Para quem é este artigo: pessoas que recebem newsletters ou e-mails de notificação de empresas e organizações, e empresas e organizações que usam o serviço de envio de e-mails Cuenote FC da Ymirlink, Inc. Este artigo se baseia nos comunicados oficiais da Ymirlink e das organizações clientes que divulgaram impacto. Não trata de como o ataque foi realizado.
Em andamento: este artigo será atualizado conforme a organização publicar novas informações
Em 23 de outubro de 2026Ainda não se sabe
- Quais itens foram exportados
- Quantas pessoas (a divisão dos cerca de 9 milhões de registros acumulados)
- A quais empresas clientes pertencem os cinco sistemas
- Qual programa e qual vulnerabilidade
- Se ocorreu algum dano secundário (uso indevido dos dados)
A Ymirlink, Inc. diz que está investigando em detalhes com especialistas externos e informará novamente quando novos fatos forem encontrados. Diz que o impacto nos resultados do exercício fiscal encerrado em dezembro de 2026 está "em análise" e que divulgará prontamente se algo exigir divulgação. Até 23 de outubro, nenhum segundo comunicado foi publicado.
O que os destinatários de newsletters devem fazer hoje
Não abra links em e-mails que aleguem vir do remetente
O Cuenote FC é um sistema que empresas e organizações usam para enviar newsletters e comunicados. Os destinatários cadastram seu endereço de e-mail na empresa ou organização remetente, não na Ymirlink. Por isso, se os dados forem usados indevidamente, a forma mais provável é e-mails falsos usando o nome da empresa remetente.
Mesmo em e-mails como "Confirme seu uso", "Confirme os dados do seu cliente" ou "Seus pontos estão expirando", não abra links, anexos nem QR codes da mensagem. Para verificar, acesse o aplicativo oficial ou um site oficial que você tenha salvo nos favoritos (como identificar golpes: O que é phishing?).
Consulte os comunicados das empresas de cujas newsletters você recebe
Abra os comunicados das empresas de cujas newsletters você recebe na tabela "Organizações clientes que divulgaram impacto" abaixo. Para empresas que não estão na tabela, consulte a seção de notícias do site oficial delas. A Dai Nippon Printing diz que entrará em contato individualmente com as pessoas quando for constatado que foram afetadas.
Não digite senha nem número de cartão quando solicitado
O comunicado da Ymirlink, Inc. não menciona senhas nem cartões de crédito. A Dai Nippon Printing diz que senhas, dados de cartão de crédito e histórico de compras não são mantidos no sistema de envio de e-mails. Mesmo assim, alguém que conhece seu nome e endereço de e-mail pode escrever um e-mail pedindo que você os informe. Se um e-mail pedir esses dados, verifique no site oficial, e não a partir do próprio e-mail.
Cancele a inscrição em newsletters que você não lê, pelo site oficial
Quanto mais newsletters você assina, mais difícil é perceber um e-mail falso entre elas. Cancelar a inscrição em newsletters que você não lê, fazendo login no site oficial de cada empresa em vez de usar o link do e-mail, facilita perceber um e-mail que não deveria estar chegando.
Fique também atento a spam que mostra @cuenote.jp como remetente
Em 20 de outubro, a Ymirlink, Inc. alertou que foram vistos vários e-mails de spam que mostram seu domínio como remetente e alegam vir de terceiros. Como exemplos, lista e-mails que alegam vir de uma empresa de cartão de crédito, com assuntos como "Confirme seu uso" e "Solicitação para confirmar os detalhes de uso", enviados de info@cuenote.jp. A empresa diz que nunca orienta que esse tipo de e-mail seja enviado. O comunicado não diz se esse spam está relacionado ao acesso não autorizado. Pede que os destinatários apaguem esses e-mails sem responder, sem clicar em URLs e sem escanear QR codes, e que entrem em contato com a polícia caso já tenham iniciado uma troca de mensagens.
Organizações clientes que divulgaram impacto
Empresas e organizações que usam o Cuenote FC publicaram seus próprios comunicados. A tabela lista as que este site verificou abrindo a página oficial de cada organização, considerando apenas comunicados que citam a Ymirlink ou o Cuenote FC (em 23 de outubro de 2026).
