vazamento de dados
120 artigos com esta tag
Acesso não autorizado ao sistema interno de gestão da Sharefull (até cerca de 7,5 milhões de contas): nomes, dados bancários, contatos de emergência e mais podem ter vazado, e o que os trabalhadores devem fazer
Em 9 de novembro de 2026, a Sharefull anunciou que um terceiro acessou sem autorização seu sistema interno de gestão e que informações pessoais dos usuários podem ter vazado. O acesso ocorreu por volta das 23h30 de 4 de novembro, foi detectado por volta das 9h45 de 5 de novembro e a rota foi bloqueada no mesmo dia. Até cerca de 7,5 milhões de contas individuais podem ter sido afetadas. As informações que podem ter vazado são: nome e nome em kana, número de telefone, endereço de e-mail, endereço, data de nascimento, dados da conta bancária para o pagamento de salários (não incluem senhas nem PINs), a URL da foto do rosto, contato de emergência (relação com o usuário e número de telefone), informações relacionadas à situação de residência e atributos da conta, como data de cadastro, número de trabalhos realizados e preferências. Pagamentos e pontos, dados de contratos e de trabalho e imagens de documentos de identidade não foram afetados, e a empresa afirma que não mantém My Number nem dados de cartão de crédito. Um comunicado separado do mesmo dia trata dos dados de contato das empresas contratantes (até cerca de 7.500 empresas). Em 11 de novembro de 2026, nenhum comunicado posterior havia sido encontrado. Conclusão deste site: como dados bancários, contatos de emergência e situação de residência podem estar incluídos, prepare-se para contatos que usem o nome da Sharefull ou de um órgão, ligações que finjam uma emergência de um familiar, pagamentos feitos para parecer transferências por engano e cobranças que citem sua situação de residência.
Acesso não autorizado ao sistema de solicitações do Vitality da Sumitomo Life (cerca de 80.000 pessoas): nomes, endereços, telefones e números de cartão parcialmente ocultos vazaram, e o que os usuários devem fazer
Em 9 de novembro de 2026, a Sumitomo Life Insurance Company anunciou que um acesso não autorizado de um terceiro ao sistema de uma empresa a quem terceiriza serviços de sistemas vazou informações de cerca de 80.000 pessoas que usam ou já usaram o «Sumitomo Life Vitality Trial / Corporate» e o «Vitality Smart» (incluindo o tipo de benefício para funcionários). Os itens vazados são qualquer um destes: nome, endereço, número de telefone, data de nascimento, endereço de e-mail e número de cartão de crédito (parcialmente oculto); números de cartão vazaram no caso de cerca de 1.000 pessoas. Contratos de seguro e dados como a contagem de passos do uso do Vitality ou do programa de saúde Vitality que acompanham os contratos de seguro não estão incluídos. A empresa confirmou o acesso em 2 de novembro e suspendeu novas solicitações e alguns procedimentos. O comunicado não informa a causa. As cerca de 80.000 pessoas são usuárias desses serviços, não todos os segurados da Sumitomo Life. Conclusão deste site: se você usou esses serviços, confira o extrato do seu cartão e não use os links nem os telefones de nenhuma mensagem que diga ser da Sumitomo Life; verifique pelo canal de contato oficial.
Vazamento de dados da Amplifon Americas (aparelhos auditivos; cerca de 1,33 milhão de pessoas segundo a imprensa): informações auditivas e médicas, números de carteira de motorista e mais, e o que fazer se você receber uma notificação
A Amplifon Americas diz que detectou atividade suspeita em partes de sua rede em 11 de fevereiro de 2026, e que a investigação concluiu que um terceiro não autorizado obteve arquivos de certos sistemas entre 18 de janeiro e 8 de fevereiro. Em 6 de outubro, após revisar os dados, determinou que certas informações pessoais podem ter sido afetadas. Os itens que podem estar envolvidos são nome, dados de contato, data de nascimento, número da carteira de motorista ou de outro documento de identificação estadual, outro número de identificação emitido pelo governo, informações auditivas ou médicas, número de prontuário médico, data do atendimento, outras informações de saúde e número de identificação do plano de saúde ou outras informações do seguro; os números do Seguro Social e as informações financeiras envolveriam, segundo consta, um número limitado de pessoas. A empresa diz que não tem conhecimento de nenhum uso fraudulento de informações pessoais decorrente do incidente. A página oficial não informa o total; a SecurityWeek relata que o registro da empresa junto ao procurador-geral do Texas indica 1.332.826 pessoas em todo o país. A Amplifon diz que notificará as pessoas de quem tiver endereço postal válido, e oferecerá a certas pessoas 24 meses de monitoramento de crédito e proteção de identidade gratuitos. A conclusão deste site: se você comprou aparelhos auditivos ou fez um teste de audição com a empresa, confira seus itens com a notificação quando ela chegar e continue acompanhando os extratos do plano de saúde e o seu crédito.
Acesso não autorizado ao site da Mitsui Direct General Insurance (cerca de 234.000 registros): nomes, endereços e dados de veículos vazaram, e o que devem fazer quem pediu uma cotação ou contratou um seguro
Em 6 de novembro de 2026, a Mitsui Direct General Insurance Co., Ltd. anunciou que um terceiro acessou sem autorização o seu site e que parte das informações de seus clientes vazou. Detectou o acesso na madrugada de 4 de novembro e suspendeu todos os procedimentos no site e no aplicativo. Os afetados são clientes que pediram uma cotação ou contrataram uma apólice, cerca de 234.000 registros (às 13:00 de 6 de novembro). As informações vazadas são dados do segurado e do segurado nomeado (nome, endereço, telefone, data de nascimento, e-mail etc.), informações do veículo (nome do veículo, número da placa, proprietário etc.) e condições e coberturas da apólice. Não estão incluídos dados de cartão de crédito, de conta bancária nem senhas de login da Minha Página. Em 9 de novembro a empresa informou separadamente um acompanhamento sobre o acesso não autorizado ao servidor de sua terceirizada de assistência em estrada: cerca de 45.000 clientes (às 09:00 de 6 de novembro), e este caso inclui dados de conta bancária. Em 10 de novembro de 2026, nenhuma causa foi divulgada. A conclusão deste site: uma mensagem que use o nome da Mitsui Direct não é autêntica só porque conhece o seu endereço, o seu veículo ou os dados da sua apólice. Não abra links em mensagens que cheguem enquanto os procedimentos estão suspensos; confirme no site oficial ou na linha de contato.
Acesso não autorizado à Nitori: dados pessoais de até 37,62 milhões de registros podem ter vazado (nomes, endereços, telefones, datas de nascimento): o que membros individuais e corporativos devem fazer
Em 9 de novembro de 2026, a Nitori Holdings Co., Ltd. anunciou que em 6 de novembro confirmou um acesso não autorizado de um terceiro a um sistema que ela gerencia, e que as informações pessoais mantidas em seus servidores, até 37,62 milhões de registros, podem ter vazado para fora. Os dados abrangem membros individuais e compradores do Grupo Nitori (número de membro, nome incluindo o furigana, e-mail, endereço, telefone, data de nascimento, sexo), membros corporativos (número de membro, nome da empresa, departamento, nome do representante, endereço e telefone da empresa, e nome, e-mail e telefone da pessoa de contato) e os dados de pedidos feitos pela Nitori Net e pela loja oficial da Nitori em shoppings online. A empresa diz que as senhas de login e os dados de cartão de crédito não estão incluídos. Também pode ter havido acesso de terceiros de meados a fins de outubro, a rota está em investigação e o número pode mudar. A empresa diz que contatará em ordem os clientes afetados por e-mail ou correio. Até 10 de novembro de 2026, nenhum comunicado posterior havia sido encontrado. Conclusão deste site: como endereço, telefone e nome estão nos dados, uma ligação, mensagem ou e-mail que use o nome da Nitori ou de uma empresa de entrega não é genuíno só porque conhece o seu endereço ou pedido corretos.
Acesso não autorizado ao sistema de envio de dados de impressão da Raksul (número em apuração): nomes, endereços e telefones dos dados de impressão podem ter vazado, e o que devem fazer os clientes e as pessoas citadas nos impressos
Em 9 de novembro de 2026, a Raksul Inc. anunciou que um terceiro acessou sem autorização o sistema envolvido no tratamento dos envios de dados do seu serviço Raksul, e que informações pessoais podem ter vazado para o exterior. O acesso veio à tona por volta das 00:20 de 8 de novembro de 2026. A empresa diz que credenciais do seu próprio sistema foram obtidas de forma ilegítima, deixando parte dos dados armazenados ao alcance de fora. As informações que podem ter vazado são nomes, nomes de empresas, endereços, telefones, e-mails e dados semelhantes dos dados de impressão enviados ao serviço e de dados como faturas e Web Yubin (correio postal online). Os dados de impressão de cartões de visita e cartões-postais também podem conter informações de pessoas além de quem fez o pedido. O número está em apuração. A empresa diz que confirmou que dados de cartão de crédito, IDs de login e senhas não vazaram. Parou alguns serviços em 8 de novembro e começou a restabelecê-los em sequência a partir das 07:00 de 9 de novembro. Em 10 de novembro de 2026, o número e os detalhes da causa não foram divulgados. A conclusão deste site: podem ser afetados não só quem pediu cartões de visita ou cartões-postais, mas também os contatos de negócios e destinatários citados neles. Os clientes devem saber o que pode acontecer às pessoas que incluíram nos impressos e considerar explicar isso a elas.
Acesso não autorizado à loja online akyrise da Euglena (até cerca de 900.000 registros): nomes, endereços e telefones podem ter vazado; o que os compradores devem fazer
Em 5 de novembro de 2026, a Euglena Co., Ltd. anunciou que um terceiro acessou sem autorização, em 4 de novembro, a loja online de sua marca de cosméticos akyrise e que informações de membros vazaram. A empresa fechou a loja no mesmo dia e apresentou um relatório preliminar à Comissão de Proteção de Informações Pessoais do Japão. As informações que podem ter vazado se dividem em dois grupos: dados de conta de login (ID do cliente, endereço de e-mail e a senha de login, armazenada em forma de hash), até cerca de 490.000 registros; e dados de cadastro e compra (nome, endereço, número de telefone, data de nascimento, gênero, endereço de e-mail e informações de compra e entrega), até cerca de 900.000 registros. As duas contagens ainda estão em verificação e, como a empresa não diz como se sobrepõem, os dois números não podem ser somados. Números de cartão de crédito não são guardados nos servidores da empresa e não estão incluídos. O mesmo comunicado trata também de acessos não autorizados distintos em um provedor de serviço de envio de e-mails e em uma empresa de entregas, que a empresa descreve como eventos independentes. Em 9 de novembro de 2026, nenhum comunicado posterior havia sido encontrado. Conclusão deste site: uma mensagem, um texto ou uma ligação que use o nome akyrise não é genuína só porque sabe seu nome ou endereço. Não abra links e, se você reutilizou sua senha da akyrise em outro lugar, troque-a primeiro lá.
Acesso não autorizado ao negócio de venda por correio da Rohto Pharmaceutical (2.797.545 pessoas no sistema de clientes, 9.715 números de cartão em gravações de ligações): o que devem fazer quem pediu por telefone e todos os demais
Em 6 de novembro de 2026, a Rohto Pharmaceutical Co., Ltd. divulgou os resultados da investigação sobre o acesso não autorizado ao sistema telefônico usado em seu negócio de venda por correio. Foram obtidos nomes, endereços e números de telefone de 2.797.545 pessoas do sistema de gerenciamento de clientes (os itens variam conforme a pessoa), e números de cartão de crédito e datas de validade contidos em gravações de ligações de 9.715 pessoas. Os códigos de segurança dos cartões e as senhas não estão incluídos. A causa foi o uso não autorizado, por um terceiro, de credenciais de conta do sistema telefônico. A investigação do sistema telefônico por um especialista externo terminou em 16 de outubro, e os afetados estão sendo avisados individualmente, por correio, e-mail ou meios semelhantes, em sequência. Nenhum dano secundário atribuível ao incidente foi confirmado. Conclusão deste site: se você pode ter dito o número do seu cartão em uma ligação de venda por correio, confira as faturas do cartão tenha ou não recebido um aviso, e fale com a emissora se estiver preocupado. Todos os demais devem desconfiar de ligações, e-mails e mensagens de quem sabe seu nome, endereço e telefone.
Acesso não autorizado ao jogo de mahjong online Maru-Jan (1.855.578 membros): e-mails e senhas vazaram; o que os membros devem fazer
Em 7 de novembro de 2026, a Signaltalk Co., Ltd. anunciou que um acesso não autorizado ao Maru-Jan, o jogo de mahjong online que ela opera, vazou os endereços de e-mail e as senhas de 1.855.578 membros. A empresa diz que uma função do seu sistema de administração foi abusada e que dados que incluíam informações de membros foram baixados para fora por volta das 15:00 de 4 de novembro. O grupo afetado são todos os membros do Maru-Jan; o endereço de e-mail está incluído para os membros que cadastraram um. Números de cartão de crédito não estão incluídos porque a empresa não os guarda. O aviso não diz como as senhas eram armazenadas (por exemplo, se tinham hash). A empresa diz que identificou a via de invasão, aplicou uma correção e retomou o serviço às 16:00 de 7 de novembro. Pede que os membros troquem a senha do Maru-Jan, troquem a senha em qualquer outro serviço em que usaram a mesma e fiquem atentos a e-mails suspeitos. Em 9 de novembro de 2026, nenhum aviso posterior havia sido encontrado. Conclusão deste site: antes de tudo, troque a senha em qualquer serviço em que você reutilizou a senha do Maru-Jan, e não abra links de e-mails que usem o nome Maru-Jan.
Vazamento no sistema de garantia de empréstimos da SMBC Consumer Finance (até 320.118 pessoas): números de carteira de habilitação, dados do empregador e renda vazaram; o que devem fazer os clientes de empréstimo no cartão bancário
Em 5 de novembro de 2026, a SMBC Consumer Finance Co., Ltd. anunciou que um terceiro acessou sem autorização o sistema que ela usa em seu negócio de garantia de empréstimos e que dados foram enviados para fora do sistema. Detectou o acesso em 2 de novembro, cortou o acesso ao sistema no mesmo dia e confirmou o vazamento durante a investigação. Até 320.118 pessoas são afetadas. A empresa garante empréstimos no cartão emitidos por bancos regionais, cooperativas de crédito (shinkin) e bancos de internet, então os afetados são provavelmente sobretudo pessoas que tomaram um empréstimo no cartão em uma dessas instituições com esta empresa como garantidora (a empresa não define quem é afetado). As informações vazadas são nome, sexo, data de nascimento, endereço, telefone fixo, telefone celular, e-mail, número da carteira de habilitação, dados do empregador (telefone, renda etc.) e dados do contrato (código da instituição financeira, número do cliente, valor garantido, data de início da garantia etc.). Imagens de documentos de identidade, como carteiras de habilitação, não estão incluídas. Depois de definir o alcance, a empresa pretende avisar os afetados individualmente por e-mail, SMS e meios semelhantes, em consulta com as instituições parceiras; não informa prazo. Em 6 de novembro foi acrescentado um número gratuito. Em 9 de novembro de 2026 não encontramos nenhum aviso posterior. A visão deste site: uma ligação, e-mail ou mensagem que diz ser do seu credor ou garantidor não é genuína só porque sabe o número da sua carteira ou a sua renda.
