Para: qualquer pessoa que tenha se cadastrado no site de empregos MyBRANDS como candidato ou como contato de empresa, incluindo quem saiu do serviço. Este artigo se baseia no comunicado oficial da empresa e não trata de métodos de ataque.
Em andamento: este artigo será atualizado conforme a organização publicar novas informações
- Quem é afetado
qualquer pessoa que tenha se cadastrado no site de empregos MyBRANDS como candidato ou como contato de empresa, incluindo quem saiu do serviço.
- Confirmado até agoraVer a tabela ↓
- Dados enviados
Apontado como possivelmente afetado
- Nome, e-mail, telefone, perfil (como o histórico profissional)
- Senha de login
- Chave de descriptografia
- Ainda não confirmado
- O que os dados enviados realmente continham (o que foi levado)
- Detalhes de como a chave usada indevidamente passou a ser usada, e a causa
- Quando todos os avisos por e-mail terão chegado às pessoas afetadas
Mais 2
- Quando o serviço será retomado
- Se haverá algum uso indevido (dano secundário)
- O que fazer agoraVer os passos ↓
- Verifique se você reutilizou sua senha do MyBRANDS
- Candidatos: confira mensagens de recrutadores e abordagens diretas por um canal oficial
- Contatos de empresas: avise colegas e revise as contas da mesma pessoa
Mais 2
- Confira o que se diga da empresa sem abrir links da mensagem
- Envie dúvidas por e-mail à central do MyBRANDS
- Onde verificar (fonte)Todas as fontes ↓
- iDA Co., Ltd., “Pedido de desculpas e aviso sobre o possível vazamento de informações pessoais por acesso não autorizado ao MyBRANDS” (30 de outubro de 2026; conferido em 2 de novembro; em japonês)
- Última verificação
- Em 2 de novembro de 2026
Próximos avisos e o que verificamos
A empresa diz que anunciará na página de comunicados qualquer novidade que precise informar e a data de retomada. Em 2 de novembro conferimos o texto do comunicado de 30 de outubro (o site da empresa recusa acesso automatizado, então lemos em um navegador). O texto que obtivemos não continha nenhum acompanhamento. Segundo a empresa, o serviço está parado e não será retomado até que a segurança seja confirmada.
O que candidatos e contatos de empresas devem fazer hoje
Verifique se você reutilizou sua senha do MyBRANDS
A empresa pede que quem usa em outros serviços a mesma senha do MyBRANDS a troque lá. Para contatos de empresas, isso inclui sistemas internos. Ela diz que não é preciso fazer nada no próprio MyBRANDS.
- Dê a cada serviço em que você reutilizou a senha uma senha própria e diferente (Como verificar se uma senha vazou)
- Ative a autenticação multifator onde puder
- Se não conseguir lembrar de todas, use um gerenciador de senhas
Candidatos: confira mensagens de recrutadores e abordagens diretas por um canal oficial
Com seu nome, telefone, e-mail e histórico profissional juntos, alguém pode redigir uma mensagem convincente dizendo “vimos o seu currículo”. Se chegar uma mensagem sobre data de entrevista, conferência de documentos ou abordagem direta, não use o link nem o telefone dela. Confirme no site oficial da empresa ou no contato da vaga que você mesmo abriu.
A empresa diz que, em seus contatos sobre este incidente, não pedirá códigos de login, senhas nem nada relacionado a dinheiro. Não aceite contatos que peçam.
Contatos de empresas: avise colegas e revise as contas da mesma pessoa
O nome, o e-mail e o telefone de um contato de empresa podem ser alvo de mensagens que se passam por parceiros comerciais ou candidatos. Verifique se você usou a senha do MyBRANDS em sistemas internos e, se sim, troque-a. Avise também os colegas para terem cuidado com mensagens suspeitas que se passem por vagas ou candidatos (conselho deste site).
Confira o que se diga da empresa sem abrir links da mensagem
A empresa diz que seus e-mails sobre este incidente não contêm links. Trate um e-mail ou SMS que tenha link ou peça que você faça login como não sendo um aviso sobre este incidente (conselho deste site). A empresa diz que seus e-mails sobre o incidente são enviados dos endereços indicados na seção 6 do comunicado. Afirma que avisará as pessoas afetadas por e-mail, aos poucos, a partir de 30 de outubro.
Envie dúvidas por e-mail à central do MyBRANDS
A empresa pede que as dúvidas sobre este incidente sejam enviadas por e-mail à central do MyBRANDS, e não à empresa para a qual você se candidatou nem à que lhe enviou uma abordagem direta. Atende 24 horas por dia, com contatos separados para candidatos e para empresas, e pede que você escreva do e-mail cadastrado. Use os endereços da página oficial do comunicado.
