A quem se destina: qualquer pessoa que tenha se cadastrado no site de reservas ou na Minha Página da White Essence (clareamento e limpeza dental no Japão), e o pessoal de clínicas franqueadas ou da matriz. Este artigo é um guia baseado nos próprios anúncios da White Essence Co., Ltd.; não trata de métodos de ataque.
Em andamento: este artigo será atualizado conforme a organização publicar mais informações
Em 30 de outubro de 2026Ainda não se sabe
- Discriminação do número (clientes, pessoal de clínicas, matriz)
- Detalhes da vulnerabilidade
- Quem é avisado individualmente e como
- Se ocorrerá algum dano secundário
- Quando a Minha Página será retomada
- Se haverá compensação
No comunicado de 5 de outubro a empresa diz que anunciará novamente quando a Minha Página for retomada. No comunicado de 12 de agosto disse que informaria prontamente qualquer fato novo apurado pela investigação. Não dá cronograma para novas notícias. Verificamos a lista de notícias da empresa em 30 de outubro e não encontramos nenhum comunicado sobre este incidente mais recente que o de 5 de outubro.
O que os usuários da White Essence devem fazer hoje
Saiba se você pode ter sido afetado
As informações que vazaram são as que estavam cadastradas na empresa em 5 de agosto de 2026. O número de afetados é de cerca de 1,05 milhão de contas, um total que inclui clientes, pessoal de clínicas franqueadas e funcionários da matriz (a empresa). Os dados cadastrados diferem conforme a pessoa, portanto nem todos os itens se aplicam a todos.
Se você já se cadastrou no site de reservas ou na Minha Página, siga para as próximas etapas como se pudesse ter sido afetado. A empresa diz que contata individualmente quem teve itens vazados além dos listados.
Troque qualquer outro serviço que reutilize o mesmo ID e senha
A empresa diz que o ID de login e a senha foram levados em forma criptografada. Mesmo criptografada, uma senha fácil de adivinhar pode ser descoberta (é um ponto geral, não algo que a empresa tenha dito).
A empresa pede que você troque a senha de qualquer outro serviço em que use a mesma combinação de ID de login e senha. Para o serviço dela, diz que você não precisa fazer nada porque a Minha Página está atualmente suspensa (até 5 de outubro). Para saber como trocá-las, veja como verificar se sua senha vazou e como escolher um gerenciador de senhas, e ative a autenticação multifator onde estiver disponível.
Não use os links nem os números de mensagens que digam ser da empresa ou de uma clínica
A empresa diz que, como as informações vazadas incluem nomes e dados de contato, podem chegar e-mails, ligações ou correspondências suspeitos que se passem pela empresa ou por outros negócios. O comunicado de 12 de agosto também alertava para correspondências, e-mails e ligações que se passavam pela empresa ou por suas clínicas franqueadas.
Com endereço, telefone, e-mail, data de nascimento e dados de uso juntos, é fácil redigir uma mensagem convincente. Se você receber uma mensagem sobre uma "confirmação de reserva", um "reembolso do clareamento" ou uma "atualização da conta", não use os links nem os telefones dela; verifique em um site oficial que você mesmo abrir ou pela linha exclusiva da empresa.
Recuse qualquer pedido de números de cartão, PINs ou senhas
A empresa diz que nunca pedirá números de cartão de crédito, PINs, senhas ou similares por telefone ou e-mail. Mesmo que uma mensagem diga ser da empresa, não atenda, não abra a URL indicada nem informe dados (pedido da empresa). Uma mensagem que você não reconheça pode ser phishing ou um golpe por mensagem de texto.
Em caso de dúvida, contate você mesmo a linha exclusiva da empresa
A empresa criou uma linha exclusiva para este incidente: 0120-385-035 (gratuita no Japão). O horário era das 10h às 19h todos os dias, inclusive fins de semana e feriados, de segunda-feira, 5 de outubro, a domingo, 18 de outubro, e somente em dias úteis, das 10h às 19h, a partir de segunda-feira, 19 de outubro (comunicado de 5 de outubro). O comunicado também lista um contato por e-mail.
Confirme os dados de contato no comunicado oficial da empresa (veja as Fontes desta página) antes de usá-los. Não ligue para números escritos em um e-mail ou mensagem de texto que você recebeu.
