Para: quem tem cadastro em serviços da Nikkei Inc. ou da Nikkei National Geographic e quem administra ambientes de nuvem usados em desenvolvimento. Este artigo se baseia nos avisos oficiais da Nikkei Inc., editora de jornais do Japão, e de sua empresa do grupo Nikkei National Geographic, e não trata de técnicas de ataque.
Em andamento: este artigo será atualizado conforme a organização publicar mais informações
Em 24 de outubro de 2026Ainda não se sabe
- Quais serviços têm usuários afetados
- Quantidades por tipo de dado (endereço, telefone, data de nascimento) e número de pessoas
- Como as credenciais foram roubadas
- Como o acesso foi detectado
- Como e quando os afetados serão contatados
- Resultados da revisão do alcance
A empresa diz que está revisando o alcance da invasão e os dados pessoais que vazaram, e que trabalha para entender os danos e identificar a causa. Não há prazo informado para uma atualização.
Em 24 de outubro, a lista de avisos da empresa não tinha nenhum acompanhamento deste caso; em 23 de outubro ela anunciou uma alteração em seu formulário de contato (uma medida preventiva).
O que os usuários dos serviços da Nikkei devem fazer hoje
Não abra links de e-mails que digam ser da Nikkei ou de uma empresa do grupo
Cerca de 120 mil registros incluem um endereço de e-mail, e alguns também incluem nome, endereço postal, número de telefone ou data de nascimento. Em geral, dados de contato vazados atraem mensagens falsas que usam o nome da empresa e o nome real do destinatário. O aviso não alerta sobre mensagens falsas; isto é uma precaução.
Mesmo que o assunto diga algo como "Pedimos desculpas", "Indenização" ou "Confirme sua conta" (exemplos deste site), não faça login pelo link. Abra os sites oficiais por um favorito ou por uma busca feita por você. Como reconhecer fraudes está em O que é phishing.
Se receber um aviso individual, compare-o com a página de avisos
A empresa diz que notificará individualmente as pessoas cujos dados pessoais forem confirmados como vazados. Não diz como nem quando.
Se receber um, compare o conteúdo com a página de avisos da Nikkei, aberta por você mesmo. Se ele pedir que você informe dados pessoais ou número de cartão por um link, pare e confirme pelo formulário de contato.
Não forneça dados pessoais a quem ligar
Alguns dos registros vazados incluem números de telefone. Se quem ligar disser ser da Nikkei ou de uma empresa do grupo e pedir que você confirme endereço ou data de nascimento, ou peça número de cartão ou senha, não responda; desligue.
Se for retornar a ligação, use um número verificado no site oficial, não o que o interlocutor deu.
Em caso de dúvida, pergunte pelo formulário de contato
A empresa direciona as dúvidas sobre este caso a um formulário de contato; abra-o pela página do aviso. Em 23 de outubro a empresa disse ter alterado temporariamente o formulário, por precaução, após a descoberta de uma vulnerabilidade grave na linguagem de programação PHP.
A Nikkei National Geographic também diz que dúvidas sobre este caso devem ser enviadas à Nikkei Inc.
O que aconteceu (segundo o aviso da Nikkei)
A Nikkei Inc. publicou "不正アクセスによる個人情報漏洩について" (Sobre o vazamento de informações pessoais por acesso não autorizado) em 16 de outubro de 2026. Tudo o que segue se baseia nos avisos da Nikkei e da Nikkei National Geographic.
7 de outubro de 2026, da madrugada à manhã
Segundo a empresa, um serviço de nuvem usado no desenvolvimento de sistemas foi acessado com credenciais roubadas, e dados pessoais armazenados na nuvem vazaram.11 de outubro
A empresa comunicou o incidente à Comissão de Proteção de Informações Pessoais.16 de outubro
O aviso foi publicado. Até aquele dia, cerca de 1,83 milhão de registros haviam vazado, e não foram confirmados danos secundários nem anormalidades nos sistemas.17 de outubro
A Nikkei National Geographic informou que poderia haver informações de usuários de seus serviços.22 de outubro
A Nikkei National Geographic informou que havia informações de alguns usuários de seus serviços. A maior parte eram apenas identificadores, mas alguns incluíam ao menos um dos seguintes dados: nome, endereço de e-mail, endereço postal, número de telefone ou data de nascimento.23 de outubro
A Nikkei anunciou uma alteração temporária em seu formulário de contato (medida preventiva após uma vulnerabilidade do PHP).
O aviso não diz quando nem como a empresa percebeu o acesso.
- Organização
- Nikkei Inc.