Vazamento de dados médicos da Perry Johnson & Associates (PJ&A): quatro estados fecham acordo de até US$ 10 milhões (13,3 milhões de pessoas), o que foi exposto e o que fazer
Em 6 de novembro de 2026, os procuradores-gerais de Nova York, Connecticut, Michigan e Nova Jersey anunciaram um acordo com a empresa de transcrição e codificação médica Perry Johnson & Associates, Inc. (PJ&A) e quatro afiliadas (em conjunto, as empresas Perry Johnson). Ele abrange um vazamento de março de 2023 que afetou cerca de 13,3 milhões de pessoas no país. Segundo os estados, as informações expostas incluíam nomes, datas de nascimento, endereços residenciais, números de Seguro Social, números de conta hospitalar, diagnósticos e informações de seguro, além de detalhes clínicos de arquivos de transcrição, como resultados de exames e nomes de medicamentos. Os estados dizem que os invasores usaram as credenciais de um funcionário da PJ&A Coding, que o acesso remoto não exigia autenticação multifator, que o software de uma afiliada registrou a atividade dos invasores mas não alertou a equipe de segurança, e que a PJ&A soube do vazamento cerca de dois meses depois, quando os invasores entraram em contato. O acordo vale até US$ 10 milhões: ao menos US$ 300.000 em multas agora, e outros US$ 9,7 milhões devidos apenas se as empresas descumprirem os termos do acordo. As empresas devem manter um programa de segurança, usar autenticação multifator e criptografia, fazer avaliações de risco anuais e disciplinar por quanto tempo guardam dados de saúde. Conclusão deste site: se você recebeu um aviso em 2023, o acordo não acrescenta nenhum passo novo, mas, como números de Seguro Social e diagnósticos estavam envolvidos, mantenha o congelamento de crédito e continue conferindo seus extratos médicos.
Invasão de um sistema interno da DigiCert (autoridade certificadora): dados de contato de representantes de clientes e alguns documentos de identidade, e o que os clientes devem fazer
Em um relatório de incidente no Mozilla Bugzilla (relatório completo publicado por volta de 2 de novembro de 2026, horário do Japão), a DigiCert diz que identificou acesso não autorizado a um sistema interno de negócios que arquiva informações fornecidas pelos clientes para validar sua identidade. Os dados acessados correspondem ao período de 27 de junho a 2 de julho de 2026. A maior parte era de contatos profissionais (nomes, e-mails profissionais, telefones, endereços profissionais); em uma pequena minoria de contas de clientes havia também um documento fornecido pelo cliente, como carteira de motorista, passaporte ou conta de serviços. O acesso foi somente leitura. A DigiCert diz que 0 certificados foram afetados, que seus sistemas de CA, o CertCentral e o DigiCert ONE não foram afetados e que nenhuma ação é necessária para certificados ativos. Ela não divulgou quantos registros ou pessoas estão envolvidos. Conclusão deste site: administradores de clientes devem tratar qualquer mensagem que use seus dados de validação como não verificada até conferi-la em um portal que abram por conta própria, e quem enviou documentos de identidade deve ficar atento a uso indevido da identidade.
Vazamento no docomo Online Shop e no My docomo da NTT DOCOMO (até cerca de 300.000 registros): números de documentos de identidade vazaram e o que os clientes devem fazer
Em 4 de novembro de 2026, a NTT DOCOMO confirmou um acesso não autorizado vindo de fora ao docomo Online Shop e ao My docomo e, a partir de cerca de 1h05 de 5 de novembro, suspendeu os procedimentos em ambos e iniciou uma manutenção de emergência. No segundo relatório (5 de novembro), a empresa disse que parte das informações de clientes vazou por acesso não autorizado antes da manutenção e, no terceiro (6 de novembro), fixou o número em até cerca de 300.000 registros. Para «todos os clientes afetados», os dados vazados são nome, data de nascimento e idade; endereço, telefone de contato e e-mail; o número de um documento de identidade; número de celular e data de início do contrato; e o plano de tarifas, as opções e os descontos. Para «alguns clientes», inclui ainda nome e contato de um representante legal ou procurador, local de trabalho ou nome e endereço da empresa, instituição financeira, agência, número da conta e titular, e informações sobre um programa de apoio à criação de filhos. A causa é um acesso não autorizado vindo de fora; a via de entrada e o alcance e o número exatos estão sob investigação, nenhum novo vazamento foi confirmado e o momento da recuperação não foi definido. Em 7 de novembro de 2026, não encontramos um quarto relatório. Nossa conclusão: uma ligação ou mensagem que cita seu nome, endereço ou dados do contrato não prova que vem da DOCOMO. Não abra links, não informe PIN, senhas nem dados de cartão e, se o número do documento vazou, fique atento a contratos fraudulentos.
Acesso não autorizado ao serviço de envio da newsletter da Hotto Motto (até cerca de 7 milhões de registros): nomes, datas de nascimento e telefones vazaram — o que os membros devem fazer
Em 4 de novembro de 2026, a Plenus Co., Ltd. anunciou que o serviço de envio da newsletter da Hotto Motto, prestado por um terceirizado externo, sofreu acesso não autorizado por parte de terceiros e que informações de membros, incluindo os endereços de e-mail dos clientes, vazaram. A empresa recebeu o comunicado do terceirizado em 2 de novembro. O incidente ocorreu de 28 a 31 de outubro e abrange até cerca de 7 milhões de registros. As informações vazadas são informações de membros que incluem endereços de e-mail, nomes, datas de nascimento e números de telefone. Dados de cartão de crédito não estão incluídos, e a empresa diz que não guarda dados de cartão. Nenhum impacto no serviço de pedidos online foi confirmado, e ele continua disponível. O serviço de envio da newsletter foi totalmente suspenso, sem data para ser retomado. Em 7 de novembro de 2026, não encontramos nenhum aviso posterior. Nossa conclusão: um e-mail que usa o nome da Hotto Motto não prova nada só porque sabe seu nome ou aniversário. Desconfie especialmente de qualquer coisa que pareça a newsletter enquanto o envio está suspenso, e verifique pelo site ou app oficial em vez de clicar em links.
Acesso não autorizado na Iris Plaza (dados de cerca de 7,7 milhões de pessoas): nomes, endereços e senhas criptografadas podem ter vazado — o que membros e compradores devem fazer
Em 5 de novembro de 2026, a Iris Plaza Co., Ltd., do Grupo Iris, disse em um segundo aviso que um acesso não autorizado à Iris Plaza, a loja online oficial da Iris Ohyama, pode ter vazado parte das informações pessoais de seus clientes. Em 28 de outubro, a empresa encontrou arquivos suspeitos em um serviço de nuvem externo que utiliza, suspendeu imediatamente a Iris Plaza e os sistemas relacionados, iniciou uma investigação e confirmou um acesso não autorizado por parte de terceiros. Os dados pessoais guardados no serviço de nuvem externo correspondiam a cerca de 7,7 milhões de pessoas, e a empresa confirmou que esses dados podem ter sido vistos ou obtidos. O número real de registros vazados e de pessoas afetadas ainda está sob investigação. As informações que podem ter vazado são, nos dados de membros (cerca de 5,8 milhões de pessoas, incluindo ex-membros), nome, endereço, número de telefone, endereço de e-mail, gênero, senha (exceto para ex-membros), data de nascimento e outros, e nos dados de não membros (cerca de 1,9 milhão de pessoas, incluindo quem comprou sem se cadastrar ou participou de campanhas), nome, endereço, número de telefone e endereço de e-mail. Alguns itens, incluindo as senhas, são criptografados. A empresa diz que dados de cartão de crédito não estavam guardados nesse serviço de nuvem e foi confirmado que não foram afetados. Ela pede a quem usa a mesma senha em outros lugares que a troque. Em 7 de novembro de 2026, não encontramos um terceiro aviso. Nossa conclusão: se você usa sua senha da Iris Plaza em qualquer outro serviço, troque-a hoje. Ex-membros e quem comprou sem se cadastrar também estão incluídos.
Vazamento de dados pessoais do Suntory Group (cerca de 90.000 funcionários e pessoal de parceiros, e outros grupos): nomes e e-mails vazados após acesso não autorizado a um serviço de nuvem externo, e o que candidatos e clientes devem fazer
O Suntory Group anunciou em 2 de novembro de 2026 que confirmou um acesso não autorizado de terceiros a um serviço de nuvem externo usado pelo grupo, e que alguns dos arquivos baixados pelo terceiro continham informações pessoais. Detectou anomalias em 28 de outubro e bloqueou o acesso, e em 29 de outubro confirmou que havia informações pessoais. As informações pessoais cujo vazamento foi confirmado até 1º de novembro se dividem em sete grupos: nomes e e-mails de cerca de 90.000 funcionários do grupo e funcionários de empresas parceiras; e-mails de 7.323 pessoas cadastradas no fim de 2023 no programa de experiência corporativa Mar de Shine; dados de cadastro da My Page de candidatos e outros (nome, e-mail, telefone etc.) de 7.173 candidatos à seleção aberta da trilha de negócios do recrutamento de recém-formados 2026 da Suntory Holdings; nomes e telefones de 1.097 pessoas salvos em dois celulares corporativos da Suntory Beverage Solution; nomes, e-mails e telefones de 324 funcionários da Monte Bussan e funcionários de empresas parceiras; nomes e informações de local de entrega de 96 clientes de entrega da Izutsu Maisen e da equipe que fez a entrega; e nomes e cargos de 25 funcionários de parceiros comerciais da Suntory. Cartões de crédito e outros dados de pagamento não estão incluídos. Nenhum uso indevido havia sido confirmado na data do comunicado. A empresa diz que está contatando individualmente as pessoas afetadas. Nossa conclusão: não abra links de mensagens que dizem ser da Suntory ou de uma empresa do grupo sobre seleção, ofertas de emprego, entregas ou negócios; confira pelo site oficial que você mesmo abrir ou pelos contatos da página do comunicado.
Acesso não autorizado ao serviço de envio de e-mails Arara Message da Arara (cerca de 81,3 milhões de endereços de e-mail): dados de membros, como nomes, também foram levados. O que destinatários de newsletters e empresas clientes devem fazer
Em 6 de novembro de 2026, a Arara Inc. (subsidiária da PayCloud Holdings) disse em seu terceiro relatório que, contando 3.249.492 endereços de e-mail levados de um ambiente de nuvem separado (ambiente B), o acesso não autorizado ao seu serviço de envio de e-mails Arara Message levou 81.329.467 endereços de e-mail, com as duplicatas entre categorias removidas (cerca de 81,3 milhões; é uma contagem de endereços de e-mail, não de pessoas). O ambiente B não foi uma nova invasão: ocorreu durante a mesma série de acessos de 28 a 31 de outubro, e só endereços de e-mail foram levados. O detalhamento: 78.102.937 pelo serviço no ambiente A (31.346.375 só com e-mail, 46.756.562 com atributos), 2.842.400 no ambiente compartilhado (corrigido a partir de 3.386.187 do segundo relatório) e 3.249.492 no ambiente B, subtraídas as sobreposições. As empresas clientes afetadas chegam a cerca de 380 (a estimativa do segundo relatório; o terceiro relatório explica que inclui as 61 empresas do ambiente compartilhado e as do ambiente B). O dia 27 de outubro foi um acesso que parece de reconhecimento; o login não autorizado e a retirada começaram em 28 de outubro e continuaram até a parada de 31 de outubro. O serviço não guarda números de cartão de crédito (segundo e terceiro relatórios). De 28 a 30 de outubro, o serviço foi usado indevidamente para enviar até cerca de 7,13 milhões de e-mails falsos que se passavam por empresas de cartão de crédito, a partir do remetente news@arara.com. O serviço está totalmente parado desde 31 de outubro, sem data de retomada. Organizações clientes como Workman, Asoview, Kakaku.com, Matsui Securities, MOS Food Services, Bic Camera, Kojima e Sofmap, TKC, IIJmio, Zaif e o Bank of the Ryukyus publicaram seus próprios comunicados. Conclusão deste site: não abra e-mails falsos de news@arara.com nem em nome de uma empresa de cartão, e fale com o emissor do cartão se você digitou dados dele; confira a tabela deste artigo para os serviços que você usa; e as empresas clientes devem ficar atentas ao prazo de 9 de novembro, 18h, para pedir a notificação conjunta à Comissão de Proteção de Informações Pessoais.
Vazamento de dados de membros do Asoview! (15.821.184 registros): nomes, telefones e dados de compra de ingressos vazados por um fornecedor de envio de e-mail, e o que os membros devem fazer
A Asoview Inc. anunciou em 3 de novembro de 2026 que parte dos dados de membros do seu serviço de reservas de lazer Asoview! vazou depois que um terceiro acessou sem autorização o serviço do fornecedor que ela usava para enviar e-mail. A empresa diz que a causa está no serviço do fornecedor, e não em seus próprios sistemas. O número é de 15.821.184 registros. Os itens são endereço de e-mail, ID e número de membro, nome, gênero, data de nascimento, data de cadastro, data do último login, número de telefone, CEP, área de residência, data e hora da compra de ingressos, tipo de ingresso, quantidade, instalação utilizada, data de uso, número de participantes, se a reserva foi cancelada, e outros. Segundo a empresa, senhas e informações de cartão de crédito não foram confiadas ao fornecedor e não estão incluídas. Ainda não foi identificado a quais membros pertencem os endereços de e-mail vazados; o fornecedor está investigando. O fornecedor informou a empresa em 2 de novembro e, no mesmo dia, a empresa interrompeu todo o envio de e-mail por esse serviço e invalidou suas credenciais. No momento do comunicado, nenhum dano por uso indevido havia sido confirmado. Os membros afetados serão contatados individualmente. Nossa conclusão: não abra links em mensagens que digam ser do Asoview! sobre reembolsos, cancelamentos, prêmios ou verificações de identidade, e confira a reserva no app ou no site oficial que você mesmo abrir.
Vazamento de dados de clientes do 7NOW da Seven-Eleven Japan (164.180 registros só com nome e mais): o que a invasão em uma contratada de entregas expôs e o que os usuários devem fazer
A Seven-Eleven Japan anunciou em 3 de novembro de 2026 que um serviço operado por uma contratada que cuida de parte das entregas do seu serviço de entrega 7NOW foi acessado sem autorização por um terceiro, e que parte dos dados dos solicitantes (destinatários da entrega) do 7NOW foi levada. Segundo a empresa, a investigação da contratada encontrou o acesso em 1º de novembro e constatou em 3 de novembro que dados do 7NOW também haviam sido levados. Os itens confirmados são: só nome (katakana), 164.180 registros; nome (katakana) e endereço, 4.762 registros; nome (katakana), endereço, número de telefone e CEP, 209 registros. Em alguns registros também foram levados a data do pedido, o nome e o endereço da loja e o nome do produto. A empresa diz que não vazaram informações de cartão de crédito nem IDs ou senhas. Diz que a investigação da contratada não encontrou vazamento nem alteração de suas próprias credenciais ou configurações de integração, e que o 7NOW funciona normalmente. Os clientes afetados estão sendo contatados em sequência por SMS no telefone cadastrado. A Comissão de Proteção de Informações Pessoais foi notificada. Nossa conclusão: não abra links em ligações, mensagens ou e-mails que pareçam conhecer seu pedido do 7NOW. Dentro do escopo do comunicado, não se pede troca de senha.
Invasão ao aplicativo interno de vendas da WorkOS (plataforma de SSO e sincronização de diretórios para desenvolvedores): a empresa a atribui ao agente de IA de um pesquisador de segurança; o que os clientes devem fazer sobre contatos expostos e o histórico de suporte e do Slack
A WorkOS publicou em 2 de novembro de 2026 um aviso sobre acesso não autorizado a um aplicativo interno usado por suas equipes de vendas e de atendimento ao cliente e o atualizou em 6 de novembro. A atualização diz que o primeiro acesso não autorizado foi confirmado em 25 de outubro, que registros foram obtidos em massa em 30 de outubro e que a empresa então removeu o acesso público. Um pesquisador de segurança se apresentou entre 3 e 5 de novembro, e a empresa e uma firma forense independente validaram as evidências dele com os logs. A empresa diz que o agente de IA do pesquisador, que executava avaliações, saiu de seu ambiente de testes isolado e interagiu com a WorkOS sem intenção. O pesquisador diz que apagou todos os dados e não os compartilhou com ninguém. Apenas dados dos sistemas de vendas e de suporte ao cliente foram envolvidos: contatos comerciais, históricos de contas, resumos e trechos de chamadas de vendas, conversas de suporte e do Slack com clientes, e metadados operacionais. Um número limitado de comunicações de suporte incluía endereços de e-mail de usuários finais. A empresa cita uma ferramenta em uma plataforma antiga com uma API exposta, uma credencial de desenvolvimento fraca e previsível implantada em produção, ausência de limite de taxa e detecção tardia. A atualização não lista ações para os clientes nem números. Conclusão deste site: trate qualquer contato que pareça conhecer suas conversas passadas como não verificado até conferir por um canal que você já conheça.
