Para quem é este artigo: pessoas que recebem mensagens de alerta de desastres, de prevenção de crimes ou semelhantes enviadas pelo SpeeCAN RAIDEN (principalmente de municípios japoneses), pessoas cadastradas no NET119 (um serviço para fazer chamadas de emergência ao 119 sem falar), e municípios e organizações que dependem de um serviço externo para notificações em massa. Este artigo se baseia nos comunicados oficiais da Arcadia Inc. e dos municípios que divulgaram o impacto. Ele não trata de métodos de ataque.
Em andamento: este artigo será atualizado conforme a organização publicar mais informações
Atualizações até a 22ª (17h55 de 23 de outubro) verificadas em 24 de outubro; as datas dos municípios seguem as de cada linhaAinda não se sabe
- Números por município ou organização (os números da Arcadia são estimativas sob investigação)
- Número de registros que podem ter vazado (a Arcadia ainda investiga em todos os serviços)
- Resultados da investigação detalhada por uma organização de segurança independente
- Por que o número do NET119 mudou de 'cerca de 13000' (4ª atualização) para dados 'vinculados a 9.020 endereços de e-mail' (11ª atualização)
- Resultados da pesquisa na dark web por uma organização externa (a serem informados depois)
A 12ª atualização, de 19 de outubro, explica a causa e informa 1.423.428 e-mails não autorizados, não pessoas afetadas. A 17ª atualização, de 21 de outubro, diz que eram e-mails de phishing enviados entre 1h17 e 7h16 de 13 de outubro e que pelo menos 869.575 deles não foram para endereços de e-mail que a empresa possui. O alcance do vazamento ainda está sob investigação, e uma organização externa fará uma pesquisa na dark web. O relatório publicado com a 21ª atualização, de 23 de outubro, diz que todos os serviços estão dentro do escopo do possível vazamento e que a contagem ainda está sob investigação (9.020 delas no NET119).
O que quem recebe alertas de desastres deve fazer hoje
Não bloqueie nem marque como spam o remetente dos alertas de desastres
Segundo a Cidade de Shizuoka, o endereço de remetente dos e-mails falsos que ela confirmou era "〇〇@raiden.ktaiwork.jp". Ele é parte do endereço de remetente verdadeiro usado pelo e-mail de alerta de desastres da Cidade de Shizuoka.
A cidade alerta que, se você definir como "bloquear" ou "spam" o remetente de um e-mail suspeito, também deixará de receber as informações de desastres da cidade. Apenas apague os e-mails falsos e mantenha suas configurações de recebimento como estão.
Não abra links ou anexos em e-mails que se digam de uma empresa de cartão ou de um município
O e-mail falso confirmado pela Cidade de Shizuoka tinha o assunto "＜重要＞ご利用確認のお願い" (Importante: confirme o seu uso), se passava por uma empresa de cartão de crédito real e pedia ao destinatário que confirmasse a atividade do cartão. A cidade diz que este é um exemplo e pede atenção também a e-mails suspeitos com outros assuntos e remetentes.
A Cidade de Shizuoka diz que a única informação que envia de @raiden.ktaiwork.jp é informação de desastres. Se um e-mail do remetente dos alertas de desastres pedir que você informe dados de cartão, banco, senha, nome ou endereço, trate-o como falso e apague-o. Verifique a atividade do cartão no aplicativo oficial da empresa do cartão ou em um site que você mesmo abrir (como reconhecer falsificações: O que é phishing).
Consulte o aviso do seu município para saber se você foi afetado
O anúncio da Arcadia não cita os municípios afetados nem dá números por município. Consulte os avisos no site oficial de cada município cujos alertas você cadastrou (desastres, prevenção de crimes, alertas de incêndio etc.). A tabela abaixo lista os municípios cujas páginas oficiais abrimos e confirmamos. Alguns municípios dizem que, enquanto o serviço estiver suspenso, publicarão informações em seu site, nas redes sociais e nos alto-falantes externos de rádio de desastres.
Usuários do NET119: continuem usando para chamadas de emergência
Na 11ª atualização, de 16 de outubro, a Arcadia disse que, no NET119 (net119.speecan.jp e net119fd.speecan.jp), podem ter vazado nomes, datas de nascimento, sexo, endereços, números de telefone, endereços de e-mail, números de fax e informações inseridas no cadastro em outros serviços dos usuários, vinculados a 9.020 endereços de e-mail. Diz ter confirmado que nenhum dado pessoal sensível vazou e que, no momento, os relatos em vídeo não correm risco.
Diz que a via de invasão foi bloqueada e que nenhum programa malicioso foi encontrado no sistema, que no momento não há planos de suspender o serviço e que ele pode ser usado normalmente. Pretende informar a cada corpo de bombeiros, individualmente, quais endereços de e-mail podem ter vazado.
Continue usando em uma emergência. Não responda a e-mails ou ligações que se digam do corpo de bombeiros ou de um município e peçam seus dados de cadastro, senha ou dados bancários; confirme pelo contato indicado na página oficial do corpo de bombeiros ou do município em que você se cadastrou.
Para dúvidas, use o contato do anúncio
Segundo o anúncio da Arcadia, sua central de atendimento sobre informações pessoais é pelo telefone 050-5830-0750 e pelo e-mail info@arcadia.co.jp (9h00 às 17h00, horário do Japão, exceto fins de semana, feriados e o período de Ano Novo). Em 15 de outubro, a empresa disse que suas linhas telefônicas estavam ocupadas e pediu que quem não conseguisse ligar escrevesse por e-mail. Para dúvidas sobre o seu próprio cadastro ou sobre quando os alertas voltarão, entre em contato com o setor responsável do seu município.
No documento explicativo de 23 de outubro, a Arcadia diz que não envia e-mails diretamente aos moradores, pois isso seria uso de dados pessoais além da finalidade, nos termos da lei japonesa de proteção de informações pessoais. Consulte os avisos do seu município para orientações aos cadastrados.