- O que foi acessado
- Um serviço de nuvem que a empresa usa no desenvolvimento de sistemas (não nomeado)
- Dados vazados
- Cerca de 1,83 milhão de registros até 16 de outubro. Cerca de 150 mil continham ao menos um dos seguintes dados: nome, endereço de e-mail, endereço postal, número de telefone ou data de nascimento (cerca de 120 mil deles com endereço de e-mail). Cerca de 1,68 milhão eram apenas identificadores, que sozinhos não identificam uma pessoa
- Não incluído
- Informações de cartão de crédito
- Causa
- As credenciais de acesso ao serviço de nuvem foram roubadas de alguma forma. Não foi divulgado como foram roubadas
- Resposta
- Desativou as credenciais usadas no acesso. Revisa o alcance e os dados pessoais vazados
- Comunicação
- Comissão de Proteção de Informações Pessoais (11 de outubro)
- Danos secundários
- Nenhum uso indevido ou outro dano secundário, nem queda de sistema ou adulteração de dados, confirmado até 16 de outubro
- Contato com as pessoas
- Aquelas cujos dados forem confirmados como vazados serão notificadas individualmente (método e prazo não informados)
- Empresa do grupo
- Havia informações de alguns usuários de serviços da Nikkei National Geographic (essa empresa, 22 de outubro)
Dados pessoais vazados: cerca de 1,83 milhão de registros (até 16/10)
Armazenados em um serviço de nuvem usado no desenvolvimento de sistemas
Cerca de 150 mil
Ao menos um entre nome, e-mail, endereço postal, telefone, data de nascimento; cerca de 120 mil incluem um endereço de e-mail
Cerca de 1,68 milhão
Apenas identificadores, que sozinhos não identificam
↓ A ação do leitor diz respeito principalmente aos 150 mil
Confirme no site oficial e-mails e ligações que usem o nome da empresa
Informações de cartão de crédito não incluídas (empresa)
O que se sabe e o que não se sabe
Esta é a situação em 24 de outubro de 2026. Quando houver um novo comunicado, a coluna de situação será atualizada.
| Item | O que o aviso diz | Situação |
|---|---|---|
| Quando ocorreu o acesso | Da madrugada à manhã de 7 de outubro | Confirmado (empresa) |
| Número de registros vazados | Cerca de 1,83 milhão até 16 de outubro | Vazamento confirmado (empresa) |
| Nome, e-mail, endereço postal, telefone, data de nascimento | Cerca de 150 mil contêm ao menos um; cerca de 120 mil deles incluem um endereço de e-mail. Sem quantidades por item | Vazamento confirmado (empresa) |
| Registros só com identificadores | Cerca de 1,68 milhão; não identificam uma pessoa sozinhos | Vazamento confirmado (empresa) |
| Informações de cartão de crédito | Não incluídas | Não incluídas (empresa) |
| Senhas | Não constam entre os itens vazados | Não mencionadas |
| Quais serviços | Não informado. Alguns usuários da Nikkei National Geographic foram incluídos | Não mencionado / Confirmado (Nikkei National Geographic) |
| Quantas pessoas | Informado em registros, não em pessoas | Não mencionado |
| Causa | Credenciais do serviço de nuvem roubadas de alguma forma; método não informado | Divulgada (empresa); detalhes em investigação |
| Alcance da invasão | Em revisão | Em investigação |
| Danos secundários, anormalidade nos sistemas | Nenhum confirmado até 16 de outubro | Não confirmado (empresa) |
| Comunicação ao órgão regulador | 11 de outubro | Confirmado (empresa) |
| Contato com os afetados | Aviso individual aos confirmados | Previsto (empresa) |
Nota de leitura: 1,83 milhão não é um número de pessoas
Os cerca de 1,83 milhão são uma contagem de registros, não de pessoas. Cerca de 1,68 milhão deles são apenas identificadores, que sozinhos não identificam uma pessoa. Cerca de 150 mil incluem nomes, endereços de e-mail ou dados semelhantes.
Para que os dados vazados podem ser usados
O texto a seguir descreve o que pode acontecer em geral, não o que aconteceu neste caso. A empresa diz que, até 16 de outubro, nenhum dano secundário havia sido confirmado.
Itens que o aviso diz terem vazado
- Ao menos um entre nome, endereço de e-mail, endereço postal, número de telefone, data de nascimento (cerca de 150 mil)
- Identificadores que sozinhos não identificam uma pessoa (cerca de 1,68 milhão)
Não incluídos ou não mencionados
- Informações de cartão de crédito (não incluídas)
- Senhas (não constam entre os itens vazados)
Com um nome e um endereço de e-mail, um e-mail falso pode chamar você pelo seu nome real. Um nome correto faz a mensagem parecer verdadeira, mas não é prova. Quando há endereço postal ou número de telefone, cartas ou ligações também podem ser falsificadas.
Separadamente, em 4 de outubro a empresa divulgou que um terceiro parecia ter feito login na conta de um funcionário em um software de negócios na nuvem usado no trabalho e que cerca de 9.000 e-mails com link para um site malicioso foram enviados a colegas, fontes de notícias e outros. Na ocasião, alertou que e-mails que se passam por pessoas da empresa ou de empresas do grupo poderiam aumentar. O aviso não liga esse caso a este, mas trate os links com cuidado mesmo em e-mails que pareçam vir de um endereço verdadeiro da Nikkei.
