Para: associados atuais e antigos do serviço de compartilhamento de carros Cariteco, da Meitetsu Kyosho, no Japão, e funcionários de empresas com contratos corporativos da Cariteco. Este artigo se baseia nos avisos oficiais da Meitetsu Kyosho Co., Ltd. e não trata de técnicas de ataque.
O que os associados devem fazer hoje
Verifique se você é afetado — ex-associados contam, e a carta pode não ter chegado
As pessoas afetadas são associados atuais e antigos da Cariteco. A empresa enviou avisos individuais por correio ou meio semelhante a associados individuais em 10 e 23 de julho e a clientes corporativos em 20 de agosto. Mas alguns não puderam ser entregues, por exemplo por endereços desatualizados, por isso também publicou o aviso online.
Se você se mudou depois de se cadastrar ou saiu há anos, pode não ter recebido nenhum aviso. Em caso de dúvida, ligue para o SAC da Meitetsu Kyosho (linha de informações pessoais) no 0120-353-276 (dias úteis, das 9:00 às 17:00, Japão).
Não responda a ligações, e-mails ou cartas que se apresentem como da empresa ou de uma emissora de cartões
Os dados envolvidos combinam nome, endereço, telefone e e-mail, o que poderia ser usado para tornar mensagens falsas convincentes — inclusive cartas em papel.
A empresa pede que os associados desconfiem de ligações, e-mails e correspondências suspeitos, e que não atendam prontamente a pedidos para informar ou digitar dados pessoais, dados de autenticação ou dados de cartão. Se precisar verificar algo, entre em contato por um número oficial que você mesmo tenha procurado (veja O que é phishing?).
Se você cadastrou um cartão, confira suas faturas
A empresa diz que dados de cartão podem estar incluídos para alguns associados, sem informar quais associados nem quais itens. Se você cadastrou (ou pode ter cadastrado) um cartão na Cariteco, verifique suas faturas para cobranças que você não reconhece, e ligue para o número no verso do cartão se encontrar alguma. Se continuar preocupado, você pode explicar a situação à sua emissora e perguntar sobre a substituição do número.
Registre um alerta de fraude (autodeclaração) nos três bureaus de crédito do Japão
Isso está disponível quando seu nome pode ser usado indevidamente porque um documento de identidade foi perdido, roubado ou vazado. Depois de registrado, credores e emissoras de cartões veem a observação ao consultar seu histórico e analisam as solicitações com mais cuidado.
CIC, JICC e o centro de informações de crédito da Associação Bancária do Japão têm empresas associadas diferentes, por isso registre-se nos três. As diferenças entre os bureaus e a duração dos alertas estão no artigo sobre a Times Car.
Solicite seu histórico de crédito e procure contas que você não abriu
Um alerta de fraude não bloqueia solicitações. Solicite seu próprio histórico de crédito em cada bureau — agora e de novo alguns meses depois — e procure cartões ou empréstimos que você nunca pediu. Se chegar um contrato desconhecido ou uma notificação de cobrança, entre em contato com a empresa e com a delegacia de polícia da sua região.
Se você é ex-associado, peça a exclusão dos seus dados
A lei de privacidade do Japão permite que você solicite que uma empresa interrompa o uso ou exclua seus dados nestes casos (Artigo 35, parágrafo 5):
- ocorreu um vazamento passível de notificação
- a empresa não precisa mais dos dados
Ex-associados podem perguntar ao SAC se os dados do formulário de inscrição ainda são mantidos e se podem ser excluídos. Alguns registros podem ter de ser mantidos por lei, mas obter uma resposta sobre o que permanece e até quando já vale a pena.
Equipe de contas corporativas: alerte colegas sobre mensagens que dizem que uma conta de pagamento mudou
Conforme o aviso de 3 de setembro, o nome da empresa, o endereço, os contatos, as informações do representante e os dados da conta bancária dos clientes corporativos, além dos dados da carteira de motorista de funcionários cadastrados para usar a Cariteco, estão no escopo.
Estabeleça a regra de que e-mails ou cartas que alegam "nossa conta de pagamento mudou" sejam verificados por outro canal, como uma ligação telefônica. Informe também os funcionários cadastrados sobre a opção de alerta de fraude.
O que aconteceu (segundo os avisos da Meitetsu Kyosho)
Tudo o que está abaixo é o que consta nos avisos oficiais da empresa e da Cariteco.
