Para: quem já se cadastrou como membro da SourceNext e quem administra um serviço que mantém dados de membros. Este artigo se baseia no comunicado oficial e no FAQ da SOURCENEXT CORPORATION, uma empresa japonesa de software, e não aborda técnicas de ataque.
Em andamento: este artigo será atualizado conforme a organização publicar mais informações
FAQ oficial verificado em 22 de outubro; reportagem com entrevista verificada em 21 de outubroAinda não se sabe
- Número de pessoas (o comunicado informa apenas a quantidade de registros)
- Detalhes da vulnerabilidade e resultado da investigação independente de terceiros (iniciada em 16 de outubro, segundo o FAQ)
- Se os dados vazados já foram usados indevidamente
A empresa diz que está investigando a causa e a extensão do caso com especialistas externos e que anunciará prontamente quaisquer novos fatos em seu site e em outros canais. Em 16 de outubro, acrescentou uma atualização sobre a redefinição de senhas. Seu FAQ diz que ela corrigiu a vulnerabilidade do sistema que causou o vazamento e concluiu a desativação das senhas incluídas no vazamento, e que começou a verificar outras vulnerabilidades (verificado em 19 de outubro). Qual era a vulnerabilidade não foi divulgado. O FAQ verificado em 22 de outubro diz que a empresa pediu a um especialista independente em segurança que iniciasse uma investigação de terceiros em 16 de outubro.
O que os membros da SourceNext devem fazer hoje
Verifique se você foi afetado (cadastrado até as 13:36 de 13 de outubro)
Segundo o FAQ da empresa, o escopo abrange pessoas cadastradas como membros até as 13:36 de 13 de outubro de 2026. A partir de 15 de outubro, as pessoas que podem ter sido afetadas vêm recebendo e-mails em etapas, no endereço cadastrado. Pessoas sem endereço de e-mail cadastrado serão contatadas por carta.
Se você já se cadastrou na SourceNext, siga os passos abaixo mesmo que nenhum comunicado tenha chegado.
Primeiro, troque a senha dos outros serviços que a compartilham
Tanto os endereços de e-mail quanto as senhas estão entre os itens que podem ter vazado. A empresa alerta que um terceiro pode testar esse par para fazer login em outros serviços e pede que os membros troquem a senha de qualquer outro serviço que use a mesma combinação.
Uma reportagem de 19 de outubro atribui à porta-voz da empresa a informação de armazenamento criptografado e exposição confirmada em forma descriptografada. A empresa desativou as antigas senhas da SourceNext, mas, em outros serviços, elas ainda funcionam. Comece pelo e-mail, por compras online e por serviços financeiros. Um gerenciador de senhas é a forma prática de parar de reutilizar senhas, e a autenticação de dois fatores torna uma senha conhecida muito menos útil para um atacante.
Defina uma nova senha da SourceNext pelo site oficial que você abrir por conta própria
Em sua atualização de 16 de outubro, a empresa disse que a senha de todos os membros já foi desativada e que as senhas antigas não podem mais ser usadas. Ao fazer login, a tela orienta você a definir uma nova senha.
O site de redefinição está sobrecarregado e difícil de acessar, e a empresa pede que os membros tentem novamente depois de algum tempo. Faça isso pelo site oficial que você abrir por um favorito ou por busca, não por um link em e-mail ou mensagem de texto. Não reutilize uma senha de outro serviço.
Fique atento a e-mails, mensagens de texto, ligações e cartas que se apresentem como SourceNext
A empresa alerta que os dados podem ser usados indevidamente em e-mails suspeitos (e-mails de phishing), mensagens de texto, ligações e cartas que se passem por ela ou por seus parceiros. Ela pede que os membros não abram links ou anexos de e-mails ou mensagens inesperadas e não informem dados pessoais ou senhas em sites suspeitos.
Nome da empresa, cargo e departamento também estão entre os itens. Se você se cadastrou com um endereço de trabalho, tenha cuidado também com mensagens enviadas ao seu local de trabalho sobre “atualizações de software” ou “verificações de licença”.
Seu software de segurança e o 1Password podem continuar como estão
Segundo o FAQ da empresa, Super Security e Virus Security podem ser usados como antes. Senhas e outros dados salvos no 1Password não são mantidos pela empresa e não fazem parte deste vazamento. Não é preciso desinstalar nem reinstalar os produtos. Se uma mensagem disser que você precisa reinstalar um produto ou reautenticar uma licença, não abra seus links; verifique no site oficial que você abrir por conta própria.
