Para: pessoas cadastradas no app oficial Yakiniku King no Japão e quem administra aplicativos de membros. Este artigo se baseia no comunicado oficial da Monogatari Corporation e não trata de técnicas de ataque.
O que os membros devem fazer hoje
Não siga links nem instruções em e-mails, mensagens ou ligações que se apresentem como Yakiniku King
Os dados vazados combinam nome, número de telefone, endereço de e-mail e número de membro. Com tudo isso, um golpista pode enviar uma mensagem com seu nome correto e número de membro.
Se você receber uma mensagem sobre "cupons de desculpas", "pontos bônus", "você ganhou uma campanha" ou "procedimentos de reembolso", não abra o link; abra o app por conta própria para verificar. Mensagens de texto falsas (smishing) devem ser tratadas da mesma forma (veja O que é phishing?).
Nunca informe dados de cartão ou senhas em páginas acessadas por links
A empresa afirma que não pedirá senhas nem dados de cartão de crédito. Também afirma que, para começar, não mantém dados de pagamento.
Quem liga conhecendo seu nome e número de membro não é, só por isso, comprovadamente legítimo. Esses são exatamente os dados que vazaram. Se alguém pedir um número de cartão em nome de um reembolso ou pedido de desculpas, trate como falso.
Se você reutiliza a mesma senha em outros lugares, separe-as
A empresa afirma que as senhas de login não foram vazadas. De acordo com o comunicado, não é necessário trocar a senha do app imediatamente.
Se você usa a mesma senha em outros serviços, porém, separe-as agora. Um gerenciador de senhas é a forma realista de fazer esse inventário.
Fique atento a ligações e mensagens desconhecidas por um tempo
Você pode criar um novo endereço de e-mail, mas um número de telefone está ligado ao dia a dia e não é fácil de trocar. Os números vazados podem receber ligações e mensagens de golpe por muito tempo, inclusive as que não têm nada a ver com o Yakiniku King.
Ativar os filtros de ligações e mensagens de spam do celular reduz quantas chegam até você (contexto: Noções básicas de segurança para smartphones).
Entre em contato com a empresa somente pelo número publicado
Para dúvidas, ligue para a central de atendimento do app (0120-795-775, 10h às 18h, horário do Japão, inclusive fins de semana e feriados). Use o número no site oficial da Monogatari Corporation, e não um número informado em uma mensagem recebida.
O que aconteceu (segundo o comunicado da Monogatari Corporation)
A Monogatari Corporation publicou seu pedido de desculpas e comunicado em 5 de outubro de 2026. Tudo a seguir é o que consta no comunicado da empresa.
2 de out. de 2026 (sex.)
No sistema de gestão de membros do app oficial Yakiniku King, foi confirmado acesso não autorizado por um terceiro. A empresa interrompeu as comunicações e adotou medidas defensivas. O comunicado de 20 de outubro afirma que os ataques intermitentes de um terceiro externo começaram às 9h desse dia.3 de out. (sáb.)
Foi confirmado o vazamento dos dados dos membros.5 de out.
Pedido de desculpas e comunicado publicados. A empresa afirmou que está comunicando a Comissão de Proteção de Informações Pessoais e registrando um relatório de danos na polícia, entre outras medidas.20 de out.
Medidas de reforço da segurança e da proteção de dados pessoais anunciadas: monitoramento contínuo mais rigoroso, avaliação de um sistema de detecção baseado em IA e migração planejada dos 11 aplicativos oficiais do grupo para um novo sistema que não mantenha nomes nem números de telefone (primeiro semestre de 2027). A empresa afirmou que comunicou o caso à polícia e está prosseguindo com a comunicação à Comissão de Proteção de Informações Pessoais.