1. Um e-mail / mensagem de texto / ligação / carta que diz ser da White Essence ou de uma clínica
Nome, endereço e data de nascimento estão corretos -> não julgue aqui
↓
2. Não use os links nem os números dela; abra você mesmo o site oficial ou contate a linha exclusiva da empresa
Confirme antes os dados de contato no comunicado oficial
↓
3-A. Um pedido que você não consegue verificar
Informar números de cartão, PINs ou senhas, abrir a URL -> não atenda
3-B. O canal oficial dá a mesma orientação
Siga a orientação oficial para qualquer etapa
O que aconteceu (segundo a White Essence)
O texto a seguir se baseia nos comunicados da empresa de 12 de agosto de 2026 (atualizado em parte em 19 de agosto e 10 de setembro) e de 5 de outubro. O corpo do comunicado de 5 de outubro é publicado como imagens; lemos essas imagens diretamente e transcrevemos o conteúdo.
5 de agosto de 2026
Foi confirmado um acesso não autorizado aos seus sistemas vindo de fora12 de agosto (quarta-feira)
Para proteger as informações dos clientes e evitar mais danos, a empresa suspendeu seus sistemas e publicou seu primeiro comunicado em seu site. Naquele momento os itens afetados ainda estavam sob investigaçãoDepois
A investigação continuada constatou que informações pessoais haviam sido levadas para fora. A empresa tratou a vulnerabilidade e adotou as medidas necessárias e, após a confirmação do órgão externo especializado, retomou os serviços a partir do escopo que pôde confirmar como seguro5 de outubro (segunda-feira)
Publicou 'Apology and Notice Regarding Leak of Personal Information Due to Unauthorized Access', com os itens vazados, cerca de 1,05 milhão de contas e a causa. Informa que comunicou o caso à Comissão de Proteção de Informações Pessoais e consultou a polícia
- Número de afetados
- Cerca de 1,05 milhão de contas. Um total que inclui clientes, pessoal de clínicas franqueadas e funcionários da matriz
- Informações pessoais que vazaram
- Nome, endereço, telefone, e-mail, data de nascimento, gênero, local de trabalho, ID de login e senha (em forma criptografada), informações sobre o uso dos serviços e as respostas, número de gestão da empresa e similares. Os dados cadastrados diferem conforme o cliente, portanto nem todos os itens se aplicam a todos
- Não incluídos
- Não guarda dados de contas de instituições financeiras, e nenhum vazou. Não confirmou que imagens de clientes tenham vazado
- Causa
- Uma vulnerabilidade no programa do site de reservas foi explorada e usada como ponto de partida para acessar sem autorização os sistemas centrais. A vulnerabilidade já foi tratada com a assessoria e a orientação de especialistas
- Prevenção e autoridades
- Introduziu um mecanismo para detectar e bloquear comunicações não autorizadas; revisa o método de autenticação, a configuração do sistema e as configurações de permissões; reforça o monitoramento. Comunicou à Comissão de Proteção de Informações Pessoais e consultou a polícia
- Situação do serviço
- A função Minha Página está atualmente suspensa; anunciará novamente quando for retomada (até 5 de outubro)
O que se sabe e o que não se sabe
Esta é a situação em 30 de outubro de 2026. Reescreveremos a tabela quando houver novidades.
| Item | O que a empresa diz | Situação |
|---|---|---|
| Ocorreu acesso não autorizado | Confirmado em 5 de agosto; sistemas suspensos em 12 de agosto | Confirmado (empresa) |
| Informações pessoais foram levadas para fora | A investigação constatou que haviam sido levadas | Vazamento confirmado (empresa) |
| Número de afetados | Cerca de 1,05 milhão de contas (clientes, pessoal de clínicas e funcionários da matriz no total) | Confirmado (empresa) |
| Nome, endereço, telefone, e-mail, data de nascimento, gênero, local de trabalho | Listados como itens vazados (nem todos os itens para todos) | Vazamento confirmado (empresa) |
| ID de login e senha | Vazaram em forma criptografada | Vazamento confirmado (empresa) |
| Informações de uso e respostas dos serviços, número de gestão | Listados como itens vazados | Vazamento confirmado (empresa) |
| Dados de contas de instituições financeiras | Não os guarda; não vazaram | Não incluídos (empresa) |
| Imagens de clientes | Nenhum vazamento foi confirmado | Não confirmado (empresa) |
| Dados de cartão de crédito | Não estão entre os itens vazados listados | Não informado |
| Discriminação de clientes, pessoal de clínicas e matriz | Não informada | Não informado |
| Causa | Uma vulnerabilidade no programa do site de reservas foi explorada e depois os sistemas centrais | Confirmado (empresa); sem detalhe sobre a vulnerabilidade |
| Danos secundários | Nenhum confirmado até 5 de outubro; podem chegar mensagens suspeitas | Não confirmados (empresa) |
| Avisos individuais | Contato individual para quem teve itens vazados além dos listados; em sequência para quem tem dados de contato confirmados | Não informado (quem exatamente e como) |
| Compensação | Não informada | Não informado |
Nota de leitura: o número é de 'contas', não de clientes
O 1,05 milhão é uma contagem de contas, descrita como um total que inclui clientes, pessoal de clínicas franqueadas e funcionários da matriz. O número só de clientes e a relação entre contas e pessoas não são informados. O comunicado também não diz como as senhas foram 'criptografadas' (de forma reversível ou não), então não presumimos que sejam seguras e recomendamos trocar qualquer senha reutilizada.