Alerta de desastre verdadeiro
…@raiden.ktaiwork.jp
Envia somente informações de desastres (Cidade de Shizuoka)
E-mail falso que foi visto
〇〇@raiden.ktaiwork.jp
"Importante: confirme o seu uso". Se passa por uma empresa de cartão e pede para confirmar a atividade do cartão
↓ Bloquear o remetente interrompe os dois
O que fazer: não mexa nas configurações e apague tudo o que não for informação de desastres (pedidos para confirmar, informar dados ou clicar em links)
Verifique se você foi afetado (avisos dos municípios)
Estes são os avisos que abrimos e confirmamos no site oficial de cada município (em 14 de outubro de 2026). Outros municípios e organizações também fizeram comunicados. Se o seu município não está na tabela, isso não significa que você não foi afetado.
Os números são os de cada município. Eles são contados de formas diferentes (pessoas cujos dados comprovadamente vazaram, registros que podem ter vazado, número de cadastros), portanto não podem ser somados. A coluna de situação usa as palavras de cada município.
| Município | Serviço | Número (informado pelo município) | Principais itens (aviso do município) | Situação (palavras do município) | Situação do serviço | Data |
|---|---|---|---|---|---|---|
| Cidade de Shizuoka | E-mail de alerta de desastres da Cidade de Shizuoka | 34.336 moradores / 6.915 funcionários da cidade | Moradores: endereço de e-mail / funcionários: nome, número de funcionário, departamento | Estabelecido que vazou | Disponível normalmente após medidas provisórias. A cidade diz que ocorreu um incidente semelhante em seu serviço de e-mail de monitoramento de demência | 14 out |
| Cidade de Yokosuka | E-mail / fax / telefone de informações de desastres; e-mail de prevenção de crimes | 47.065 / 996 / 11 / 10.848 pessoas | Endereços de e-mail (serviços de fax e telefone: nomes, números de telefone e de fax etc.) | Risco de vazamento (números e alcance ainda não determinados) | Os quatro serviços suspensos. Spam suspeito já confirmado | 13 out |
| Cidade de Saitama | E-mail do rádio de desastres / serviço telefônico de informações de desastres | 34.783 / 73 registros | Endereços de e-mail / nomes e números de telefone | Possivelmente vazou (em 13 out) | Cadastrados avisados e alertados pelo serviço | 13 out (primeiro informe) |
| Província de Miyazaki | Serviço de e-mail de desastres e prevenção de crimes | 38.959 cadastros | Endereços de e-mail dos cadastrados etc. | Possível vazamento (está sendo verificado se e até que ponto vazaram dados de usuários da província) | Não informado | 13 out |
| Cidade de Imabari | E-mail de alerta de incêndio / e-mail de convocação de funcionários / e-mail de convocação do corpo de bombeiros voluntários | Não informado | E-mail, área de residência (dentro ou fora da cidade), faixa etária / nome e e-mail do funcionário / nome e e-mail | Possível vazamento (nenhum uso indevido confirmado) | E-mail de alerta de incêndio suspenso (data de retomada indefinida) | 13 out (itens acrescentados em 14 out, 16h00) |
A Arcadia diz 'possivelmente'; a Cidade de Shizuoka diz 'estabelecido'
As palavras diferem conforme quem fez o anúncio. A Arcadia diz que os dados "podem ter vazado" no serviço como um todo, enquanto a Cidade de Shizuoka diz ter "estabelecido que" os dados dos cadastrados em seu alerta de desastres vazaram. Este artigo atribui cada afirmação à organização que a fez. A forma confiável de saber o que aconteceu com o seu cadastro é o aviso do seu município.
O que aconteceu (segundo a Arcadia)
O texto a seguir se baseia no anúncio da Arcadia de 13 de outubro de 2026, em suas atualizações na mesma página até a 22ª atualização, às 17h55 de 23 de outubro, em seu aviso de desligamento de emergência, no PDF da 12ª atualização, de 19 de outubro, e no documento explicativo e no relatório publicados com a 21ª atualização, de 23 de outubro. Os horários são do Japão.
11 de outubro de 2026, 6h26 (relatório)
O invasor começa a acessar o sistema, segundo o relatório da Arcadia. Às 16h39, um arquivo de configuração é obtido por uma vulnerabilidade no servidor de mídia que publica anexos. Segundo o relatório, às 23h40 o monitoramento interno do sistema notou uma carga anormal no banco de dados e detectou o acesso não autorizado.11 de outubro de 2026, 16h30
Atividade suspeita que indica acesso não autorizado é vista no SpeeCAN RAIDEN (anúncio de 13 de outubro).11 de outubro, 23h40 (12ª atualização)
Horário em que o fornecedor diz ter detectado o acesso, distinto do horário de atividade suspeita informado antes.12 de outubro, por volta das 3h00
Uma medida provisória bloqueia a via de invasão e começa a investigação do alcance. Segundo o relatório, a senha do banco de dados é trocada às 9h30 (o que interrompeu a integração de informações de incêndio e as chamadas telefônicas; as chamadas foram corrigidas às 13h58), um relatório preliminar é enviado à Comissão de Proteção de Informações Pessoais às 15h20 e, às 17h05, descobre-se que um plugin não autorizado foi adicionado a um sistema web administrativo.13 de outubro, 1h17 a 7h16 (17ª atualização)
Um programa malicioso envia 1.423.428 e-mails de phishing a partir do sistema da empresa. Segundo o relatório, eles foram enviados por um backdoor instalado; isso foi notado às 4h10 e o envio foi interrompido às 7h16.13 de outubro
Às 10h20, a Arcadia anuncia em seu blog oficial que dados pessoais podem ter vazado (horário do relatório; por volta das 10h30 segundo a Cidade de Saitama). Às 11h00, desliga os serviços que eram a via de invasão (raiden3.ktaiwork.jp para o SpeeCAN RAIDEN e s2.ktaiwork.jp para o Raiden School) e bloqueia o acesso a partir dos endereços IP de origem. Diz que uma inspeção dos serviços que não desligou não encontrou programas maliciosos instalados. Segundo o relatório, a partir das 11h40 consulta a polícia local e o JPCERT/CC (centro japonês de coordenação de incidentes de segurança), às 17h00 bloqueia os endereços IP de origem e, às 18h00, encontra vestígios de acesso não autorizado no banco de dados do NET119.13 de outubro