Cada situação segue a redação da própria organização. A Ymirlink, Inc. não disse a quais clientes pertencem os cinco sistemas afetados, portanto uma organização desta tabela não é necessariamente um dos cinco sistemas.
| Organização | Para que usava o serviço (conforme declarado) | Dados que podem ser afetados (conforme declarado) | Situação | Data |
|---|---|---|---|---|
| Dai Nippon Printing (honto) | Newsletter da livraria honto (para quem aceitou) | Nomes, endereços de e-mail, IDs internos de sistema. Senhas, dados de cartão de crédito e histórico de compras não são mantidos no sistema de envio de e-mails. Número em investigação | Possível (empresa) | 21 de outubro |
| Prefeitura de Saitama | Newsletter do site de agricultura inteligente da prefeitura "Plat Saitama" (usado pela contratada que administra o site) | 669 partes. Para organizações: nome da organização, nome de contato, endereço de e-mail, setor; para pessoas físicas: nome, endereço de e-mail, setor | Possível (prefeitura) | 20 de outubro |
| Kakuyasu | Newsletter para seus clientes empresariais (restaurantes) | Nome do restaurante, nome da empresa, nome, endereço de e-mail. Não confirmou que seus dados estão no escopo | Possível (empresa) | 20 de outubro |
| NTTPC Communications | Envio de e-mails para seus serviços | Endereços de e-mail de contato e outros dados de usuários dos serviços. Nenhum impacto confirmado, mas não pode ser totalmente descartado | Possível (empresa) | 20 de outubro |
| Katabami | Seu envio de e-mails | Não informado (não pode descartar que dados cadastrados no serviço tenham sido afetados) | Possível (empresa) | 20 de outubro |
| The Sanyo Shimbun | Seis serviços de e-mail do site de notícias "Sandeji", incluindo notícias de última hora, previsão do tempo e alertas de atraso de trens | Não informado. A Ymirlink informou que não foi confirmado nenhum vazamento no ambiente que ele utiliza | Não confirmado (empresa) | 19–21 de outubro (comunicados 2–4) |
“Possível” na tabela não significa que a organização foi confirmada como afetada
A Kakuyasu diz que não confirmou nenhuma informação de que os dados de seus clientes estejam no escopo, mas que está agindo com a proteção desses dados como prioridade; a NTTPC Communications diz que não confirmou nenhum impacto, mas publicou seu comunicado para alertar os clientes. A Dai Nippon Printing diz que a Ymirlink informou que dados de clientes do honto podem ter vazado. No caso do Sanyo Shimbun, o envio de e-mails foi interrompido a partir de cerca de 14h15 de 18 de outubro por causa de uma falha no sistema de envio, e seu quarto comunicado, em 21 de outubro, anunciou que o serviço foi restabelecido. Verifique se uma empresa de cuja newsletter você recebe está na tabela e, depois, acompanhe os comunicados seguintes dessa empresa.
O que aconteceu (segundo os comunicados da Ymirlink, Inc.)
O que segue se baseia no comunicado da Ymirlink, Inc. de 19 de outubro de 2026 (a versão atualizada com explicações adicionais às 19h05 daquele dia no site do Cuenote) e em sua divulgação tempestiva registrada na mesma data. O documento de divulgação tempestiva diz apenas "serviço de envio de e-mails". A versão atualizada no site do Cuenote acrescentou que os sistemas afetados são "um total de cinco sistemas do plano ASP dedicado do Cuenote FC".
Madrugada de sexta-feira, 16 de outubro de 2026
Um funcionário da empresa confirmou acesso não autorizado em alguns sistemas. Os servidores em que o acesso não autorizado foi encontrado foram imediatamente desconectados da rede.Após a detecção (data não informada)
Os registros de acesso mostraram que uma vulnerabilidade de programa foi usada para obter as credenciais da equipe de suporte e de controle de qualidade da empresa, que um programa malicioso foi instalado e dados foram exportados do banco de dados, e que essas credenciais foram usadas para tentar autenticar em outros sistemas. A empresa criou e aplicou uma correção para a vulnerabilidade e excluiu as informações da equipe de suporte e de controle de qualidade de outros sistemas.19 de outubro
Comunicado (primeiro relatório) e divulgação tempestiva. Às 19h05 o comunicado foi atualizado para citar os sistemas afetados (cinco sistemas do plano ASP dedicado do Cuenote FC). As organizações clientes começaram a publicar seus próprios comunicados a partir desse dia.20 de outubro
Alerta publicado sobre spam que mostra o domínio da empresa como remetente (sem vínculo declarado com o acesso não autorizado).
