Para: qualquer pessoa que tenha reservado um hotel ou ryokan no Japão (inclusive por um site de reserva de viagem) e qualquer pessoa que administre um negócio de hospedagem. Este artigo é baseado no comunicado oficial da Temairazu, Inc. e em avisos de hotéis que usam o sistema, e não trata de técnicas de ataque ou golpe.
Em andamento: este artigo será atualizado conforme a organização publicar mais informações
Em 11 de outubro de 2026Ainda não se sabe
- Número final de pessoas e hotéis
- Período e faixa de reservas afetadas (segundo a empresa)
- Como ocorreu a invasão
- Resultados da investigação externa
A Temairazu, Inc. listou os itens que podem ter sido obtidos em seu segundo relatório, de 7 de outubro (versão em inglês em 8 de outubro), e informou o número de pessoas envolvidas, até cerca de 4,45 milhões, em uma divulgação relevante em 9 de outubro. Uma empresa externa de segurança ainda verifica a causa e o alcance, e a empresa diz que anunciará prontamente quaisquer novos fatos relevantes.
O que os hóspedes devem fazer hoje
Saiba se você pode ser afetado (inclusive reservas por sites de viagem)
A empresa não anunciou qual período ou faixa de reservas está afetado. O que se sabe é um limite máximo de até cerca de 4,45 milhões de pessoas (divulgação relevante de 9 de outubro). Isso abrange não apenas pessoas que reservaram diretamente com o hotel, mas possivelmente também quem reservou por um site de viagem (o motivo é explicado mais adiante).
Um aviso de hotel (Hotel Grand Hill Ichigaya) diz que mensagens falsas pelo WhatsApp foram observadas em algumas reservas que atendem às três condições: feitas até 21 de setembro de 2026, para estadia em 21 de setembro ou depois, e com o hóspede usando WhatsApp. Essas são as condições em que mensagens falsas foram vistas, não a faixa de reservas cujos dados podem ter sido obtidos. Não atender a essas condições não significa que você está seguro.
Vários hotéis que usam o sistema publicaram avisos em seus sites, então verifique o site oficial do seu hotel. A ausência de aviso, porém, não é prova de segurança. Trate toda mensagem que se diga do hotel com os passos abaixo.
Não abra links da mensagem e não responda
As mensagens confirmadas pela empresa se passam por hotéis ou sites de reserva e, sob pretextos como confirmar uma reserva, check-in antecipado ou manter uma reserva válida, levam os destinatários a sites externos para inserir dados de cartão ou pagar. Elas também pressionam para que você aja com urgência. Segundo o primeiro aviso da empresa, chegaram por aplicativos de mensagem como o WhatsApp, por e-mail, por SMS e por outros meios. A empresa pede a mesma cautela caso a mensagem chegue pelo WeChat ou outro aplicativo de mensagens.
A empresa dá quatro orientações:
- Não abra URLs nem links
- Não responda
- Não insira dados de cartão ou pessoais
- Não faça nenhum pagamento
Confirme pelo aplicativo oficial do site de reserva ou pelo telefone oficial do hotel
Para verificar sua reserva, não use os links nem os telefones da mensagem. Use um canal oficial que você abra por conta própria.
- Se você reservou por um site de viagem: abra sua reserva pelo aplicativo na tela inicial (ou pelo site oficial que você salvou nos favoritos) e veja a forma de pagamento e o status
- Se você reservou diretamente: procure o site oficial do hotel e ligue, por conta própria, para o telefone indicado ali
Se pedirem um pagamento que não consta na confirmação da sua reserva, isso basta para recusar. Como avaliar esse tipo de mensagem é explicado em detalhes em Vazamento de dados de reservas da Booking.com.
Se você inseriu dados ou pagou, entre em contato imediatamente com a operadora do cartão
A empresa diz que, se você inseriu dados de cartão de crédito ou outros dados em um site suspeito, deve entrar em contato com a operadora do cartão prontamente. Peça o bloqueio e a reemissão do cartão e verifique seus extratos em busca de cobranças que você não reconhece.