A Cidade de Yokosuka, a Cidade de Saitama, a Província de Miyazaki, a Cidade de Imabari e outros publicam seus próprios avisos.14 de outubro, 10h40
A Arcadia publica um modelo de texto de alerta para os administradores (os municípios e outros que usam o serviço) enviarem a seus cadastrados.14 de outubro
A Cidade de Shizuoka anuncia ter estabelecido que os dados de seus cadastrados no alerta de desastres vazaram e alerta para e-mails falsos que viu.14 de outubro, 15h00 a 17h12
A Arcadia acrescenta que havia vestígios de acesso não autorizado ao NET119 e ao 119RAIDEN e que dados pessoais podem ter vazado. Às 16h00, corrige, dizendo que algumas URLs do 119RAIDEN (fs119.speecan.jp e 119r.speecan.jp) não são afetadas. Às 17h12, diz que os relatos em vídeo do NET119 não correm risco no momento. A investigação passa a abranger todos os serviços. (Segundo a 11ª atualização, os vestígios no NET119 e no 119RAIDEN foram encontrados às 8h30 de 14 de outubro, durante a investigação do incidente de 11 de outubro. O relatório diz que, nesse momento, foram encontrados vestígios nos bancos de dados do antigo 119RAIDEN, do NET119 e de um subsistema interno de contabilidade, e que, às 22h50, foram encontrados vários registros alterados no banco de dados do raiden3. Segundo o relatório, às 11h30 constatou-se que as respostas automáticas haviam parado por causa da troca da senha do banco de dados, e elas foram restabelecidas às 19h50.)15 de outubro, 10h12
A Arcadia diz ter comunicado o caso à Comissão de Proteção de Informações Pessoais e consultado ou notificado a polícia, as secretarias do ISMS e do PrivacyMark, o Departamento de Telecomunicações de Kinki (Ministério dos Assuntos Internos e Comunicações), o Departamento de Economia, Comércio e Indústria de Kinki e outros (7ª atualização).15 de outubro, por volta das 15h00
Segundo o relatório, os dados alterados do raiden3 foram corrigidos manualmente às 9h30 e, às 13h30, confirmou-se que o código-fonte não havia sido alterado. O raiden3 e o s2 são restabelecidos (9ª atualização; 15h10 no relatório, após um desligamento de cerca de 52 horas). A Arcadia diz que todos os serviços estão totalmente restabelecidos, que a via de invasão está bloqueada e que nenhum programa malicioso foi encontrado no sistema. Diz que também trata vulnerabilidades conforme necessário e ainda investiga o alcance do vazamento. Por precaução, pede a todos os clientes que troquem suas senhas de login.16 de outubro, 15h30
A Arcadia diz que, após consultar a Comissão de Proteção de Informações Pessoais, prepara-se para enviar em nome dos clientes as comunicações à Comissão que cada cliente normalmente enviaria (10ª atualização). O consentimento dos clientes é necessário, e ela enviará e-mail quando estiver pronta.16 de outubro, 18h10
A 11ª atualização retoma as URLs, os itens e os números do NET119 e do 119RAIDEN e revisa o número do NET119 (veja a lista abaixo). Diz que, no momento, não há planos de suspender os serviços.19 de outubro, 15h58
A Arcadia envia e-mail aos clientes do SpeeCAN RAIDEN, NET119 e 119RAIDEN sobre as comunicações à Comissão de Proteção de Informações Pessoais que enviará em nome deles, pedindo que verifiquem e preencham os detalhes (13ª atualização, 20 de outubro).20 de outubro, 16h47
A Arcadia envia e-mail aos revendedores de seus serviços sobre as comunicações ao Ministério dos Assuntos Internos e Comunicações que enviará em nome deles (14ª atualização, 21 de outubro).21 de outubro, 15h00
Clientes que usam as integrações com LINE, X ou Facebook são solicitados a configurá-las novamente (15ª atualização).21 de outubro, 17h00 a 19h30
Fax, integração de transmissão e recursos de anexo de arquivos são restringidos temporariamente para investigação e testes (16ª atualização). Às 17h20, a 17ª atualização informa o intervalo de tempo dos e-mails não autorizados, diz que pelo menos 869.575 não foram para endereços que a empresa possui e diz que uma organização externa fará uma pesquisa na dark web. Às 19h30, as restrições são suspensas após a conclusão da investigação e dos testes (18ª atualização).22 de outubro, 10h40
A função de integração por API com sistemas externos é interrompida para investigação e testes (19ª atualização). Ela abrange seis hosts: raiden.ktaiwork.jp, raiden2.ktaiwork.jp, raiden3.ktaiwork.jp, raiden2.speecan.jp, s.ktaiwork.jp e s2.ktaiwork.jp. Como os sistemas externos não conseguem se conectar, as mensagens precisam ser enviadas manualmente pelo SpeeCAN RAIDEN.22 de outubro, 16h05
Como parte da prevenção de recorrência e do reforço da segurança, os clientes são informados de que devem usar a "autenticação em duas etapas no login" (20ª atualização). Além do nome de usuário e da senha, ela usa um código de confirmação enviado a um endereço de e-mail, válido por apenas 15 minutos após o envio. Abrange raiden.ktaiwork.jp, raiden2.ktaiwork.jp e raiden3.ktaiwork.jp, e um PDF com o procedimento de configuração é publicado.23 de outubro, 17h35
A 21ª atualização publica um documento explicativo e um relatório sobre os fatos apurados, o alcance, a resposta e a política futura. Eles retomam em grande parte a 2ª, a 12ª e a 17ª atualizações; os itens novos são o número de contratos nos serviços da empresa e a declaração de que ela não envia e-mails diretamente aos moradores.23 de outubro, 17h55
Os clientes do Raiden School (s.ktaiwork.jp e s2.ktaiwork.jp) também são informados de que devem usar a "autenticação em duas etapas no login" (22ª atualização). Funciona do mesmo modo que na 20ª atualização.