Para que a combinação de itens vazados poderia ser usada
O texto a seguir descreve a que, em geral, uma combinação assim de itens pode levar, não algo que a empresa tenha dito que ocorreu aqui.
- Nome + endereço + telefone + e-mail + data de nascimento: permite redigir e-mails, mensagens de texto, ligações ou cartas convincentes que se passem pela empresa ou por uma clínica odontológica. Uma data de nascimento é fácil de usar para fingir uma verificação da sua identidade (a própria empresa lista mensagens suspeitas como uma possibilidade)
- Informações de uso e respostas dos serviços: faz uma mensagem soar como se conhecesse seu tratamento ou sua reserva, e pode ser usada para levar você a uma falsa "alteração de reserva" ou "reembolso"
- E-mail + ID de login + senha criptografada: se a senha for fácil de adivinhar, ela pode ser testada em outros serviços. Parar de reutilizar senhas é o passo mais eficaz
- Local de trabalho: faz uma mensagem soar como se soubesse onde você trabalha
Boa parte disso pode ser evitada não usando os links nem os números de uma mensagem e verificando por um canal oficial que você mesmo procurar.
O que os operadores devem revisar
A causa não foi explicada em detalhes, então listamos apenas o que pode ser dito a partir do que foi publicado.
- Um site de reservas como porta de entrada para os sistemas centrais: a empresa diz que uma vulnerabilidade no programa do site de reservas foi o ponto de partida. Em geral convém verificar a separação entre as telas voltadas ao público e os sistemas centrais que guardam dados de clientes, e as permissões entre eles. A empresa também lista, entre suas medidas de prevenção, uma revisão da configuração do sistema e das configurações de permissões.
- Quantas informações guardar: endereços, datas de nascimento, locais de trabalho e informações de uso estavam todos armazenados. Decida o que o serviço precisa e verifique se você não guarda o que ele não precisa.
- Explicar como as senhas foram armazenadas: dizer apenas "criptografadas" não permite que os usuários avaliem o quanto estão seguras. Poder explicar o método de armazenamento e o que protege contra a reutilização torna um aviso de violação mais fácil de atender.
Fontes (registros públicos)
Os fatos deste artigo vêm das informações públicas abaixo. Não especulamos sobre nada que não tenha sido publicado.
- White Essence Co., Ltd., "Apology and Notice Regarding Leak of Personal Information Due to Unauthorized Access" (5 de outubro de 2026; em japonês) — whiteessence.com
- White Essence Co., Ltd., "Notice of Suspension of Booking Site and Systems Following Unauthorized Access to Our Systems" (12 de agosto de 2026; atualizado em parte em 19 de agosto e 10 de setembro; em japonês) — whiteessence.com
Histórico de atualizações
2026-10-30: Primeira versão. Com base no comunicado da White Essence Co., Ltd. de 5 de outubro (o corpo são imagens, que lemos diretamente) e no seu comunicado de 12 de agosto. Verificamos a lista de notícias da empresa em 30 de outubro e não encontramos nada mais recente sobre este incidente que 5 de outubro. Atualizaremos quando a discriminação, o detalhe da vulnerabilidade, a compensação e similares forem publicados.
Leia em seguida
- Casos semelhantes (dados de login e de contato de membros): acesso não autorizado à NIFTY / acesso não autorizado ao banco de dados de membros da So-net
- Um caso do varejo japonês do mesmo período: MrMax (nomes, e-mails e telefones de membros)
- Golpes decorrentes: O que é phishing? / Noções básicas de segurança para smartphones
- Proteja suas contas: Como verificar se sua senha vazou / Como escolher um gerenciador de senhas / Como escolher a autenticação multifator
- Outros incidentes de 2026: Vazamentos de dados e ataques cibernéticos em 2026 (Japão e no mundo)