Vazamento de dados da skyticket (Adventure Inc.) (cerca de 14,64 milhões de registros): senhas, dados bancários de reembolso e dados de cartão de alguns usuários expostos. O que os usuários devem fazer hoje

No primeiro incidente, cerca de 4,13 milhões de senhas de login de membros vazaram em forma de hash. O hash transforma a senha em uma forma difícil de reverter, mas a própria empresa alerta que senhas podem ser descobertas por meio de análise e usadas em logins não autorizados (como funciona o hash: O que é hash de senha?).

A empresa pede que os membros troquem a senha. Faça isso acessando o site ou aplicativo oficial da skyticket, não por um link em e-mail. A empresa diz que seus e-mails não contêm nenhum link pedindo que você digite uma senha.

A empresa pede que quem usa a mesma senha em outros lugares a troque também. Uma senha recuperada pode ser testada junto com seu endereço de e-mail em outros sites.

Comece pelas contas cuja tomada causaria mais prejuízo: e-mail, internet banking e sites de compras. Se não tiver certeza de onde reutilizou a senha, veja como verificar se sua senha vazou e como escolher um gerenciador de senhas.

Até 17 de outubro, os comunicados da skyticket não mencionam a verificação em duas etapas. Nos outros serviços cuja senha você trocar, ative-a se estiver disponível (veja como escolher a autenticação multifator).

De acordo com o segundo comunicado da empresa, de 16 de outubro, o número do cartão, o nome do titular e a data de validade (para alguns, apenas o número) de até 6.140 pessoas que cadastraram ou usaram um cartão de crédito para pagar a taxa skyticket Premium nesse período vazaram. Códigos de segurança não foram incluídos.

A empresa pede que essas pessoas verifiquem as faturas desse cartão a partir de outubro de 2026. Um cartão renovado pode manter o mesmo número, então verifique também os cartões renovados. Se vir qualquer cobrança que não reconheça, mesmo de valor baixo, entre em contato com o emissor pelo número no verso do cartão. Você também pode perguntar ao emissor se está em dúvida sobre a necessidade de reemitir o cartão.

A empresa diz que enviará e-mails às pessoas afetadas cujos dados de contato possa confirmar, a partir de info@skyticket.com, mas que não pode responder a perguntas individuais sobre se alguém foi afetado. Para as pessoas cujos dados de contato não consegue confirmar, o próprio segundo comunicado serve como aviso. Se você se lembra de ter cadastrado ou usado um cartão para a taxa nesse período, verifique suas faturas sem esperar por um e-mail.

O segundo comunicado diz que IDs de membro, nomes e senhas do serviço de benefícios sociais (operado por outra empresa), oferecido como vantagem da skyticket Premium, também vazaram. Eles estavam criptografados, mas as informações usadas na criptografia também foram obtidas, então podem ser legíveis.

A empresa pede que as pessoas que ainda usam esse serviço troquem a senha e diz que anunciará o procedimento exato depois de discuti-lo com o prestador do serviço. Se você usou a mesma senha em outros serviços, troque-a lá também.

A empresa pede que os usuários verifiquem o histórico de reservas da conta e as faturas do cartão de crédito. Mesmo que você não esteja no grupo Premium acima, se alguém fizer login na sua conta, um cartão salvo poderia ser usado para fazer reservas. Para evitar isso, a empresa suspendeu o pagamento com cartões salvos e a opção de salvar cartões por volta das 18h de 7 de outubro.

Comunique reservas desconhecidas ao contato da empresa e cobranças desconhecidas ao emissor do cartão. A empresa diz que confirmou um login não autorizado em uma conta de membro em 9 de setembro.

A empresa alerta que podem chegar e-mails, mensagens de texto, ligações e cartas se passando pela empresa, por bancos, companhias aéreas, operadoras de ônibus, emissores de cartão ou pelo serviço de benefícios sociais. Com nomes, datas de nascimento, números de telefone e endereços expostos, essas mensagens podem parecer convincentes.

A empresa diz que nunca pedirá pagamento relacionado a este incidente. Trate como falsa qualquer mensagem que peça transferência de dinheiro, pagamento de taxa ou instalação de aplicativo em nome de um reembolso ou indenização. A empresa diz que nunca pedirá número de cartão, data de validade, código de segurança ou senha por e-mail, mensagem de texto ou telefone, nem pedirá que você digite dados de cartão por meio de um link em e-mail. Não use os links nem os telefones contidos nela; verifique pelo site oficial que você abrir por conta própria (veja O que é phishing?).

Os e-mails que a empresa vem enviando desde 8 de outubro partem de info@skyticket.com, em quatro variações de assunto que começam com “【重要】不正アクセスによるお客様情報”, com uma linha em inglês como “[Important] Apology for Information Leak Due to Unauthorized Access”. A empresa diz que e-mails de qualquer outro endereço, ou e-mails que pedem que você digite uma senha, podem ser falsos.