- Quem
- 10.788.963 dos 10.808.784 cadastros no app oficial Yakiniku King
- Itens vazados
- Número de membro, nome (o nome cadastrado no app), endereço de e-mail, número de telefone
- Não vazados
- Senha de login, data de nascimento, sexo, CEP, histórico de visitas às lojas, incluindo pontos. A empresa não mantém dados de pagamento, como cartões de crédito
- Publicação ou uso indevido
- Nenhuma publicação para o público em geral nem uso indevido encontrado até o momento
- Causa
- Não divulgada. Em investigação detalhada com a cooperação da empresa desenvolvedora e de empresas relacionadas. O comunicado de 20 de outubro afirma que ataques intermitentes de um terceiro externo começaram às 9h do dia 2 de outubro
- Medidas adicionais (20 de outubro)
- Com a cooperação de empresas relacionadas, medidas adicionais contra invasões externas e monitoramento contínuo mais rigoroso. Avaliação de um sistema de detecção baseado em IA
- Dados mantidos (20 de outubro)
- Os 11 aplicativos oficiais do grupo, incluindo o Yakiniku King, vão migrar para um novo sistema que mantém menos dados pessoais; nomes e números de telefone deixarão de ser mantidos. Previsto para o primeiro semestre de 2027. Endereços de e-mail continuarão sendo coletados para reservas, com o objetivo de longo prazo de também não os manter
- Comunicações (20 de outubro)
- Comunicado à polícia. Comunicação à Comissão de Proteção de Informações Pessoais em andamento. A situação também foi comunicada e compartilhada com os ministérios governamentais competentes, e foi estabelecida uma estrutura de cooperação com organizações relevantes para o caso de danos secundários
- Serviço
- O app oficial continua em funcionamento, com medidas defensivas contra acessos não autorizados externos
- Outras marcas
- As mesmas medidas foram aplicadas aos apps oficiais das outras marcas da empresa, e a empresa afirma que não houve vazamento nelas
- Contato
- Central de atendimento do app, 0120-795-775 (10h às 18h, horário do Japão, inclusive fins de semana e feriados)
Para que os dados vazados podem ser usados em conjunto
Nenhum desses itens é raro isoladamente, mas juntos eles tornam mensagens de golpe mais convincentes. Datas de nascimento e endereços não foram incluídos desta vez; o que chama a atenção é que três formas de contato (nome com telefone e e-mail) vazaram juntas.
Nome + e-mail + número de membro
↓→
E-mails falsos de cupom ou reembolso com seu nome correto e número de membro
→ Não abra links; verifique no app oficial
Nome + número de telefone
↓→
Mensagens e ligações falsas que usam seu nome
→ Nunca informe dados de cartão; use filtros de SMS de spam
Não vazados, segundo a empresa
- Senha de login
- Data de nascimento, sexo e CEP
- Histórico de visitas às lojas, incluindo pontos
- Dados de pagamento (nunca mantidos)
Vazados
- Número de membro
- Nome (o nome cadastrado no app)
- Endereço de e-mail (pode ser trocado, mas dá trabalho)
- Número de telefone (não é fácil de trocar)
Como interpretar: 'nenhum uso indevido encontrado' não significa 'seguro daqui em diante'
A empresa afirma que nenhuma publicação ou uso indevido dos dados vazados foi encontrado até o momento. Isso significa que nada foi encontrado ainda, não que os dados nunca serão usados.
Números de telefone costumam permanecer os mesmos por anos, por isso podem ser usados em mensagens de golpe meses ou anos depois. Fique atento a mensagens que usem este incidente como motivo para entrar em contato.
O nome vazado é descrito como "nome de cadastro no app". Se você se cadastrou com um apelido e recebe uma mensagem endereçada a esse apelido, ela pode estar usando dados deste vazamento.
Para quem administra apps de membros
Os registros vazados cobrem mais de 99% dos cadastros no app: os dados de contato de quase todos os membros vazaram de um único sistema de gestão de membros. A causa não foi divulgada, então esta seção se atém a pontos que qualquer serviço com estrutura semelhante pode revisar. Em 20 de outubro, a empresa anunciou que, para evitar a repetição, seus apps deixarão de manter nomes e números de telefone. Dados que você não mantém não podem vazar, por isso perguntar se cada item é realmente necessário vem antes de limites de leitura e alertas. Como limitar o que o servidor de um app pode ler está tratado em o vazamento do app Seicomart; aqui acrescentamos pontos específicos à escala deste incidente.