No Japão, você também pode ligar para a linha de consulta da polícia (#9110) ou para o disque-consumidor (188). Se você digitou a senha da sua conta no site de reserva, troque-a e ative a verificação em duas etapas (veja Escolhendo MFA do jeito certo).
Avise as pessoas que viajam com você (mensagens em japonês também apareceram)
Avise não só quem fez a reserva, mas também familiares que se hospedam com você e companheiros que chegam do exterior. Segundo o aviso de um hotel, em 5 de outubro foram confirmadas mensagens de golpe em japonês, e não apenas em inglês.
Não parta do princípio de que a única mensagem a esperar é uma mensagem em inglês com erros. Seja qual for o idioma ou o aplicativo, confira da mesma forma.
O que aconteceu (segundo o comunicado da Temairazu, Inc.)
A Temairazu, Inc. publicou seu primeiro comunicado em 28 de setembro de 2026 (versão em inglês em 29 de setembro) e seu segundo relatório em 7 de outubro (versão em inglês em 8 de outubro), seguido de uma divulgação relevante para acionistas e investidores em 9 de outubro. Entre as datas abaixo, 26 de setembro e as condições das reservas em que mensagens falsas foram observadas vêm de avisos publicados por hotéis que usam o sistema.
A partir da noite de seg., 21 de setembro de 2026
Vários hotéis entraram em contato com a empresa dizendo que seus hóspedes estavam recebendo mensagens suspeitas. Durante a investigação, a empresa confirmou acesso não autorizado ao seu sistema.Qui., 24 de setembro
Para conter os danos e investigar, parte das funções do sistema foi suspensa por volta das 10h58 e retomada por volta das 21h48 do mesmo dia (divulgação de 9 de outubro). A empresa diz que o núcleo que conecta reservas, disponibilidade e tarifas não foi interrompido.Sáb., 26 de setembro
Segundo os avisos dos hotéis, a causa foi identificada e a correção foi concluída.28 de setembro
A empresa publicou seu comunicado. Disse que estava tomando as medidas necessárias, incluindo a comunicação à Comissão de Proteção de Informações Pessoais, e que havia contatado a polícia.29 de setembro
Versão em inglês do comunicado publicada.5 de outubro
Segundo o aviso de um hotel, foram confirmadas mensagens de golpe em japonês, e não apenas em inglês.7 de outubro
A empresa publicou seu segundo relatório (versão em inglês em 8 de outubro), listando nomes, números de telefone, endereços de e-mail, nomes das propriedades, datas de check-in e check-out e valores como informações que podem ter sido obtidas.9 de outubro
Em uma divulgação relevante, a empresa informou que o número de pessoas envolvidas é de até cerca de 4,45 milhões, disse que contratou uma empresa externa de segurança e que o efeito sobre seus resultados ainda não pode ser estimado de forma razoável.