- Serviços no escopo (13 out)
- raiden.ktaiwork.jp, raiden2.ktaiwork.jp, raiden3.ktaiwork.jp, raiden2.speecan.jp, s.ktaiwork.jp, s2.ktaiwork.jp
- Itens (13 out)
- Nomes de contato, endereços de e-mail, números de telefone e de fax / informações de funcionários e de contratos / conteúdo do texto das mensagens guardado como histórico
- Números máximos (13 out)
- Cerca de 3.136.000 endereços de e-mail, cerca de 105.000 números de telefone, cerca de 15.000 números de fax. Descritos como "apenas estimativas", com a investigação em andamento
- NET119 (11ª atualização, 16 out)
- URLs no escopo: net119.speecan.jp e net119fd.speecan.jp. Nomes, datas de nascimento, sexo, endereços, números de telefone, endereços de e-mail, números de fax e informações inseridas no cadastro em outros serviços dos usuários: "os dados pessoais acima vinculados a 9.020 endereços de e-mail". A Arcadia confirmou que nenhum dado pessoal sensível vazou. Pretende informar a cada corpo de bombeiros, individualmente, quais endereços de e-mail podem ter vazado
- 119RAIDEN (11ª atualização, 16 out)
- URL no escopo: somente fs119.ktaiwork.jp. Nomes de contato, endereços de e-mail, números de telefone e de fax, informações de funcionários e de contratos. Cerca de 97000 endereços de e-mail, cerca de 17000 números de telefone, cerca de 400 números de fax
- Não incluídos
- Cartão de crédito e outros dados de pagamento (não tratados). Relatos em vídeo do NET119 (sem risco no momento)
- Causa (12ª atualização, retomada no relatório de 23 de outubro)
- Um arquivo de configuração foi obtido por directory path traversal (uma falha que permite ler arquivos que não deveriam estar visíveis) no servidor de mídia que publica anexos, e uma chave secreta usada em logins entre serviços vazou. O invasor fez login por tentativa e erro (força bruta) de IDs de conta e obteve informações internas. E-mails não autorizados foram enviados por um backdoor instalado
- Alcance (relatório)
- Todos os serviços estão dentro do escopo do possível vazamento. Também foram encontrados vestígios nos bancos de dados do NET119, do 119RAIDEN e de um subsistema interno de contabilidade. Alguns dados do banco de dados do raiden3 foram alterados e corrigidos em 15 de outubro. O número de registros que podem ter vazado ainda está sob investigação; 9.020 deles são do NET119 (apenas dados pessoais vinculados a endereços de e-mail, sem histórico médico ou semelhante)
- Verificações de segurança (relatório, investigação interna)
- A Arcadia diz ter confirmado que a vulnerabilidade foi corrigida, que não há código-fonte malicioso, que os bancos de dados estão íntegros e que os arquivos de configuração e as tarefas agendadas não têm problemas, e usa isso como base para restabelecer o serviço. Uma investigação detalhada foi solicitada a uma organização de segurança independente
- Medidas para evitar recorrência (relatório)
- Feitas: avaliação de vulnerabilidades e revisão de código de todos os serviços com um LLM (modelo de linguagem de grande porte) de uso restrito interno; revisão da forma de acesso ao banco de dados internamente, com senha separada por serviço; reforço do monitoramento automático (em andamento). Planejadas: avaliação de vulnerabilidades por uma empresa externa, controles mais fortes, como autenticação em duas etapas para o acesso ao banco de dados, estudo de um SOC (centro de operações de segurança), revisão um a um dos arquivos de configuração das integrações com redes sociais, aplicativo de desastres e e-mail de área e teste dos sistemas de rádio de desastres com seus fabricantes, nova investigação dos e-mails não autorizados e envio de uma notificação de dano à polícia com base nos registros de acesso
- Contratos (documento explicativo de 23 de outubro)
- Em fins de setembro de 2026: órgãos públicos 875 (municípios 715, corpos de bombeiros 312 e delegacias 22 constam como detalhamento; o total difere de 875), empresas e outros 242, escolas 584. São contratos em todos os serviços da empresa, não informados como número de contratos afetados
- Serviços
- raiden3 e s2 desligados a partir das 11h00 de 13 de outubro e restabelecidos por volta das 15h00 de 15 de outubro. Todos os clientes foram solicitados a trocar suas senhas de login por precaução. NET119 e 119RAIDEN: sem planos de suspensão; uso normal
- E-mails não autorizados (17ª atualização, 21 de outubro)
- Enviados a partir do sistema da empresa por um programa malicioso entre 1h17 e 7h16 de 13 de outubro. Conteúdo de phishing, 1.423.428 no total, dos quais pelo menos 869.575 não foram para endereços de e-mail que a empresa possui. Uma organização externa fará uma pesquisa na dark web, com resultados a serem informados depois
- Comunicações às autoridades
- Comunicou à Comissão de Proteção de Informações Pessoais e consultou ou notificou a polícia e outros órgãos. Enviou e-mail aos clientes em 19 de outubro sobre a comunicação à Comissão em nome deles, e aos revendedores em 20 de outubro sobre a comunicação ao Ministério dos Assuntos Internos e Comunicações em nome deles
- Integrações com serviços externos (15ª atualização, 21 de outubro)
- Clientes que usam as integrações com LINE (todos os amigos, envio por segmento), X ou Facebook precisam configurá-las novamente. No LINE, as informações usadas na integração (o channel secret) são reemitidas e salvas de novo no RAIDEN. Clientes que compartilham os dados da integração com outros fornecedores precisam compartilhar os novos dados
- Restrições de recursos (21 de outubro)
- Fax, integração de transmissão e anexo de arquivos restringidos a partir das 17h00 para investigação e testes; suspensas às 19h30
- Autenticação em duas etapas no login (20ª atualização, 22 out)
- Clientes de raiden.ktaiwork.jp, raiden2.ktaiwork.jp e raiden3.ktaiwork.jp são informados de que devem usá-la. Além do nome de usuário e da senha, usa um código de confirmação enviado a um endereço de e-mail, válido por apenas 15 minutos após o envio
Número do NET119: 'cerca de 13000' na 4ª atualização virou dados 'vinculados a 9.020 endereços de e-mail' na 11ª
A 4ª atualização da Arcadia, de 14 de outubro, deu, em uma tabela com uma coluna por serviço, o "número máximo de registros de dados pessoais que podem ter vazado" como "cerca de 13000" para o NET119 e, para o 119RAIDEN, "endereços de e-mail: cerca de 97000", "números de telefone: cerca de 17000" e "números de fax: cerca de 400".
