Para: médicos e outros profissionais de saúde que usam o m3.com, funcionários de empresas farmacêuticas que trabalham com o MR-kun, e equipes de recepção ou de TI de instituições médicas. Este artigo se baseia nos anúncios oficiais da M3, Inc. (primeiro e segundo comunicados) e não trata de técnicas de ataque ou golpes.
Em andamento: este artigo será atualizado conforme a organização publicar mais informações
Em 27 de outubro de 2026Ainda não se sabe
- A causa e os detalhes da via de acesso
- O que exatamente incluem as informações de uso do serviço e as relações de atribuição
- Quantas das 25.775 pessoas são médicos que não são membros do m3.com
- Quantas empresas farmacêuticas foram afetadas
- As medidas específicas para evitar recorrência
No segundo comunicado, de 23 de outubro, a M3 diz que continuará investigando e anunciará prontamente quaisquer fatos novos. Não indica data. Quando este site consultou a lista de notícias da empresa em 27 de outubro, não havia atualização posterior ao segundo comunicado.
O que médicos e demais usuários do m3.com devem fazer hoje
Não abra links de mensagens que se apresentem como da M3 ou de uma farmacêutica
A M3 pede atenção a e-mails, mensagens de texto e ligações suspeitas que se passem pela empresa. Os dados vazados incluem nomes e locais de trabalho, além das relações de atribuição que as farmacêuticas clientes haviam registrado.
Em geral, essa combinação permite escrever uma mensagem que cite uma farmacêutica real, ou até a empresa que atende você. Seja sobre uma palestra ou webinar, recompensa de pesquisa, pontos ou um pedido de desculpas pelo vazamento, não abra o link; abra o m3.com pelo seu favorito ou pelo app oficial (como identificar mensagens falsas: O que é phishing?).
Confira pedidos de um representante com novos dados de contato
Mensagens como "seu representante mudou", "estou escrevendo de um novo endereço" ou "veja os materiais em outro site" não são confiáveis só porque o nome e a empresa estão corretos. Confirme com o representante pelo canal que você usa normalmente, ou ligue você mesmo para o número principal da farmacêutica.
Não forneça senhas, números de cartão ou dados bancários
A M3 diz que suas mensagens individuais nunca pedirão que você digite ou forneça senha, dados de cartão de crédito ou dados de conta bancária. Trate como suspeita qualquer mensagem que peça esses dados, mesmo que diga ser da M3.
Avise a recepção e a equipe administrativa para ficarem atentas a mensagens que citem seu nome
Dos 25.775 membros e outros, o e-mail foi incluído em apenas 6 casos. Mas os locais de trabalho foram incluídos, então, em geral, alguém poderia ligar, enviar e-mail ou escrever para o contato principal de um hospital ou clínica usando o nome de um médico. Uma breve orientação à recepção e à equipe administrativa, pedindo que confirmem com você pedidos desconhecidos da M3 ou de uma farmacêutica antes de repassá-los, dificulta isso.
Use o contato do comunicado da empresa
O contato para membros no segundo comunicado da M3 é o atendimento ao cliente do m3.com, em cs-security@m3.com (o primeiro comunicado indicava a página de contato do m3.com). Não use dados de contato de um e-mail ou mensagem de texto recebidos; abra o comunicado a partir da lista de notícias da empresa.
A M3 não pediu que você troque sua senha
Senhas de login não foram incluídas, e a empresa não pediu aos membros que as troquem. Se você usa a mesma senha no m3.com e em outros sites de informação médica ou sistemas hospitalares, é um bom momento para separá-las, o que também protege você de futuras páginas de login falsas (Como escolher um gerenciador de senhas).
O que funcionários de empresas farmacêuticas devem fazer
Também foram confirmados vazamentos de 2.260 funcionários de empresas farmacêuticas: nome, local de trabalho, e-mail de alguns e outros dados (e-mail em 264 casos).