- Sistema
- Série TEMAIRAZU, um sistema de gestão de reservas para hospedagem
- O que aconteceu
- Acesso não autorizado ao sistema da empresa. Parte das informações dos hóspedes pode ter sido visualizada ou obtida por terceiros (comunicado da empresa)
- Pessoas envolvidas
- Até cerca de 4,45 milhões (divulgação relevante de 9 de outubro). O número de hotéis não foi anunciado
- Itens que podem ter sido obtidos
- Nomes dos hóspedes, números de telefone, endereços de e-mail, nomes das propriedades, datas de check-in, datas de check-out, valores de hospedagem (segundo relatório). A divulgação de 9 de outubro os lista com "como" e "incluindo"
- Mensagens falsas
- Se passam por hotéis ou sites de reserva e, sob pretextos como check-in antecipado ou manutenção de uma reserva válida, levam a sites externos que pedem dados de cartão ou pagamento. A empresa as descreve como confirmadas em relação a este incidente e diz que parecem golpes de phishing
- Não mantido pela empresa
- Informações de cartão de crédito e credenciais de login de sites de reserva (comunicado da empresa)
- Causa
- A empresa diz que identificou e corrigiu a causa e não divulgará o método. Segundo avisos de hotéis, um problema de segurança em parte das funções de um produto instalado que a empresa forneceu no passado
- Data da invasão
- Segundo um aviso de hotel, a empresa informou que o acesso não autorizado confirmado até agora se limita a acessos ocorridos em 21 de setembro de 2026, e que nenhum acesso semelhante foi confirmado em outras datas
- Resposta
- Acesso bloqueado; controle de acesso e monitoramento reforçados. Parte das funções foi suspensa por cerca de 11 horas em 24 de setembro e retomada no mesmo dia; o sistema está operando normalmente (comunicado da empresa)
- Comunicação e investigação
- Comunicado à Comissão de Proteção de Informações Pessoais e consulta à polícia. Uma empresa externa de segurança foi contratada para verificar a causa e o alcance; investigação em andamento (divulgação de 9 de outubro)
- Contato
- Central de ajuda de emergência da empresa (helpdesk@temairazu.com, conforme indicado em seu comunicado oficial)
O que se sabe e o que não se sabe
Situação em 11 de outubro de 2026 (até a divulgação relevante de 9 de outubro). Esta tabela será atualizada quando a empresa publicar mais informações.
| Item | O que foi anunciado | Situação |
|---|---|---|
| Acesso não autorizado | Confirmado no sistema da empresa | Confirmado |
| Se dados de hóspedes foram obtidos | Podem ter sido visualizados ou obtidos | Possível |
| Itens que podem ter sido obtidos | Nomes, números de telefone, endereços de e-mail, nomes das propriedades, datas de check-in e check-out, valores (segundo relatório; a divulgação de 9 de outubro diz "incluindo") | Anunciado |
| Dados de cartão e logins de sites de reserva | A empresa não os armazena | Confirmado |
| Período e faixa de reservas afetadas | Não informados pela empresa (apenas o limite máximo de pessoas) | Não anunciado |
| Reservas em que mensagens falsas foram vistas | Algumas reservas que atendem a todas as condições: feitas até 21 de setembro, estadia em 21 de setembro ou depois, hóspede usando WhatsApp (aviso de um hotel) | Via avisos de hotéis |
| Data da invasão | O acesso confirmado até agora se limita a 21 de setembro (aviso de um hotel, citando a empresa) | Via avisos de hotéis |
| Pessoas envolvidas | Até cerca de 4,45 milhões (divulgação de 9 de outubro) | Limite máximo anunciado |
| Número de hotéis, contagem final | Não anunciado | Em investigação |
| Ligação com as mensagens falsas | A empresa as descreve como confirmadas em relação a este incidente e como aparente phishing | Ligação descrita pela empresa |
| Causa | Identificada e corrigida; método não divulgado; parte de um produto instalado mais antigo (avisos de hotéis) | Parcialmente divulgada |
| Comunicação às autoridades | Comunicado à PPC; consulta à polícia | Concluído |
| Investigação externa | Contratada de uma empresa de segurança | Em investigação |
| Efeito sobre os resultados | Ainda não pode ser estimado de forma razoável | Não determinado |
Por que reservar por um site de viagem não descarta a possibilidade de você ser afetado
A maioria dos hotéis e ryokans no Japão anuncia seus quartos em vários sites de reserva de viagem (OTAs, agências de viagens online) e em seu próprio site ao mesmo tempo. Quando um quarto é vendido em um site, a disponibilidade em todos os outros precisa cair, ou o mesmo quarto seria vendido duas vezes.
O sistema que faz isso automaticamente é chamado de channel manager (no Japão, "controlador de sites"). O TEMAIRAZU é um deles; a empresa o fornece como sistema de gestão de reservas para hospedagem.