23 jun 2026
A empresa detectou acesso suspeito a seus servidores. Alguns servidores pararam, e ela isolou imediatamente os sistemas e cortou as conexões de rede.29 jun
A Cariteco anunciou que, por causa da interrupção, as novas inscrições e alterações de nome, endereço e telefone de associados existentes, além de novas inscrições corporativas, foram suspensas.2 jul
A empresa divulgou a interrupção causada por acesso não autorizado. Disse que a investigação externa havia "confirmado vestígios de acesso não autorizado por ransomware em 19 de junho". Naquele momento, nenhum vazamento de informações para fora da empresa havia sido confirmado; a polícia e as autoridades competentes foram consultadas e informadas.6 jul
Foi aberta uma central de atendimento ao cliente.10 e 23 jul
Avisos individuais sobre um possível vazamento foram enviados a associados individuais da Cariteco.22 jul
A Cariteco retomou as novas inscrições e os procedimentos de alteração de contrato.28 jul
A empresa disse que a investigação encontrou ataques a vários servidores e que não podia descartar um vazamento de informações de clientes.4 ago
A Cariteco publicou em seu site um aviso sobre o possível vazamento de informações de associados, explicando que alguns avisos individuais não puderam ser entregues e que a publicação tinha como objetivo cobri-los.20 ago
Avisos individuais foram enviados a clientes corporativos da Cariteco (também publicados online em 3 de setembro).
- Associados individuais
- O que foi escrito no formulário de inscrição: nome, endereço, data de nascimento, telefone, e-mail, dados da carteira de motorista
- Dados de cartão
- Podem estar incluídos para alguns associados (quais associados e quais itens não foram divulgados)
- Clientes corporativos
- Nome da empresa, endereço, contatos, informações do representante, dados da conta bancária fornecidos no início do relacionamento e dados da carteira de motorista de funcionários cadastrados para usar a Cariteco
- Escopo
- Associados atuais e antigos. Nenhum número divulgado
- Causa informada
- Acesso não autorizado por ransomware; ataques a vários servidores confirmados. Via de entrada e outros detalhes não divulgados
- Dano secundário
- A empresa afirma que nenhum vazamento ou uso indevido de informações pessoais foi confirmado
- Outros serviços
- Além da Cariteco, a empresa enviou avisos individuais a usuários de vários outros serviços, como clientes mensalistas de estacionamento e membros de programas de pontos
- Contato
- SAC da Meitetsu Kyosho (linha de informações pessoais) 0120-353-276 (dias úteis, das 9:00 às 17:00, Japão)
Como interpretar: o que significa 'dados da carteira de motorista' não está informado
No caso da Times Car, a operadora afirmou explicitamente que imagens da carteira de motorista estavam incluídas. O aviso da Cariteco diz apenas "dados da carteira de motorista", por isso não está claro se isso se refere aos dados impressos na carteira, como número e data de validade, ou também a imagens.
De qualquer forma, um número de habilitação combinado com nome, endereço e data de nascimento não pode ser alterado, por isso as etapas deste artigo são as mesmas. Atualizaremos se forem publicados mais detalhes.
O que é específico deste caso: com ransomware, a recuperação do serviço e a constatação de um possível vazamento ocorrem em momentos diferentes
Interrupção de 23 jun
Servidores parados e isolados; inscrições suspensas
↓→
Divulgação de 2 jul
Vestígios de ransomware; vazamento "não confirmado"
↓→
Retomada de 22 jul
Inscrições e alterações na Cariteco
A partir de 28 jul: "não é possível descartar um vazamento" / avisos individuais (alguns não entregues)
→ O retorno do serviço não significa que os dados estavam seguros. As precauções dos associados começam nesta etapa
Um ataque de ransomware costuma aparecer primeiro como serviços que deixam de funcionar: reservas falham, inscrições param, sites ficam fora do ar. É isso que os usuários percebem primeiro. Se dados foram levados só fica claro depois que os servidores parados são examinados um a um.
No caso da Meitetsu Kyosho, em 2 de julho a empresa disse que "nenhum vazamento de informações para fora da empresa foi confirmado", e foi em 28 de julho — depois de a Cariteco ter retomado as inscrições — que afirmou que um vazamento não podia ser descartado.
A lição para os usuários: quando surgir um aviso de interrupção, lembre-se do que você confiou àquele serviço. Serviços que você deixou são especialmente arriscados, porque seus dados de contato podem estar desatualizados e o aviso posterior de vazamento pode nunca chegar a você. Como o ransomware funciona e como as organizações se preparam está em O que é ransomware?.
Os dois casos de compartilhamento de carros lado a lado
Em 2026, dois casos de compartilhamento de carros envolvendo dados de carteira de motorista foram divulgados no Japão. Lado a lado, o que os associados devem fazer é o mesmo; as diferenças estão no grau de confirmação do vazamento e na forma como as pessoas foram notificadas.
| Item | Times Car | Cariteco (Meitetsu Kyosho) |
|---|---|---|
| Ponto de partida | Acesso não autorizado ao site | Interrupção do sistema por ransomware |
| Situação do vazamento | Obtenção confirmada por terceiro | Não é possível descartar um vazamento |
| Número | Cerca de 6,6 milhões de contas (cerca de 1,6 milhão com imagens de documento de identidade) | Não divulgado |
| Habilitação | Inclui imagens | "Dados da carteira de motorista" (imagens não especificadas) |
| Dados de cartão | Confirmado como não vazado | Podem estar incluídos para alguns associados |
| Ex-associados | Incluídos | Incluídos |
| Aviso individual | Correio ou meio semelhante (alguns não entregues) |
Para operadoras de compartilhamento de carros: dados necessários para a verificação na inscrição não precisam ser mantidos para sempre
A empresa não disse por que manteve os dados de inscrição de ex-associados. Um serviço de compartilhamento de carros tem razões comerciais próprias, como confirmar uma habilitação válida em cada aluguel. Dito isso, eis o que as operadoras podem avaliar com base no que os dois casos têm em comum.