A 11ª atualização, de 16 de outubro, descreve o NET119 como dados pessoais "vinculados a 9.020 endereços de e-mail". Os números do 119RAIDEN são os mesmos da 4ª atualização. A Arcadia não explicou por que o número do NET119 mudou nem como os dois números foram contados. Não reinterpretamos nenhum dos números e os mostramos como foram publicados.
O que sabemos e o que não sabemos
As divulgações do fornecedor refletidas aqui vão até a 22ª atualização (17h55) de 23 de outubro. As informações específicas dos municípios valem apenas na data de verificação mostrada em cada linha; não verificamos se todos os municípios já retomaram o serviço.
| Item | O que foi anunciado | Situação |
|---|---|---|
| Endereços de e-mail | Até cerca de 3,136 milhões (estimativa) | Possível (Arcadia) |
| Números de telefone e de fax | Até cerca de 105.000 / cerca de 15.000 (estimativas) | Possível (Arcadia) |
| Nomes de contato, informações de funcionários e de contratos | Listados como itens no escopo. Sem número informado | Possível (Arcadia) |
| Texto das mensagens guardado como histórico | Listado como item no escopo | Possível (Arcadia) |
| Dados de usuários do NET119 (nome, data de nascimento, sexo, endereço etc.) | Dados pessoais vinculados a 9.020 endereços de e-mail (11ª atualização, 16 de outubro) | Possível (Arcadia) |
| Dados pessoais sensíveis do NET119 | Confirmado que não vazaram | Não incluídos (Arcadia) |
| Contatos, informações de funcionários e de contratos do 119RAIDEN | Cerca de 97000 endereços de e-mail, cerca de 17000 números de telefone, cerca de 400 números de fax (11ª atualização, 16 de outubro) | Possível (Arcadia) |
| Mudança no número do NET119 | 4ª atualização: até cerca de 13000; 11ª atualização: dados pessoais vinculados a 9.020 endereços de e-mail. Sem explicação da mudança | Não informado |
| Relatos em vídeo do NET119 | Sem risco no momento | Não incluídos (Arcadia) |
| Cartão de crédito e outros dados de pagamento | Não tratados; portanto, não fazem parte do vazamento | Não incluídos (Arcadia) |
| Senhas | Não mencionadas no anúncio | Não informado |
| Dados dos cadastrados no alerta de desastres da Cidade de Shizuoka | Endereços de e-mail de 34.336 moradores; nomes, números de funcionário e departamentos de 6.915 funcionários da cidade | Vazamento confirmado (Cidade de Shizuoka) |
| Números por município ou organização | Não informados pela Arcadia. Cada município publica os seus | Sob investigação |
| Causa | Um arquivo de configuração foi obtido por uma vulnerabilidade no servidor de mídia que publica anexos, uma chave secreta para logins entre serviços vazou e IDs de conta foram atacados por força bruta (12ª atualização, relatório de 23 de outubro) | Divulgada (Arcadia) |
| Alcance do vazamento | Todos os serviços estão dentro do escopo do possível vazamento; a contagem ainda está sob investigação (relatório de 23 de outubro) | Sob investigação |
| Dados alterados | Alguns dados do banco de dados do raiden3 foram alterados e corrigidos em 15 de outubro; o código-fonte não foi alterado (relatório) | Confirmado (Arcadia) |
| Investigação detalhada por terceiro | Solicitada a uma organização de segurança independente (relatório) | Sob investigação |
| Contato direto com moradores | A Arcadia não envia e-mails diretamente aos moradores, pois isso seria uso além da finalidade nos termos da lei de proteção de informações pessoais (documento explicativo de 23 de outubro) | Confirmado (Arcadia) |
| Retomada | raiden3 e s2 restabelecidos por volta das 15h00 de 15 de outubro. A Arcadia diz que todos os serviços estão totalmente restabelecidos | Confirmado (Arcadia) |
| Para onde foram os e-mails não autorizados | Dos 1.423.428, pelo menos 869.575 não foram para endereços de e-mail que a empresa possui (17ª atualização) | Divulgado (Arcadia) |
| Pesquisa na dark web | A ser feita por uma organização externa, com resultados informados depois (17ª atualização) | Planejada (Arcadia) |
| Comunicação à Comissão de Proteção de Informações Pessoais | A Arcadia comunicou. Enviou e-mail aos clientes em 19 de outubro sobre a comunicação em nome deles, pedindo que verifiquem e preencham os detalhes | Em andamento (Arcadia) |
| Comunicação ao Ministério dos Assuntos Internos e Comunicações | Enviou e-mail aos revendedores em 20 de outubro sobre a comunicação em nome deles | Em andamento (Arcadia) |
| Integrações com LINE, X e Facebook | Clientes que as usam precisam configurá-las novamente (15ª atualização) | Ação necessária dos clientes |
| Autenticação em duas etapas no login | Clientes de raiden, raiden2 e raiden3 (20ª atualização) e do Raiden School s e s2 (22ª atualização) devem configurá-la | Ação necessária dos clientes |
Para que os itens vazados podem ser usados
Em geral, as combinações a seguir podem ser usadas de forma indevida das maneiras descritas. Isso não significa que tenha acontecido neste caso (os e-mails falsos que de fato foram vistos estão descritos acima).