Para dúvidas, use o contato dedicado indicado no comunicado oficial
O comunicado indica uma linha dedicada para este incidente, 0120-035-116 (gratuita no Japão, das 10:00 às 18:00, incluindo fins de semana e feriados), e um formulário de consulta vinculado à página do comunicado. Segundo o FAQ, pedidos para encerrar uma conta também são tratados por esses canais. Confirme o número no comunicado oficial, acessando um site que você abrir por conta própria; não use números ou links de mensagens recebidas.
O que aconteceu (segundo a SourceNext)
As informações a seguir se baseiam no comunicado da empresa de 15 de outubro de 2026 (incluindo a atualização de 16 de outubro) e em seu FAQ (verificado em 17 de outubro).
9 de outubro de 2026 (sex.), por volta das 10:00
Um terceiro começou o acesso não autorizado e usou indevidamente uma API de recuperação de dados de membros para obter dados de membros (identificado na investigação posterior).13 de outubro (ter.), por volta das 9:00
Foi confirmado o acesso não autorizado ao sistema que gerencia dados de membros. Foram tomadas medidas emergenciais, incluindo o bloqueio de tráfego externo não autorizado.13 de outubro (ter.), até as 13:36
Contenção concluída. O monitoramento continua e, segundo a empresa, nenhum acesso não autorizado foi identificado desde então.15 de outubro (qui.)
Comunicado à Comissão de Proteção de Informações Pessoais do Japão e publicação do comunicado. Os e-mails para os membros afetados começaram a ser enviados em etapas.16 de outubro (sex.)
Atualização acrescentada sobre o site de redefinição sobrecarregado e sobre o fato de que todas as senhas haviam sido desativadas. O comunicado dizia que um relatório de danos seria registrado na polícia local naquele dia (o FAQ diz que a empresa consultou a polícia local naquele dia). Segundo o FAQ, no mesmo dia a empresa pediu a um especialista independente em segurança que iniciasse uma investigação de terceiros.
- Sistema afetado
- O sistema da empresa para gerenciar dados de membros
- Quantidade
- 22.519.960 registros. O comunicado informa registros, não um número de pessoas
- Escopo
- Pessoas cadastradas como membros até as 13:36 de 13 de outubro de 2026 (FAQ)
- Itens
- Endereço de e-mail, senha, nome, nome em katakana, endereço, gênero, número de telefone, número de fax, data de nascimento, nome da empresa, cargo, departamento, identificadores do sistema (serviços contratados, data de cadastro, data de login e assim por diante). Nem todos os itens para todos os membros; os itens variam conforme o cadastro
- Senhas
- Armazenamento criptografado e exposição descriptografada: atribuídos à porta-voz da empresa em uma reportagem de 19 de outubro. A empresa diz que todas as senhas estão desativadas
- Não incluídos
- Dados de cartão de crédito (não armazenados no sistema afetado). A empresa diz que não coleta documentos de identidade no cadastro
- Via
- Um terceiro usou indevidamente uma API de recuperação de dados de membros. A vulnerabilidade que causou o problema foi corrigida (FAQ); detalhes não divulgados
- Comunicados às autoridades
- Comissão de Proteção de Informações Pessoais, em 15 de outubro. Polícia local, em 16 de outubro (o comunicado diz que um relatório de danos estava previsto; o FAQ diz que a empresa consultou a polícia)
- Investigação de terceiros
- Iniciada em 16 de outubro por um especialista independente em segurança, a pedido da empresa (FAQ)
- Efeito sobre os produtos
- Super Security e Virus Security podem ser usados como antes. Dados salvos no 1Password não são mantidos pela empresa e não fazem parte do vazamento (FAQ)
E-mail + senha
Troque nos outros serviços que usam o mesmo par; redefina a SourceNext pelo site oficial
Nome, endereço, telefone, data de nascimento
Não use links nem números em e-mails, mensagens de texto, ligações ou cartas que se apresentem como a empresa
Empresa, cargo, departamento
Se você se cadastrou com endereço de trabalho, fique atento a mensagens falsas enviadas ao seu local de trabalho
O que se sabe e o que não se sabe
Situação em 19 de outubro de 2026. Quando a empresa publicar mais informações, a coluna de situação será atualizada.
