Para: quem usa a ultra pay Card, Azul Claro Numazu Pay (アスルクラロ沼津Pay), Kamigami Kon Pay (巫神こんPay) ou Toshiba Brave Lupus Tokyo Pay (東芝ブレイブルーパス東京Pay), ou usou algum deles e depois saiu. Este artigo é uma explicação baseada no comunicado oficial da Yeny, Inc. e não trata de técnicas de ataque.
Em andamento: este artigo será atualizado conforme a organização publicar mais informações
- Quem é afetado
quem usa a ultra pay Card, Azul Claro Numazu Pay (アスルクラロ沼津Pay), Kamigami Kon Pay (巫神こんPay) ou Toshiba Brave Lupus Tokyo Pay (東芝ブレイブルーパス東京Pay), ou usou algum deles e depois saiu.
- Confirmado até agoraVer a tabela ↓
- Telefone
- ID de membro (próprio da empresa)
- Número de afetados
Mais 2
- Causa
- Comunicação às autoridades
- Ainda não confirmado
- Se há dados além de telefones e IDs de membro
- Detalhamento do número por serviço
- Período do vazamento e quem obteve os dados
Mais 2
- Quando os usuários afetados serão avisados e como os ex-membros serão tratados
- Se os dados foram usados indevidamente
- O que fazer agoraVer os passos ↓
- Não responda a SMS ou ligações em nome da ultra pay ou dos times
- Confira os avisos do app para saber se foi afetado
- Não retorne para o número de um SMS. Fale com a empresa pelos canais oficiais
Mais 2
- Revise por precaução os extratos do cartão e da conta
- Se abriu um link ou informou dados, peça ajuda imediatamente
- Onde verificar (fonte)Todas as fontes ↓
- Yeny, Inc., «Apology and notice about the leak of member information due to unauthorized access» (12 de novembro de 2026, em japonês)
- Última verificação
- Em 14 de novembro de 2026
Próximos avisos e o que verificamos
A empresa diz que o comunicado se baseia nas informações das 15h de 12 de novembro de 2026 e pode ser atualizado após novas investigações. Diz que anunciará novidades em cada app e no seu site conforme houver. Quando consultamos os avisos da empresa em 14 de novembro de 2026, não encontramos nenhum acompanhamento após o comunicado de 12 de novembro.
O que os usuários devem fazer hoje
Não responda a SMS ou ligações em nome da ultra pay ou dos times
A empresa alerta sobre SMS e ligações que se passam por ela. Diz que nunca pede aos usuários que informem senhas ou dados de cartão por SMS ou telefone. Se receber um SMS que não reconhece, não abra a URL, não informe dados pessoais e apague-o.
Quando seu telefone é conhecido, fica mais fácil criar SMS e ligações convincentes, como «confirme seu uso da ultra pay», «uma campanha do Pay do seu time» ou «confirme um uso não autorizado» (opinião deste site). Veja O que é phishing? para saber diferenciá-los.
Confira os avisos do app para saber se foi afetado
A empresa diz que os usuários afetados serão avisados na seção de avisos do app. Não use um link de SMS ou e-mail. Abra você mesmo o app oficial no celular e leia os avisos.
São quatro serviços. Se usa mais de um app, confira cada um. Se não encontrar um aviso, pode consultar pelo formulário de consultas indicado no comunicado.
Não retorne para o número de um SMS. Fale com a empresa pelos canais oficiais
Quando chegar um contato suspeito, use o app oficial ou o ponto de contato do site oficial da empresa, não o telefone nem a URL do SMS. A empresa recebe consultas sobre este caso por um formulário específico. O comunicado não indica um e-mail ou telefone separado.
Revise por precaução os extratos do cartão e da conta
A empresa diz que o vazamento de dados de pagamento não foi confirmado e que essas informações sozinhas não servem para pagamentos. Se ainda assim se preocupa com cobranças suspeitas, confira os extratos da sua forma de pagamento cadastrada (administradora do cartão ou banco) em busca de cobranças que não reconheça.
Se abriu um link ou informou dados, peça ajuda imediatamente
Se informou número de cartão ou senha no link de um SMS suspeito, fale imediatamente com a administradora do cartão ou o banco e troque a senha de qualquer serviço em que use a mesma. No Japão, você também pode ligar para a linha de consultas da polícia (#9110) ou para a Linha do Consumidor (188). Para verificar atividade suspeita em uma conta, veja Como verificar acessos não autorizados.
O que aconteceu (segundo o comunicado da Yeny, Inc.)
Em 12 de novembro de 2026, a Yeny, Inc. publicou em seu site «Pedido de desculpas e aviso sobre o vazamento de dados de membros por acesso não autorizado». Tudo o que segue vem desse comunicado.
31 out.
Uma empresa conectada específica avisou a empresa sobre chamadas suspeitas à API. A empresa iniciou uma investigação preliminar.2 nov.
A mesma empresa avisou que os telefones podiam ter vazado. A empresa confirmou uma falha de configuração e respondeu com manutenção de emergência.3–4 nov.
A empresa investigou em detalhe a causa e o impacto.5 nov.
A empresa confirmou que dados de membros (telefones e seus próprios IDs de membro) haviam vazado.6 nov.
A empresa comunicou ao Escritório Financeiro Local de Kanto e à Comissão de Proteção de Informações Pessoais.12 nov.
A empresa publicou o comunicado (informações das 15h).