Defina um prazo de exclusão para os dados de inscrição de ex-associados
Verificar a habilitação na inscrição é necessário. Mas os dados de inscrição de ex-associados não são usados pelo negócio, e ainda assim entram no escopo quando ocorre um vazamento. A lei de privacidade do Japão pede que as empresas façam esforços para excluir dados pessoais sem demora quando não forem mais necessários (Artigo 22, dever de esforço).
Mantenha-os pelo período exigido por lei, se houver um; caso contrário, defina um prazo curto e faça com que sejam excluídos automaticamente quando o prazo expirar.
Se não puder excluir os dados, garanta que ainda consiga contatar a pessoa — verifique se os dados de contato estão atualizados
A empresa afirma que algumas notificações individuais não puderam ser entregues. Para qualquer serviço que mantenha dados de membros por anos, é comum que os dados de contato fiquem desatualizados enquanto o restante do registro permanece.
A visão deste site, para operadoras em geral: dados de identidade de pessoas que você não consegue mais contatar, e que não tem obrigação de manter, são dados cuja retenção deve ser revisada. Para dados que você precisa manter, peça às pessoas que atualizem seus contatos; dados de pessoas que você não consegue contatar e que não tem obrigação de manter, exclua. Decida ambos no mesmo inventário.
Esteja preparado para restaurar sistemas se pararem, e limite o dano caso os dados sejam levados
A preparação contra ransomware tem duas partes:
- ser capaz de restaurar a partir de backups
- separar os servidores que guardam dados de clientes da rede geral da empresa
A primeira parte está em Essenciais de backup (a regra 3-2-1), e o mínimo para toda a organização em A base mínima de segurança para organizações.
Fontes (registros públicos)
Os fatos deste artigo vêm das fontes públicas abaixo. Rotas ou métodos de invasão não divulgados não são objeto de especulação.
- Meitetsu Kyosho Co., Ltd., aviso sobre a interrupção do sistema causada por acesso não autorizado (2 de julho de 2026, em japonês) — mkyosho.co.jp
- Meitetsu Kyosho Co., Ltd., abertura de central de atendimento ao cliente para a interrupção (6 de julho de 2026, em japonês) — mkyosho.co.jp
- Meitetsu Kyosho Co., Ltd., aviso sobre um possível vazamento de dados de clientes decorrente do acesso não autorizado (28 de julho de 2026, em japonês) — mkyosho.co.jp
- Meitetsu Kyosho Co., Ltd., situação dos avisos individuais sobre um possível vazamento (até 6 de agosto, 12 de agosto e 3 de setembro, em japonês) — 6 ago / 12 ago / 3 set
- Cariteco, desculpas e aviso sobre um possível vazamento de dados pessoais decorrente de acesso não autorizado (4 de agosto de 2026: associados individuais, em japonês) — cariteco.com / idem (3 de setembro de 2026: clientes corporativos) — cariteco.com
- Cariteco, aviso sobre a interrupção do sistema (29 de junho) e retomada das inscrições e solicitações após a recuperação (22 de julho, em japonês) — 29 jun / 22 jul
- Autodeclaração nos bureaus de crédito (em japonês): CIC / JICC / centro de informações de crédito da Associação Bancária do Japão
- Lei de Proteção de Informações Pessoais, Artigos 22 e 35 (em japonês) — e-Gov Law Search
- Os números da Times Car vêm dos avisos da Times Mobility Co., Ltd. de 28 e 29 de setembro de 2026 (detalhes e fontes no artigo sobre a Times Car)
Histórico de atualizações
2026-09-30: Primeira versão, com base nos avisos da Meitetsu Kyosho de 2 de julho a 3 de setembro e nos avisos da Cariteco de 4 de agosto e 3 de setembro. A empresa afirma que anunciará novos fatos, incluindo se houve vazamento; este artigo será atualizado quando isso ocorrer.
Leia a seguir
- Se os dados da sua habilitação vazaram: O que fazer quando os dados da sua carteira de motorista vazam
- O mesmo padrão: A violação da Times Car (imagens de carteira de motorista vazadas)
- Outro caso japonês nesta temporada: APORITO Online Store: possível vazamento de dados de cartão
- Outro serviço relacionado a carros: Violação do Carsensor.net e do C-MATCH (nomes e endereços de pessoas que entraram em contato com concessionárias)
- Golpes derivados: O que é phishing?
- Ransomware: O que é ransomware? / Essenciais de backup
- Outros incidentes de 2026: lista de violações e ciberataques (Japão e no mundo)
- Para operadoras: A base mínima de segurança para organizações
Correção
2026-10-16: na referência à Times Car, esclareceu-se que o número de ~1,6 milhão corresponde a contas que incluem imagens de documentos de identidade, não à quantidade de imagens.