Para quem é: pessoas que possuem um cartão pré-pago de loja (moeda eletrônica própria), como o MOS Card, cartão pré-pago da rede de hamburguerias MOS Burger no Japão, e empresas que terceirizam esse tipo de sistema de cartões. Este artigo é baseado nos comunicados oficiais da PayCloud Holdings, da Value Design e da MOS Food Services e não aborda como o ataque funcionou.
Em andamento: este artigo será atualizado conforme a organização publicar novas informações
Em 26 de outubro de 2026Ainda não se sabe
- Quais outros emissores e cartões foram afetados
- Como o número do MOS Card se relaciona com o total do Value Card
- Como os portadores podem definir um novo PIN
- Como os cartões não emitidos e não em circulação serão tratados
- Qual vulnerabilidade foi explorada
A PayCloud Holdings informou, em seu comunicado de 23 de outubro, que divulgará prontamente quaisquer fatos novos que forem identificados. A MOS Food Services também disse que publicará prontamente em seu site quaisquer novos fatos que devam ser divulgados. Ao verificarmos a lista de notícias de cada empresa em 26 de outubro, nenhum acompanhamento havia sido publicado.
O que os portadores devem fazer hoje
Verifique o histórico de uso do MOS Card
A MOS Food Services pede que os portadores verifiquem se há uso desconhecido, como débito de saldo. Se encontrar algo, entre em contato com a central de atendimento dedicada do MOS Card.
A central funciona das 9h às 22h. O número é 03-3496-8322 até segunda-feira, 26 de outubro, e 0120-395-126 (gratuito no Japão) a partir de terça-feira, 27 de outubro.
Se as consultas de saldo online deixarem de funcionar, ligue para a central
Segundo a empresa, os PINs vinculados aos números de cartão vazados foram redefinidos à força. O uso do cartão na loja, em pedidos online e com "peça na sua mesa" não é afetado.
A empresa pede que você entre em contato com a central se não conseguir fazer nenhuma das seguintes ações:
- Consultar o saldo online
- Cadastrar o cartão no aplicativo oficial
- Usar o MOS Card em uma compra como convidado nos pedidos online
A central pode fazer perguntas simples de identificação, como em qual loja você costuma comprar ou qual é o seu saldo.
Não responda a quem pedir seu PIN ou número de cartão
Nenhum nome ou dado de contato vazou desta vez. Ainda assim, quando um incidente vira notícia, é comum que as pessoas recebam ligações ou mensagens de quem se passa pela empresa ou por uma empresa de cartões, pedindo números para "redefinir seu PIN" ou "proteger seu saldo".
Se alguém pedir seu PIN ou número de cartão por telefone, e-mail ou mensagem de texto, não responda. Ligue você mesmo para o número indicado no comunicado oficial para confirmar (como identificar golpes: O que é phishing?).
Para outros cartões pré-pagos de loja, consulte os avisos do emissor
O Value Card é um sistema que a Value Design fornece a vários emissores de cartões. A Value Design afirma que está informando o andamento a algumas empresas clientes onde o acesso não autorizado foi confirmado, mas quais emissores além da MOS foram afetados não foi divulgado.
Se você possui um cartão pré-pago de loja, consulte os avisos no site oficial da loja ou empresa que o emitiu e siga as orientações sobre reemissão do cartão ou troca de PIN. Até 26 de outubro, a MOS Food Services não havia anunciado reemissão de cartões.
Por que o número do cartão somado ao PIN importa
Muitos cartões pré-pagos identificam o titular pelo número do cartão e pelo PIN, e não pelo nome. O comunicado da MOS Food Services lista as consultas de saldo online, o cadastro no aplicativo e as compras como convidado nos pedidos online como funções afetadas pela redefinição de PIN. A empresa diz que redefiniu os PINs para prevenir uso indevido. Em geral, mesmo sem nomes ou endereços, um número de cartão e um PIN podem ser suficientes para usar o saldo em algumas situações.
O que aconteceu (segundo os comunicados das empresas)
Em 23 de outubro de 2026, três empresas publicaram comunicados: a Value Design Inc. (operadora do Value Card), sua controladora PayCloud Holdings, Inc. (listada no mercado Growth da Bolsa de Valores de Tóquio), e a MOS Food Services, Inc., emissora do MOS Card, que contrata a Value Design para operar e manter os servidores do MOS Card. O comunicado da MOS Food Services não menciona o nome "Value Card". O comunicado da própria Value Design remete os leitores à divulgação de sua controladora para mais detalhes. Tudo o que está abaixo vem desses comunicados.
14 de outubro (qua.) a 18 de outubro (dom.), 2026
A Value Design detectou acessos suspeitos e tentativas de login não autorizadas contra o sistema de gestão do MOS Card e imediatamente adotou medidas de emergência, como o bloqueio de acessos (comunicado da MOS Food Services).19 de outubro (seg.)
Data que a PayCloud Holdings indica como a da confirmação do incidente.22 de outubro (qui.)