- Serviços
- ultra pay Card, Azul Claro Numazu Pay (アスルクラロ沼津Pay), Kamigami Kon Pay (巫神こんPay), Toshiba Brave Lupus Tokyo Pay (東芝ブレイブルーパス東京Pay)
- Número
- 1.332.505 registros (incluindo ex-membros)
- Informações vazadas
- Telefones, IDs de membro próprios da empresa
- Não incluídas
- Não foi confirmado o vazamento de dados de pagamento, como números de cartão de crédito. A empresa explica que os dados vazados sozinhos não podem ser usados para login não autorizado no app nem para pagamentos
- Causa
- Uma falha na configuração de conexão de API da empresa
- Aviso aos usuários afetados
- A seção de avisos do app
- Consultas
- Um formulário de consultas específico para este caso
O que se sabe e o que não se sabe
Esta tabela se baseia no comunicado da empresa de 12 de novembro, em 14 de novembro de 2026. Quando surgirem comunicados de acompanhamento, atualizaremos a coluna de status.
| Item | O que diz o comunicado | Status |
|---|---|---|
| Telefone | Incluído nas informações vazadas | Vazamento confirmado (empresa) |
| ID de membro (próprio da empresa) | Incluído nas informações vazadas | Vazamento confirmado (empresa) |
| Número de afetados | 1.332.505 registros (incluindo ex-membros) | Vazamento confirmado (empresa; registros, não pessoas) |
| Detalhamento do número por serviço | Não informado | Não informado |
| Dados de pagamento, como números de cartão de crédito | Vazamento não confirmado | Não incluídos (empresa, por ora) |
| Uso para login não autorizado ou pagamentos | A empresa explica que os dados vazados sozinhos não podem ser usados | Explicação da empresa |
| Nome, e-mail, endereço | Não constam como itens | Não informado |
| Causa | Uma falha na configuração de conexão de API da empresa | Vazamento confirmado (empresa) |
| Quem obteve os dados, método, período | Apenas que uma empresa conectada específica avisou sobre chamadas suspeitas à API | Não informado |
| Comunicação às autoridades | Comunicado ao Escritório Financeiro Local de Kanto e à Comissão de Proteção de Informações Pessoais em 6 de nov. | Vazamento confirmado (empresa) |
| Aviso aos usuários afetados | A seção de avisos do app | Previsto (empresa) |
| Aviso aos ex-membros | Incluídos no número, mas não se informa como serão avisados | Não informado |
| Uso indevido | O comunicado não registra uso indevido confirmado. Alerta sobre SMS e ligações que se passam pela empresa | Não informado |
Para que telefones e IDs de membro podem ser usados
A tabela a seguir descreve o que em geral pode acontecer com essa combinação de dados. Não significa que isso tenha acontecido neste incidente.
| Dado vazado | O que em geral pode acontecer | O que os usuários devem fazer |
|---|---|---|
| Telefone | Contato falso convincente por SMS ou telefone | Não abra URLs de contatos desconhecidos; confira no app oficial |
| ID de membro (próprio da empresa) | Contato que finge uma consulta ou verificação de uso e cita o ID para ganhar confiança | Citarem um ID não o torna genuíno; não retorne a ligação, use os canais oficiais |
| Telefone + ID de membro | Contato que usa «verificação de conta» ou «verificação de uso não autorizado» para obter senhas ou dados de cartão | A empresa diz que não pede senhas nem dados de cartão por SMS ou telefone |
A que os dados vazados podem levar
- SMS e ligações convincentes em nome da ultra pay ou dos serviços Pay dos times
- Sites falsos acessados por mensagens de «verificação de uso» ou «verificação de uso não autorizado»
- Consultas falsas que citam o ID de membro para ganhar confiança
O que não está confirmado, segundo o comunicado
- Vazamento de dados de pagamento, como números de cartão de crédito (por ora)
- Login não autorizado ou pagamentos usando apenas os dados vazados (explicação da empresa)
O que os operadores devem revisar: configurações de APIs compartilhadas com empresas externas
A causa não foi detalhada, então esta seção trata apenas do que decorre dos fatos publicados.
- Restrinja o que uma API compartilhada externamente retorna: a empresa diz que uma falha em uma configuração de conexão de API fez dados de membros, incluindo telefones, vazarem. Em geral, uma API para uma empresa externa é mais segura se configurada para retornar apenas os itens de que essa empresa precisa, o que limita o impacto de um erro de configuração.
- Fique atento a chamadas inesperadas à API: no comunicado da empresa, o primeiro aviso de chamadas suspeitas veio de uma empresa conectada. Monitorar o volume de chamadas e quem chama, e ter um procedimento para interromper chamadas anormais, pode encurtar o tempo até a detecção. A empresa diz também que revisará seu monitoramento e detecção.
Fontes (registros públicos)
Os fatos deste artigo se baseiam no comunicado oficial abaixo. Não especulamos sobre detalhes da causa que não foram divulgados.
- Yeny, Inc., «Apology and notice about the leak of member information due to unauthorized access» (12 de novembro de 2026, em japonês) — yeny.jp
Histórico de atualizações
2026-11-14: Primeira versão, com base no comunicado da Yeny, Inc. de 12 de novembro. Consultamos o comunicado oficial no mesmo dia e não encontramos nenhum acompanhamento.
Leia em seguida
- Um incidente de tipo semelhante (vazamentos de pagamento e cartões pré-pagos): Acesso não autorizado ao Value Card da Value Design (números de cartão, PINs, saldos)
- Como reconhecer contatos falsos: O que é phishing? / Segurança básica do smartphone
- Atividade suspeita em uma conta: Como verificar acessos não autorizados
- Outros incidentes de 2026: Vazamentos de dados e ciberataques (Japão e no mundo)