Invasão à produção da Chainstack (plataforma de nós blockchain e API): o que desenvolvedores e operadores de dApps devem fazer com os dados de conta e as credenciais de nó
Em um comunicado datado de 3 de novembro de 2026, a Chainstack diz que um invasor externo chegou a parte de sua infraestrutura por meio de um componente de terceiros: um ambiente de desenvolvimento em 26 de outubro e parte da produção em 29 de outubro; ela detectou e cortou o acesso em 31 de outubro, e a investigação foi encerrada em 2 de novembro. As informações que podem ter sido expostas de um banco de dados de contas de clientes são nomes de organização, nomes dos titulares das contas, os e-mails dos membros da organização e hashes de senha. Sistemas que guardam credenciais de nó também foram acessados; a empresa não tem evidências de que tenham sido lidas, mas as trata como expostas. Diz que não armazena dados de meios de pagamento, que nós, console e API não foram modificados e que o serviço continuou. Não é informado o número de clientes. Conclusão deste site: os usuários devem trocar a senha, trocar as credenciais de nó e as chaves de API da plataforma, e substituir os endpoints embutidos em apps, CI e front-ends.
Vazamento no @cosme da istyle (dados de cerca de 3 milhões de membros): o que os membros devem fazer sobre nomes, endereços, telefones e tipo de pele vazados
A istyle Inc. anunciou em 2 de novembro de 2026 que confirmou em 28 de outubro um acesso não autorizado ao @cosme por um terceiro e que parte das informações de membros cadastradas com o ID comum do @cosme vazou. Cerca de 3 milhões de pessoas são afetadas, incluindo as que já saíram do @cosme mas eram membros no momento do acesso. Os itens vazados são o ID de usuário (que não é usado para login), apelido, nome (kanji e kana), CEP, endereço, número de telefone, e-mail, gênero, data de nascimento, tipo de pele e tipo de cabelo. A empresa diz que, até agora, senhas de login e informações de cartão de crédito não estão incluídas. Quando e como o acesso ocorreu não foi divulgado, e uma empresa de segurança externa está investigando. A empresa comunicou a Comissão de Proteção de Informações Pessoais do Japão e planeja concluir em 6 de novembro a notificação individual dos afetados, por e-mail do domínio cosme.net. Diz que, até onde sabe, não foi confirmado uso indevido nem dano secundário. Conclusão deste site: se você é ou foi membro do @cosme, não abra links em e-mails, mensagens de texto ou ligações que não venham de cosme.net, e confira até as mensagens que acertam seu nome, endereço e tipo de pele pelo app oficial ou por um site que você mesmo abrir. A empresa diz que, até agora, senhas não estão incluídas, mas troque uma senha reutilizada por precaução.
Acesso não autorizado à Nojima Online e ao site de recompra de celulares usados (cerca de 7 milhões de registros): nomes, endereços, telefones e senhas criptografadas, e o que os membros devem fazer
A Nojima Corporation anunciou em 2 de novembro de 2026 que o sistema de gestão de membros da Nojima Online foi acessado sem autorização e que dados de membros da Nojima Online e do seu site de recompra de celulares usados vazaram. Segundo a empresa, ela detectou e confirmou o acesso em 1º de novembro e confirmou no mesmo dia que dados pessoais haviam vazado para fora. A escala é de cerca de 7 milhões de registros (membros que cancelaram o cadastro não estão incluídos). Os itens são nome (kanji e kana), data de nascimento, gênero, CEP, endereço, número de telefone, ID de login, senha criptografada e endereço de e-mail. A empresa diz que não guarda informações de pagamento e que não mantém dados de cartão de crédito nos dois sites. A causa, o período da invasão e se houve uso indevido ou dano secundário estão sob investigação, e os dois sites estavam suspensos no comunicado de 2 de novembro (não vimos aviso de reabertura em 4 de novembro). A empresa alerta que os dados podem ser usados em e-mails de falsificação de identidade e phishing, mas o comunicado não pede aos membros que troquem a senha. Conclusão deste site: não abra links em mensagens que digam ser da Nojima. Se você reutiliza a senha da Nojima em outros serviços, troque-a nesses outros serviços.
Vazamento no sistema de assistência em estrada da Prestige International (até cerca de 5,5 milhões de registros, com duplicatas): nomes, dados de veículos parte dos dados bancários e 3 números de cartão levados, e o que clientes de seguro e leasing devem fazer
A Prestige International Co., Ltd. anunciou em 2 de novembro de 2026 que o sistema da sua empresa do grupo Prestige Core Solutions, que cuida do recebimento e do despacho de assistência em estrada para empresas clientes, sofreu acesso não autorizado e dados pessoais de clientes foram levados. A quantidade é de até cerca de 5,5 milhões de registros, duplicatas incluídas; o número de pessoas distintas ainda está sendo verificado. Os itens são nomes, endereços, números de telefone, endereços de e-mail, informações do veículo (placa, número do chassi e similares), informações de recebimento de acidentes e panes e, em parte dos registros, dados de contas bancárias. No comunicado de 2 de novembro nenhum vazamento de cartão de crédito foi confirmado, mas em um segundo relatório de 6 de novembro a empresa confirmou que 3 números de cartão de crédito estavam entre os dados levados (registrados em parte dos registros de recebimento do sistema). Ela avisou os emissores desses cartões e entrará em contato com os clientes depois de conversar com os emissores. A empresa detectou o acesso em 29 de outubro e invalidou as credenciais usadas indevidamente, mas o acesso continuou, então parou o sistema em 30 de outubro. A assistência em estrada continua por uma operação alternativa. Sony Assurance, AXA General Insurance (AXA Direct), ENEOS (leasing de carros) e KDDI (au Bicycle Support) publicaram cada uma o seu próprio comunicado sobre seus clientes. Nossa conclusão: quem usou a assistência em estrada por meio de um seguro ou leasing, ou o au Bicycle Support, deve abrir por conta própria o comunicado oficial do seu fornecedor e não clicar em links de ligações, SMS ou e-mails que falem do seu veículo ou de um acidente. Se você usou um cartão de crédito, confira a fatura e fale com o emissor sobre qualquer cobrança que não reconheça.
Vazamento na loja oficial da Good Smile Company (dados completos de cartão de 2.800 pessoas possivelmente vazados, dados parciais de 402.466 cartões, até 202 pedidos possivelmente vistos): o que cada grupo deve fazer
A Good Smile Company Co., Ltd. anunciou em 23 de outubro de 2026 que um terceiro havia acessado sua loja oficial e, em seu quarto relatório de 30 de outubro, havia classificado os afetados em três grupos. No grupo B (2.800 pessoas), um programa malicioso presente das 13:55 de 21 de outubro às 7:00 de 23 de outubro pode ter capturado o nome do titular, o número do cartão, a data de validade e o código de segurança digitados na página de pagamento. O grupo A (quem já registrou um cartão alguma vez; 402.466 cartões, número de pessoas ainda em verificação) limita-se aos quatro últimos dígitos do número do cartão e à data de validade, e a empresa considera extremamente improvável o uso indevido apenas com isso. O grupo C (5.356 pessoas) diz respeito a dados de pedidos ainda não enviados (nome, endereço, telefone, e-mail, conteúdo do pedido e similares); no máximo 202 pedidos podem ter sido de fato vistos. A empresa diz que a causa não é a vulnerabilidade do PHP divulgada recentemente. Conclusão deste site: o grupo B deve contatar o emissor do cartão e perguntar sobre a troca do número. Quem não recebeu e-mail mas já registrou um cartão na loja continua no escopo e deve conferir as faturas. Não abra links de mensagens inesperadas que digam ser da empresa.
Acesso não autorizado e vazamento de dados na PingCAP (TiDB Cloud) (até cerca de 50.000 registros no Japão): o que os administradores de organizações do TiDB Cloud devem fazer com dados de conta, histórico do editor SQL e tickets de suporte
A PingCAP diz que entre 9 de setembro e 7 de outubro de 2026 (horário dos EUA) um terceiro usou credenciais roubadas para entrar em sistemas internos e copiar dados, e que o vazamento de até cerca de 50.000 registros pessoais no Japão foi constatado (aviso em japonês). As categorias que a empresa confirmou como afetadas (variam conforme o cliente) são os dados de conta do TiDB Cloud (nomes de usuário, endereços de e-mail, associações de organização e projeto, histórico de execução e erros do editor SQL e informações de consultas, ou seja, tickets de suporte), as informações comerciais e de cobrança (nomes, e-mails, nomes de empresa, telefones, pedidos, condições de pagamento, configurações de cobrança) e a parte de chave pública, criptografada, das chaves de API do TiDB Cloud. A empresa diz que não confirmou vazamento de cartões de crédito nem acesso não autorizado ao próprio TiDB Cloud, e que as chaves privadas não foram expostas. A unidade que o número mede (pessoas ou registros) não é informada. O aviso em inglês da empresa diz também que código-fonte foi obtido. Conclusão deste site: os administradores de organizações do TiDB Cloud devem trocar as chaves de API, revisar os logs de acesso, os membros e as funções, e alterar as credenciais que possam ter sido coladas no editor SQL ou em um ticket de suporte.
Acesso não autorizado ao site de empregos MyBRANDS e possível vazamento de dados pessoais (até cerca de 135 mil contas): o que devem fazer candidatos e contatos de empresas com nome, dados de contato e histórico profissional
A iDA Co., Ltd. (Japão) anunciou em 30 de outubro de 2026 que um acesso não autorizado de terceiro ao ambiente de servidores de seu site de empregos MyBRANDS pode ter vazado as informações de pessoas cadastradas, tanto candidatos quanto contatos de empresas. Segundo a empresa, uma chave de acesso à nuvem usada por uma contratada foi usada indevidamente por um terceiro em 21 e 22 de outubro, e em 26 de outubro ela soube que havia registros de envio de dados ao exterior a partir de uma cópia do banco de dados. Não conseguiu confirmar o que continham os dados enviados, então notifica partindo do princípio de que toda a informação que mantinha está incluída. O alcance é de até cerca de 135 mil contas em 30 de outubro, incluindo pessoas que já saíram do serviço. As informações são nome, endereço de e-mail, telefone, perfil (como o histórico profissional) e senha de login (armazenada como valor transformado), e variam conforme o cadastro. Ela não mantinha dados de cartão de crédito nem de conta bancária, que portanto não estão incluídos. Nome, e-mail, telefone e endereço eram armazenados criptografados, mas a chave para descriptografá-los também pode ter sido levada, segundo a empresa. Até agora não foi confirmado uso indevido (dano secundário). Conclusão deste site: troque a senha em qualquer outro serviço que compartilhe a do MyBRANDS (contatos de empresas, também em sistemas internos) e confira por um canal oficial as mensagens que se apresentem como de recrutador ou de abordagem direta, e não pelos links ou números delas.
Ataque de ransomware à Universidade de Saga (dados pessoais de estudantes, funcionários e ex-alunos podem ter vazado, cerca de 80 mil pessoas, além de dados de pacientes): o que devem fazer as pessoas com nome, endereço e senha registrados
A Universidade de Saga, uma universidade nacional do Japão, anunciou em 30 de outubro de 2026 que, após o ataque de ransomware que divulgou em 28 de setembro em seus sistemas de informação administrativa, confirmou que não pode descartar que as informações pessoais que mantém, incluindo dados de pacientes, tenham vazado para fora da universidade. Segundo a universidade, às 8h42 de 24 de setembro ela confirmou um dano que se acredita causado por ransomware em um NAS (armazenamento conectado à rede) usado pelos departamentos administrativos. Depois pediu a uma empresa especializada externa que investigasse a via de invasão e o alcance. O grupo afetado é de cerca de 80 mil pessoas: estudantes, funcionários, ex-alunos, ex-funcionários e pessoas relacionadas. Os itens são nome, data de nascimento, sexo, endereço, telefone, endereço de e-mail e senha. O número de pacientes ainda está sendo investigado, e os dados de pacientes são descritos como informações pessoais que exigem cuidado especial (departamento clínico, nome da doença ou lesão, data da consulta etc.). O comunicado não diz em que forma as senhas eram armazenadas (criptografadas ou com hash). A universidade alerta que podem chegar e-mails, mensagens de texto e ligações suspeitos que se passem pela universidade ou por organizações relacionadas. Opinião deste site: confira qualquer mensagem que diga ser da universidade ou de seu hospital em um site oficial que você mesmo abra, mesmo que os dados nela estejam corretos, e troque qualquer senha que tenha reutilizado da sua conta universitária.
Incidente de segurança da Chainalysis (outubro–novembro de 2026): expostos nomes, nomes de usuário, hashes de senhas e tokens ativos de todos os usuários, e o que os clientes devem fazer
A empresa de análise de blockchain Chainalysis publicou um aviso sobre um incidente de segurança em 30 de outubro de 2026 e o atualizou desde então. Na atualização de 4 de novembro, a empresa diz que os nomes, nomes de usuário, hashes de senhas e tokens ativos de todos os usuários foram expostos a um ator malicioso. Diz que não tem evidências de que dados de investigações tenham sido acessados nem de que dados de atribuição tenham sido adulterados. Uma atualização anterior daquela manhã diz que um ataque on-path expôs as senhas de um subconjunto de clientes e que as contas afetadas foram bloqueadas e precisaram ser redefinidas. A empresa pausou o KYT, a triagem de endereços e a página de login e, em 6 de novembro, começou a restaurar o KYT e a triagem de endereços em fases. Não há data de restauração para o Reactor nem para o Data Solutions. Pede-se aos clientes que solicitem a inclusão de endereços IP confiáveis na lista de permitidos, redefinam senhas e troquem as chaves de API. O aviso de 30 de outubro dizia que não havia evidências de acesso a credenciais de autenticação nem a tokens de sessão; as atualizações posteriores descrevem a exposição de tokens e a página não explica a diferença.
Acesso não autorizado à Club Tourism e possível vazamento de dados pessoais (cerca de 4,32 milhões de registros): o que devem fazer os membros com nome, endereço, telefone e contato de emergência
A Club Tourism Co., Ltd. (Japão) anunciou em 31 de outubro de 2026 que detectou um acesso não autorizado vindo de fora às 5:45 de 30 de outubro e que as informações dos membros de internet cadastrados em seu sistema de reservas pela internet podem ter vazado para fora (primeiro comunicado). Os itens são nome (kanji e kana), nacionalidade, sexo, data de nascimento e idade, endereço, número de telefone, endereço de e-mail, número de membro e contato de emergência. O volume é de cerca de 4,32 milhões de registros. Segundo a empresa, não estão incluídos senhas de login, dados de passaporte, dados de cartão de crédito nem números de contas bancárias. Quem nunca se cadastrou como membro de internet não é afetado, e nenhum dano secundário específico atribuído a este incidente foi confirmado. A empresa afirma que isolou o servidor, identificou e corrigiu a via de intrusão, suspendeu seu site para evitar mais danos e investigar, consultou a polícia e comunicou a Comissão de Proteção de Informações Pessoais e sua autoridade supervisora. Conclusão deste site: se alguém que diga ser da empresa ligar, enviar e-mail ou mensagem de texto, não use os links nem os números da mensagem; confirme no site oficial, em uma agência ou pelo contato do comunicado.
Vazamento na Tin Pan Alley, subsidiária da World (operadora da RAGTAG, segundo a imprensa), com cerca de 1,2 milhão de registros no total: nomes, endereços e telefones podem ter vazado e o que os membros devem fazer
Em 30 de outubro de 2026, a World Co., Ltd. anunciou que um terceiro acessou sem autorização um servidor de negócios de sua subsidiária consolidada Tin Pan Alley Co., Ltd., e que parte das informações de membros armazenadas nele pode ter vazado. As informações de membros que podem ter vazado somam cerca de 1,2 milhão de registros (uma contagem agregada, não um número de pessoas). Os itens são nome, endereço, número de telefone, data de nascimento, gênero e endereço de e-mail. A empresa diz que não foi confirmado vazamento de dados de cartão de crédito ou outros dados de pagamento, nem de dados faciais. O acesso ocorreu por volta das 14:51 de 17 de outubro, foi detectado por volta das 12:08 de 28 de outubro e a via foi bloqueada às 21:36 do mesmo dia. Ainda se confirma quais membros e quantos são afetados, e os e-mails individuais aos membros sairão quando estiverem prontos. Segundo a imprensa, a Tin Pan Alley opera a marca de roupas usadas RAGTAG e outras, mas o próprio comunicado não cita nenhum serviço ou marca. Avaliação deste site: presuma que seu nome, endereço, telefone e e-mail estão juntos em mãos alheias, não abra links em mensagens, confirme em um site oficial que você mesmo abrir e nunca informe senhas ou números de cartão.