1. Ligação / e-mail / SMS que se diz de recrutador, de abordagem direta ou do MyBRANDS
Nome, histórico profissional e telefone estão corretos → não decida aqui
↓
2. Ignore links e números; confira no site oficial da empresa ou no contato do comunicado oficial
↓
3-A Nada no lado oficial
Pede códigos de login, senhas, dinheiro → não ceda
3-B O lado oficial mostra o mesmo aviso
Siga as instruções oficiais
O que aconteceu (segundo a iDA Co., Ltd.)
Esta seção se baseia no comunicado da empresa “Pedido de desculpas e aviso sobre o possível vazamento de informações pessoais por acesso não autorizado ao MyBRANDS”, de 30 de outubro de 2026 (em japonês).
21 a 22 de outubro de 2026
Uma chave de acesso à nuvem usada por uma contratada foi usada indevidamente por um terceiro (relato da empresa). A empresa descreve isso como tendo ocorrido “durante o trabalho em uma vulnerabilidade com o serviço parado” (tradução nossa)26 de outubro
Soube que havia registros de envio de dados ao exterior a partir de uma cópia do banco de dados (relato da empresa)30 de outubro
Comunicado publicado. Na data do comunicado, diz ter informado a Comissão de Proteção de Informações Pessoais e consultado a polícia (sem data). Os avisos por e-mail às pessoas afetadas começam, aos poucos, a partir deste dia2 de novembro
Este site conferiu o texto do comunicado. Não consta nenhum acompanhamento
- Informações afetadas
- Nome, endereço de e-mail, telefone, perfil (como o histórico profissional) e senha de login (um valor transformado) e mais, de pessoas cadastradas no MyBRANDS, incluindo as que saíram do serviço. Varia conforme o cadastro. As informações de candidatos e de contatos de empresas estão incluídas
- Não incluído
- Dados de cartão de crédito e de conta bancária não eram mantidos e não estão incluídos. Serviços diferentes do MyBRANDS, como iDA (ida-mode.com) e MyBRANDS Shinsotsu, não estão incluídos
- Criptografia e a chave
- Nome, e-mail, telefone e endereço eram armazenados criptografados. A chave para descriptografá-los também pode ter sido levada
- Resposta da empresa
- O serviço está parado e não será retomado até que a segurança seja confirmada. Informou a Comissão de Proteção de Informações Pessoais e consultou a polícia. Investiga a causa com a contratada e trabalha para evitar que se repita
- Dano secundário
- Até agora não foi confirmado nenhum uso indevido das informações (dano secundário)
O que se sabe e o que não se sabe
Esta é a situação em 2 de novembro de 2026. Reescreveremos esta tabela conforme surgirem atualizações.
| Item | O que a empresa disse | Situação |
|---|---|---|
| Uso indevido da chave | Uma chave de acesso à nuvem usada por uma contratada foi usada indevidamente por um terceiro em 21 e 22 de outubro | Relato da empresa |
| Dados enviados | Há registros de envio de dados ao exterior a partir de uma cópia do banco de dados | Confirmado (empresa) |
| O que continham os dados enviados | Não foi possível confirmar; toda a informação mantida é tratada como incluída | Em investigação |
| Nome, e-mail, telefone, perfil (como o histórico profissional) | Podem ter vazado | Possível (empresa) |
| Senha de login | O valor transformado está entre as informações que podem ter vazado | Possível (empresa) |
| Endereço | Não consta da lista (que termina com “etc.”). A empresa trata toda a informação mantida como afetada e cita o endereço entre os itens que armazenava criptografados | Não informado |
| Chave de descriptografia | Pode ter sido levada | Possível (empresa) |
| Cartão de crédito / conta bancária | Não mantidos e não incluídos | Não incluídos (empresa) |
| Serviços diferentes do MyBRANDS | Não incluídos | Não incluídos (empresa) |
| Número | Até cerca de 135 mil (contas, em 30 de outubro), incluindo pessoas que saíram do serviço | Até (limite superior da empresa em 30 de outubro) |
| Detalhes de como a chave passou a ser usada | Não foram dados | Em investigação |
| Uso indevido / dano secundário | Nenhum confirmado até agora | Não confirmado (empresa) |
| Contato com as pessoas afetadas | Avisos por e-mail enviados aos poucos a partir de 30 de outubro (não foi divulgado quando todos terão recebido) | Relato da empresa |
| Autoridades | A empresa diz que informou a Comissão de Proteção de Informações Pessoais e consultou a polícia. Não vimos nenhuma declaração das autoridades | Não informado (autoridades) |
| Retomada do serviço | Parado; não será retomado até que a segurança seja confirmada | Em investigação (data não divulgada) |
Como ler: “pode ter vazado” e “criptografado”
A empresa escreve que as informações “podem ter vazado” (tradução nossa); como não conseguiu confirmar o que foi enviado, notifica partindo do princípio de que toda a informação mantida está incluída. Este site usa as palavras da empresa. Além disso, não é seguro tratar como não lidos os itens armazenados criptografados, porque a chave para descriptografá-los também pode ter sido levada. O mais seguro é se preparar como se tivessem sido lidos (conselho deste site).