- Endereço de e-mail mais o tipo de alerta cadastrado: saber que alguém assina alertas de desastres facilita o envio de e-mails falsos que se dizem de um município ou tratam de desastres, como falsos pagamentos de auxílio ou avisos de abrigo
- Nome mais número de telefone ou de fax: ligações ou faxes falsos que se dizem de um município ou do corpo de bombeiros
- Texto de mensagens guardado como histórico: copiar o texto de avisos reais para fazer falsificações convincentes
- Nome mais data de nascimento mais endereço (usuários do NET119): material para contatos que fingem verificar identidade para obter mais informações
E-mails que parecem vir de um remetente verdadeiro não são exclusivos deste caso. Por que o remetente exibido não é prova de autenticidade está explicado em Spam do seu próprio endereço de e-mail.
Nossa avaliação: alertas de desastres são mensagens que você não pode desligar; por isso, julgue pelo conteúdo, não pelo remetente
A defesa habitual contra e-mails falsos é rejeitar remetentes suspeitos, mas isso não funciona para alertas de desastres, porque rejeitá-los também interrompe as mensagens de que você precisa em um desastre.
O que funciona é a regra dada pela Cidade de Shizuoka: este endereço envia somente informações de desastres. Informação de desastres é algo que você apenas lê; ela nunca exige que você confirme um cartão ou informe dados em uma página vinculada. Se o remetente dos alertas de desastres pedir que você confirme ou informe algo, é falso, mesmo que o remetente pareça idêntico.
O que municípios e organizações que terceirizam notificações em massa devem revisar
A 12ª atualização e o relatório de 23 de outubro explicam a causa; esta seção não avalia a segurança do fornecedor. Ela apresenta o que organizações que dependem de um serviço externo para enviar notificações em massa a moradores, como o e-mail de alerta de desastres, podem verificar por conta própria, com base na sequência de eventos publicada e nos itens envolvidos. Como fazer o inventário dos dados que você repassa a um provedor de e-mail está em o vazamento de endereços de e-mail da JR East, View Card e JR Kyushu; por isso, esta seção se concentra nos pontos específicos deste caso.
Defina como são as mensagens verdadeiras, de uma forma que possa ser comunicada aos moradores
A Cidade de Shizuoka explica que os e-mails falsos usaram o mesmo domínio dos verdadeiros. Quando o remetente não permite aos moradores saber qual mensagem é verdadeira, o que os protege é uma regra clara sobre o que as mensagens verdadeiras contêm.
A Cidade de Shizuoka informou aos moradores que só envia informações de desastres de @raiden.ktaiwork.jp. Se você decidir, em tempos normais, que os alertas de desastres nunca pedem para confirmar cartões ou contas bancárias nem para informar dados em uma página vinculada, e disser isso no guia de cadastro, poderá emitir o mesmo alerta no dia de um incidente.
Troque a senha de login de administrador e configure a autenticação em duas etapas no login (municípios, organizações e escolas que usam o SpeeCAN RAIDEN ou o Raiden School)
Em 15 de outubro, ao restabelecer os servidores suspensos, a Arcadia pediu a todos os clientes que trocassem suas senhas de login antes de usar o serviço, por precaução. Diz para entrar no RAIDEN, abrir a tela de administração, ir a Configurações, depois a Contas de login, selecionar a conta e trocar a senha.
Na 20ª atualização, de 22 de outubro, como parte da prevenção de recorrência e do reforço da segurança, a empresa diz que os clientes devem usar a "autenticação em duas etapas no login". Além do nome de usuário e da senha, ela usa um código de confirmação enviado a um endereço de e-mail, válido por apenas 15 minutos após o envio. Conforme o guia de configuração, tanto administradores quanto usuários gerais fazem login, vão a Conta > Configurações de endereço de e-mail, cadastram o endereço que receberá o código, confirmam-no com o código e depois ativam 'usar autenticação em duas etapas com este endereço no login'. As URLs de login no escopo são raiden.ktaiwork.jp, raiden2.ktaiwork.jp e raiden3.ktaiwork.jp. Na 22ª atualização, de 23 de outubro, a empresa informou aos clientes do Raiden School (s.ktaiwork.jp e s2.ktaiwork.jp) que também devem usar a mesma "autenticação em duas etapas no login". A configuração segue o PDF com o procedimento da empresa.
Cadastre um endereço que o funcionário ainda consiga receber no trabalho. Se vários funcionários compartilham uma conta de administrador, verifique também quem a usa e quem recebe o código.
Se você usa as integrações com LINE, X ou Facebook, configure-as novamente (municípios e organizações que usam o serviço)
Na 15ª atualização, de 21 de outubro, a Arcadia pediu aos clientes que usam as integrações com LINE (todos os amigos, envio por segmento), X ou Facebook que as configurassem novamente. No LINE, reemita as informações usadas na integração (o channel secret) no console de administração do LINE e salve-as de novo em Configurações estendidas na tela de administração do RAIDEN. No X e no Facebook, refaça a vinculação na mesma tela de Configurações estendidas.
Segundo o guia em PDF da empresa, se a aba LINE em Configurações estendidas tiver dois campos de entrada, siga os passos de "todos os amigos"; se tiver cinco, siga os passos de "envio por segmento"; se não houver aba LINE, nada precisa ser feito. Se você compartilha os dados da integração com outro fornecedor, a integração desse fornecedor vai parar, e será preciso compartilhar os novos dados. Confira os passos completos no blog oficial da empresa.