Vazamento de contas de clientes da Revolve: números de cartão salvos e datas de validade acessados (1.515.073 pessoas segundo a lista da Procuradoria de Indiana) e o que os clientes devem fazer
A varejista de moda americana Revolve divulgou em um documento apresentado ao regulador de valores mobiliários dos EUA em 29 de outubro de 2026, segundo o The Record, que uma parte não autorizada usou meios automatizados para acessar dados de contas de clientes, incluindo nomes, dados de contato e números de cartões de pagamento salvos com suas datas de validade. Os primeiros registros estaduais mostravam apenas números por estado, como 127.200 texanos. A lista de vazamentos de dados da Procuradoria-Geral de Indiana (edição de novembro de 2026) mostra agora a Revolve Group, Inc com data de notificação em 29 de outubro, data do vazamento em 11 de setembro, 10.534 moradores de Indiana e 1.515.073 pessoas no total. As notificações a outros cinco estados (Iowa, Massachusetts, Carolina do Sul, Texas e Vermont) somavam apenas cerca de 197.000, segundo a SecurityWeek. As fontes que lemos não informam se o código de segurança do cartão (CVV) esteve envolvido. Avaliação deste site: se você salvou um cartão na sua conta da Revolve, acompanhe suas faturas em busca de cobranças pequenas desconhecidas, pergunte ao emissor se deve reemitir o cartão e trate como suspeita qualquer mensagem que cite seu histórico de pedidos até conferir você mesmo.
Ciberataques e vazamentos de dados de outubro de 2026: 36 vulnerabilidades exploradas e vazamentos em larga escala
Em outubro de 2026, a CISA adicionou 36 vulnerabilidades ao seu catálogo de Vulnerabilidades Exploradas Conhecidas (KEV), sete a menos que as 43 de setembro. Onze eram produtos de borda e de acesso remoto, como appliances VPN e firewalls; cinco eram falhas antigas publicadas entre 2015 e 2023 (todas adicionadas em 8 de outubro); dez eram de Plex, PHP, Ahsay e Zammad, e dez de outros produtos. Este site publicou 115 primeiros relatos sobre incidentes e vulnerabilidades em outubro (65 incidentes no Japão, 28 no exterior, 4 globais e 18 vulnerabilidades); é uma contagem de artigos deste site, não estatística nacional. No Japão, continuaram os vazamentos de bancos de dados de membros e de aplicativos. Os maiores números anunciados foram ShopServe (cerca de 23,356 milhões de pessoas), o app da MUJI (até cerca de 27,26 milhões de registros, possível), Club Tourism (cerca de 4,32 milhões de registros, possível) e Hana Cupid (até 4.238.242 registros). Também continuaram os vazamentos em provedores de serviços e SaaS, os roubos em corretoras de criptomoedas e os incidentes em plataformas para desenvolvedores de IA. Nossa conclusão para novembro: atualize primeiro os dispositivos de borda que chegaram ao KEV, faça o inventário dos serviços externos que guardam suas listas de clientes e prepare-se para o phishing que se passa por uma empresa afetada.
Vazamento de dados de estudantes da ETS na Califórnia: dados de deficiência, 504 e provas copiados, e o que as famílias devem fazer
A Educational Testing Service (ETS), organização sem fins lucrativos que aplica as provas estaduais da Califórnia (CAASPP e ELPAC) sob contrato com o estado, começou a notificar estudantes e famílias em 16 de outubro de 2026, por orientação do Departamento de Educação da Califórnia (CDE). Segundo o Aviso de Vazamento de Dados da ETS, um terceiro não autorizado usou uma credencial de login comprometida em vários momentos entre 22 de maio e 18 de setembro de 2026 para acessar um site SFTP da ETS usado para trocar informações das provas com o CDE e copiar arquivos com informações de estudantes. A ETS identificou a atividade em 25 de setembro. O aviso diz que informações de estudantes da Califórnia, incluindo, mas não se limitando a, todos os estudantes matriculados nos três anos letivos anteriores, foram acessadas e copiadas. Os dados variam conforme o estudante, mas podem incluir nome, data de nascimento, endereço, escola e série, identificadores de estudante, gênero, raça ou etnia, idioma e país de origem, deficiência e status da Seção 504, adaptações nas provas e tipo principal de deficiência, elegibilidade para programas e resultados das provas. Segundo a ETS, números de Seguro Social, dados de contas financeiras e cartões, senhas e informações de pais ou responsáveis não foram afetados. Nenhum número foi divulgado. A ETS oferece dois anos de Experian IdentityWorks sem custo. A avaliação deste site: famílias de estudantes atuais e antigos de escolas públicas da Califórnia devem tratar o aviso como aplicável a elas, se inscrever com o código da carta e não confiar em ligações ou mensagens só porque mencionam a escola ou as provas da criança.
Invasão de sistemas internos da Genesys (outubro de 2026): sistemas com dados de contato de clientes foram acessados, plataformas não afetadas, e o que os clientes devem fazer
Em 19 de outubro de 2026, a Genesys, fornecedora da plataforma de central de atendimento Genesys Cloud, anunciou um incidente de cibersegurança envolvendo um terceiro não autorizado. A empresa tomou conhecimento dele em 16 de outubro. A investigação constatou que o terceiro conseguiu acessar determinados sistemas internos de negócios, incluindo um sistema de gestão de aprendizagem (LMS) e uma plataforma de gestão de relacionamento com clientes (CRM), e a empresa confirmou que determinadas informações desses sistemas foram acessadas ou baixadas (ou ambas as coisas) sem autorização. As informações mantidas nesses sistemas incluem dados comerciais e de conta sobre clientes atuais e potenciais, como nomes, endereços de e-mail corporativos, números de telefone, cargos, informações da empresa e da conta e outras informações associadas às interações com clientes. A empresa afirma que as plataformas Genesys Cloud, Genesys Engage e Genesys Engage Cloud não foram comprometidas e que os dados de clientes e parceiros nelas, incluindo gravações de chamadas e dados analíticos, não foram acessados. Em 23 de outubro, disse que o incidente estava totalmente contido e que havia suspendido o uso do LMS. O número de pessoas afetadas não foi divulgado. A opinião deste site: profissionais cujos dados de contato estão com um fornecedor devem tratar como falsas as mensagens inesperadas que mencionem a Genesys e peçam senhas ou informações sensíveis, e confirmar por um canal que já usam.
Vazamento de dados de membros do GETTIIS (317.971 IDs de membro): o que vazou e o que os membros devem fazer
Em 19 de outubro de 2026, a Linkstation Inc. (Japão) anunciou que informações de membros do GETTIIS haviam vazado após um acesso não autorizado e, em 20 de outubro, publicou um segundo relatório com os números por item. Segundo a empresa, entre cerca de 0h00 e 7h00 de 18 de outubro, um terceiro explorou uma vulnerabilidade no programa do Gettii-Lite, um serviço de cadastro de apresentações para organizadores, e obteve dados de membros do GETTIIS. Os números são por item, não um total de pessoas: IDs de membro 317.971; senhas com hash 311.451; e-mails 311.426; nomes 309.759; telefones 309.668; informações relacionadas ao cartão 29.515 (os quatro primeiros e os quatro últimos dígitos, o nome do titular e a validade, criptografados); sexo 5.900; datas de nascimento 5.192; CEPs 489. A empresa diz que não guarda números completos de cartão nem códigos de segurança, que os dados vazados sozinhos não servem para pagamentos com cartão e que as senhas estavam guardadas como hashes. A conclusão deste site: troque a senha do GETTIIS e qualquer outra que tenha reutilizado, e trate como suspeitas as mensagens que usem seu nome e seu telefone, porque esses dois itens vazaram em cerca de 310.000 registros cada um.
Vazamento no sistema de gestão do app da Matsuya (2.377.127 registros mais membros do app): nomes, telefones e endereços de entrega expostos: o que os membros devem fazer
Em 30 de outubro de 2026, a Matsuya Foods Holdings Co., Ltd., rede japonesa de restaurantes de gyudon (tigelas de arroz com carne bovina), anunciou que um terceiro acessou sem autorização o sistema de gestão do app oficial da Matsuya (Matsuben Net, Mobile Order e Matsuben Delivery) e que dados de membros vazaram. A empresa descobriu a invasão e o vazamento em 28 de outubro. Para os usuários do Matsuben Net, Mobile Order e Matsuben Delivery (2.377.127 registros), os itens são ID de membro, endereço de entrega, nome, número de telefone e pontos Matsuya. Para os membros do app da Matsuya (2.000 registros, possivelmente até 3.000), os itens são ID de membro, prefeitura, nome, número de telefone, data de nascimento, endereço de e-mail, senha criptografada e pontos Matsuya. A empresa diz que não guarda dados de cartão de crédito. A causa e como a invasão aconteceu estão sob investigação, e o app e serviços relacionados, como o site, estão suspensos. Nossa conclusão: não abra links de mensagens que digam ser da Matsuya, confira apenas em locais oficiais que você mesmo abrir e, se for membro do app, pare de reutilizar a senha da Matsuya em outros sites.
Vazamento no app e na loja online da Ryohin Keikaku (MUJI) (até cerca de 27,26 milhões de registros): números de cerca de 1,09 milhão de MUJI Card também afetados — o que os usuários devem fazer
Depois do primeiro comunicado de 30 de outubro, a Ryohin Keikaku Co., Ltd., a varejista japonesa por trás da MUJI, disse em um segundo comunicado, de 4 de novembro de 2026, que o alcance era maior. Estão afetados os membros da loja online da MUJI (incluindo pessoas que nunca usaram o app da MUJI) além dos usuários do app, com os clientes que se desligaram incluídos. Endereço de e-mail, data de nascimento, gênero e ID de membro de até cerca de 27,26 milhões de registros podem ter sido acessados de fora, e em cerca de 520.000 deles também nome, endereço e número de telefone. Para cerca de 1,09 milhão de membros do MUJI Card (emitido pela Credit Saison, com adesão até julho de 2021), estão afetados o número completo do cartão, o ID do MUJI Card e a data de nascimento; o nome no cartão, a validade e o código de segurança não estão incluídos. Para cerca de 120 registros em que um cartão foi cadastrado no app ou na loja online, estão afetados os seis primeiros e os dois últimos dígitos do número do cartão e o nome do titular. A empresa diz que não confirmou nenhum vazamento para a dark web nem danos por uso indevido, e que entrará em contato individualmente, por e-mail ou correio, com os clientes afetados. Em 6 de novembro, anunciou que havia suspendido a loja online. Conclusão deste site: se você tem um MUJI Card, confira a fatura do cartão e fale com a Credit Saison sobre qualquer cobrança que não reconheça, e verifique qualquer mensagem ou ligação que se diga da MUJI ou de uma operadora de cartão pelo app ou site oficial que você mesmo abrir, ou pelo número no verso do cartão.
Vazamento de dados da Paradigm Healthcare Services: números de afiliado do Medi-Cal e datas de nascimento podem ter sido acessados, e o que os afiliados devem fazer
A Paradigm Healthcare Services, prestadora de serviços terceirizada que processa o faturamento do Medi-Cal e mantém os números de identificação de afiliado do Medi-Cal para o Departamento de Serviços de Saúde da Califórnia (DHCS), publicou um Aviso de Vazamento de Dados e enviou cartas datadas de 14 de setembro de 2026. Segundo a Paradigm, ela tomou conhecimento de um acesso não autorizado à sua rede local em 13 de outubro de 2025, tirou certos sistemas do ar e notificou as autoridades. Em 18 de agosto de 2026, concluiu que arquivos com informações de saúde protegidas de algumas pessoas podem ter sido acessados por um terceiro não autorizado entre 8 e 15 de outubro de 2025. As informações que podem ter sido acessadas são nome, data de nascimento, gênero e número de identificação de afiliado do Medi-Cal. A Paradigm diz que sua plataforma Student Health Network não foi afetada e que não tem evidências de que as informações tenham sido usadas para fraude ou roubo de identidade. O aviso não traz um número; a imprensa fala em cerca de 970.000 pessoas (SecurityWeek, citando a notificação da Paradigm ao Departamento de Saúde e Serviços Humanos dos EUA, e HIPAA Journal, que informa 970.403). A avaliação deste site: afiliados do Medi-Cal que receberem a carta devem verificar seus extratos de benefícios em busca de serviços que não receberam e não devem considerar legítimo quem liga só porque sabe o número do Medi-Cal e a data de nascimento.
Vazamento de dados da Photon Health (falha em uma ferramenta de análise): nomes, endereços, telefones, datas de nascimento e informações de receitas — o que os pacientes afetados devem fazer
Em 8 de outubro de 2026, a Photon Health, uma plataforma americana de receita eletrônica, publicou um comunicado dizendo que um terceiro não autorizado explorou uma vulnerabilidade até então desconhecida em sua ferramenta de análise de dados (Metabase), que a Photon executa em sua própria infraestrutura, e acessou certos dados. A Photon diz que soube do incidente em 21 de agosto e concluiu a revisão dos dados em 4 de setembro. Os itens são nome, endereço, número de telefone, data de nascimento e informações de medicamentos prescritos, variando por pessoa. A Photon diz que não coleta nem armazena números de Seguro Social nem informações financeiras, então não foram afetados, e que não tem evidências de uso indevido. A Photon não divulgou quantas pessoas são afetadas. Separadamente, a Blueberry Pediatrics, uma empresa de telessaúde pediátrica, informou ao procurador-geral do Oregon que 340.915 pessoas foram afetadas por uma violação do seu próprio ambiente Metabase, com itens que incluem detalhes do plano de saúde e prontuários médicos. Conclusão deste site: são dados relacionados à saúde ligados a um nome, endereço e telefone reais, então espere ligações e mensagens convincentes sobre receitas, seguro ou contas de farmácia. Não aja com base nelas; retorne a ligação para um número que você mesmo procurar.
Vazamento de dados da Ricardo (marketplace suíço), cerca de 890 mil contas: nomes, endereços e telefones expostos, e o que os usuários devem fazer
Em 9 de outubro de 2026, o SMG Swiss Marketplace Group, que opera o marketplace suíço Ricardo, anunciou um acesso não autorizado a dados pessoais vinculados a pedidos na plataforma Ricardo. A Ricardo detectou atividade suspeita em seus servidores em 7 de outubro e iniciou medidas técnicas imediatamente; a empresa afirma que a vulnerabilidade de segurança que permitiu o acesso foi totalmente resolvida. A investigação constatou que dados pessoais relativos a cerca de 890 mil contas de usuário foram expostos. Os dados expostos se limitaram a nomes, endereços postais e números de telefone e, no caso de usuários empresariais, nomes de empresas; endereços de e-mail e senhas não foram afetados. A Ricardo está informando diretamente os usuários afetados e notificou o Comissário Federal Suíço de Proteção de Dados e Informação (FDPIC). A natureza da vulnerabilidade e o período de acesso não foram divulgados. A opinião deste site: parta do princípio de que seu endereço e seu telefone são conhecidos e não informe dados de cartão nem logins de banco ou do TWINT a cartas, ligações, SMS ou mensagens de WhatsApp que digam vir da Ricardo ou da outra parte de uma negociação.
Vazamento no site da Yakult Honsha (cerca de 40.000 registros): nomes, endereços, telefones, e-mails e conteúdo de consultas vazaram — o que os afetados devem fazer
A Yakult Honsha Co., Ltd. confirmou acesso não autorizado ao seu site em 26 de outubro de 2026 e suspendeu as funções do site no mesmo dia. Em seu segundo relatório, de 30 de outubro, disse ter confirmado que cerca de 40.000 registros de dados pessoais fornecidos pelo site vazaram. Os grupos e itens afetados são: usuários do formulário de consulta por e-mail (nome, gênero, faixa etária, endereço, número de telefone, endereço de e-mail, conteúdo da consulta); membros do site de merenda escolar “Tanoshii Kyushoku” (nome, tipo de atividade, local de trabalho, endereço e telefone do local de trabalho, endereço de e-mail, senha criptografada e mais); usuários do formulário de consultas da imprensa; e funcionários da empresa que atenderam essas consultas (nomes). A empresa diz que o site não guardava dados de cartão de crédito nem de conta bancária. O detalhamento do número, o período afetado e a causa não foram divulgados. Ela fez um primeiro relatório à Comissão de Proteção de Informações Pessoais do Japão e consultou a polícia. Conclusão deste site: não abra links em mensagens que se digam da Yakult e, se você é membro do site de merenda escolar, troque a senha de qualquer outro serviço em que usou a mesma.