Avise sua equipe de segurança de que sua empresa foi afetada
A M3 diz que sua equipe está contatando as farmacêuticas afetadas. Verifique com a equipe interna responsável se sua empresa foi contatada e, se sim, combinem onde os funcionários devem relatar mensagens suspeitas que se apresentem como de parceiros comerciais ou de médicos.
Confira pedidos incomuns que digam vir da M3 ou de um médico
Em geral, nome, local de trabalho e e-mail juntos facilitam o envio de faturas falsas, links para páginas de login ou anexos que parecem vir de um parceiro comercial. Se uma mensagem que diz ser da equipe da M3 ou de uma instituição médica pedir que você altere dados bancários ou faça login em um site novo, confirme com o remetente pelo seu canal habitual.
Encaminhe os médicos que perguntarem ao contato oficial da M3
Se um médico perguntar se foi afetado, não tente adivinhar; indique o comunicado da empresa e o contato para membros. Se sua empresa contatar médicos por conta própria, não peça que digitem senhas ou dados pessoais, para que sua mensagem não seja confundida com uma falsa.
O que aconteceu (segundo a M3)
A M3, Inc. publicou "Pedido de desculpas e aviso sobre vazamento de dados pessoais causado por acesso não autorizado" na sua página de notícias corporativas em 15 de outubro de 2026, e um segundo comunicado em 23 de outubro. Tudo o que segue vem dos anúncios da empresa.
14 de outubro de 2026
A M3 confirmou acesso não autorizado de um terceiro ao sistema do MR-kun, um serviço que oferece a empresas farmacêuticas. No mesmo dia, confirmou que dados de alguns membros e funcionários de farmacêuticas haviam vazado, e cortou a via de acesso que havia identificado.15 de outubro
Primeiro comunicado. Descrevia os afetados como "alguns membros médicos (menos de 10% do total de membros médicos)" e "funcionários de empresas farmacêuticas (na casa das centenas)", e dizia que os números e detalhes ainda estavam sendo examinados.22 de outubro
A M3 começou a contatar individualmente os membros afetados no e-mail cadastrado.23 de outubro
Segundo comunicado. Informou os números confirmados de 25.775 membros do m3.com e outros e 2.260 funcionários de empresas farmacêuticas, e disse que as vias identificadas até agora para obter os dados haviam sido contidas.
- Sistema afetado
- O sistema do MR-kun, um serviço que a M3 oferece a empresas farmacêuticas
- Membros do m3.com e outros
- Nome, local de trabalho, e-mail de alguns, parte das informações sobre o uso dos serviços da M3 e informações que as farmacêuticas clientes haviam registrado no serviço (como relações de atribuição): 25.775 pessoas (e-mail em 6 casos)
- Não membros
- Inclui alguns médicos que não são membros do m3.com, cujos dados as farmacêuticas haviam confiado à M3 (sem detalhamento)
- Funcionários de farmacêuticas
- Nome, local de trabalho, e-mail de alguns e outros dados: 2.260 pessoas (e-mail em 264 casos)
- Não incluídos
- Senhas de login e pontos m3. A M3 não guarda números de cartão de crédito
- Publicação ou uso indevido
- Nenhum encontrado até agora
- O que a M3 fez
- Cortou a via identificada e reforçou as defesas, conteve as vias identificadas até agora para obter os dados (concluído), informou as autoridades supervisoras, enviou e-mails individuais aos membros afetados (desde 22 de outubro) e está contatando as farmacêuticas afetadas por meio de sua equipe
- Causa
- Não divulgada
O que mudou entre o primeiro e o segundo comunicado
A descrição dos afetados passou de "alguns membros médicos (menos de 10% do total de membros médicos)" para "membros do m3.com e outros", e o segundo comunicado acrescenta que alguns médicos que não são membros do m3.com estão incluídos. Os funcionários de farmacêuticas passaram de "na casa das centenas" para 2.260. "Informações sobre o uso dos serviços da M3" e "relações de atribuição" foram acrescentadas aos itens vazados, e o contato para membros passou de uma página de contato para um endereço de e-mail (cs-security@m3.com).