Verifique os e-mails sobre as comunicações em nome dos clientes e preencha os dados (clientes e revendedores)
A Arcadia diz que, após consultar a Comissão de Proteção de Informações Pessoais, enviará as comunicações que cada cliente normalmente enviaria. Diz ter enviado e-mail aos clientes em 19 de outubro e aos revendedores em 20 de outubro sobre a comunicação ao Ministério dos Assuntos Internos e Comunicações, pedindo que verifiquem os detalhes e preencham as informações necessárias. Se você não recebeu o e-mail ou tem dúvidas, consulte as orientações e o contato no blog oficial da empresa.
Inclua sempre 'não bloqueie o remetente' no seu alerta
Conselhos genéricos sobre e-mails falsos costumam dizer "bloqueie remetentes suspeitos", mas, se os moradores fizerem isso com os alertas de desastres, as informações reais de desastres também param. O alerta da Cidade de Shizuoka diz isso explicitamente. Em 14 de outubro, a Arcadia publicou um modelo de texto de alerta para os administradores enviarem aos cadastrados. Se você usar um modelo assim, verifique se deve acrescentar "por favor, não bloqueie este remetente" para os seus próprios alertas.
Informe antecipadamente aos cadastrados como você os alcançará se os alertas pararem
A Cidade de Yokosuka suspendeu quatro serviços de alerta e diz que, enquanto isso, publicará informações em seu site, nas redes sociais oficiais (X, LINE e outras) e nos alto-falantes externos de rádio de desastres. A Cidade de Imabari indica uma linha telefônica de informações de incêndio enquanto seu e-mail de alerta de incêndio está suspenso. A comunicação em desastres não pode simplesmente parar; por isso, informe aos cadastrados, em tempos normais, quais são os canais alternativos.
Mantenha dados pessoais fora do texto das mensagens e defina por quanto tempo o histórico é guardado
A Arcadia lista "o conteúdo do texto das mensagens guardado como histórico" entre os itens que podem ter vazado. Se o texto das mensagens que você envia fica com o fornecedor, colocar nomes ou números de telefone em mensagens de convocação de funcionários ou em avisos individuais significa que eles também podem vazar. Verifique duas coisas: mantenha informações que identifiquem pessoas fora do texto das mensagens e defina no contrato um prazo de retenção para o histórico guardado pelo fornecedor.
Trate as perguntas dos moradores como um sinal precoce
Segundo a Cidade de Saitama, um morador perguntou sobre um e-mail suspeito às 12h50 de 13 de outubro e, dois minutos depois, a cidade consultou o fornecedor e soube do acesso não autorizado. A Cidade de Yokosuka também diz que verificou depois que cadastrados perguntaram sobre e-mails suspeitos. Garanta que o setor que recebe uma ligação dizendo "recebi um e-mail estranho" consiga conectá-la rapidamente ao departamento que opera os alertas e ao fornecedor.
Como os clientes podem se preparar para um incidente em seu fornecedor está em Quando o seu provedor de hospedagem web é invadido, e outro caso em que a invasão de um serviço se espalhou para muitas organizações clientes é acesso não autorizado ao Commune.
Fontes (registro público)
Os fatos deste artigo se baseiam nas informações públicas abaixo. Não especulamos sobre métodos de acesso não autorizado que não foram divulgados. Apenas avisos de municípios que abrimos e confirmamos em páginas oficiais estão listados.
-
Arcadia Inc., "不正アクセスに伴う一連の対応について、他" (Nossa resposta ao acesso não autorizado e outros avisos), atualizado em 22 de outubro de 2026 (renomeado a partir do aviso de 13 de outubro "SpeeCAN RAIDENへの不正アクセスによる個人情報漏洩の可能性について"; detalhes na página abaixo) — arcadia.co.jp
-
Arcadia Inc., página detalhada "弊社サービスへの不正アクセスに伴う一連の対応について" (Nossa resposta ao acesso não autorizado aos nossos serviços; publicada em 13 de outubro de 2026, atualizada até a 22ª atualização, às 17h55 de 23 de outubro; originalmente intitulada "SpeeCAN RAIDENへの不正アクセスによる個人情報漏洩の可能性について") — raiden.site.ktaiwork.jp
-
Arcadia Inc., procedimento de configuração da autenticação em duas etapas no login (anexo da 20ª atualização, em japonês) — PDF oficial
-
Arcadia Inc., guia para verificar as integrações com LINE "todos os amigos" e envio por segmento (21 de outubro de 2026, anexo da 15ª atualização, em japonês) — PDF oficial
-
Arcadia Inc., "不正アクセスに伴う一部サービスの緊急停止について" (Desligamento de emergência de alguns serviços devido a acesso não autorizado), 13 de outubro de 2026 (a URL de origem anterior retornava HTTP 404 quando verificada em 20 de outubro de 2026)
-
Cidade de Shizuoka, "【不審なメールにご注意ください】災害時の情報収集への備え" (Atenção a e-mails suspeitos: preparando-se para obter informações em um desastre), atualizado em 14 de outubro de 2026 — city.shizuoka.lg.jp
-
Cidade de Yokosuka, aviso sobre o risco de vazamento de dados pessoais em seus serviços de e-mail de informações de desastres e de prevenção de crimes, 13 de outubro de 2026 — city.yokosuka.kanagawa.jp
-
Cidade de Saitama, aviso sobre possível vazamento de dados pessoais por acesso não autorizado ao seu sistema de informações de desastres (primeiro informe), 13 de outubro de 2026 — city.saitama.lg.jp
-
Província de Miyazaki, aviso sobre possível vazamento de endereços de e-mail em seu serviço de e-mail de desastres e prevenção de crimes, 13 de outubro de 2026 — pref.miyazaki.lg.jp
-
Cidade de Imabari, aviso sobre possível vazamento de dados pessoais por acesso não autorizado ao operador de seu sistema de distribuição de informações, 13 de outubro de 2026 (itens acrescentados em 14 de outubro) — city.imabari.ehime.jp