Limite quantos registros uma operação ou uma conta pode ler
Mesmo telas administrativas e funções de gestão raramente precisam ler milhões de registros de uma vez no trabalho normal. Defina um limite para os registros retornados por uma única busca ou exportação, e mova exportações completas para um procedimento separado (com aprovação ou em horários restritos).
Definir limites e emitir alertas quando forem atingidos está tratado em Limitação de taxa e controle de abuso.
Registre as linhas lidas por hora e alerte sobre a diferença em relação ao normal
Como primeiro passo, registre quantas linhas são lidas do banco de dados de membros a cada hora e notifique alguém quando a contagem ultrapassar várias vezes o nível habitual. Muitos bancos de dados em nuvem e recursos de log de auditoria permitem definir alertas sobre contagem de linhas ou tempo de execução.
Observar leituras em horários incomuns ou de origens incomuns, não apenas a quantidade, também facilita a identificação de anomalias.
Liste todos os caminhos que podem ler os dados de todos os membros e restrinja-os
Além do caminho usado pelo app, um sistema de gestão de membros costuma ter conexões para telas administrativas, desenvolvimento e manutenção. Liste quais caminhos podem ler os dados de todos os membros, desative conexões não utilizadas e exija autenticação multifator e restrições de origem nos demais (contexto: Autenticação versus autorização).
Fontes (registro público)
Os fatos deste artigo vêm das fontes públicas abaixo. Métodos ou causas não divulgados da invasão não são especulados.
- Monogatari Corporation, pedido de desculpas pelo vazamento de dados pessoais decorrente de acesso não autorizado de terceiros ao sistema de gestão de membros do app oficial Yakiniku King (5 de outubro de 2026, em japonês) — monogatari.co.jp
- Mesma empresa, comunicado sobre medidas futuras de segurança e proteção de dados pessoais para o app oficial Yakiniku King (20 de outubro de 2026, em japonês) — monogatari.co.jp
- ITmedia NEWS (5 de outubro de 2026, em japonês) — itmedia.co.jp
- Nikkei, reportagem sobre o vazamento de dados de clientes do Yakiniku King com mais de 10 milhões de registros (5 de outubro de 2026, em japonês) — nikkei.com
- ASCII, reportagem sobre o vazamento de dados de 10,78 milhões de pessoas, abrangendo quase todos os cadastrados no app (5 de outubro de 2026, via Yahoo! News Japan, em japonês) — news.yahoo.co.jp
Histórico de atualizações
2026-10-22: Acrescentado o comunicado da Monogatari Corporation de 20 de outubro: o acesso não autorizado intermitente desde as 9h do dia 2 de outubro, o monitoramento mais rigoroso e outras medidas, a migração planejada dos 11 aplicativos oficiais do grupo para um novo sistema que não mantém nomes nem números de telefone (primeiro semestre de 2027), e a situação da comunicação à polícia e à Comissão de Proteção de Informações Pessoais. Os detalhes da causa ainda não foram divulgados.
2026-10-05: Primeira versão, com base no comunicado da Monogatari Corporation de 5 de outubro. A empresa afirma que está investigando a causa e a forma como o acesso ocorreu; este artigo será atualizado quando isso for publicado.
Leia em seguida
- Golpes decorrentes: O que é phishing? / Noções básicas de segurança para smartphones
- Senhas: Como escolher um gerenciador de senhas
- Outros incidentes japoneses na mesma época: O vazamento do app Seicomart / O vazamento da Abahouse / O vazamento do app e da loja online MrMax / O vazamento de dados de membros da Bookoff (até cerca de 6,43 milhões de registros) / O vazamento do site de pesquisas infoQ / O vazamento do app Burger King Japan (cerca de 11,18 milhões de registros)
- Sistema de pedidos de uma rede de restaurantes: O vazamento do sistema de pedidos online da Pizza Hut Japan
- Outros incidentes de 2026: lista de vazamentos e ciberataques (Japão e mundo)