Site de reserva A
Hóspede reserva no aplicativo
Site de reserva B
Hóspede reserva na web
Site próprio do hotel
Reserva direta
↓ reservas, disponibilidade e tarifas repassadas juntas
Channel manager (TEMAIRAZU)
Dados de reservas de vários hotéis se reúnem em um sistema → acesso não autorizado confirmado aqui
↓
Tela de administração de cada hotel
Lida com contatos dos hóspedes, datas de estadia, números de reserva
Assim, mesmo que o próprio site de reserva não tenha nenhum problema, os dados da reserva podem ser obtidos do sistema de gestão que o hotel usa. Não ter recebido nenhum contato do site de reserva não é prova de segurança.
Para que podem ser usados nomes, dados de contato e datas de estadia
Os itens anunciados combinam dados de contato (nome, número de telefone, e-mail) com detalhes da reserva (nome da propriedade, datas de check-in e check-out, valores). Em geral, essa combinação é um bom material para golpes porque:
- Um nome de hotel, uma data e um preço corretos fazem uma mensagem parecer ter vindo de fato do hotel ou do site de reserva
- Quando a estadia está próxima, "pague agora ou sua reserva será cancelada" ou "check-in antecipado obrigatório" cria pressão
- Com número de telefone e e-mail, um golpista pode alcançar você por SMS, e-mail ou um aplicativo de mensagens registrado nesse número, passando-se pelo hotel
Como as datas de check-out estão incluídas, mensagens sobre "reembolso" ou "acerto de cobranças extras" também podem chegar depois da estadia. Verifique-as da mesma forma.
O que chama a atenção aqui: mensagens falsas chegaram antes do anúncio
Segundo a empresa, os hotéis começaram a relatar mensagens suspeitas a partir da noite de 21 de setembro, e o anúncio veio em 28 de setembro. Mensagens recebidas antes do anúncio exigem a mesma cautela.
Se você inseriu dados de cartão em resposta a uma mensagem que se dizia de um hotel desde o fim de setembro, entre em contato com a operadora do cartão agora, mesmo que algum tempo tenha passado.
Visão deste site: julgue pela forma como o pagamento é solicitado, e não pelo acerto do nome do hotel
Em reservas de hotel, a forma de pagamento quase nunca muda depois da reserva. As condições de pagamento estão escritas na sua confirmação de reserva.
Por mais precisa que uma mensagem seja ao descrever sua reserva, se ela pedir um pagamento que não está na confirmação ou que você insira novamente os dados do cartão, isso basta para recusar. Essa regra vale do mesmo jeito, qualquer que seja o aplicativo ou idioma em que a mensagem chegue.
Para quem administra um negócio de hospedagem
O que a empresa pediu que os hotéis fizessem
Troque a senha de login do TEMAIRAZU
Como precaução, a empresa pediu que os hotéis troquem a senha de login do TEMAIRAZU. Se você usa a mesma senha em outras telas de administração (painéis de sites de reserva, e-mail etc.), troque-a também nelas.
Confira a tela de administração em busca de logins ou alterações que você não reconheça
A empresa pede que os hotéis entrem em contato imediatamente caso encontrem logins que não reconhecem ou alterações não intencionais nos dados cadastrados na tela de administração.
Ela pediu que os sites de reserva e os parceiros conectados verifiquem logins não reconhecidos, alterações não intencionais em contas ou permissões, alterações não intencionais nas contas bancárias de repasse ou em outros dados cadastrados, além de mensagens suspeitas e registros de atividade. Verificar esses mesmos quatro pontos nos painéis dos sites de reserva usados pelo seu imóvel também é uma medida sensata.
Dê aos hóspedes sempre a mesma resposta
A empresa pede que os hotéis orientem os hóspedes que perguntarem a não abrir URLs nas mensagens e a não inserir dados pessoais ou de cartão.
Para que as respostas da recepção e da central de atendimento não variem, defina uma frase, como "Nunca pedimos que você insira novamente os dados do cartão ou pague por meio de mensagem", junto com os contatos corretos. Avisar os hóspedes com antecedência, por exemplo pelo recurso de mensagens do site de reserva, reduz os danos.
O que perguntar à Temairazu, Inc.