Destinatários de e-mails
Cadastraram seu endereço de e-mail na empresa remetente (às vezes também um nome ou número de associado)
O que fazer: não abrir links em e-mails que aleguem vir do remetente
Empresas e organizações remetentes (clientes)
Gerenciam a lista de envio e a cadastram no Cuenote FC para enviar e-mails; são responsáveis pelos dados pessoais
O que fazer: confirmar se foram afetadas, decidir sobre comunicação e notificação
Ymirlink (Cuenote FC)
Cerca de 9 milhões de registros acumulados, incluindo endereços de e-mail, exportados de cinco sistemas do plano ASP dedicado (estimativa da empresa)
Clientes afetados e itens em investigação
- Serviço
- Cinco sistemas no total do plano ASP dedicado do serviço de envio de e-mails Cuenote FC
- Confirmado
- Informações pessoais foram retiradas por meio de acesso não autorizado de fora. Acesso não autorizado e exportação de dados em cinco sistemas
- Contagem
- Um total acumulado de cerca de 9 milhões de registros, incluindo endereços de e-mail, estimado como exportado dos cinco sistemas
- Itens
- "Informações incluindo endereços de e-mail". Detalhes em investigação
- Causa declarada
- Uma vulnerabilidade de programa foi usada para obter as credenciais de serviço da equipe de suporte e de controle de qualidade da empresa. Os detalhes da vulnerabilidade não foram divulgados
- Resposta
- Servidores desconectados, programa vulnerável corrigido, credenciais da equipe excluídas, detecção de programas maliciosos configurada, comunicação às autoridades
- Próximos passos
- Investigação detalhada com especialistas externos; novos fatos serão comunicados. O impacto nos resultados do exercício fiscal encerrado em dezembro de 2026 está em análise
- Contato
- Contato dedicado para o acesso não autorizado (telefone 03-6820-0088, dias úteis das 9:00 às 20:00; um contato por e-mail está indicado na página do comunicado)
Segundo a página de produto do Cuenote FC, o plano ASP dedicado oferece "recursos dedicados" e é separado do plano Premium, que roda em ambiente compartilhado, e do plano on-premises, instalado no ambiente do próprio cliente. O comunicado cita cinco sistemas do plano ASP dedicado como afetados e não menciona os outros planos.
O que se sabe e o que não se sabe
Situação em 23 de outubro de 2026. Quando surgirem novas informações, a coluna de situação desta tabela será atualizada.
| Item | O que diz o comunicado | Situação |
|---|---|---|
| Informações pessoais retiradas | Confirmado que informações pessoais foram retiradas por meio de acesso não autorizado de fora | Vazamento confirmado (empresa) |
| Sistemas afetados | Cinco sistemas no total do plano ASP dedicado do Cuenote FC | Confirmado (empresa) |
| Contagem | Um total acumulado de cerca de 9 milhões de registros, incluindo endereços de e-mail, estimado como exportado. Não é uma contagem de pessoas | Possível (empresa; estimativa) |
| Itens exportados | "Informações incluindo endereços de e-mail". Detalhes em investigação | Em investigação |
| Senhas e cartões de crédito | Não mencionados no comunicado da Ymirlink (a Dai Nippon Printing diz que não são mantidos no sistema de envio de e-mails) | Não informado |
| A quais clientes pertencem os cinco sistemas | Não divulgado | Em investigação |
| Impacto em outros planos (Premium, on-premises) | Não mencionado no comunicado | Não informado |
| Causa | Credenciais da equipe obtidas por meio de uma vulnerabilidade de programa. Detalhes da vulnerabilidade não informados | Em investigação |
| Dano secundário (uso indevido dos dados) | Não mencionado no comunicado da Ymirlink. A Dai Nippon Printing e a Prefeitura de Saitama dizem que até agora não foi confirmado nenhum uso indevido | Não confirmado (Dai Nippon Printing, Prefeitura de Saitama) |
| Comunicação às autoridades | Registrada | Confirmado (empresa) |
| Impacto nos resultados do negócio | Em análise | Em investigação |
Os números dos clientes não podem ser comparados com o número de 9 milhões
O número de cerca de 9 milhões é a estimativa da Ymirlink, Inc. para os cinco sistemas em conjunto. As 669 partes da Prefeitura de Saitama são partes (organizações e pessoas físicas) cujos dados ela obteve por meio de seu site. Elas são contadas de forma diferente, por isso não podem ser somadas nem subtraídas.
Para que podem ser usados endereços de e-mail e dados relacionados
Em geral, quando os dados a seguir se combinam, podem ocorrer os tipos de uso indevido indicados. Isso não significa que tenham ocorrido neste caso.
