, segundo a descrição da Iwai Cosmo Securities, foi incumbida de "operar e manter nosso sistema de negociação online".
14 de outubro de 2026
A empresa detectou acesso não autorizado por terceiros, contatou imediatamente a terceirizada e adotou medidas de emergência, como restrições de acesso. No mesmo dia, o sistema de gestão de negociações também foi atacado, e ordens que os clientes não pretendiam foram lançadas em 7 contas (5 executadas). A empresa contatou individualmente esses clientes naquele dia.16 de outubro
Primeiro comunicado publicado (divulgação oportuna da controladora). Informou o vazamento de nomes, endereços de e-mail e outros dados de 4.611 pessoas, disse que essas pessoas haviam sido informadas individualmente e abriu um canal de contato.20 de outubro
Segundo comunicado publicado. Uma revisão dos registros de acesso e de comunicação acrescentou 364 pessoas, totalizando 4.975. As ordens não intencionais também foram divulgadas nesse dia.Até 23 de outubro
O site da empresa exibe uma página de manutenção emergencial. O site de negociação online da empresa diz que isso serve para corrigir uma vulnerabilidade do PHP e não é causado por acesso não autorizado nem por ciberataque (verificado em 23 de outubro).
- Origem
- O sistema da terceirizada que a empresa usa para operar e manter seu sistema de negociação online
- Quem
- Clientes de negociação online, 4.975 pessoas (as 4.611 do primeiro comunicado mais 364 encontradas na revisão)
- Itens
- Nomes, endereços de e-mail e outros dados. A empresa diz que os dados das 364 pessoas estão dentro do escopo do primeiro comunicado
- Não incluídos
- Senhas de negociação. A empresa diz que os dados não podem ser usados para entrar em contas nem para negociar
- As 364 acrescentadas
- Encontradas por revisão do acesso de 14 de outubro; a empresa diz que não ocorreram depois novos acessos não autorizados nem vazamentos
- Ordens não intencionais
- Em 14 de outubro, o sistema de gestão de negociações foi atacado, e ordens não intencionais foram lançadas em 7 contas (5 executadas). As contas foram restauradas e os clientes não arcam com custos, segundo a empresa
- Ligação com o vazamento
- A empresa diz que os dados pessoais vazados não foram usados nessas negociações
- Momento da divulgação
- A empresa explica que, em 16 de outubro, ainda estava implementando medidas para evitar danos semelhantes, por isso reteve informações que poderiam indicar o método
- Causa e medidas
- O ponto que permitiu o acesso foi identificado e corrigido, segundo a empresa. Ela afirma ter confirmado que a terceirizada reforçou a segurança das funções de gestão (restrições de acesso), reforçou o bloqueio de tráfego não autorizado e acrescentou detecção imediata de anomalias de login, além de reforçar o monitoramento
- Outras instituições financeiras
- Segundo a terceirizada, os sistemas que ela fornece a outras instituições financeiras também foram verificados, e não foi encontrado nenhum acesso não autorizado semelhante
- Contato
- Escritório de Atendimento ao Cliente 0120-405-546 (dias úteis, das 9h às 17h, horário do Japão)
O que se sabe e o que não se sabe
Situação em 23 de outubro de 2026. Quando a empresa publicar mais informações, atualizaremos a coluna de status.