O comunicado da empresa não diz quais reservas de quais hotéis estão no escopo. Para explicar a situação aos hóspedes e decidir sobre medidas legais, pergunte à empresa:
- Se as reservas do seu imóvel estão no escopo e, em caso afirmativo, o período e a quantidade
- Quais dos itens anunciados realmente se aplicam às reservas do seu imóvel
- Se o seu imóvel usou alguma vez o produto instalado mais antigo, e se esse software ou suas configurações de conexão ainda permanecem
- Até onde a empresa comunicou à Comissão de Proteção de Informações Pessoais e se o seu imóvel também precisa comunicar ou notificar hóspedes
Comunicação à Comissão de Proteção de Informações Pessoais e notificação dos hóspedes
Segundo a Comissão de Proteção de Informações Pessoais do Japão (PPC), um vazamento que possa ter sido causado com intenção ilícita, como acesso não autorizado, deve ser comunicado independentemente do número de pessoas. Os prazos são:
- Relatório preliminar: prontamente após tomar conhecimento (em cerca de 3 a 5 dias)
- Relatório final: em até 60 dias (quando há suspeita de intenção ilícita; caso contrário, 30 dias)
- Notificação às pessoas afetadas: prontamente, conforme a situação permitir. Quando isso for difícil, são aceitas alternativas, como divulgar o incidente e criar um canal de atendimento
Pelas diretrizes da PPC, se um prestador de serviços contratado notificar a empresa que o contratou para tratar os dados, o prestador fica isento de comunicar e a empresa contratante comunica. Se o hotel ou o fornecedor do sistema comunica, e se o seu imóvel está no escopo, depende do contrato e dos fatos. Baseie a decisão nas respostas às perguntas acima e consulte a PPC se tiver dúvidas.
A verificação específica deste incidente: produtos antigos e conexões ainda ativos
Segundo os avisos dos hotéis, a causa foi parte de um produto instalado que a empresa forneceu no passado. Onde ficava essa função não foi divulgado, mas qualquer imóvel pode ter softwares antigos que acredita não usar mais, ou configurações de conexão para eles, ainda ativos.
- Liste todos os sistemas que tratam reservas ou dados de hóspedes e anote, para cada um: versão atual, quem o administra e se versões antigas ou integrações permanecem
- Desinstale produtos antigos que você não usa mais, após confirmar com o fornecedor, e feche contas e conexões relacionadas
- Ative a autenticação multifator para logins de administração, se disponível, e substitua IDs compartilhados por IDs individuais (assim o histórico de login mostra quem fez o quê)
A outra lição é sobre detecção. Aqui, o problema apareceu primeiro quando hóspedes perguntaram aos hotéis sobre mensagens estranhas. Decida antecipadamente que a denúncia de um hóspede sobre "uma mensagem suspeita que se diz do seu hotel" não é apenas uma reclamação individual e deve ir diretamente ao fornecedor do sistema.
Para outro caso em que dados de hóspedes de hotel vazaram, veja o vazamento da Quest Apartment Hotels na Austrália; para saber como clientes podem reagir quando o sistema de um fornecedor é invadido, veja Quando o seu provedor de hospedagem é invadido.
Fontes (registro público)
Os fatos deste artigo se baseiam nas informações públicas abaixo. Itens, números e métodos de invasão que não foram anunciados não são estimados.