- Endereço de e-mail somado ao nome da empresa remetente: e-mails falsos que alegam vir dessa empresa chegam ao mesmo endereço da newsletter verdadeira, e os destinatários facilmente presumem que é "a empresa que sempre me envia newsletters"
- Nome somado ao endereço de e-mail: e-mails falsos podem incluir o nome real do destinatário, o que os torna mais convincentes do que spam em massa
- Nome da organização, nome de contato e setor (em newsletters voltadas a clientes empresariais): material para faturas falsas ou e-mails pedindo alteração de dados de pagamento, fingindo ser um parceiro comercial
- ID interno de sistema: pode ser apresentado como número de associado ("Prezado cliente, número de membro ...") para parecer genuíno
Outro caso em que um serviço de envio expôs os endereços de destinatários de muitas organizações foi o acesso não autorizado ao serviço de alertas de desastre SpeeCAN RAIDEN, em outubro de 2026. Também ali as pessoas descobriram se foram afetadas pelo comunicado da organização que lhes enviou os e-mails.
O que as empresas e organizações que usam o Cuenote FC devem fazer
O comunicado público da Ymirlink, Inc. não inclui pedidos específicos às empresas clientes. Segundo os comunicados dos clientes, a Ymirlink vem informando os clientes individualmente (a NTTPC Communications e a Dai Nippon Printing dizem ter recebido um relatório em 19 de outubro, e o Sanyo Shimbun diz ter sido informado de que não foi confirmado nenhum vazamento em seu ambiente). As etapas abaixo seguem o que as organizações clientes já estão fazendo e a orientação da Comissão de Proteção de Informações Pessoais (PPC).
Confirme com a Ymirlink se seu ambiente é um dos cinco sistemas
A Ymirlink, Inc. criou um contato dedicado para o acesso não autorizado (telefone 03-6820-0088, dias úteis das 9:00 às 20:00; o contato por e-mail está na página do comunicado). Verifique se você usa o plano ASP dedicado e se recebeu um relatório individual; se não, entre em contato.
Liste o que foi cadastrado no sistema de envio
O que pode ser afetado depende do que foi cadastrado no sistema de envio. Verifique se eram apenas endereços de e-mail ou também nomes, números de associado e atributos (setor, região etc.). A Dai Nippon Printing informa que senhas, dados de cartão de crédito e histórico de compras não são mantidos no sistema de envio de e-mails. Poder dizer com clareza o que não é mantido torna sua explicação aos destinatários mais curta.
Avise seus destinatários
Muitas das organizações que podem ser afetadas pedem que as pessoas fiquem atentas a e-mails suspeitos que aleguem vir delas e não abram as URLs. A Prefeitura de Saitama enviou por e-mail um pedido de desculpas e um alerta aos 669 envolvidos que podem ter sido afetados, e a Kakuyasu está alertando, por sua vez, seus clientes do setor de restaurantes. Torne o aviso fácil de distinguir de um golpe: não coloque links no próprio e-mail de aviso e informe o endereço de remetente que você usa.
Decida se deve comunicar a PPC e notificar os indivíduos
Dados pessoais em uma lista de envio são dados pessoais administrados pela empresa que envia os e-mails (a parte terceirizada). Segundo a orientação da PPC, um vazamento (ou possível vazamento) que possa ter sido realizado com finalidade ilícita, ou que envolva mais de 1.000 pessoas (mais de 100 para órgãos administrativos, incluindo entidades de governos locais), deve ser comunicado. Comunique prontamente assim que o caso vier à tona e, quando houver suspeita de finalidade ilícita, registre a comunicação em até 60 dias após a descoberta. A PPC também publica um modelo de relatório para incidentes em contratado terceirizado (Resposta a vazamentos e materiais úteis, em japonês).
Esta é uma orientação geral; se ela se aplica à sua empresa depende do que a Ymirlink informar a você. Em caso de dúvida, consulte a central de atendimento da PPC ou um advogado ou outro especialista.
Decida se deve suspender o envio e anuncie a retomada
A Dai Nippon Printing desconectou a ligação entre o sistema do honto e o sistema de envio de e-mails para evitar novos danos. Se você suspender o envio, informe em seu site oficial que o envio está suspenso e quando será retomado, para que os destinatários possam perceber que e-mails recebidos durante a suspensão são falsos.
Visão deste site: quanto menos itens no sistema de envio, mais curta a explicação
Ao comparar os comunicados dos clientes, vê-se uma grande variação nos dados que podem ser afetados. A Dai Nippon Printing manteve apenas nomes, endereços de e-mail e IDs no sistema de envio, e pôde afirmar que não mantém ali senhas, dados de cartão ou histórico de compras. Já as newsletters para clientes empresariais ou membros cadastrados também guardavam nomes de organizações, nomes de contato e setor.
Para enviar e-mails, um sistema de envio precisa do endereço e dos campos mínimos usados para personalização. Mesmo quando histórico de compras ou atributos de membros são usados para direcionar os envios, vale considerar se eles podem ser transmitidos apenas quando necessário, para aquele envio específico.