A Value Design publicou um aviso de que havia suspendido outros serviços (Arara Cashless e um serviço de recarga online) como precaução contra uma vulnerabilidade do PHP. Esse aviso diz que o serviço ASP do Value Card continuava em funcionamento. Nenhum comunicado afirma qualquer ligação com este incidente.23 de outubro (sex.)
A PayCloud Holdings (divulgação à bolsa de valores), a Value Design e a MOS Food Services anunciaram o incidente. A MOS Food Services afirma que redefiniu à força os PINs vinculados aos números de cartão vazados (a data da redefinição não é informada).27 de outubro (ter.)
A central de atendimento do MOS Card deve passar a funcionar pelo número 0120-395-126 (gratuito no Japão).
- Sistema afetado
- Os servidores do Value Card, serviço de emissão de moeda eletrônica própria que a Value Design fornece a emissores de cartões
- Dados vazados
- Número de identificação, PIN, informações de saldo
- Registros
- 1.424.748 (569.224 IDs emitidos, 855.524 IDs não emitidos). IDs não emitidos são IDs ainda não adquiridos por um usuário
- Informações pessoais
- Nenhuma
- Impacto nos usuários
- Houve risco de uso indevido de IDs emitidos, que foi tratado. Nenhum dano real decorrente de uso indevido. Alguns usuários podem ter transtornos por causa da resposta
- Causa
- Um terceiro explorou uma vulnerabilidade de servidor web em parte do ambiente de sistemas da subsidiária
- Resposta
- Bloqueou a via de acesso logo após a descoberta e comunicou as autoridades competentes. Vai reinspecionar todos os serviços quanto a vulnerabilidades com especialistas externos
- Dados vazados
- Número do MOS Card (16 dígitos), PIN (6 dígitos), informações de saldo
- Registros
- 1.133.070 de cerca de 3,8 milhões de cartões emitidos (cerca de 570.000 em circulação, cerca de 560.000 ainda não em circulação)
- Não incluídos
- Informações pessoais como nome, endereço, número de telefone e dados de cartão de crédito
- Como foi identificado
- O vazamento foi confirmado como resultante de acesso não autorizado por meio de um programa externo
- Prejuízos
- Nenhuma consulta de clientes sobre prejuízos causados por este incidente (até 23 de outubro)
- Primeira resposta
- Redefiniu à força os PINs vinculados aos números de cartão vazados
- Contato
- Central de atendimento dedicada do MOS Card (9h às 22h): 03-3496-8322 até 26 de outubro, 0120-395-126 a partir de 27 de outubro
Plataforma Value Card (Value Design)
Números de identificação, PINs e saldos vazados: 1.424.748 registros (PayCloud Holdings)
↓ Emissores de cartões entre os clientes da Value Design
MOS Card (MOS Food Services)
1.133.070 registros. PINs redefinidos à força
Outros emissores
Nomes, cartões e números não divulgados
↓ Portadores de cartão
Verifique o histórico de uso, siga as orientações do emissor, nunca compartilhe o PIN
O que se sabe e o que não se sabe
Com base nos comunicados das três empresas (todos datados de 23 de outubro), até 26 de outubro de 2026. Atualizaremos a coluna de status conforme surgirem novidades.
| Item | O que foi anunciado | Situação |
|---|---|---|
| Número de identificação (do cartão), PIN, saldo | Dados gerenciados para o Value Card e o MOS Card | Vazamento confirmado (PayCloud Holdings, MOS Food Services) |
| Total do Value Card | 1.424.748 (569.224 emitidos, 855.524 não emitidos) | Confirmado (PayCloud Holdings) |
| Total do MOS Card | 1.133.070 (cerca de 570.000 em circulação, cerca de 560.000 fora de circulação) | Confirmado (MOS Food Services) |
| Nomes, endereços e outras informações pessoais | Nenhuma. A MOS lista nome, endereço, número de telefone e dados de cartão de crédito | Não incluídos (ambas as empresas) |
| Uso indevido | Risco de uso indevido de IDs emitidos tratado, sem dano real. A MOS não recebeu consultas sobre prejuízos | Nenhum dano real (PayCloud HD); sem consultas sobre prejuízos (MOS) |
| PINs do MOS Card | PINs vinculados aos números de cartão vazados redefinidos à força | Confirmado (MOS Food Services) |
| Causa | Vulnerabilidade de servidor web explorada por um terceiro. Qual não é informado | Confirmado (PayCloud Holdings); detalhes não informados |
| Outros emissores | O andamento está sendo informado a algumas empresas clientes, mas não são dados nomes de empresas ou de cartões | Não informado |
| Relação do número do MOS Card com o total | As empresas usam divisões diferentes (emitidos/não emitidos vs. em circulação/fora de circulação); não se informa se o número do MOS faz parte do total | Não informado |
| Ligação com a suspensão de outros serviços em 22 de outubro por causa de uma vulnerabilidade do PHP | Não mencionada nos comunicados de 23 de outubro | Não informado |
| Tratamento de cartões não emitidos e fora de circulação | Não mencionado | Não informado |
Por que não somamos os números
1.424.748 é o total do Value Card informado pela PayCloud Holdings, e 1.133.070 é o número do MOS Card informado pela MOS Food Services. As duas empresas detalham seus números de forma diferente, e nenhuma informa se o número do MOS Card está incluído no total. Este artigo apresenta os dois números separadamente e não os soma nem subtrai.