- Temairazu, Inc., aviso de desculpas sobre mensagens suspeitas e acesso não autorizado ao seu sistema (28 de setembro de 2026, em japonês) — temairazu.co.jp
- Temairazu, Inc., "Notice and Apology Regarding Suspicious Messages and Unauthorized Access to TEMAIRAZU" (29 de setembro de 2026, em inglês) — temairazu.co.jp
- Temairazu, Inc., segundo relatório sobre o acesso não autorizado (7 de outubro de 2026, em japonês) — temairazu.co.jp
- Temairazu, Inc., "Update on Unauthorized Access to Our Systems and Our Response (Second Report)" (8 de outubro de 2026, em inglês) — temairazu.co.jp
- Temairazu, Inc., divulgação relevante sobre o andamento da investigação do acesso não autorizado ao seu sistema e sua resposta (9 de outubro de 2026, em japonês) — temairazu.co.jp
- Exemplo de aviso de hotel (causa, correção de 26 de setembro, data da invasão, condições das reservas em que mensagens falsas foram vistas): Hotel Grand Hill Ichigaya (29 de setembro de 2026, em japonês) — ghi.gr.jp
- Exemplo de aviso de hotel (mensagens de golpe em japonês em 5 de outubro): Super Hotel (atualizado em 5 de outubro, em japonês) — superhotel.co.jp
- Comissão de Proteção de Informações Pessoais, "Responding to leaks and useful materials" (em japonês) — ppc.go.jp
- Comissão de Proteção de Informações Pessoais, Diretrizes da Lei de Proteção de Informações Pessoais (Regras Gerais), seção 3-5 sobre relatórios de vazamento e notificação às pessoas (em japonês) — ppc.go.jp
Histórico de atualizações
2026-10-22: Em Leia a seguir, descrevemos a cifra de 166.505 da Commune como contada por comunidade.
2026-10-11: Fatos rechecados com os avisos oficiais. As condições de um aviso de hotel (feitas até 21 de setembro, estadia em 21 de setembro ou depois, hóspede usando WhatsApp) descrevem as reservas em que mensagens falsas foram observadas, não o alcance do vazamento; o texto foi corrigido (a empresa não anunciou o alcance). Acrescentado que o acesso não autorizado confirmado se limita a 21 de setembro (aviso de hotel). Canais de mensagem alinhados ao primeiro comunicado (aplicativos de mensagem como o WhatsApp, e-mail, SMS e outros).
2026-10-10: Refletida a divulgação relevante de 9 de outubro da empresa: até cerca de 4,45 milhões de pessoas envolvidas, a suspensão parcial e a retomada no mesmo dia em 24 de setembro, a empresa externa de segurança contratada para investigar e o efeito sobre os resultados (ainda não estimável), no título, no texto e na tabela. O número de hotéis e o método de invasão continuam não divulgados.
2026-10-09: Refletido o segundo relatório da empresa (7 de outubro; versão em inglês em 8 de outubro): os sete itens que podem ter sido obtidos, informações que a empresa não armazena (logins de sites de reserva) e os pretextos usados nas mensagens falsas (check-in antecipado, manutenção da reserva válida). Números e método de invasão continuam não divulgados.
2026-10-07: Comunicado oficial rechecado (sem atualização). Acrescentados a tabela "O que se sabe e o que não se sabe", as mensagens de golpe em japonês de 5 de outubro e os passos de comunicação e notificação dos hotéis. Como a empresa não anunciou quais itens vazaram, a descrição dos itens foi limitada ao que consta no comunicado da empresa.
2026-10-03: Primeira versão, baseada nos comunicados da Temairazu, Inc. de 28 de setembro (em japonês) e 29 de setembro (em inglês) e em avisos de hotéis que usam o sistema.
Leia a seguir
- O mesmo padrão de golpe: Vazamento de dados de reservas da Booking.com / O que é phishing? Os tipos de ataque e defesas mais confiáveis do que identificar a olho
- Outro caso de hospedagem: Quest Apartment Hotels (Austrália, números de cartão e passaporte)
- Um caso de site de reserva de viagem: o vazamento do skyticket (Adventure Inc.) (reservas e senhas)
- Quando um fornecedor é invadido: Quando o seu provedor de hospedagem é invadido
- Contatos vazados por meio de um fornecedor: Possível vazamento de e-mails da JR East, VIEW Card e JR Kyushu (2026)
- Dados de membros de muitas empresas vazados por meio de um fornecedor: Acesso não autorizado à Commune (166.505 membros de comunidades, contados por comunidade)
- Protegendo suas contas: Escolhendo MFA do jeito certo / Gerenciadores de senhas são seguros? Como funcionam, nuvem vs. local e como escolher
- Outros incidentes de 2026: lista de vazamentos e ciberataques (Japão e mundo)