| Item | O que dizem os comunicados | Situação |
|---|---|---|
| Número de pessoas | 4.975 (4.611 no primeiro comunicado + 364 na revisão) | Vazamento confirmado (empresa) |
| Itens vazados | Nomes, endereços de e-mail e outros dados | Vazamento confirmado (empresa) |
| O que significam os "outros dados" | Não divulgado | Não informado |
| Senhas de negociação | Não estão nos dados vazados | Não incluídas (empresa) |
| Senhas de login | Nenhuma declaração separada (a empresa diz que os dados não podem ser usados para entrar ou negociar) | Não informado |
| Ordens não intencionais | Lançadas em 7 contas, 5 executadas; a restauração das contas ao estado anterior às negociações foi concluída (segundo comunicado, 20 de outubro) | Confirmado (empresa) |
| Custo para os clientes | Nenhum | Confirmado (empresa) |
| Ligação entre as negociações e o vazamento | Os dados pessoais vazados não foram usados | Confirmado (empresa) |
| Valores e títulos das ordens | Não divulgados | Não informado |
| O que permitiu o acesso | Identificado e corrigido; método específico não divulgado | Não informado |
| Outras instituições financeiras | A verificação da terceirizada não encontrou acesso não autorizado semelhante | Não encontrado (terceirizada) |
| Danos secundários | Primeiro comunicado de 16 de outubro: nenhum encontrado | Não encontrados (empresa) |
Acesso não autorizado ao sistema da terceirizada
↓→
Nomes, endereços de e-mail e outros dados vazaram (4.975 pessoas)
→ Não use os links nem os números de ligações ou e-mails
Ataque ao sistema de gestão de negociações (mesmo dia, 14 de outubro)
↓→
Ordens não intencionais em 7 contas (5 executadas)
→ Restauradas ao estado anterior às negociações (empresa); confira seu histórico de ordens e execuções de qualquer forma
A empresa diz que os dados pessoais vazados não foram usados nas ordens não intencionais
A empresa diz que as ordens não intencionais decorreram de um ataque ao sistema de gestão de negociações e que os dados pessoais vazados não foram usados. Em outras palavras, a explicação dela é que as ordens não foram lançadas em decorrência do vazamento de nomes e endereços de e-mail.
Mesmo assim, os nomes e endereços de e-mail vazados podem ser usados em mensagens falsas daqui para frente. Continue atento às mensagens, mesmo com as ordens já resolvidas.
Para que a combinação de itens vazados pode ser usada
Em geral, as combinações a seguir permitem os tipos de uso indevido indicados. Isso não significa que tenham acontecido neste caso.
- Nome + endereço de e-mail: e-mails falsos com seu nome correto. O remetente também sabe que você é cliente da Iwai Cosmo, então assuntos ligados ao incidente ou à indenização se tornam mais prováveis
- O fato de o incidente ter sido divulgado: ligações e e-mails formulados de modo próximo aos comunicados reais, como "confirmação da ordem não autorizada" ou "procedimentos de reembolso", ficam mais fáceis de escrever
- ID de login, senha e senha de negociação digitados em um site falso: com esses três itens, alguém poderia entrar na sua conta e negociar. Não foram eles que vazaram aqui, mas são o que as mensagens falsas buscam
A Agência de Serviços Financeiros do Japão emitiu um alerta geral sobre negociações fraudulentas feitas com dados de login roubados por meio de sites falsos que se passam por corretoras (alerta da FSA, em japonês). Trata-se de um alerta geral sobre contas de valores mobiliários, e não sobre este incidente.
Em um caso anterior, o vazamento na terceirizada da Daiwa Securities, o comunicado da própria terceirizada mostrou depois que outras empresas no mesmo servidor foram afetadas. Neste caso, a terceirizada afirma que verificou os sistemas que fornece a outras instituições financeiras e não encontrou acesso não autorizado semelhante.
Para instituições financeiras que terceirizam a operação de seus sistemas de negociação
O método específico não foi divulgado, por isso não entramos em como prevenir a invasão. O que o comunicado publicado mostra é que a empresa afirma que as ordens não intencionais decorreram de um ataque ao sistema de gestão de negociações e que os dados pessoais vazados não foram usados. "Reforço da segurança das funções de gestão (restrições de acesso)" aparece em primeiro lugar entre as medidas adicionais da terceirizada. Os pontos abaixo são verificações gerais motivadas pelo que foi publicado, e não uma declaração sobre a causa deste caso.
