Vazamento de dados da Yellow Hat (até cerca de 1,8 milhão de pessoas): nomes, telefones e e-mails podem ter vazado — o que os clientes devem fazer

Estão incluídas as pessoas cujos dados foram cadastrados no sistema online de reserva de serviços da Yellow Hat. A empresa diz que entrará em contato com elas individualmente por e-mail, SMS, telefone ou carta.

Segundo a empresa, as lojas de outras marcas do grupo usam um sistema de gestão separado, então quem só usou essas lojas não é afetado.

Com nome, telefone e e-mail, qualquer pessoa pode enviar um texto ou e-mail usando seu nome, ou ligar para você. Se receber uma mensagem sobre "confirmação do seu agendamento", "lembrete de inspeção" ou "pedido de desculpas e compensação", não use os links nem os telefones dela.

Para verificar, entre em contato com o site oficial que você abrir por conta própria, ou a loja que você usou. Para links falsos enviados por mensagem de texto, veja O que é phishing?

Números de cliente estão entre os dados que podem ter vazado. Uma mensagem que mostre seu número de cliente correto não é prova de que é genuína.

Se pedirem número do cartão, PIN ou código de uso único "para confirmar sua identidade" ou "para processar um reembolso", encerre a conversa ali.

A Yellow Hat diz que as senhas não eram armazenadas no seu sistema de reserva de serviços. No entanto, no incidente separado de abril de 2026 na empresa do grupo 2rinkan Yellow Hat, senhas do aplicativo vazaram.

Se você usou a senha do aplicativo 2rinkan em outros serviços, troque-a lá. Um gerenciador de senhas é a forma realista de manter uma senha diferente para cada serviço.

A empresa criou uma linha exclusiva de atendimento. Use o número do comunicado no site oficial da empresa, e não um número escrito em uma mensagem recebida (ele também está listado em "O que aconteceu", abaixo).

Se você já abriu um link e preencheu seus dados, ou pagou algum valor, entre em contato imediatamente com a operadora do seu cartão ou com seu banco. No Japão, você também pode ligar para a linha de consulta da polícia (#9110) ou para a linha de defesa do consumidor (188).

Sistemas de agendamento costumam manter nomes e dados de contato por muito tempo depois que o serviço é concluído. Quando o período necessário para confirmações e contato no mesmo dia tiver passado, apague os dados de contato ou transfira-os para o banco de dados de membros, e automatize esse processo. Menos registros no sistema de agendamento significam menos pessoas afetadas em caso de vazamento.

A empresa cortou as conexões externas após detectar o ataque. Se o tráfego de saída for permitido apenas para destinos definidos (pagamento, envio de e-mails etc.) desde o início, um programa malicioso instalado no servidor terá mais dificuldade para enviar dados para fora. Na nuvem, isso corresponde a uma regra de grupo de segurança ou de firewall de saída.

Nos diretórios onde fica o código da sua aplicação web, adicione registro de alterações de arquivos com alertas (monitoramento de integridade de arquivos). Uma boa primeira regra: um alerta diário para qualquer arquivo nos diretórios publicados que tenha sido alterado fora de uma implantação.

Após uma violação, mensagens falsas de desculpas costumam aparecer. Antes de enviar comunicados individuais, publique em seu site oficial o endereço do remetente, o nome do remetente de SMS e o número de telefone para contato, para que os destinatários possam verificar por conta própria. Para reduzir e-mails falsos usando o seu domínio, veja Falsificação de e-mail e SPF, DKIM, DMARC.