Vazamento na Tin Pan Alley, subsidiária da World (operadora da RAGTAG, segundo a imprensa), com cerca de 1,2 milhão de registros no total: nomes, endereços e telefones podem ter vazado e o que os membros devem fazer

Os dados que podem ter vazado podem incluir registros com nome, endereço, número de telefone e endereço de e-mail juntos (o comunicado não diz que todos os registros tenham os seis itens). Com tais registros, alguém pode escrever uma mensagem que acerta seu nome e endereço.

Se chegar uma mensagem sobre um "cupom como pedido de desculpas", a "reconfirmação dos seus dados de membro" ou o "pagamento de uma recompra", não abra seus links. Abra você mesmo o site oficial ou o aplicativo e confirme lá. O mesmo vale para mensagens de texto falsas (smishing). Veja O que é phishing? para saber como distingui-las.

O comunicado diz que não foi confirmado vazamento de dados de cartão de crédito ou outros dados de pagamento. As senhas não aparecem entre os itens que podem ter vazado, mas o comunicado não afirma que estejam excluídas.

Alguém acertar seu nome e endereço não prova nada, porque é exatamente isso que pode ter vazado. Se pedirem um número de cartão ou uma senha em nome de um pedido de desculpas ou de um reembolso, trate imediatamente como falso.

Diferentemente de um endereço de e-mail, uma data de nascimento não pode ser alterada. Muitos bancos, lojas e operadoras de celular a usam como resposta quando você os contata ou redefine uma conta.

Verifique se você não usou sua data de nascimento como senha ou como resposta de pergunta secreta e troque-a, se for o caso. Ative a autenticação multifator em vez de depender só de uma senha, para que um atacante que conheça sua data de nascimento tenha mais dificuldade.

As senhas não estão entre os itens do comunicado, então não há o que trocar apenas por causa deste incidente. Mas endereços de e-mail costumam ser usados como ID de login, e uma senha reutilizada permite que um vazamento se espalhe para outros serviços.

Um gerenciador de senhas é o jeito realista de fazer o levantamento. Você pode verificar se uma senha reutilizada apareceu em vazamentos passados com como verificar se sua senha vazou.

Números de telefone e endereços são difíceis de mudar. Ligações, mensagens e cartas fraudulentas podem chegar a você por algum tempo, sob nomes diferentes deste incidente.

Ativar os filtros de ligações e mensagens de spam do celular reduz quantas passam (veja noções básicas de segurança do celular).

A empresa diz que prepara e-mails individuais aos membros, mas o comunicado não informa endereço do remetente nem prazo. Nomes de remetente podem ser falsificados, então, mesmo que chegue um e-mail, não faça login nem digite nada por meio do link dele. Compare com o aviso no site oficial da World.

O contato indicado no comunicado é a World Co., Ltd. (tel. +81-3-6887-1300). É o contato impresso no comunicado e, em 1º de novembro de 2026, o comunicado não diz se foi criado um atendimento exclusivo para membros. Use um contato indicado em um site oficial, não um número ou URL escrito em uma mensagem que você recebeu.

Segundo o comunicado, o acesso foi em 17 de outubro e a detecção em 28 de outubro, cerca de 11 dias depois. A via foi bloqueada no mesmo dia da detecção. Quanto mais demora a detecção, mais dados podem ser extraídos, então comece por estabelecer registros e alertas que percebam grandes quantidades de dados lidas de um servidor de negócios.

Um primeiro passo: registrar a cada hora quantas linhas são lidas e quanto é transferido do servidor que guarda os dados de membros, e alertar o celular de alguém quando diferir muito do normal (veja limitação de taxa e controle de abuso).

O comunicado diz que os membros afetados e os detalhes de uma contagem de cerca de 1,2 milhão de registros ainda estão sendo confirmados. Quando os dados de membros de vários serviços estão no mesmo servidor, uma única violação amplia o alcance e torna mais lento descobrir quem é afetado.

Decida de antemão não guardar itens sem os quais o negócio funciona, como data de nascimento ou gênero, e apagar os dados depois que os membros se desligarem. Isso mantém menor o alcance de um vazamento.