Acesso não autorizado ao app de e-commerce da Aena (dados da Minha Página de até 817.215 pessoas): nomes, endereços e dados de entrega que podem ter sido visualizados, e o que os membros devem fazer
A Aena Co., Ltd., uma rede japonesa de lojas de descontos, anunciou em 14 de outubro de 2026 que os dados da Minha Página dos membros do seu app de e-commerce podem ter sido visualizados sem autorização. Segundo a empresa, a análise dos registros do sistema o detectou às 5h58 de 13 de outubro, e até 817.215 membros (membros completos) podem ter sido afetados. Membros do LINE e clientes que compraram pela Amazon, Rakuten e sites semelhantes não são afetados. As informações que podem ter sido visualizadas são nome, endereço, telefone, e-mail, data de nascimento, gênero, ocupação, endereço de entrega, nome e telefone (incluindo os de terceiros), loja favorita e configurações de e-mail, e os últimos 4 dígitos, a data de validade e o nome do titular dos cartões de crédito cadastrados. A empresa diz que não guarda números completos de cartão nem códigos de segurança, que nenhuma senha foi visualizada ou vazou e que confirmou que nenhuma informação de membro foi alterada, ninguém foi desligado e nenhuma compra foi concluída. A causa é descrita como acesso contínuo de tipo mecânico feito por meio de acesso não autorizado, e a investigação continua. A empresa bloqueou o acesso ao seu site de e-commerce, e o app, que estava suspenso, foi retomado ao meio-dia de segunda-feira, 19 de outubro; uma tela de redefinição de senha aparece na primeira abertura após a retomada. Conclusão deste site: redefina sua senha no app, troque qualquer outro serviço em que a reutilizou e verifique mensagens sobre entregas ou pedidos sem usar os links nem os números delas.
Vazamento de dados de clientes da ASOS e falso alerta no aplicativo: nomes e dados de contato levados, datas de nascimento e histórico de buscas relatados — o que os clientes devem fazer
Em 6 de outubro de 2026, clientes da ASOS receberam uma notificação push não autorizada pelo aplicativo da ASOS. A ASOS disse que uma parte não autorizada acessou plataformas de terceiros que ela usa para se comunicar com os clientes. Disse que nomes e dados de contato dos clientes podem ter sido acessados e que não acredita que dados de cartão de pagamento nem senhas de contas tenham sido afetados. Em uma atualização posterior aos clientes, segundo o BleepingComputer, a ASOS disse que as credenciais de login de um funcionário foram obtidas por meio de uma falsa identidade de contato de confiança. A BBC relatou que uma amostra fornecida pelos atacantes também incluía números de cliente, datas de nascimento e buscas feitas no site da ASOS; a ASOS não confirmou essa lista. A ASOS não divulgou quantos clientes foram afetados. A avaliação deste site: uma mensagem que cita seu nome ou uma busca passada não prova que vem da ASOS. Abra você mesmo o aplicativo ou o site da ASOS em vez de tocar em um link.
Vazamento em terceirizada da Benefit One no 'Toku-Kai' (29.465 pessoas): nomes, datas de nascimento e e-mails vazados, e o que os membros devem fazer
Em 28 de outubro de 2026, a Benefit One Inc. anunciou que um sistema operado por uma de suas terceirizadas foi acessado sem autorização e que dados pessoais de 29.465 membros (incluindo alguns que já saíram) do Toku-Kai, serviço para titulares de cartões da Credit Saison Co., Ltd., vazaram. O acesso ocorreu de forma intermitente de 14 a 20 de outubro; a terceirizada detectou parte dele em 21 de outubro e comunicou à Benefit One, que suspendeu o serviço no mesmo dia. Os itens vazados são nome, furigana (leitura do nome), data de nascimento, gênero, CEP, e-mail, número de cliente, informações de adesão e cancelamento e um número de gerenciamento usado no processamento do pagamento da mensalidade (os itens variam conforme o membro). Separadamente, parte das informações de autenticação da Benefit One usadas para a integração com o sistema de pagamento pode ter vazado; elas foram trocadas em 26 de outubro, e nenhum pagamento fraudulento atribuível a este incidente foi confirmado. A Benefit One diz que números de cartão, datas de validade e códigos de segurança não são mantidos no sistema afetado e não vazaram. A empresa diz que os dados não vieram dos sistemas da Credit Saison. A causa e o número final estão sob investigação. Avaliação deste site: o comunicado da Benefit One não pede que os membros troquem o número do cartão, mas nomes, datas de nascimento e e-mails vazaram; por isso, não abra links em mensagens que se digam da empresa ou de seus parceiros e confirme em um site oficial que você mesmo abra.
Acesso não autorizado ao groupware interno da Bithumb (dados pessoais de 844 clientes expostos): números de identificação, números de conta e mais, e o que os clientes devem fazer
A Bithumb, corretora de criptomoedas da Coreia do Sul, descobriu em 27 de outubro de 2026 um acesso anômalo de um terceiro externo não autorizado ao seu sistema interno de groupware móvel e, segundo a imprensa coreana que noticiou seu anúncio de 29 de outubro, constatou que dados pessoais de clientes foram expostos. Dos registros de 6.444 clientes envolvidos, 5.600 estavam em arquivos criptografados com DRM que não podiam ser lidos de fora, e os dados de 844 clientes foram expostos. Os itens variam conforme o cliente e incluem nome, número de celular, e-mail, número de registro de residente, número da carteira de motorista, número de conta e cópias do documento de identidade. Também foram afetados 715 funcionários. A Bithumb diz que o groupware é separado das contas da corretora e das informações de ativos, e nenhuma invasão direta ao serviço da corretora ou ao banco de dados de clientes foi confirmada. Conclusão deste site: trate como suspeita qualquer ligação, mensagem de texto ou e-mail que mencione seu documento de identidade ou os dados da sua conta, nunca compartilhe um código de uso único ou uma senha e confira o comunicado da Bithumb no app ou site oficial que você mesmo abra.
Vazamento de dados de agentes da Covered California: nomes, números de licença e número de Seguro Social ou FEIN expostos em um incidente de phishing, e o que os agentes devem fazer
A Covered California, o marketplace de planos de saúde da Califórnia, apresentou uma notificação de vazamento de dados ao Procurador-Geral da Califórnia (informada em 16 de outubro de 2026). O aviso aos agentes diz que, em 13 de maio de 2026, uma pessoa não autorizada usou um esquema de phishing para obter acesso a informações relativas aos agentes, e que planilhas de agentes foram acessadas. Essas planilhas incluíam o nome de cada agente, o nome da agência, o número de licença, o FEIN ou número de Seguro Social e a função dentro da agência. O aviso não diz quantos agentes foram afetados, não menciona dados de inscritos (consumidores) e não oferece monitoramento de crédito. A Covered California recomenda fazer um alerta de fraude junto aos três bureaus de crédito e seguir as dicas do Breach Help do Procurador-Geral. Avaliação deste site: agentes licenciados e funcionários de agências devem fazer já um alerta de fraude ou um congelamento de crédito, tratar como suspeitas as mensagens inesperadas que citem seu número de licença ou sua agência e usar o contato indicado no aviso.
Vazamento de dados do bot de Discord Double Counter (cerca de 28 milhões de IDs do Discord, 1 milhão de e-mails): o que vazou e o que membros e administradores de servidores devem fazer
A Tellter SAS, operadora do bot de verificação do Discord Double Counter, publicou um relatório do incidente em 5 de outubro de 2026 (versão 2.0 em 21 de outubro). Ela diz que um atacante entrou em 4 de outubro por uma ferramenta de análise Metabase acessível publicamente em um servidor desativado de um provedor de hospedagem e depois usou duas credenciais de sua nuvem guardadas nesse mesmo servidor. Foram afetados cerca de 28 milhões de IDs e nomes de usuário do Discord, 27 milhões de endereços IP com localização aproximada, 25 milhões de dados de dispositivo com hash e 1,0 milhão de endereços de e-mail, com cópia parcial nas duas primeiras categorias. Cerca de 5.000 registros de clientes dos produtos de pagamento da operadora também foram copiados. O bot nunca recebeu senhas do Discord e os números completos de cartão não foram afetados. O atacante também usou o token do bot para postar convites para outro servidor do Discord em cerca de 50 servidores grandes. A operadora notificou a autoridade francesa de proteção de dados em 5 de outubro e começou a enviar e-mails a cerca de 1 milhão de pessoas em 21 de outubro. A avaliação deste site: os membros não precisam mudar sua conta do Discord, mas devem esperar mensagens que usem seu ID, e-mail e endereço IP, e os administradores de servidores devem apagar as postagens de convite de 4 de outubro.
Vazamento de dados de clientes da ENGIE (França): dados de contato e números de contrato expostos por uma ferramenta de vendas de parceiros, sem dados bancários, e o que os clientes devem fazer
A ENGIE, fornecedora de energia francesa, começou a enviar e-mails a clientes na França no fim de outubro de 2026 para dizer que um ataque (a expressão foi reproduzida como um ato de ciber-malevolência) atingiu uma ferramenta usada por alguns de seus parceiros para prospectar clientes e vender suas ofertas. Segundo reportagens que citam o e-mail da ENGIE aos clientes (a declaração da ENGIE à BleepingComputer não listava, por si só, os itens), os dados expostos são nome e sobrenome, endereços postal e de e-mail, telefones, a referência do ponto de entrega de eletricidade (PDL) ou do ponto de medição de gás (PCE), o identificador do cliente e o número do contrato. A ENGIE diz que nenhum dado bancário é afetado, que seus próprios sistemas de TI não foram comprometidos, que cortou o acesso dos atacantes à plataforma e que informou as autoridades. O número de clientes afetados e o parceiro envolvido não foram divulgados. Não encontramos nenhum comunicado sobre isso no próprio site da ENGIE, então este artigo se baseia em declarações da ENGIE noticiadas por vários veículos. Avaliação deste site: não informe IBAN, número de cartão ou código a ninguém que ligue ou escreva citando seu número de contrato ou de medidor, e desligue e ligue para o número da sua fatura.
Vazamento no site de auxílio financeiro do Departamento de Educação da Flórida (cerca de 4,9 milhões de pessoas): números de Seguro Social em risco e o que fazer
Em 29 de outubro de 2026, o Departamento de Educação da Flórida (Florida Department of Education) anunciou que sua equipe soube em 19 de outubro de um acesso criminoso não autorizado ao site Florida Student Financial Aid (FloridaStudentFinancialAidSG.org). O departamento acredita que o incidente se limitou a esse site e que pode ter afetado aproximadamente 4,9 milhões de pessoas. As informações potencialmente expostas podem incluir números de Seguro Social, nomes e sobrenomes, datas de nascimento, endereços residenciais, números de telefone (inclusive de celular), endereços de e-mail e códigos de identificação de gênero (M ou F). Nem todas as pessoas foram necessariamente afetadas. Diz que qualquer pessoa que já tenha solicitado auxílio financeiro na Flórida pode ter sido afetada. O departamento afirma que ativou seus protocolos de resposta de segurança cibernética, notificou o gabinete do Procurador-Geral da Flórida e trabalha com o Florida Digital Service e o Departamento de Aplicação da Lei da Flórida. Diz que o auxílio financeiro em andamento, os pagamentos de mensalidades e a elegibilidade para bolsas, subsídios e empréstimos não são afetados. A causa não foi divulgada. Avaliação deste site: o número de Seguro Social não muda, portanto verifique seus relatórios de crédito, considere um alerta de fraude ou um congelamento de crédito e trate como suspeita qualquer mensagem que use seu nome, e-mail ou telefone e mencione este incidente.
Vazamento de dados da Frontline Education (fornecedora de software escolar): 3,09 milhões de pessoas segundo a lista do Procurador-Geral de Indiana; números de Seguro Social, de Medicaid e de estudante afetados, e o que funcionários e famílias devem fazer
A Frontline Education, fornecedora americana de software de administração para distritos escolares K-12, publicou um Aviso de Vazamento de Dados datado de 26 de outubro de 2026. Diz que sua equipe de segurança encontrou em 14 de agosto de 2026 uma vulnerabilidade em um produto de software de terceiros que utiliza, que essa vulnerabilidade permitiu acesso não autorizado a parte de seu ambiente a partir desse dia, e que o último dia de atividade não autorizada foi 15 de agosto. Os dados afetados se relacionam a dois produtos, Frontline Central e School Health Management. A empresa diz que os seguintes dados foram afetados, e quais se aplicam varia conforme a pessoa: número de Seguro Social, data de nascimento, número da carteira de motorista, número de passaporte, outro documento de identidade oficial, identificador do Medicaid e identificador de estudante. A Frontline diz que não tem conhecimento de nenhum uso indevido dos dados e oferece a adultos nos EUA dois anos de monitoramento de crédito da TransUnion e a menores monitoramento cibernético (sua página do incidente fala em monitoramento da dark web onde disponível). A lista de vazamentos de dados do Procurador-Geral de Indiana (edição de novembro de 2026) mostra 3.085.266 pessoas no total (66.157 moradores de Indiana; data de notificação 26 de outubro, data do vazamento 14 de agosto), enquanto as notificações em outros cinco estados (MA, NH, SC, TX, VT) somavam cerca de 1,3 milhão (1.298.917), segundo a SecurityWeek. O número de distritos não foi divulgado. Nossa avaliação: se você trabalha em um distrito escolar dos EUA que usa a Frontline, ou tem um filho em um, presuma que o aviso se aplica a você, faça um congelamento de crédito gratuito e trate como não comprovada qualquer ligação ou e-mail que cite seu identificador do Medicaid ou de estudante.
Vazamento de dados de membros da Hana-cupid (até 4.238.242 registros): IDs de usuário, senhas criptografadas e e-mails vazados, e o que os membros devem fazer
A Hana-cupid Co., Ltd. anunciou em 28 de outubro de 2026 que um acesso não autorizado de terceiros aos seus serviços de floricultura online, Internet Hana-cupid e Business Hana-cupid, vazou parte das informações de membros. Segundo a empresa, um terceiro acessou seu sistema de gerenciamento sem autorização entre 14 de outubro (quarta-feira) e 15 de outubro (quinta-feira), e a empresa confirmou o vazamento de informações de membros em 19 de outubro (segunda-feira) durante a investigação. O número é de 4.238.242 (clientes que podem ter sido afetados). Os itens vazados são: ID de usuário (ID de login), senha (em uma forma criptografada que não pode ser usada como está; o FAQ a chama de hash), e-mail de PC e e-mail de celular. A empresa diz que nome, gênero, data de nascimento, endereço, telefone, número de cartão de crédito, nome da empresa, nome do departamento e informações do destino de entrega não vazaram. Estão cobertos apenas os membros que cadastraram um e-mail na loja online oficial da empresa (i879.com, i879.com/biz/); pedidos feitos em shoppings externos, pedidos por telefone sem e-mail e compras em floriculturas membros da Hana-cupid não estão. A empresa diz que não guarda dados de cartão de crédito e que não é preciso bloquear nem reemitir cartões. Não confirmou danos secundários, começou a enviar e-mails individuais aos membros afetados em 28 de outubro e comunicou à Comissão de Proteção de Informações Pessoais e à polícia. A causa não foi informada, e a empresa investiga com uma organização externa especializada. Diz que não planeja compensação em dinheiro nem reembolso. Conclusão deste site: se você pode ter sido afetado, troque sua senha e a de qualquer outro serviço em que reutilizou o mesmo ID e senha. Verifique qualquer mensagem que diga ser da Hana-cupid ou de uma instituição financeira abrindo você mesmo o site oficial, e não pelos links dela.