Liste os campos cadastrados no sistema de envio
Verifique se, além do endereço, você armazena nomes, números de associado, atributos ou dados relacionados a compras. Deixe de cadastrar campos que não usa para personalização ou direcionamento.
Verifique o que a equipe de suporte do fornecedor de envio pode acessar
Neste caso, as credenciais da equipe de suporte e de controle de qualidade do fornecedor de envio foram obtidas e usadas para tentar autenticar em outros sistemas. Para os serviços que você usa, verifique no contrato ou no console de administração se a equipe do fornecedor tem acesso ao seu ambiente e se você mesmo pode ver os registros das ações dela.
Defina antecipadamente quem recebe os comunicados de incidentes do fornecedor
Aqui, as organizações clientes publicaram comunicados depois de receber relatórios do fornecedor de envio. Defina antecipadamente quem recebe esse tipo de relatório e quem decide sobre a comunicação à PPC e a notificação dos indivíduos (sobre como pensar incidentes de fornecedores, veja também Quando seu provedor de hospedagem web sofre uma violação).
Fontes (registro público)
Os fatos deste artigo se baseiam nas informações públicas abaixo. Não especulamos sobre métodos de ataque não divulgados. Os títulos foram traduzidos do japonês.
- Ymirlink, Inc., "Comunicado sobre acesso não autorizado a nossos sistemas (primeiro relatório, versão atualizada de 19 de outubro de 2026, 19h05)" (19 de outubro de 2026) — cuenote.jp
- Ymirlink, Inc., "Comunicado sobre acesso não autorizado a nossos sistemas (primeiro relatório)" (19 de outubro de 2026, divulgação tempestiva) — ssl4.eir-parts.net
- Ymirlink, Inc., "Alerta: cuidado com spam que usa nosso domínio e se passa por terceiros" (20 de outubro de 2026) — ymir.co.jp
- Ymirlink, Inc., página de produto do Cuenote FC (diferenças entre planos, consultada em 23 de outubro) — cuenote.jp
- Dai Nippon Printing Co., Ltd., "Possível vazamento de informações de clientes do honto por acesso não autorizado em um contratado terceirizado" (21 de outubro de 2026) — dnp.co.jp
- Prefeitura de Saitama, "Possível vazamento de informações pessoais por acesso não autorizado na Ymirlink, Inc." (20 de outubro de 2026) — pref.saitama.lg.jp
- Kakuyasu Co., Ltd., "Acesso não autorizado ao serviço de envio de e-mails que utilizamos e nossa resposta" (20 de outubro de 2026) — kakuyasu.co.jp
- NTTPC Communications, "Possível vazamento de endereços de e-mail e outros dados por acesso não autorizado na Ymirlink, Inc." (20 de outubro de 2026) — nttpc.co.jp
- Katabami Co., Ltd., "Acesso não autorizado ao serviço de envio de e-mails que utilizamos" (20 de outubro de 2026) — katabami.co.jp
- The Sanyo Shimbun, "Suspensão temporária do envio de e-mails" (18 de outubro de 2026), "Suspensão do envio de e-mails (segundo relatório) e acesso não autorizado em nosso contratado" (19 de outubro), "(terceiro relatório)" (20 de outubro), "Envio de e-mails retomado e acesso não autorizado em nosso contratado (quarto relatório)" (21 de outubro) — suspensão (18 de outubro) / relatório 2 / relatório 3 / relatório 4
- Comissão de Proteção de Informações Pessoais (PPC), "Resposta a vazamentos e materiais úteis" — ppc.go.jp
- Cobertura da imprensa (mercado de capitais e perspectiva de resultados): ITmedia NEWS (20 de outubro de 2026) — itmedia.co.jp
Histórico de atualizações
2026-10-23: Primeira versão, com base no comunicado da Ymirlink, Inc. de 19 de outubro (versão atualizada das 19h05) e na divulgação tempestiva, no alerta de 20 de outubro e nos comunicados de seis organizações clientes. Este artigo será atualizado quando forem publicados os itens exportados, os clientes afetados e os resultados da investigação da causa.
Leia a seguir
- Casos semelhantes: Acesso não autorizado ao serviço de alertas de desastre SpeeCAN RAIDEN / Vazamento de endereços de e-mail da JR East, View Card e JR Kyushu / Acesso não autorizado ao criador de sites Studio
- Identificar e-mails falsos: O que é phishing? / Spam enviado do seu próprio endereço de e-mail
- Verificar remetentes (para operadores): Noções básicas de SPF, DKIM e DMARC
- Outros incidentes de 2026: Vazamentos de dados e ciberataques de 2026 (Japão e no mundo)