Liste as funções de gestão do sistema da sua terceirizada e quem pode usá-las e de onde
Em geral, um sistema de negociação tem funções de gestão usadas pela equipe de operação e manutenção, separadas das telas dos clientes. Adicionar autenticação em múltiplos fatores aos logins de clientes não protege, por si só, o lado da gestão, que precisa de verificação própria.
Como primeiro passo, peça à terceirizada uma lista das funções de gestão, das contas que podem usá-las e das restrições de onde podem ser acessadas (como endereços IP), e confirme se alguma função de gestão pode ser acessada diretamente pela internet.
Detecte ordens que não vieram da sessão do próprio cliente, no momento em que ocorrem
A empresa detectou o acesso não autorizado no mesmo dia e contatou os clientes afetados naquele dia. Em geral, um alerta imediato quando uma ordem é lançada sem login do cliente, ou por uma rota, horário ou volume incomuns, torna o cancelamento e o contato com os clientes mais rápidos.
As medidas adicionais da terceirizada incluem também a detecção imediata de anomalias de login e o reforço do monitoramento (verificações programadas e resposta imediata a anomalias). Do seu lado, defina quem recebe esses alertas e quem decide o que fazer, em quantos minutos.
Obtenha os resultados da verificação da terceirizada para o seu próprio ambiente
Uma mesma empresa pode operar e manter sistemas de negociação de várias instituições financeiras. Aqui, a terceirizada afirma que também verificou os sistemas que fornece a outras instituições financeiras.
Se você usa a mesma terceirizada, obtenha por escrito o resultado e o escopo da verificação para o seu ambiente (quais períodos de registros foram revisados e com base em quais critérios). Para o lado do controle de acesso, veja Autenticação versus autorização.
Fontes (registros públicos)
Os fatos deste artigo se baseiam nas informações públicas abaixo. Não especulamos sobre métodos ou causas não divulgados.
- Iwai Cosmo Holdings, Inc., "岩井コスモ証券 外部委託先への不正アクセスに伴うお客様情報の漏洩について" (16 de outubro de 2026, divulgação oportuna; o anexo é o comunicado da Iwai Cosmo Securities) — iwaicosmo-hd.jp (PDF, em japonês)
- Comunicado de imprensa da Iwai Cosmo Holdings, "外部委託先への不正アクセスに伴うお客様情報の漏洩について" (16 de outubro de 2026) — iwaicosmo-hd.jp
- Iwai Cosmo Securities Co., Ltd., "外部委託先への不正アクセスに伴うお客様情報の漏洩について(第2報)" (segundo comunicado, 20 de outubro de 2026) — iwaicosmo.co.jp (não exibido em 23 de outubro porque o site estava em manutenção; consultado pela cópia do Internet Archive salva em 21 de outubro: cópia do Internet Archive)
- Site de negociação online da Iwai Cosmo Securities, aviso de manutenção (consultado em 23 de outubro de 2026) — iwaicosmo.net
- Agência de Serviços Financeiros, "インターネット取引サービスへの不正アクセス・不正取引にご注意ください" — fsa.go.jp
Histórico de atualizações
2026-10-23: Primeira versão, com base no comunicado da Iwai Cosmo Securities de 16 de outubro (divulgação oportuna da controladora) e em seu segundo comunicado, de 20 de outubro. O segundo comunicado foi consultado pela cópia do Internet Archive porque o site da empresa estava em manutenção. Atualizaremos este artigo quando novos fatos forem publicados.
Leia em seguida
- Proteção contra golpes de acompanhamento: O que é phishing? / O que é uma passkey?
- Protegendo seu login: Como escolher a MFA da forma certa / Como verificar se sua senha vazou
- Outra corretora de valores neste mês: Vazamento na terceirizada da Daiwa Securities (cerca de 110.000 clientes)
- Outros incidentes de 2026: Vazamentos de dados e ciberataques de 2026