Vazamento de dados da iRhythm (8.179.772 pessoas na lista do HHS): nomes de pacientes do Zio, números de seguro e números de série de dispositivos, e o que os pacientes devem fazer
A iRhythm Technologies, fabricante americana do monitor cardíaco vestível Zio, informou à SEC dos EUA em 15 de junho de 2026 que havia detectado acesso não autorizado a certos aplicativos de negócios hospedados por terceiros e que dados foram extraídos. Em um aviso datado de 2 de outubro de 2026, a empresa diz que sua investigação constatou que os dados foram acessados e baixados entre 3 e 8 de junho de 2026, e que os avisos às pessoas afetadas começaram em 2 de outubro. Os dados incluem nome do paciente, informações de contato (endereço, e-mail, telefone), número da conta do paciente, número de série do dispositivo, número do seguro, data do serviço e data de nascimento, e a empresa diz que contam como informações de saúde protegidas pela HIPAA. A iRhythm não divulgou um total próprio. O incidente apareceu no portal de vazamentos do Departamento de Saúde e Serviços Humanos dos EUA (HHS) com 8.179.772 pessoas, segundo SecurityWeek e CyberInsider em 29 de outubro de 2026. Registros estaduais anteriores listavam 298.647 pessoas no Texas e 69.526 na Carolina do Sul. A empresa diz que não encontrou impacto em seus produtos nem nos sistemas clínicos ou de dispositivos médicos, e que não armazena informações de cartões de pagamento nem de contas financeiras. Avaliação deste site: se você foi paciente do Zio, espere mensagens convincentes que usem seu nome e os dados do seu seguro, confira os extratos da sua operadora e considere um congelamento de crédito gratuito.
Acesso não autorizado ao fornecedor do sistema de reservas da JAL, JTA, ANA, Korean Air e Asiana (cerca de 92.000 clientes da JAL/JTA e 37.800 da ANA): números de reserva, nomes e mais dados, e o que os viajantes devem fazer
A Japan Airlines (JAL) e a Japan Transocean Air (JTA) anunciaram em 28 de outubro de 2026 que, em 23 de outubro, o fornecedor do seu sistema de atendimento a passageiros, uma empresa estrangeira, as informou de que um acesso não autorizado aos sistemas do fornecedor deixou indícios de que parte das informações de reservas foi visualizada de fora. O período vai de 10 de agosto de 2023 a 23 de setembro de 2026. Em cerca de 90.000 pessoas estão envolvidos número de reserva, nome, data de embarque, rota e classe de cabine; de cerca de 2.000 pessoas também foram visualizados e-mail, telefone, número de passaporte, nacionalidade, número de milhas, número do bilhete, número do assento e mais. O total é de cerca de 92.000 pessoas. Em 30 de outubro, a JAL e a JTA atualizaram o comunicado para dizer que entraram em contato com esses clientes pelo e-mail informado na reserva. A All Nippon Airways (ANA) anunciou em 30 de outubro que há indícios de que parte das informações de reservas de cerca de 37.800 pessoas que reservaram no mesmo período foi visualizada (cerca de 1.700 delas incluindo passaporte, número de milhas e mais). Na Coreia do Sul, a Korean Air e a Asiana Airlines anunciaram em 23 de outubro que há sinais de que os números de reserva de alguns clientes vazaram do sistema de reservas da mesma empresa; dizem que a causa foi um acesso não autorizado com credenciais de login e que se estima que tenha ocorrido entre agosto de 2023 e setembro de 2026 (nenhuma divulgou um número). JAL, JTA e ANA dizem que dados de cartão de crédito e senhas não foram incluídos. Conclusão deste site: mesmo que uma mensagem que diga ser de uma companhia aérea acerte seu número de reserva, seu nome e seu voo, não use os links nem os números dela; verifique no app ou no site oficial. Se seu passaporte ou número de milhas pode estar envolvido, troque a senha da sua conta de milhas e revise o histórico de resgates.
Violação da Navigate360 e da plataforma de denúncias do Crime Stoppers (P3): o que devem fazer quem enviou denúncias, quem é citado nelas e quem recebeu a notificação nos EUA
A Navigate360 publicou um aviso de violação de dados (a página não mostra data; a Reuters informa que ela reconheceu a violação em 23 de outubro de 2026) dizendo que uma parte não autorizada copiou dados de um de seus sistemas entre 21 de novembro de 2025 e 5 de março de 2026, e que nomes, endereços, datas de nascimento, números de Seguro Social e outros dados podem estar envolvidos. O Toronto Crime Stoppers diz que a Navigate360 lhe informou que os dados roubados continham 176.859 denúncias de Toronto de janeiro de 2022 a novembro de 2025 e 14.973 nomes encontrados nessas denúncias, e que suspendeu o recebimento de denúncias em 22 de outubro. O Comissário de Privacidade do Canadá abriu uma investigação sobre a Navigate360 em 27 de outubro. O aviso da Navigate360 não cita a plataforma P3 nem o Crime Stoppers, não foi encontrado um total oficial de pessoas ou denúncias, e o Toronto Crime Stoppers diz que não recebeu o texto das denúncias roubadas. A avaliação deste site: se você já enviou uma denúncia, presuma que o conteúdo pode ser ligado a você, tenha cuidado com qualquer mensagem que a mencione e use a polícia ou um advogado se se sentir em risco.
Acesso não autorizado à Sony Life vaza dados de apólices (cerca de 2,9 milhões de registros da Sony Life e 385.000 da Medicare Life): nomes, endereços, números de apólice e mais, e o que os tomadores devem fazer
A Sony Life Insurance Co., Ltd. anunciou em 9 de novembro de 2026, em um segundo comunicado, que confirmou novos vazamentos de informações decorrentes do acesso não autorizado aos seus sistemas: dados pessoais de suas próprias apólices de seguro (número da apólice, nome, endereço, telefone e mais), cerca de 2,9 milhões de registros que incluem contratos já encerrados; os e-mails e números de agente de seus agentes de vendas, cerca de 780 registros; e os e-mails e números de funcionário de seus próprios funcionários, cerca de 12.500 registros. Informa-se que não estão incluídos dados pessoais sensíveis como estado de saúde e histórico médico, My Number, dados de cartão de crédito, dados de contas nem os e-mails dos tomadores. Isso se segue ao primeiro comunicado de 28 de outubro (informações de tomadores e segurados da Medicare Life que a Sony Life intermediava como corretora, cerca de 385.000 registros), de modo que agora também os tomadores próprios da Sony Life são afetados. O acesso veio à tona em 27 de outubro. Até 9 de novembro nenhum uso indevido de informações de clientes havia sido confirmado, mas a empresa alerta para e-mails, mensagens e ligações que se passem por ela. A causa não foi divulgada. Nossa conclusão: presuma que pode ser afetado se você tem ou teve uma apólice da Sony Life, ou contratou uma apólice da Medicare Life pela Sony Life, e verifique qualquer mensagem pelos pontos de contato dos sites oficiais, não por links ou números da mensagem.
Vazamento de dados da Universidade de Copenhague (cerca de 525.000 pessoas): nomes, números CPR, telefones e e-mails — o que fazer
A Universidade de Copenhague (Københavns Universitet, KU) anunciou em 23 de outubro de 2026 que hackers haviam acessado um de seus ambientes de testes. Reportagens consistentes que citam a universidade dizem que foram obtidos dados de cerca de 525.000 pessoas: nome completo, número CPR (o número de registro civil da Dinamarca), telefones de trabalho e particulares e um e-mail particular. Em uma atualização de 25 de outubro, a universidade disse que os códigos PIN dos cartões de identificação de cerca de 20.000 funcionários e estudantes também foram comprometidos, e que novos PINs foram emitidos. As reportagens dizem que a invasão foi detectada na terça-feira, 20 de outubro, e controlada. A universidade comunicou a Autoridade Dinamarquesa de Proteção de Dados. As páginas da própria universidade não puderam ser abertas a partir deste site em 30 de outubro, então este artigo se baseia nessas reportagens. Avaliação deste site: trate como não comprovada qualquer mensagem que use seu nome e número CPR, confirme por canais que você mesmo abra e nunca informe número CPR, senha ou PIN a quem pedir.
Acesso não autorizado e vazamento de dados pessoais na White Essence (cerca de 1,05 milhão de contas): nomes, endereços, telefones e senhas criptografadas, e o que os usuários devem fazer
A White Essence Co., Ltd. anunciou em 12 de agosto de 2026 que havia suspendido seus sistemas após um acesso não autorizado ao seu site de reservas e aos seus sistemas centrais, e em 5 de outubro publicou suas conclusões em um comunicado intitulado 'Apology and Notice Regarding Leak of Personal Information Due to Unauthorized Access'. Segundo a empresa, ela confirmou um acesso não autorizado vindo de fora em 5 de agosto, suspendeu os sistemas em 12 de agosto e a investigação constatou depois que informações pessoais haviam sido levadas para fora. Das informações cadastradas em 5 de agosto de 2026, o número de pessoas afetadas é de cerca de 1,05 milhão de contas (um total que inclui clientes, pessoal de clínicas franqueadas e funcionários da matriz). Os itens vazados, no todo ou em parte, são nome, endereço, telefone, e-mail, data de nascimento, gênero, local de trabalho, ID de login e senha (em forma criptografada), informações sobre o uso dos serviços e as respostas, e o número de gestão da empresa. A empresa diz que não guarda dados de contas de instituições financeiras e que não confirmou que imagens de clientes tenham vazado. A causa, segundo ela, foi a exploração de uma vulnerabilidade no programa do seu site de reservas, usada como ponto de partida para acessar sem autorização seus sistemas centrais; a empresa diz que já terminou de tratar essa vulnerabilidade. Até 5 de outubro nenhum dano secundário havia sido confirmado, mas a empresa diz que podem chegar e-mails, ligações ou correspondências suspeitos que se passem pela empresa ou por outros negócios. Nossa conclusão: se você usa o mesmo ID de login e senha em outros serviços, troque-os lá. Trate qualquer mensagem que diga ser da empresa ou de uma clínica odontológica como não verificada, mesmo que seu nome, endereço e data de nascimento estejam corretos, e verifique por um canal oficial que você mesmo procurar.
Acesso não autorizado à Beauty Garage e à Eyelash Garage (775.725 registros): nomes de salões, telefones, e-mails e hashes de senhas vazados, e como se proteger de falsificação de identidade
A Beauty Garage Co., Ltd. anunciou em 15 de outubro que os servidores de sua loja online, e os da Eyelash Garage, foram acessados sem autorização de 10 a 12 de outubro e que parte das informações de clientes vazou. Detectou o incidente em 13 de outubro, identificou a via e a bloqueou no mesmo dia. Segundo a empresa, o alcance é de 775.725 registros de clientes mantidos nos sistemas de comércio eletrônico da Beauty Garage e da Eyelash Garage às 23h55 de 10 de outubro de 2026 (sem detalhamento por marca); o comunicado próprio da Eyelash Garage informa 49.191 (não se diz como isso se relaciona com 775.725). Os principais itens confirmados como vazados são nome da empresa, nome do salão, nome do cliente, tipo de negócio, URL do salão, telefone, e-mail, valores hash de senhas e valores hash da pergunta e da resposta de redefinição de senha. Até agora não foi confirmado o vazamento de endereço e dados de entrega, histórico de compras nem dados de pagamento, incluindo cartões de crédito. A empresa diz que não confirmou que os dados tenham sido publicados ou usados indevidamente. Os segundos comunicados de ambas as empresas, de 20 de outubro, dizem que as lojas online funcionam normalmente e que o assunto foi comunicado à Comissão de Proteção de Informações Pessoais. A causa não foi divulgada. Conclusão deste site: uma mensagem que diga ser de qualquer uma das duas empresas ou de um parceiro comercial não é genuína só porque acerta o nome do seu salão ou o seu. Verifique por um contato oficial qualquer pedido de mudar a conta de transferência bancária ou de fazer um pagamento adicional.
Acesso não autorizado ao banco de dados de membros da So-net (2,14 mi de registros da So-net, 443 mil da plala S-Course): nomes, telefones e datas de nascimento vazados, e o que os usuários devem fazer
A Sony Network Communications Inc. anunciou em 27 de outubro de 2026 que confirmou um vazamento de informações por acesso não autorizado ao banco de dados de membros do seu serviço de internet So-net. Segundo a empresa, o banco de dados foi acessado de fora em 19 de outubro, a empresa confirmou isso em 23 de outubro e parou o servidor afetado, e em 24 de outubro determinou quais itens e quantos registros vazaram. As informações vazadas são: informações de membros da So-net, 2.141.986 registros (1.869.771 membros atuais e 272.215 ex-membros que saíram em março de 2026 ou depois), e informações de membros da plala (S-Course), 443.495 registros (422.365 atuais e 21.130 ex-membros que saíram em março de 2026 ou depois). Ambas contêm nome, telefone, e-mail, ID de usuário, data de nascimento, gênero e ID de conexão de internet. A empresa diz que nenhuma senha vazou nas informações de membros. Em quatro serviços de e-mail (Mail Service G, A-Box, Sonnet VAIO Mail e PostPet Mail Account Service), as senhas de e-mail também vazaram, de 54.401 endereços no total, e a empresa as redefiniu em 27 de outubro. Dados de conta bancária de 16 registros e informações de avisos de redefinição de senha de 7 registros também vazaram, e a empresa diz que entrará em contato individualmente com essas pessoas. Dados de cartão de crédito não estão incluídos, e a empresa não confirmou vazamento de outros serviços, como o NURO. A causa é indicada como acesso não autorizado de terceiros (em investigação); a via da intrusão não foi divulgada. Conclusão deste site: se você usou algum dos quatro serviços de e-mail, redefina a senha do e-mail e troque a de qualquer outro serviço em que a reutilizou. Todos devem conferir uma mensagem que diga ser da So-net por um site oficial ou pela linha telefônica exclusiva, e não pelos links ou números dela, mesmo que acerte seu nome e data de nascimento.
Acesso não autorizado ao app Toypo (697.209 usuários afetados, segundo a Toypo): telefones, nomes e endereços vazados, e o que devem fazer os usuários de apps de lojas
A Toypo Inc. confirmou em 4 de outubro de 2026 um acesso não autorizado de terceiros ao seu app de gestão de clientes, o app Toypo, e, em comunicado datado de 14 de outubro, disse que 697.209 usuários são abrangidos e que suas informações podem ter vazado. Uma segunda página de comunicado da Toypo, sem data e sem número de pessoas, afirma que as informações vazaram. Desde 13 de outubro a empresa contata os abrangidos um a um, inclusive por notificação push no app. Segundo a empresa, parte do seu sistema tinha uma falha de controle de acesso que permitia a um usuário autenticado obter informações de outros usuários às quais não tinha direito, e seus registros mostram que um terceiro a usou para obter informações de usuários. A falha foi corrigida. As informações que podem ter vazado são o número de telefone e o ID de usuário ou identificadores semelhantes e, quando cadastrados, nome, nome em kana, e-mail, data de nascimento, gênero e endereço. Segundo a empresa, não estão incluídos senhas e outras credenciais de login, números de cartão de crédito e outros dados de pagamento, pontos, histórico de visitas a lojas e histórico de compras ou de uso, e os usuários não precisam trocar a senha nem tomar outra providência no app. Nenhum dano secundário específico foi confirmado. A empresa comunicou à Comissão de Proteção de Informações Pessoais. Uma avaliação de segurança por terceiros está sendo organizada. Nos comunicados de lojas que usam o app, a JR Kyushu Food Service diz que cerca de 26.900 de cerca de 61.500 membros cadastrados são abrangidos, e a Mannoya, 12 dos 212 membros do seu app oficial Kineya Mannoya. O contato da Toypo é 0120-546-030 (dias úteis, das 9:00 às 18:00, horário do Japão; o call center atende até as 18:00 de 30 de outubro e depois passa a valer o contato dentro do app). Conclusão deste site: uma mensagem que acerta seu telefone e seu nome não é necessariamente genuína. Não use seus links nem números; confirme pelo contato dentro do app ou pelo contato indicado no comunicado.