Outros casos de outubro de 2026 centrados em endereços de e-mail são o vazamento do CAPCOM ID da Capcom e o vazamento do Lawson ID. A causa e o alcance diferem de caso para caso, então este não seguirá necessariamente o mesmo curso.
Para quem administra ambientes de nuvem usados em desenvolvimento
O aviso não diz se o ambiente acessado era de produção ou de teste, por que havia dados pessoais nele, que tipo de credencial foi usada nem se havia autenticação multifator. O que segue são verificações gerais que não pressupõem nada disso.
A causa divulgada pela empresa é o roubo de credenciais de um serviço de nuvem usado no desenvolvimento. Como foram roubadas não foi divulgado, então esta seção não pode dizer como evitar isso. Ela não é uma avaliação da resposta da empresa.
Verifique se há dados pessoais reais em ambientes de desenvolvimento
Segundo o aviso, o serviço acessado era um serviço de nuvem usado no desenvolvimento de sistemas, e dados pessoais armazenados nele vazaram.
Faça um levantamento dos dados de clientes em seus próprios ambientes de desenvolvimento e, onde dados reais não forem necessários, substitua-os por dados sintéticos ou por dados sem nomes e dados de contato.
Reduza a duração e o alcance das credenciais de nuvem
Segundo a empresa, credenciais roubadas foram usadas no acesso. O aviso não diz de que tipo.
Como verificações gerais, comece por três coisas: passar a usar credenciais de curta duração, com prazo de validade; desativar credenciais que não estão em uso; e limitar o que cada credencial pode ler aos dados de que precisa. O problema de credenciais vazadas que continuam válidas é tratado em o estudo das credenciais publicadas no GitHub que ainda funcionavam, e onde guardá-las em noções básicas de .env e chaves de API.
Mantenha identificadores e dados de contato em lugares separados
A empresa diz que cerca de 1,68 milhão dos cerca de 1,83 milhão de registros eram apenas identificadores, que sozinhos não identificam uma pessoa.
Em geral, manter os dados usados em análise ou desenvolvimento apenas como identificadores, guardados separadamente de nomes e dados de contato, reduz o impacto sobre os usuários se um dos lados vazar. A tendência de as credenciais serem a porta de entrada é analisada em Como ocorreram as invasões de 2026 no Japão.
Fontes (registro público)
Os fatos deste artigo se baseiam nas informações públicas abaixo. Como as credenciais foram roubadas e quais serviços são afetados não foram divulgados e não são objeto de suposição.
- Nikkei Inc., "不正アクセスによる個人情報漏洩について" (em japonês, 16 de outubro de 2026; adendo de 23 de outubro) — nikkei.co.jp
- Nikkei Inc., "情報漏洩などに関するお問い合わせフォーム変更のお知らせ" (alteração do formulário de contato, em japonês, 23 de outubro de 2026) — nikkei.co.jp
- Nikkei National Geographic Inc., aviso sobre informações de usuários relacionado ao acesso não autorizado à Nikkei (em japonês, 17 de outubro de 2026) — natgeo.nikkeibp.co.jp
- Nikkei National Geographic Inc., aviso sobre o vazamento de informações pessoais de usuários relacionado ao acesso não autorizado à Nikkei (em japonês, 22 de outubro de 2026) — natgeo.nikkeibp.co.jp
- Nikkei Inc., "サイバー攻撃による情報漏洩、不審メールの送信について" (em japonês, 4 de outubro de 2026; um caso separado) — nikkei.co.jp
- Nikkei Inc., "不正ログインによる情報漏洩について" (em japonês, 4 de outubro de 2026; um caso separado) — nikkei.co.jp
- Lista de avisos da Nikkei Inc. (consultada em 24 de outubro) — nikkei.co.jp
Histórico de atualizações
2026-10-24: Primeira versão, baseada no aviso da Nikkei de 16 de outubro (incluindo o adendo de 23 de outubro) e em seu aviso de 23 de outubro, e nos avisos da Nikkei National Geographic de 17 e 22 de outubro (todos consultados em 24 de outubro). Este artigo será atualizado quando os serviços afetados ou detalhes da causa forem divulgados.
Leia a seguir
- Acesso não autorizado ao sistema de clínicas @link (at-link) da Medley: nomes, datas de nascimento, IDs de login e senhas de pacientes vazaram — o que pacientes e clínicas devem fazer
- Casos do mesmo período: vazamento do CAPCOM ID da Capcom / vazamento do Lawson ID
- Preparação contra mensagens falsas: O que é phishing / Spam vindo do seu próprio endereço de e-mail
- Credenciais como porta de entrada: Como ocorreram as invasões de 2026 no Japão / Credenciais publicadas no GitHub que ainda funcionavam
- Proteção de contas: Como escolher um gerenciador de senhas / Como escolher a autenticação multifator
- Outros incidentes de 2026: Vazamentos de dados e ciberataques de 2026 (Japão e mundo)