| Item | O que diz o comunicado | Situação |
|---|---|---|
| Dados que saíram da empresa | Dados pessoais de membros foram encontrados fora da empresa (o FAQ diz que “provavelmente” vazaram) | Vazamento confirmado (empresa) |
| Quantidade | 22.519.960 registros (sem número de pessoas informado) | Possível (empresa) |
| Escopo | Pessoas cadastradas até as 13:36 de 13 de outubro | Confirmado (empresa) |
| Itens | E-mail, senha, nome, nome em katakana, endereço, gênero, telefone, fax, data de nascimento, empresa, cargo, departamento, identificadores (variam por membro) | Possível (empresa) |
| Armazenamento de senhas | Armazenamento criptografado e exposição descriptografada, segundo a porta-voz citada em 19 de outubro | Reportagem atribuída |
| Dados de cartão de crédito | Não armazenados no sistema afetado | Não incluídos (empresa) |
| Período de acesso | De cerca das 10:00 de 9 de outubro até a contenção às 13:36 de 13 de outubro | Identificado (empresa) |
| Via e causa | Uso indevido de uma API de recuperação de dados de membros; a vulnerabilidade foi corrigida; detalhes não divulgados | Em investigação |
| Acesso após a contenção | Nenhum identificado desde a contenção | Não identificado (empresa) |
| Uso indevido dos dados vazados | Não mencionado no comunicado | Não informado |
| Senhas | Todas desativadas; senhas antigas não funcionam mais (atualização de 16 de outubro; comunicado e FAQ verificados em 19 de outubro dizem “desativadas”) | Desativadas (empresa) |
| A vulnerabilidade | O FAQ diz que a empresa corrigiu a vulnerabilidade do sistema que causou o vazamento logo após a descoberta. Qual era não foi divulgado | Corrigida (empresa) |
| Investigação de terceiros | Iniciada em 16 de outubro por um especialista independente em segurança (FAQ) | Em investigação (empresa) |
| Software de segurança e 1Password | Super Security e Virus Security podem ser usados como antes; dados do 1Password não são mantidos pela empresa e não fazem parte do vazamento (FAQ) | Não afetados (empresa) |
| Comunicados individuais | E-mails em etapas a partir de 15 de outubro; cartas previstas para pessoas sem e-mail | Em andamento (empresa) |
Nota de leitura: registros não são pessoas
O número do comunicado é uma contagem de registros, não de pessoas. Quando uma mesma pessoa tem vários cadastros, por exemplo, os dois números serão diferentes. Este artigo será atualizado se for divulgado um número de pessoas. Além disso, dados de cartão de crédito são o único item que o comunicado diz explicitamente que não está incluído. Não interprete itens ausentes da lista como “não vazados”.
Para que a combinação de itens pode ser usada
Em geral, essas combinações permitem os seguintes tipos de uso indevido. Isso não significa que tenha acontecido neste caso.
- E-mail + senha: testados em outros serviços que usam o mesmo par (conhecido como credential stuffing)
- Nome + endereço + telefone + e-mail: mensagens convincentes de “desculpas” ou “redefina sua senha”, com nome e endereço corretos, incluindo cartas falsas
- Empresa + cargo + departamento: material para mensagens falsas de trabalho que se passem por fornecedor ou prestador de serviços
- Data de nascimento + identificadores como a data de cadastro: material para se passar por você ao telefone. Saber esses dados não comprova identidade
Para verificar se uma senha vazou, veja Como verificar se sua senha vazou; para procurar acessos desconhecidos, veja Como verificar se alguém acessou sua conta.
Em um caso anterior, o vazamento de dados de membros da Bookoff de outubro de 2026, o “até cerca de 6,43 milhões de registros (números de membros)” do primeiro relatório foi esclarecido no segundo relatório como um número de pessoas (6.383.279). Isso pode ou não acontecer aqui.
Visão deste site: desativar as senhas antigas não protege os outros lugares em que você as reutilizou
Como a empresa diz ter desativado a senha de todos os membros, as senhas vazadas são muito menos úteis para entrar na própria SourceNext. Outros serviços que compartilham a mesma senha estão fora dessa medida. Mesmo enquanto o site de redefinição estiver de difícil acesso, você pode trocar as senhas reutilizadas em outros lugares hoje. Faça nessa ordem: primeiro os outros serviços.
Para operadores de serviços que mantêm dados de membros: acompanhe o volume retornado pelas suas APIs de dados de membros
A empresa não divulgou detalhes da vulnerabilidade, por isso esta seção não trata de como prevenir a invasão. Duas coisas podem ser afirmadas a partir da sequência publicada: uma função para extrair dados de membros (uma API) foi usada, e cerca de quatro dias (cálculo deste site a partir dos horários do comunicado) se passaram entre o início do acesso (por volta das 10:00 de 9 de outubro) e sua confirmação (por volta das 9:00 de 13 de outubro). As medidas abaixo se limitam ao que você pode decidir antecipadamente para o seu próprio serviço. Esta seção não é uma avaliação da resposta da empresa.