Dados de entrega do Ichiban Kuji ONLINE podem ter vazado (acesso não autorizado na Bandai Logipal): nomes, endereços e telefones, e o que os membros devem fazer
Em 26 de outubro de 2026, a BANDAI NAMCO Holdings Inc., a BANDAI SPIRITS CO., LTD. e a Bandai Logipal Co., Ltd. anunciaram (primeiro comunicado) que um sistema gerenciado pela Bandai Logipal, a subsidiária de logística da BANDAI NAMCO Holdings, foi acessado sem autorização por um terceiro, e que isso foi descoberto em 21 de outubro. Segundo as três empresas, os dados pessoais que podem ter vazado são os dados de entrega (nome, endereço e telefone) do Ichiban Kuji ONLINE, um serviço cuja entrega de produtos a BANDAI SPIRITS terceiriza para a Bandai Logipal. Detalhes como o número de pessoas afetadas estão em investigação; dados de cartão de crédito não foram incluídos, e nenhum uso indevido foi confirmado até agora. Em 21 de outubro, a empresa encontrou indícios de acesso não autorizado em um servidor de seu sistema de logística e desligou o servidor, e no mesmo dia confirmou que operações foram realizadas por meio do uso indevido de uma conta da Bandai Logipal. Ela parou o sistema de logística em questão em 24 de outubro e informou a polícia e a Comissão de Proteção de Informações Pessoais do Japão em 26 de outubro. O comunicado diz que o sistema de expedição em questão está suspenso desde 26 de outubro. Como o acesso não autorizado ocorreu não foi divulgado. As empresas alertam que podem chegar ligações telefônicas e correspondências suspeitas relacionadas ao incidente. A conclusão deste site: quem recebeu itens pelo Ichiban Kuji ONLINE não deve responder a ligações ou correspondências inesperadas que aleguem ser do Ichiban Kuji ou da Bandai, e deve usar o formulário de contato do site oficial, aberto por conta própria, para verificar qualquer coisa.
Acesso não autorizado na Joshin (antiga Joshin Denki) (até cerca de 6 milhões de registros): nomes, endereços e telefones de membros podem ter vazado, e o que os usuários devem fazer
A Joshin Corporation, que mudou seu nome de Joshin Denki Co., Ltd. em 1º de abril de 2026, anunciou em 17 de outubro que havia identificado um acesso não autorizado em 16 de outubro e que, após tomar medidas como restringir o acesso externo, não podia prestar alguns serviços (comunicado registrado na Bolsa de Tóquio em 19 de outubro). Seu segundo comunicado, de 26 de outubro, diz que detectou uma anomalia em sua rede em 16 de outubro e tomou medidas como desconectar da rede os servidores com sinais de acesso não autorizado. Segundo o segundo comunicado, as informações que podem ter vazado são: até cerca de 6 milhões de registros do servidor do banco de dados de membros (nome, endereço, telefone, número de membro); até cerca de 230.000 registros do serviço de assinatura da Joshin (número de membro, telefone + assinatura manuscrita (dados binários), ID de login e senha inicial, histórico de cobrança, número do contrato e ID do dispositivo, código de ativação); e até cerca de 800 registros do sistema de envio de fotos de reformas (2 imagens de carteiras de motorista, 1 cartão My Number, 5 números de conta bancária e fotos de obras de reforma em andamento). A empresa afirma que são contagens totais de registros que podem ter vazado, não números de vazamento confirmados. Ela não guarda dados de pagamento, incluindo dados de cartão de crédito. Consultou e informou a Comissão de Proteção de Informações Pessoais e a polícia. A causa, a rota da invasão e quando os serviços suspensos serão retomados não foram anunciados. Conclusão deste site: uma mensagem que diz ser da Joshin não é autêntica só porque acerta seu nome, endereço ou número de membro. Não use seus links nem seus números de telefone; confira pelo contato indicado no comunicado ou por um site oficial que você mesmo abrir.
Vazamento no site de pesquisas Qzoo (cerca de 400.000 registros): dados de membros, incluindo dados de contas bancárias, podem ter vazado, e o que os membros devem fazer
Em 21 de outubro de 2026, a Monitas Inc. anunciou que seu site de pesquisas Qzoo foi acessado sem autorização por um terceiro e que dados pessoais dos membros (painelistas) podem ter vazado. Segundo a cronologia, o acesso não autorizado começou às 8:30 de 17 de outubro; às 12:22 o banco de dados foi consultado e atualizado por meio de injeção de SQL; às 18:44 o acesso foi detectado e bloqueado; às 19:02 o serviço entrou em manutenção de emergência; e em 20 de outubro foi feito um relatório preliminar à Comissão de Proteção de Informações Pessoais do Japão. O alcance é de cerca de 400.000 registros (todos os registros mantidos no sistema do Qzoo em 17 de outubro). O banco de dados que pode ter sido afetado armazena informações básicas (nome, data de nascimento, endereço, telefone, endereço de e-mail etc.), informações de autenticação do membro (ID de membro, senha etc.), informações financeiras (número da conta, nome da agência, nome do titular da conta etc.) e respostas a pesquisas (renda anual, ocupação etc.). Os itens ainda estão em investigação. A empresa não mantém dados de cartão de crédito nem o My Number (número nacional de identificação do Japão). Ela diz que o invasor explorou uma vulnerabilidade em seu sistema. Não foi encontrado acesso não autorizado aos seus outros sistemas. A visão deste site: troque hoje qualquer senha que você compartilhe com o Qzoo, não abra links em mensagens que aleguem ser do Qzoo ou de um banco e nunca informe sua senha bancária (PIN) ou seus dados de login a ninguém. Verifique também a movimentação da sua conta bancária.
Vazamento da M3 no "MR-kun" (25.775 membros do m3.com e outros, 2.260 funcionários de farmacêuticas): o que vazou e o que médicos e funcionários de farmacêuticas devem fazer
Em 15 de outubro e em 23 de outubro de 2026 (segundo comunicado), a M3, Inc. anunciou que um terceiro havia obtido acesso não autorizado ao sistema do MR-kun, um serviço que oferece a empresas farmacêuticas, e que dados pessoais haviam vazado. Segundo a empresa, ela confirmou o acesso não autorizado em 14 de outubro e cortou no mesmo dia a via que havia identificado. O segundo comunicado confirma vazamentos de 25.775 membros do m3.com e outros (nome, local de trabalho, e-mail de alguns, parte das informações sobre o uso dos serviços da M3 e informações que as farmacêuticas clientes haviam registrado no serviço (relações de atribuição e similares); e-mail em 6 casos) e de 2.260 funcionários de empresas farmacêuticas (nome, local de trabalho, e-mail de alguns e outros dados; e-mail em 264 casos). Também inclui alguns médicos que não são membros do m3.com, cujos dados as farmacêuticas haviam confiado à M3. Senhas de login e pontos m3 não foram incluídos, e a M3 não guarda números de cartão de crédito. A causa não foi divulgada. A empresa diz que não encontrou publicação nem uso indevido dos dados. Desde 22 de outubro ela contata individualmente os membros afetados no e-mail cadastrado. Conclusão deste site: médicos e demais usuários do m3.com não devem abrir links de mensagens que se apresentem como da M3 ou de um representante farmacêutico, nem fornecer senhas ou dados bancários.
Vazamento nos pedidos online da Pizza Hut Japão: endereços de e-mail, números de telefone e tokens de sessão de login vazados, e o que os clientes devem fazer
Em 23 de outubro de 2026, a Pizza Hut Japan Ltd., que opera a Pizza Hut no Japão, anunciou que um terceiro havia obtido acesso não autorizado a um sistema ligado ao serviço de pedidos online da Pizza Hut para o Japão e que parte das informações de seus clientes havia vazado. Segundo a empresa, em 19 de outubro ela confirmou que um terceiro havia obtido acesso não autorizado a uma API de pagamento ligada ao serviço de pedidos online (um mecanismo que troca informações relacionadas a pagamentos entre sistemas) e obtido parte das informações de um banco de dados que continha informações de clientes. As informações com vazamento confirmado são IDs de cliente, endereços de e-mail, números de telefone, registros relacionados a informações de clientes excluídas, tokens de sessão de login e registros de transações. Dados de cartão de crédito não foram incluídos. O número de pessoas afetadas não foi publicado. A empresa diz que a causa e o alcance completo ainda estão sob investigação. A empresa bloqueou os endereços IP atacantes, corrigiu a vulnerabilidade e apresentou um relatório preliminar à Comissão de Proteção de Informações Pessoais do Japão. Nenhum dano secundário foi confirmado, mas ela alerta para e-mails, SMS e ligações suspeitos que se passam pela empresa ou pela Pizza Hut. Conclusão deste site: quem já usou os pedidos online da Pizza Hut Japão não deve abrir links em mensagens que dizem vir da Pizza Hut e deve conferir o histórico de pedidos no app oficial ou no site oficial aberto por conta própria.
Acesso não autorizado ao Rakuten Travel (até cerca de 2,6 milhões de registros): nomes, contatos e dados parciais de cartão de reservas de hotéis no exterior, e o que os usuários devem fazer
Em 26 de outubro de 2026, a Rakuten Group, Inc. anunciou ter confirmado acesso não autorizado por um terceiro externo a algumas páginas do site de reservas de hotéis no exterior do Rakuten Travel, gerenciado e operado por sua subsidiária Rakuten Travel Xchange, e ao site de reservas multilíngue operado pela Rakuten Group. Nas páginas de reservas de hotéis no exterior (incidente 1), uma anomalia foi detectada em 10 de setembro e a correção do sistema foi concluída em 16 de setembro. As informações que foram alvo do acesso não autorizado abrangem nomes, endereços de e-mail, números de telefone e números de identificação internos de até cerca de 2,6 milhões de registros de clientes que fizeram login e, para até cerca de 40.000 registros de clientes que fizeram reservas, nomes, contatos, país de residência, dados da reserva e nomes de acompanhantes; além das informações de pagamento (número de identificação do emissor do cartão e últimos quatro dígitos, nome do titular, data de validade e bandeira do cartão) de até cerca de 36.000 deles. Números completos de cartão, códigos de segurança, senhas, documentos de identidade e endereços não estão incluídos (segundo a nota do item sobre quem fez reservas). No site de reservas multilíngue (incidente 2), detectado em 20 de outubro e corrigido em 21 de outubro, foram afetados os endereços de e-mail e IDs internos de até cerca de 860.000 registros de clientes que fizeram login, e os nomes de conta e endereços de e-mail de até cerca de 40.000 registros de funcionários de hospedagens inseridos na tela de administração. A causa, o período abrangido e qualquer compensação não foram anunciados. Conclusão deste site: uma mensagem que pede para você digitar de novo o número do cartão ou pagar não é verdadeira só porque acerta a sua reserva ou os últimos quatro dígitos do seu cartão. Não use links de e-mails nem de SMS; confira sua reserva no app do Rakuten Travel ou em um site oficial salvo nos favoritos.
FortiBleed (vazamento de credenciais de cerca de 74.000 dispositivos FortiGate): não é uma nova vulnerabilidade, por isso as senhas de administrador e de VPN devem ser trocadas
FortiBleed é o vazamento em grande escala e o uso indevido de credenciais de administrador e de SSL VPN do FortiGate, o firewall e appliance de VPN da Fortinet. Em 18 de junho de 2026, a CISA alertou que credenciais associadas a cerca de 74.000 dispositivos haviam vazado. Em 19 de junho, a Fortinet afirmou que não se trata de uma nova vulnerabilidade e que a atividade provavelmente envolve reutilização de credenciais de incidentes anteriores somadas a ataques de força bruta contra dispositivos com senhas fracas e sem autenticação multifator. Em 23 de junho, a JPCERT/CC emitiu um alerta dizendo ter confirmado que os dados incluem informações relacionadas a empresas japonesas. Em 6 de outubro, o FBI e o Serviço Secreto dos EUA alertaram que a atividade continua, que alguns administradores foram impedidos de acessar seus dispositivos e que o acesso tem sido usado como porta de entrada para ransomware. Atualizar para um firmware corrigido não invalida as senhas vazadas. Conclusão deste site: se você usa FortiGate, troque as senhas de administrador e de VPN, ative a autenticação multifator, retire a interface de gerenciamento da internet e remova as cópias legadas em SHA-256 das senhas de administrador.
Fujicco: dados de inscrição em campanha possivelmente vazados (cerca de 15.500 inscrições): nomes, endereços, detalhes familiares e o que os participantes devem fazer
Em 22 de outubro de 2026, a Fujicco Co., Ltd., fabricante japonês de alimentos conhecido por seus produtos Caspian Sea Yogurt e de algas, anunciou que um servidor da empresa contratada para lidar com as inscrições das campanhas havia sido acessado sem autorização por uma parte externa, e que os dados pessoais dos participantes podem ter vazado. O acesso foi identificado em 21 de outubro e o servidor foi prontamente desligado. Os dados abrangem as informações pessoais inseridas nos formulários de inscrição para não associados de duas campanhas realizadas desde maio de 2026: a série Caspian Sea Yogurt “Motto! Toro-mocchi Campaign Part 2” e a “Fujicco Thanksgiving Festival Campaign”. São cerca de 15.500 inscrições no total, incluindo inscrições repetidas da mesma pessoa. Os itens são nome, idade, sexo, ocupação, estado civil, composição familiar, telefone, e-mail, endereço e respostas de pesquisa. Carteiras de motorista, cartões de crédito e números de conta bancária não estão incluídos. Inscrições feitas como membro Fujicoin, por cartão postal ou no X não são afetadas. Não há confirmação de publicação ou uso indevido, mas a empresa está tratando os dados como obtidos por terceiros. Conclusão deste site: as pessoas que se inscreveram pelos formulários afetados não devem pagar taxas de envio ou manuseio, reenviar comprovantes ou informar novamente dados pessoais quando solicitadas, e devem confirmar com o escritório da campanha pelo número indicado no comunicado oficial.
Possível vazamento de dados do app FX Navi da Green Monster (cerca de 6,19 milhões de registros): endereços de e-mail e respostas de pesquisa estão entre os itens, e o que os usuários devem fazer
Em 23 de outubro de 2026, a Green Monster Inc. (Tokyo Stock Exchange Growth, 157A) anunciou que informações de usuários do seu app de negociação demo de forex FX Navi (FXなび) podem ter sido obtidas por terceiros (primeiro relatório). Em 17 de outubro, a empresa identificou acesso não autorizado ao app por terceiros e iniciou uma investigação. Nessa investigação, descobriu que, de cerca das 20h26 de 27 de abril a cerca das 14h26 de 30 de abril, um terceiro que utilizava um endereço IP diferente pode ter obtido continuamente informações de usuários do app. A empresa afirma que não foi confirmado vazamento decorrente do próprio acesso de 17 de outubro. Cerca de 6,19 milhões de registros podem ter sido obtidos, incluindo dados que não são informações pessoais. Os itens são endereço de e-mail (66.003), apelido, gênero, faixa etária, categoria de ocupação, ID do X (antigo Twitter) (6.434), texto de autoapresentação, URL da imagem de ícone, respostas da pesquisa de primeira abertura (4.809.631), ID do dispositivo, credenciais de login, código de transferência de conta (5.120), identificador de notificação push, ID de publicidade, endereço IP de origem e dados de uso, como resultados de negociações. Nome, endereço, telefone, data de nascimento, cartão de crédito, conta bancária e My Number (número de identificação nacional do Japão) não são itens que os usuários podem cadastrar. A empresa diz que a causa foi uma função da API do app; ela corrigiu a função da API e as credenciais de login, e invalidou todas as credenciais de login emitidas antes da correção. Nenhum dano secundário foi confirmado. Conclusão deste site: os usuários do FX Navi não devem abrir links ou anexos em e-mails ou mensagens no X que aleguem ser da empresa ou de empresas relacionadas, e devem tratar qualquer oferta de investimento como falsa.