Para que nome, dados de contato e histórico profissional podem ser usados
O que segue é aonde essas combinações podem, em geral, levar. A empresa não disse que algo disso tenha acontecido neste incidente.
- Nome + e-mail + telefone: alvos de ligações, e-mails e SMS convincentes que se passam por recrutador ou abordagem direta
- Perfil como o histórico profissional: permite que quem escreve diga “vimos o seu currículo” com detalhes específicos, o que torna a mensagem mais difícil de duvidar. Cuidado também com mensagens falsas que usem a empresa para a qual você se candidatou ou o tipo de vaga que você procura
- Nome, e-mail e telefone de um contato de empresa: alvos de mensagens com cara de e-mail comercial, que se passam por parceiros ou candidatos
- Senha (um valor transformado): em geral, senhas curtas ou comuns às vezes podem ser deduzidas a partir do valor transformado. Pode servir de material para entrar em outros serviços que compartilhem a senha (O que é hash de senha?)
A empresa diz que dados de cartão e de conta bancária não estão incluídos. Ainda assim, trate como provavelmente falsa qualquer mensagem que use uma entrevista ou um processo seletivo como pretexto para pedir por e-mail ou chat números de cartão, PINs de conta ou cópias de documentos de identidade.
O que os operadores devem revisar
Como a chave passou a ser usada não foi divulgado. Listamos apenas pontos gerais que decorrem do que foi divulgado (uma chave usada por uma contratada, uma cópia do banco de dados e uma chave de descriptografia que também pode ter sido levada).
- Chaves de nuvem entregues a contratadas: use uma chave separada para cada contratada, limite-a às operações e ao período necessários (privilégio mínimo), recrie-a regularmente (rotação) e desative-a quando não for mais necessária. Faça o inventário das chaves que não são mais usadas
- Onde ficam os dados criptografados e a chave de descriptografia: se um mesmo conjunto de permissões alcança ambos, a criptografia não protege os dados. Mantenha as chaves em um serviço de gerenciamento de chaves separado ou sob permissões distintas, de modo que quem pode ler os dados e quem pode usar a chave sejam diferentes
- Cópias do banco de dados: proteja cópias feitas para testes ou migração tão bem quanto a produção e apague-as ao terminar. Limite quem pode criar cópias e as vias pelas quais os dados podem sair
- Detecção de grandes transferências para fora: a empresa diz que soube que havia registros de envio de dados ao exterior. Registrar o volume das transferências de saída e alertar sobre ele reduz o tempo até perceber
São pontos gerais e não significam que a empresa deixou de fazer algum deles.
Fontes (registros públicos)
Os fatos aqui se baseiam nas informações públicas abaixo. Não especulamos sobre detalhes que não foram divulgados nem sobre o que continham os dados enviados. O site da empresa recusa acesso automatizado, então lemos o texto em um navegador.
- iDA Co., Ltd., “Pedido de desculpas e aviso sobre o possível vazamento de informações pessoais por acesso não autorizado ao MyBRANDS” (30 de outubro de 2026; conferido em 2 de novembro; em japonês) — ida-mode.com
Histórico de atualizações
2026-11-02: Primeira versão, com base no comunicado da empresa de 30 de outubro (conferido em 2 de novembro; nenhum acompanhamento encontrado).
Leia em seguida
- O mesmo padrão em um site de empregos: Acesso não autorizado ao Baitoru (apenas endereços de e-mail, e como se preparar para falsas mensagens de entrevista)
- Incidentes que começam por credenciais: Vazamentos de 2026 que começaram com credenciais roubadas
- Mensagens fraudulentas: O que é phishing?
- Para operadores (gerenciamento de chaves e segredos): Credenciais vazadas que continuam válidas
- Proteger suas contas: Como escolher a autenticação multifator / Como escolher um gerenciador de senhas
- Outros incidentes de 2026: Vazamentos de dados e ciberataques de 2026 (Japão e mundo)