No segundo incidente, dados bancários para reembolso (nome do banco, agência, tipo de conta, número da conta e nome do titular) vazaram ou podem ter vazado. A empresa diz que essas informações, por si só, não permitem que alguém saque dinheiro imediatamente.

O perigo é um contato que se passa por um processo de reembolso para obter sua senha ou o ID e a senha do internet banking. A Associação dos Bancos do Japão (Japanese Bankers Association) diz que nunca pede senhas aos clientes, e a Agência Nacional de Polícia do Japão (National Police Agency) diz que policiais nunca pedem senhas por telefone. O mesmo vale para senhas de uso único: não as informe por telefone nem por mensagem de texto.

Verifique sua caderneta ou seu aplicativo bancário em busca de transações que você não reconheça e entre em contato com o banco se encontrar alguma. Não encontramos nenhuma orientação oficial dizendo que a conta deve ser substituída apenas porque o número vazou. Se estiver preocupado, ligue para o seu banco usando o número do cartão ou o site oficial da instituição.

No terceiro incidente, a página de conclusão de reservas de ônibus podia ser exibida sem login entre 3 de agosto e 1 de outubro de 2026. Data e horário da viagem, pontos de embarque e desembarque, operadora, nome do serviço e o número de reserva da operadora estavam entre os itens visualizados.

A empresa alerta que alguém com essas informações pode se passar pela empresa ou pela operadora de ônibus e pedir que você altere ou cancele a reserva ou pague uma taxa extra. Você pode consultar ou cancelar reservas 24 horas por dia em “予約確認” (confirmação de reserva) na sua conta. Se uma reserva tiver sido alterada ou cancelada sem o seu conhecimento, entre em contato com a empresa.

Em 13 de outubro, a empresa abriu uma linha telefônica dedicada, 03-5224-8859 (dias úteis, das 10h às 18h, horário do Japão, em japonês). O contato por e-mail é info@skyticket.com (recebido 24 horas, respondido em ordem); há um endereço separado para parceiros comerciais e agências. Em 10 de outubro, a empresa havia informado que o volume de consultas era muito alto, que os telefones estavam difíceis de acessar e que as respostas por e-mail estavam atrasadas. Confirme o número no comunicado oficial que você abrir por conta própria, não em um e-mail ou mensagem de texto recebido. Enquanto espera, faça o que estiver ao seu alcance, como trocar sua senha.

A empresa diz que a página de conclusão do terceiro incidente podia ser exibida sem login e foi visualizada por um terceiro de forma automatizada nesse período (3 de agosto a 1º de outubro). Páginas de conclusão e páginas vinculadas a e-mails de confirmação reúnem nomes, dados de contato e números de reserva em um só lugar.

Verifique se a página confirma quem está acessando. Exija login ou, se ela precisar funcionar sem ele, use uma sequência longa e impossível de adivinhar na URL e defina uma data de expiração. Em geral, se trocar um número na URL mostrar a reserva de outra pessoa, isso é uma falha clássica chamada IDOR (contexto: autenticação versus autorização).

“Visualizada de forma automatizada” significa muito mais requisições do que uma pessoa faria. Para uma página como a de conclusão de reserva, que uma pessoa raramente precisa abrir repetidamente, limite o número de visualizações por origem e alerte alguém quando o limite for atingido.

Você pode medir isso na aplicação ou em frente a ela, no servidor web ou na CDN (rede de distribuição de conteúdo). Como começar está descrito em limitação de taxa e controle de abuso.

Depois que hashes de senha vazaram, a empresa suspendeu o pagamento com cartões salvos. Se uma conta sequestrada pode pagar com um cartão salvo, compras fraudulentas acontecem mesmo quando nenhum número de cartão vazou.

Verifique antecipadamente se seu site consegue desativar o pagamento com cartão salvo por conta própria, ou exigir a autenticação do emissor do cartão (3-D Secure) em cada pagamento. Se não houver essa opção, você estará criando uma no dia do incidente.

A empresa diz que, em julho de 2018, migrou para um método em que não guarda dados de cartão e excluiu os dados de cartão naquele momento, mas os registros de pagamento (logs) da taxa de associação permaneceram e foram obtidos desta vez.

Em geral, ao migrar, liste todos os lugares onde os mesmos dados foram gravados, não apenas o banco de dados principal: logs, backups, arquivos exportados e servidores antigos. Confirme que cada um foi limpo e mantenha um registro disso. A empresa diz que as informações usadas na criptografia também foram obtidas, então os dados podem ser legíveis, mas não informou onde essas informações eram guardadas. Como princípio geral, se você armazena dados criptografados, não guarde a chave de descriptografia no mesmo lugar que os dados. Se ambos forem obtidos juntos, a criptografia não oferece nenhuma proteção.

O segundo incidente envolveu dados bancários de reembolso mantidos em um sistema de gestão empresarial. Um reembolso costuma ser um processo pontual, então defina por quanto tempo manter os dados bancários depois que o reembolso for concluído e exclua-os automaticamente quando esse prazo terminar. Dados que você não mantém não podem vazar.