O que pode acontecer quando números de cartão, PINs e saldos vazam
Em geral, se alguém souber o número e o PIN de um cartão pré-pago, pode acontecer o seguinte (não há comunicado de que isso tenha ocorrido neste incidente; a PayCloud Holdings afirma que não houve dano real, e a MOS Food Services afirma que não recebeu consultas sobre prejuízos).
O que pode acontecer, em geral
- Alguém usa o número e o PIN do cartão para gastar o saldo online como se fosse o titular
- Ligações ou mensagens de golpe que aproveitam a notícia e afirmam que você precisa "redefinir seu PIN" para fornecer o número
O que você pode fazer
- Verificar seu histórico de uso em busca de débitos que não reconhece
- Seguir as orientações do emissor (redefinição de PIN, reemissão)
- Nunca fornecer seu PIN nem o número do cartão a quem pedir
Para um caso de cartão pré-pago e pontos em que nomes e dados de contato foram acessados, veja o vazamento do aplicativo Seicomart. Este caso é o oposto: nenhum nome vazou, mas os números necessários para usar o próprio cartão vazaram.
Para empresas que terceirizam um sistema de cartões pré-pagos
A única causa divulgada é "uma vulnerabilidade de servidor web"; qual produto ou vulnerabilidade está envolvido é desconhecido. Esta seção se atém ao que a sequência de eventos divulgada e os itens vazados mostram.
Saiba quais dos seus dados estão na plataforma do fornecedor
Neste incidente, o operador da plataforma publicou o total geral e a emissora, MOS Food Services, publicou o número de seus próprios cartões. Um emissor precisa explicar a seus próprios clientes, com suas próprias palavras, quem foi afetado e o que fazer. Verifique, em períodos normais, quanto dos seus números de cartão, PINs e saldos (incluindo cartões ainda não vendidos) está armazenado na plataforma do fornecedor.
Prepare um procedimento para redefinir PINs em massa
A MOS Food Services redefiniu à força os PINs vinculados aos números de cartão vazados e afirma que o uso na loja não é afetado. Por outro lado, alguns portadores já não conseguem consultar o saldo online nem cadastrar o aplicativo, e a empresa os atende pela central de atendimento. Definir com antecedência quais funções os portadores perdem após uma redefinição de PIN em massa, e como definirão um novo, torna o comunicado mais rápido de publicar.
Proteja os dados de cartões que ainda não foram vendidos
Nos detalhamentos das duas empresas, cerca de 50–60% dos registros vazados eram de cartões ainda não vendidos. O número e o PIN de um cartão não vendido tornam-se utilizáveis assim que ele é vendido. Revise onde os dados de cartões não vendidos são armazenados e se os PINs podem ser alterados antes da venda, da mesma forma que para cartões em uso.
A MOS Food Services lista como medidas para evitar recorrência: auditorias de segurança mais rigorosas de terceirizados, controles mais fortes contra acesso não autorizado por meio de APIs, restrições a senhas simples ou de alto risco, restrições de endereço IP de origem para contas de administrador e monitoramento mais forte, incluindo os ambientes de terceirizados. São medidas que a empresa diz que vai adotar; não são uma declaração sobre a causa deste incidente.
Fontes (registro público)
Os fatos deste artigo são baseados nas informações públicas abaixo. Não especulamos sobre detalhes de ataque ou causas não divulgados.
- PayCloud Holdings, Inc., aviso sobre acesso não autorizado a um sistema fornecido por uma subsidiária consolidada (23 de outubro de 2026, divulgação à bolsa de valores, em japonês) — release.tdnet.info (PDF)
- Value Design Inc., aviso sobre acesso não autorizado a um sistema que fornece (23 de outubro de 2026, em japonês) — valuedesign.jp
- MOS Food Services, Inc., aviso sobre o vazamento de informações de cartões pré-pagos devido a acesso não autorizado (23 de outubro de 2026, divulgação à bolsa de valores, em japonês) — eir-parts.net (PDF)
- Site oficial do MOS Burger, aviso importante sobre o vazamento de informações do MOS Card (23 de outubro de 2026, em japonês) — mos.jp
- Value Design Inc., aviso sobre a suspensão de alguns serviços em resposta a uma vulnerabilidade crítica do PHP (22 de outubro de 2026, em japonês; não há menção de ligação com este incidente) — valuedesign.jp
Histórico de atualizações
2026-10-26: Primeira versão, baseada nos comunicados de 23 de outubro da PayCloud Holdings, da Value Design e da MOS Food Services. Atualizaremos quando outros emissores ou a causa forem anunciados.
Leia em seguida
- Um caso de cartão pré-pago e pontos: O vazamento do aplicativo Seicomart
- Golpes decorrentes: O que é phishing?
- Um vazamento por meio de fornecedor de serviços: O vazamento da Temairazu
- Principais incidentes de 2026: Os principais vazamentos de dados do Japão em 2026 / lista de vazamentos e ciberataques (Japão e no mundo)
- Para operadores: A base mínima de segurança para organizações