Vazamento de dados pessoais do Suntory Group (cerca de 90.000 funcionários e pessoal de parceiros, e outros grupos): nomes e e-mails vazados após acesso não autorizado a um serviço de nuvem externo, e o que candidatos e clientes devem fazer

Conforme o grupo, os itens vazados são uma combinação de nome, e-mail e telefone. Um e-mail com o nome e o endereço certos parece autêntico. Desconfie de qualquer mensagem que diga ser da Suntory ou de uma empresa do grupo (Monte Bussan, Izutsu Maisen, Suntory Beverage Solution e outras) e peça para abrir um link ou digitar informações. Para conferir, use o site oficial que você mesmo abrir, não a mensagem (veja o que é phishing?).

O grupo abrange os candidatos à seleção aberta da trilha de negócios (antecipada e regular) do recrutamento de recém-formados 2026 da Suntory Holdings. Os itens vazados são descritos como «dados de cadastro da My Page de candidatos e outros (nome, e-mail, telefone etc.)».

Se receber uma mensagem sobre resultado de seleção, oferta de emprego, mudança de data de entrevista ou documentos adicionais, não siga o link; confira na My Page de recrutamento ou no site oficial que você mesmo abrir. Se pedirem número de conta bancária, fotos de documentos de identidade ou uma taxa, pare aí e contate a empresa pela página do comunicado. Um caso parecido com candidatos a emprego é explicado em o acesso não autorizado ao MyBRANDS.

No Mar de Shine, foram afetados os e-mails de 7.323 pessoas cadastradas no fim de 2023. Na Izutsu Maisen, foram afetados os nomes e as informações de local de entrega de 96 clientes de entrega e da equipe que fez a entrega.

Mesmo em mensagens que oferecem um cupom de desculpas, um prêmio ou a confirmação do endereço de entrega, não abra o link nem digite seu endereço ou número de cartão. A empresa diz que não há dados de pagamento, então nada no comunicado pede que você confira o número do cartão por causa deste incidente.

Os grupos vazados incluem nomes e e-mails de funcionários de empresas parceiras, nomes e telefones de funcionários de parceiros comerciais e outros salvos em dois celulares corporativos, e nomes e cargos de funcionários de parceiros comerciais da Suntory. Em geral, nome, cargo e e-mail juntos facilitam forjar uma fatura ou um pedido de troca de dados bancários em nome de um contato (comprometimento de e-mail corporativo).

Confirme qualquer pedido de troca de dados bancários ou de pagamento urgente ligando para o contato no número que você sempre usou, não no do e-mail.

A empresa indica como contatos para este incidente um formulário de contato (24 horas) e um número gratuito, 0120-050-310 (atendente, 9:30–17:00, fechado aos sábados, domingos, feriados e no período de fim de ano). Confirme o número e o formulário na página do comunicado no site oficial da empresa, não em uma mensagem recebida.

Segundo o comunicado, a empresa identificou os nomes dos arquivos vazados em 28 de outubro, dia em que detectou as anomalias, e confirmou em 29 de outubro que alguns continham informações pessoais. Saber os nomes dos arquivos não é o mesmo que saber de quem são as informações dentro deles. Na sua organização, liste os arquivos do armazenamento compartilhado na nuvem que contêm informações pessoais, como listas de pessoal, listas de candidatos e contatos exportados, com local e responsável (checklist de inventário de segurança).

Os grupos vazados incluem dados de cadastrados no fim de 2023 e contatos salvos em dois celulares corporativos. O comunicado não diz de que forma eles eram guardados na nuvem. Em geral, uma lista exportada em determinado momento, ou um backup dos contatos de um dispositivo, tende a permanecer mesmo depois de apagada do sistema original. Verifique a nuvem da sua organização em busca de arquivos exportados que não estão mais em uso e apague os desnecessários.

O maior grupo desta vez foi o de funcionários e funcionários de empresas parceiras (cerca de 90.000). Quando uma lista de pessoal vaza, faturas falsas também podem chegar aos parceiros comerciais. Prepare com antecedência uma mensagem curta pedindo aos parceiros que confirmem por telefone qualquer pedido de troca de dados bancários em seu nome, junto com a lista de destinatários, para emitir o alerta no mesmo dia da divulgação (como barrar e-mails falsificados que usam seu domínio).