Defina um limite por hora e um alerta para cada API que retorna dados pessoais
Em geral, com ou sem autenticação, uma API de dados de membros raramente deve retornar grande quantidade de membros para um mesmo usuário ou origem em pouco tempo. Defina um limite de quantos membros cada API pode retornar por hora e envie um alerta a alguém ao atingir 80% desse limite, para que extrações incomuns sejam percebidas mais cedo.
Há três pontos para medir: dentro da aplicação (registrar quantos registros foram retornados), na frente dela (limites de taxa em um proxy reverso ou CDN) e nos seus logs de auditoria da nuvem (alertas). Configurações práticas estão em Limitação de taxa e controle de abuso.
Prepare o caminho de redefinição antes de desativar a senha de todos
Desativar a senha de todos os membros após um vazamento envia muitas pessoas à tela de redefinição em pouco tempo; neste caso, a própria empresa anunciou que seu site de redefinição estava sobrecarregado. Você pode decidir antecipadamente escalar a tela de redefinição separadamente do serviço principal e preparar textos para períodos de pico (“tente novamente mais tarde”, “troque primeiro as senhas de outros serviços”).
Verifique também se as senhas são armazenadas com um método lento e específico para senhas (bcrypt, Argon2 e similares), com um salt. O método de armazenamento define o que você precisará pedir aos usuários após um vazamento (O que é hash de senha?).
Fontes (registro público)
Os fatos deste artigo se baseiam nas fontes públicas abaixo. Não especulamos sobre a vulnerabilidade ou os métodos não divulgados. Não foi encontrado nenhum comunicado sobre este incidente no sistema de divulgação oportuna da Bolsa de Valores de Tóquio (TDnet) entre 13 e 17 de outubro de 2026 (verificado em 17 de outubro).
-
SOURCENEXT CORPORATION, “Pedido de desculpas e aviso sobre o vazamento de informações de clientes por acesso não autorizado ao nosso site” (em japonês; 15 de outubro de 2026, atualizado em 16 de outubro) — sourcenext.com
-
Mesma empresa, “Perguntas frequentes sobre o vazamento de dados” (em japonês; sem data, verificado em 22 de outubro de 2026) — sourcenext.com
-
Reportagem com entrevista da porta-voz da empresa (19 de outubro de 2026), distinta do comunicado oficial e do FAQ — resposta da empresa relatada pela imprensa
Histórico de atualizações
2026-10-22: Acrescentadas novas respostas do FAQ: uma investigação de terceiros por um especialista independente em segurança iniciada em 16 de outubro; Super Security e Virus Security podem ser usados como antes; dados do 1Password não são mantidos pela empresa e não fazem parte do vazamento. Removida uma afirmação sobre os produtos e serviços como um todo, que não aparece na página oficial, e alinhada a resposta de que o uso do 1Password não é afetado. Quantidades, itens e tratamento das senhas permanecem inalterados.
21 de outubro de 2026: Verificada a reportagem de 19 de outubro, anteriormente registrada, que atribui à porta-voz a atualização das senhas. Quantidades e escopo da invalidação das senhas permanecem inalterados.
2026-10-19: Acrescentadas respostas do FAQ (a desativação das senhas incluídas no vazamento está concluída; uma verificação de outras vulnerabilidades foi iniciada). Alterado “trocadas” para “desativadas” em relação às senhas, conforme a redação da empresa.
2026-10-17: Primeira versão, com base no comunicado da empresa de 15 de outubro (incluindo a atualização de 16 de outubro) e em seu FAQ (verificado em 17 de outubro). O número de pessoas, os detalhes da vulnerabilidade e o formato de armazenamento das senhas não foram divulgados; este artigo será atualizado quando isso acontecer.
Leia em seguida
- Casos de dados de membros do mesmo período: Vazamento de dados de membros da Bookoff / A violação do Gyazo
- Senhas: Como verificar se sua senha vazou / Como escolher e usar um gerenciador de senhas
- Golpes decorrentes do vazamento: O que é phishing?
- Outros incidentes de 2026: Lista de violações de dados e ciberataques (Japão e no mundo)
- Divulgação relacionada: NIFTY e verificações para membros afetados