O que se sabe e o que não se sabe
Com base nos comunicados da empresa de 15 e 23 de outubro, em 27 de outubro de 2026. A coluna de status será atualizada conforme novas informações forem publicadas.
| Item | O que dizem os comunicados | Status |
|---|---|---|
| Nome e local de trabalho (membros e outros, funcionários de farmacêuticas) | Listados como vazamento confirmado | Vazamento confirmado (M3) |
| 6 membros e outros, 264 funcionários de farmacêuticas | Vazamento confirmado (M3) | |
| Informações sobre o uso dos serviços da M3 | "Parte das informações sobre o uso dos serviços da M3". Itens específicos não informados | Vazamento confirmado (M3) |
| Relações de atribuição | Registradas no serviço pelas farmacêuticas. Itens específicos não informados | Vazamento confirmado (M3) |
| Senhas de login, pontos m3 | Não incluídos | Não incluídos (M3) |
| Números de cartão de crédito | A M3 não os guarda | Não incluídos (M3) |
| Telefone, endereço residencial | Não constam na lista de itens vazados | Não informado |
| Número de pessoas | 25.775 membros e outros, 2.260 funcionários de farmacêuticas (pessoas com vazamento confirmado de algum item) | Em 23 de outubro (M3) |
| Número de médicos não membros | Só se informa que alguns estão incluídos | Não informado |
| Causa e via | Em investigação no primeiro comunicado; não descritas no segundo | Em investigação |
| Publicação ou uso indevido | Nenhum encontrado | Não encontrado (M3) |
| Avisos individuais | Membros por e-mail desde 22 de outubro; farmacêuticas pela equipe da M3 | Confirmado (M3) |
"Não informado" não significa "não vazou"
Números de telefone e endereços simplesmente não aparecem na lista de itens vazados. O que a M3 diz expressamente que não foi incluído são senhas de login, pontos m3 e números de cartão de crédito. Os comunicados também não dizem o que contêm as informações de uso do serviço nem as relações de atribuição, por isso mostramos esses status separadamente.
Para que podem ser usados nomes, locais de trabalho e dados de atribuição
Em geral, quando se conhecem o nome e o local de trabalho de um profissional de saúde junto com qual farmacêutica o atende, pode acontecer o seguinte. (Nenhum uso indevido desse tipo foi anunciado neste incidente; a M3 diz que não encontrou nenhum.)
Nome + local de trabalho + atribuição
25.775 membros do m3.com e outros
↓→
Ligações ou cartas ao local de trabalho se passando por uma empresa ou um representante reais
→ Confirme com a pessoa pelo seu canal habitual
Nome + local de trabalho + e-mail
264 funcionários de farmacêuticas, 6 membros e outros
↓→
E-mails se passando pela M3 ou por um parceiro comercial, levando a páginas de login ou anexos
→ Não abra links; use seu favorito
O que pode acontecer em geral
- Alguém se passar por um representante farmacêutico real e levar você a novos dados de contato por uma "troca de representante"
- Mensagens sobre palestras, recompensas de pesquisa ou pontos que levam a uma página de login falsa
- Falsos "pedidos de desculpas pelo vazamento" pedindo dados bancários ou senhas
- Ligações para a recepção de um hospital pedindo para falar com um médico específico
O que você pode fazer
- Abra o m3.com pelo seu favorito ou pelo app oficial
- Confira mensagens de representantes pelo seu canal habitual
- Não forneça senhas nem dados bancários em resposta a uma mensagem
- Peça à recepção e à equipe administrativa que fiquem atentas a pedidos desconhecidos que citem seu nome
No mesmo mês também foi anunciado o vazamento do site para profissionais de saúde da Asahi Kasei Therapeutics, no qual nomes, locais de trabalho e especialidades de profissionais de saúde podem ter vazado. É um incidente diferente, com outra organização e outra causa, mas a forma de se preparar para mensagens falsas dirigidas a profissionais de saúde é semelhante.