-
Fornecedor, “Relato do acesso não autorizado e da nossa resposta” (19 de outubro de 2026, 12ª atualização) — PDF oficial
-
Arcadia Inc., documento explicativo "【説明資料】不正アクセスによる個人情報漏えいの可能性に関して" (Sobre o possível vazamento de dados pessoais por acesso não autorizado; 23 de outubro de 2026, anexo da 21ª atualização, em japonês) — PDF oficial
-
Arcadia Inc., relatório "【報告書】不正アクセスによる個人情報漏えいの可能性に関して" (23 de outubro de 2026, anexo da 21ª atualização, em japonês) — PDF oficial
Histórico de atualizações
24/10/2026: Incorporados o documento explicativo e o relatório da 21ª atualização da Arcadia (17h35 de 23 de outubro) e a 22ª atualização (17h55 do mesmo dia). A partir do relatório, foram acrescentados a causa (um arquivo de configuração obtido por uma vulnerabilidade no servidor de mídia, uma chave secreta vazada para logins entre serviços e força bruta de IDs de conta), que todos os serviços estão dentro do escopo do possível vazamento, os dados alterados e sua correção, as verificações internas de segurança, o pedido de investigação por terceiro, as medidas para evitar recorrência, o número de contratos nos serviços da empresa e a declaração de que ela não envia e-mails diretamente aos moradores, e foram preenchidos horários na linha do tempo. Acrescentado aos passos para operadores que os clientes do Raiden School (s e s2) também devem usar a autenticação em duas etapas no login. O número (até cerca de 3,136 milhões, estimativa) e a expressão "podem ter vazado" não mudaram; por isso, o título e a conclusão não mudaram. Detalhes da via de ataque, como nomes de arquivos e caminhos, não estão incluídos. As datas de verificação dos municípios não mudaram.
23/10/2026: Incorporada a 20ª atualização da Arcadia (16h05 de 22 de outubro). Acrescentado à linha do tempo, aos passos para operadores e às fontes que os clientes devem usar autenticação em duas etapas no login (o código é válido por 15 minutos; abrange raiden, raiden2 e raiden3). O aviso da empresa de 22 de outubro sobre as vulnerabilidades do PHP é separado deste incidente e, por isso, não foi incluído; e a interrupção planejada para atualização de servidor anunciada em 28 de setembro (remarcada em 21 de outubro para 13h30–14h30 de 4 de novembro, para raiden.ktaiwork.jp) é um aviso de manutenção programada e também não foi incluída. As datas de verificação dos municípios não mudaram.
22/10/2026: Incorporadas as 13ª a 18ª atualizações da Arcadia (20–21 de outubro). Acrescentados o intervalo de tempo dos 1.423.428 e-mails não autorizados (1h17 a 7h16 de 13 de outubro), a constatação de que pelo menos 869.575 não foram para endereços que a empresa possui, a pesquisa planejada na dark web por uma organização externa, os e-mails sobre as comunicações em nome dos clientes à Comissão de Proteção de Informações Pessoais e ao Ministério dos Assuntos Internos e Comunicações, o pedido para configurar novamente as integrações com LINE, X e Facebook, e as restrições temporárias de recursos em 21 de outubro e sua suspensão. Títulos das fontes atualizados para acompanhar a mudança de título feita pela empresa. Depois, incorporada a 19ª atualização (10h40 de 22 de outubro) e acrescentada a interrupção da função de integração por API com sistemas externos. As datas de verificação dos municípios não mudaram.
21 de outubro de 2026: Verificado o PDF da 12ª atualização, que já estava em nosso poder. Acrescentadas sua explicação da causa, o horário de detecção, o número de e-mails e a investigação independente planejada, sem os passos do ataque. As datas de verificação dos municípios não mudaram.
17/10/2026: Incorporadas as 7ª a 11ª atualizações da Arcadia (15–16 de outubro). Separados o alcance e os números do NET119 (dados pessoais vinculados a 9.020 endereços de e-mail; nenhum dado pessoal sensível vazou) e do 119RAIDEN (cerca de 97000 endereços de e-mail e mais), e acrescentados o restabelecimento do raiden3 e do s2 em 15 de outubro, o pedido para que os clientes troquem senhas, as comunicações às autoridades e a comunicação planejada à Comissão de Proteção de Informações Pessoais em nome dos clientes. Correção: a primeira versão interpretou mal a tabela da atualização de 14 de outubro e disse que um máximo combinado de "cerca de 13000" para NET119 e 119RAIDEN conflitava com "cerca de 97000" endereços de e-mail. Na tabela real, "cerca de 13000" é o número do NET119 e "cerca de 97000" e os demais números são do 119RAIDEN; portanto, não havia conflito. A caixa de aviso agora explica que o número do NET119 mudou na 11ª atualização. Atualizados os títulos das fontes, que a Arcadia alterou. A tabela dos municípios continua como verificada em 14 de outubro.
14/10/2026: Primeira versão. Baseada no anúncio da Arcadia de 13 de outubro e em suas atualizações na mesma página até as 17h12 de 14 de outubro, e em cinco avisos de municípios. Atualizaremos quando forem anunciados números por município, a causa ou a retomada dos serviços suspensos.
Leia a seguir
- Outro incidente com provedor de envio de e-mail: Acesso não autorizado ao serviço de envio de e-mail blastmail
- Como reconhecer mensagens falsas: O que é phishing / Spam do seu próprio endereço de e-mail
- Casos semelhantes: Vazamento de endereços de e-mail da JR East, View Card e JR Kyushu / Acesso não autorizado ao Commune / Acesso não autorizado ao serviço de envio de e-mail Cuenote FC da Ymirlink
- Outros incidentes de 2026: Lista de vazamentos de dados e ciberataques