O comunicado da M3 de 21 de outubro é um incidente separado
Em 21 de outubro de 2026, a M3 anunciou que um acesso não autorizado a um serviço de nuvem externo que ela usava para operar o site do serviço M3PSP e o site do fundo de 1 pessoa 1 iene pode ter vazado informações enviadas pelos formulários de contato desses sites (271 pessoas no M3PSP, 127 no fundo). A M3 diz que, nesse caso, não encontrou acesso não autorizado aos seus próprios sistemas. É um anúncio separado do MR-kun.
Para farmacêuticas que registram dados de médicos em serviços externos
A causa não foi divulgada. Esta seção se limita ao que mostram os itens vazados divulgados (pontos gerais a revisar, não um palpite sobre a causa).
Liste o que você registrou em serviços externos
Segundo o segundo comunicado, os dados vazados incluíam relações de atribuição que as farmacêuticas haviam registrado no serviço da M3, e dados de médicos não membros que as farmacêuticas haviam confiado à M3. Em geral, informações que você registra em um serviço externo podem ser expostas fora dos seus próprios sistemas. Manter uma lista de quais serviços guardam dados de quais médicos, e quais itens, permite explicar o impacto rapidamente quando um provedor relata um incidente.
Exclua os registros de que não precisa mais
Verifique periodicamente se há médicos que você não atende mais e instituições com as quais não trabalha mais, e exclua o que não for necessário. Dados que você não guarda não podem vazar.
Decida com antecedência como responder aos médicos após um aviso de incidente
A M3 diz que sua equipe está contatando as farmacêuticas afetadas. Decida internamente como os representantes devem responder às perguntas dos médicos e para qual contato oficial encaminhá-los, para que ninguém responda por suposição e suas mensagens não sejam confundidas com falsas.
Fontes (registros públicos)
Os fatos deste artigo se baseiam nas informações públicas abaixo. Não especulamos sobre a causa ou os métodos de ataque, que não foram divulgados.
- M3, Inc., "Pedido de desculpas e aviso sobre vazamento de dados pessoais causado por acesso não autorizado" (em japonês, 15 de outubro de 2026) — corporate.m3.com (PDF)
- M3, Inc., "Pedido de desculpas e aviso sobre vazamento de dados pessoais causado por acesso não autorizado (segundo comunicado)" (em japonês, 23 de outubro de 2026; consultado em 27 de outubro) — corporate.m3.com (PDF)
- M3, Inc., aviso sobre possível vazamento do site do serviço M3PSP e do site do fundo de 1 pessoa 1 iene após acesso não autorizado a um serviço de nuvem que utiliza (em japonês, 21 de outubro de 2026; incidente separado) — corporate.m3.com (PDF)
- M3, Inc., lista de notícias — corporate.m3.com/news
Histórico de atualizações
2026-10-27: Primeira versão, com base no primeiro comunicado da M3, de 15 de outubro, e no segundo comunicado, de 23 de outubro. Será atualizada quando forem divulgados mais detalhes, como a causa.
Leia em seguida
- Outros incidentes com dados de saúde deste mês: vazamento do site para profissionais de saúde da Asahi Kasei Therapeutics / acesso não autorizado ao sistema para clínicas at-link da Medley
- Para identificar mensagens falsas: O que é phishing?
- Proteja seu login: Como escolher um gerenciador de senhas / Como escolher bem a autenticação multifator
- Incidentes na saúde: hospitais cujo atendimento foi interrompido por ciberataques em 2026
- Outros incidentes de 2026: lista de vazamentos e ciberataques (Japão e no mundo)