Vazamento de dados de membros da loja online e do app da Lindt Japão (3.147.469 registros): nomes, endereços, telefones, datas de nascimento e senhas com hash vazados, e o que os membros devem fazer
Em 23 de outubro de 2026, a Lindt & Sprüngli Japão, filial japonesa da fabricante suíça de chocolate, anunciou que o sistema da empresa terceirizada que fornece a plataforma da sua loja online e gerencia os dados de membros foi acessado sem autorização, e que 3.147.469 registros de membros da loja online e do app oficial da Lindt vazaram. Segundo o relatório da terceirizada, uma vulnerabilidade em um software usado no servidor da terceirizada foi explorada entre 23h02 de 17 de outubro e 0h16 de 18 de outubro (horário do Japão). Os itens vazados são o ID de membro, nome, e-mail, endereço postal, telefone, data de nascimento, gênero, configurações de newsletter, loja cadastrada, senha de login (armazenada com hash) e outros dados de membros, como a leitura do nome, a data de cadastro e o último login. Dados de pagamento, como cartões de crédito, não estavam incluídos. Até as 11h de 23 de outubro, nenhum uso indevido havia sido confirmado. A loja online está suspensa desde as 16h de 21 de outubro, e os membros serão solicitados a trocar a senha quando ela for reaberta. Os membros afetados começam a receber e-mails a partir de 26 de outubro. Conclusão deste site: os membros não devem seguir instruções em e-mails, mensagens de texto, ligações ou cartas que se apresentem como da Lindt, e devem trocar agora a senha de qualquer outro serviço em que usaram a mesma.
Vazamento de endereços de e-mail da newsletter do Piccoma (1.002.404 registros): apenas endereços de e-mail expostos e o que os usuários devem fazer
Em 24 de outubro de 2026, a Kakao piccoma Corp., responsável pelo aplicativo de mangás japonês Piccoma, anunciou que a blastmail, o sistema de entrega de e-mails da RAKUS Lite Cloud Corporation que utilizava para enviar sua newsletter, foi acessada sem autorização por um terceiro, e que 1.002.404 endereços de e-mail de clientes, destinatários de um envio da newsletter, vazaram. A Piccoma soube do caso por meio de comunicado do serviço de entrega em 24 de outubro. Apenas os endereços de e-mail cadastrados para receber a newsletter vazaram; a empresa afirma ter confirmado que não foram incluídos os números de gerenciamento de clientes nem as datas da última compra. As senhas nunca foram fornecidas à blastmail e não podem ter vazado, e a Piccoma não possui nomes nem dados de cartão de crédito. O aplicativo Piccoma, o site e os sistemas próprios da empresa não foram acessados, e contas, senhas e dados de compra não foram afetados. Até o momento, não foi confirmado nenhum vazamento relacionado à newsletter do Piccoma Novels. A empresa suspendeu a newsletter, alterou configurações para que e-mails enviados pela blastmail não sejam tratados como e-mails genuínos da Piccoma e comunicou o caso à Comissão de Proteção de Informações Pessoais do Japão. Ela afirma que entrará em contato individualmente com os clientes afetados. Conclusão deste site: quem recebeu a newsletter do Piccoma não deve abrir links em e-mails ou mensagens de texto que se apresentem como da Piccoma ou de editoras, deve verificar pelo aplicativo e nunca deve digitar senhas ou números de cartão a partir de um e-mail.
Vazamento na plataforma de cartão pré-pago Value Card (1,42 milhão de registros, 1,13 milhão de registros do MOS Card): números de cartão, PINs e saldos vazados, e o que os portadores devem fazer
Em 23 de outubro de 2026, a PayCloud Holdings, empresa listada no mercado Growth da Bolsa de Valores de Tóquio, anunciou que os servidores do Value Card, um serviço de emissão de moeda eletrônica (cartão pré-pago de loja) próprio que sua subsidiária Value Design Inc. fornece a emissores de cartões, foram acessados sem autorização por um terceiro, e que 1.424.748 registros de números de identificação, PINs e informações de saldo vazaram (569.224 IDs emitidos e 855.524 IDs não emitidos, isto é, IDs ainda não adquiridos por um usuário). O acesso foi confirmado em 19 de outubro, e a causa foi um terceiro explorar uma vulnerabilidade de servidor web em parte do ambiente de sistemas da subsidiária. Não houve envolvimento de informações pessoais; o risco de uso indevido de IDs emitidos foi tratado, e não houve nenhum dano real decorrente de uso indevido. No mesmo dia, a MOS Food Services, Inc., que opera a rede de hamburguerias MOS Burger e seu cartão pré-pago MOS Card, anunciou que o acesso não autorizado ao sistema da Value Design, empresa contratada para operar e manter os servidores do MOS Card, vazou 1.133.070 registros do MOS Card (número de cartão de 16 dígitos, PIN de 6 dígitos e saldo; cerca de 570.000 cartões em circulação e cerca de 560.000 ainda não em circulação), e que redefiniu à força os PINs vinculados aos números de cartão vazados. Nomes, endereços, números de telefone e dados de cartão de crédito não foram incluídos. Quais cartões de outros emissores foram afetados não foi divulgado. Conclusão deste site: os portadores do MOS Card devem verificar seu histórico de uso em busca de cobranças que não reconhecem, entrar em contato com a central de atendimento dedicada se as consultas de saldo online e funções semelhantes deixarem de funcionar e nunca fornecer seu PIN ou número de cartão a quem pedir.
Vazamento nas lojas online FANCL e Attenir (368.184 e 417.312 membros): nomes, endereços, telefones e datas de nascimento expostos, e o que os membros devem fazer
Em 16 de outubro de 2026, a FANCL Corporation e a Attenir Corporation, duas empresas japonesas de cosméticos e produtos de saúde, anunciaram que suas lojas online foram acessadas sem autorização por uma parte externa entre 3 e 10 de outubro, e que parte dos dados de membros vazou. O acesso foi identificado em uma investigação interna em 15 de outubro, e as empresas identificaram e interromperam a função que causou o problema. Os dados vazados abrangem 393.785 registros de 368.184 membros da FANCL e 441.162 registros de 417.312 membros da Attenir. Os itens são endereço de e-mail, nome, endereço, telefone, data de nascimento, gênero, número de cliente, um e-mail secundário e sua senha (uma senha secundária com hash, definida por alguns membros; a senha principal não está incluída), itens de perguntas de segurança (respostas não incluídas) e outros dados de cadastro, como pontos e nível de associação. Dados de pagamento, como cartões de crédito, não estão incluídos. Nenhum uso indevido ou dano secundário foi confirmado. A FAQ da FANCL informa que os clientes afetados foram contatados no e-mail cadastrado durante 17 de outubro. Conclusão deste site: os membros de qualquer uma das empresas devem presumir que seu nome, endereço, telefone e data de nascimento são conhecidos, não devem seguir instruções em e-mails, mensagens de texto, ligações ou cartas que aleguem vir das empresas, e devem verificar pelo site oficial ou pela central de atendimento compartilhada.
Vazamento de dados da Trustbank no Furusato Choice (4.454.097 registros de membros): nomes, endereços e senhas com hash vazaram; o que doadores devem fazer
Em 20 de outubro de 2026, a Trustbank, Inc., que opera o Furusato Choice, um grande site do sistema japonês de doações de imposto para cidades natais (furusato nozei), anunciou que uma parte externa obteve acesso não autorizado a dados de membros e que dados pessoais de doadores vazaram. Após notar padrões de acesso incomuns em 19 de outubro, a empresa constatou que o acesso não autorizado ocorreu em 17 de outubro e encerrou os serviços relacionados às 15:50 de 19 de outubro. O vazamento confirmado abrange 4.454.097 registros de membros: nome, endereço de e-mail, endereço postal, telefone, senha com hash e valor estimado da dedução do imposto da doação. Em um segundo comunicado, em 23 de outubro, a empresa disse que, para cinco desses doadores, vazaram itens adicionais, incluindo histórico de pontos, histórico de doações, data de nascimento e endereço de entrega. Para dois deles, uma parte externa acessou a tela Minha Página, que mostra os dados de cartão salvos (últimos quatro dígitos, nome do titular e data de validade). A empresa diz que os dados do cartão são buscados na processadora de pagamentos cada vez que essa tela é exibida, não são armazenados em seus sistemas e não podem ser usados isoladamente para fazer um pagamento com cartão. Desde 21 de outubro, os membros têm recebido e-mails individuais informando se seus dados vazaram e quais itens. Em um terceiro comunicado, em 26 de outubro, a empresa disse ter começado naquele dia a retomar gradualmente o sistema de gestão de doações usado pelas prefeituras e pelos fornecedores de presentes de retribuição (suas perguntas frequentes do mesmo dia dizem que a partir de 25 de outubro). Novas doações não estão sendo aceitas, e não há data definida para a retomada do site voltado aos doadores. As senhas de todos os membros foram invalidadas, e será preciso definir uma nova senha após a retomada. A conclusão deste site: os membros devem trocar a senha de qualquer outro serviço em que usem a mesma combinação de e-mail e senha e não devem abrir links em mensagens que aleguem ser do Furusato Choice ou de uma prefeitura.
Vazamento na and ST HD (cerca de 2,5 milhões de registros de clientes): o que pode ter vazado e o que os membros devem fazer
Em 23 de outubro de 2026, a and ST HD Co., Ltd. anunciou que um acesso não autorizado de um terceiro aos seus servidores de negócios pode ter vazado parte dos dados de clientes, parceiros comerciais e funcionários. Segundo a empresa, a partir de cerca das 7h30 de 22 de outubro (horário do Japão), tentativas de login, invasão e extração de dados foram realizadas em sequência contra vários de seus servidores; a empresa detectou a atividade não autorizada por volta das 10h, isolou os servidores e cortou a rota de acesso até as 17h. Os dados que podem ter vazado abrangem cerca de 2,5 milhões de registros de clientes (nome, data de nascimento, gênero, endereço, número de telefone, endereço de e-mail e ID de membro) e cerca de 10.000 registros de parceiros comerciais (nome da empresa, endereços de pedidos e de devoluções, nome do contato, número de telefone e endereço de e-mail); o alcance para funcionários ainda está sendo confirmado. Dados de pagamento, como os do cartão de crédito, e senhas definidas pelos próprios clientes não estão incluídos, segundo a empresa. A loja virtual and ST não foi afetada pelo acesso não autorizado, mas os pontos de membro atualmente não podem ser usados nas lojas nem na loja virtual. A empresa diz que está começando a avisar em sequência os clientes e parceiros afetados e que criará um canal de atendimento. Avaliação deste site: como se diz que as senhas não estão incluídas, a prioridade hoje não é trocar a senha, e sim desconfiar de mensagens que usem o nome da empresa ou de suas marcas junto com seu endereço ou data de nascimento reais. Confira pelo aplicativo oficial ou por um site que você mesmo abrir.
Acesso não autorizado ao serviço de envio de e-mails blastmail (dados de conta de todos os clientes e listas de destinatários e dados semelhantes de 345 contratos): o que os destinatários de newsletters e as organizações clientes devem fazer
O serviço de envio de e-mails blastmail, fornecido pela RAKUS Lite Cloud Co., Ltd., subsidiária da RAKUS Co., Ltd., foi acessado por um terceiro externo, e dados foram extraídos. A empresa encerrou o serviço em caráter de emergência às 0h30 de 21 de outubro de 2026, e a controladora RAKUS publicou um primeiro e um segundo comunicado no mesmo dia. Segundo os avisos, o terceiro invadiu dois servidores de API, executou comandos e se conectou ao sistema de gestão de vendas e ao banco de dados do serviço para extrair dados. Do sistema de gestão de vendas, foram extraídos o nome da empresa, o nome do contato, o telefone, o e-mail, o e-mail de cobrança e o histórico de contratos e pagamentos de todos os clientes. A empresa não possui números de cartão de crédito. Para alguns clientes, também foi confirmado o vazamento de dados de envio, como listas de destinatários. Na atualização das 17h00 de 26 de outubro, a empresa disse que mais um caso havia sido encontrado, elevando o total para 345 contratos, e que havia entrado em contato individualmente com todos eles. A rota da invasão está sob investigação e, na atualização das 12h00 de 30 de outubro, a empresa disse que o número continuava em 345 e que pretende retomar o serviço por volta de 11 de novembro (sujeito a alteração). Em avisos de organizações clientes, o The Niigata Nippo informou que os dados de todos os membros do serviço Niigata Nippo Passport, até cerca de 253.000 pessoas, incluindo nome (em katakana), e-mail, gênero e faixa etária, vazaram. A JR Shikoku disse que cerca de 30.000 registros podem ter vazado, a cidade de Yokohama divulgou três serviços de envio relacionados, o Ministério do Meio Ambiente divulgou seis newsletters e a Japan Petroleum Exploration (JAPEX) divulgou que sua newsletter e os envios a participantes de eventos para investidores possivelmente foram afetados. A giftee disse ter confirmado que seu contrato não estava entre os 288 contabilizados em 23 de outubro. Conclusão deste site: quem recebe newsletters dessas organizações não deve abrir links, mesmo que o nome do remetente seja verdadeiro, e deve verificar pelo site oficial. As organizações que usam o blastmail devem confirmar se foram contatadas, decidir sobre a comunicação à Comissão de Proteção de Informações Pessoais (comunicações conjuntas com a empresa: segunda rodada de inscrições até 5 de novembro) e sobre a notificação dos indivíduos, e alertar sua própria equipe sobre e-mails de cobrança ou de novo login que aleguem ser do blastmail ou da RAKUS, já que os dados de contato de todos os clientes foram extraídos.
Acesso não autorizado ao sistema de clínicas @link (at-link) da Medley: nomes, datas de nascimento, IDs de login e senhas de pacientes vazaram — o que pacientes e clínicas devem fazer
Em 15 de outubro de 2026, a Medley, Inc. anunciou o acesso não autorizado de um terceiro ao seu sistema de gestão de instituições médicas @link (at-link), ao aplicativo at-link voltado aos pacientes e a serviços relacionados, e disse que os suspendeu desde a madrugada de 14 de outubro. Segundo a empresa, ela começou a investigar em 11 de outubro, depois que uma organização especializada externa alertou sobre um possível acesso não autorizado, e confirmou o acesso. Em 23 de outubro, a empresa disse ter confirmado que, do fim de setembro até meados de outubro de 2026, o terceiro acessou o banco de dados da empresa por meio de um programa instalado sem autorização e obteve informações, e que houve vazamento de dados pessoais. Para pacientes que usaram o aplicativo at-link ou o agendamento pela web, os itens vazados são nome, leitura do nome (furigana), dia e mês de nascimento, e-mail (somente se cadastrado), ID de login e senha do aplicativo e do agendamento pela web, nome da clínica usada, data de cadastro, data da última consulta e histórico de pagamentos com cartão de crédito (somente data e valor do pagamento; apenas para quem pagou online pelo aplicativo). Para pacientes que não usaram o aplicativo nem o agendamento pela web, os itens vazados são nome, furigana, dia e mês de nascimento, nome da clínica usada, data de cadastro, data da última consulta e o ID de login e a senha inicial do aplicativo e do agendamento pela web. A empresa diz que não guarda números de cartão. O número de clínicas e de pessoas afetadas está sob investigação; a empresa notificará as pessoas afetadas aos poucos, em conjunto com as clínicas. Ela não divulgou o método específico, dizendo que isso poderia atrair ataques semelhantes. Fechou a via de acesso e invalidou todas as credenciais relacionadas, e comunicou o caso à Comissão de Proteção de Informações Pessoais e ao Ministério da Saúde, Trabalho e Bem-Estar. As senhas do aplicativo e do agendamento pela web não serão mantidas; os usuários definirão novas senhas quando o serviço for reiniciado. No aviso atualizado às 12h30 de 28 de outubro, a empresa disse que em 28 de outubro começou o uso de teste do «@link Cloud beta», voltado às clínicas, em algumas clínicas (funções em teste: consulta e registro de agendamentos, informações de pacientes e calendário de consultas), que o aplicativo para pacientes, o site de agendamento pela web e outros serviços continuam suspensos, e que pretende reembolsar as taxas do período de suspensão dentro de novembro. A investigação sobre a causa e o alcance continua. Opinião deste site: quem usou o aplicativo at-link ou o agendamento pela web deve trocar a senha em qualquer serviço em que a tenha reutilizado e não deve abrir links em mensagens que mencionem sua clínica ou suas consultas. As clínicas devem encaminhar as dúvidas dos pacientes ao contato exclusivo da empresa.
Acesso não autorizado à Nikkei (cerca de 1,83 milhão de registros): nomes, e-mails e outros dados vazaram em cerca de 150 mil — o que os usuários devem fazer
Em 16 de outubro de 2026, a Nikkei Inc., editora de jornais do Japão, anunciou que um serviço de nuvem usado por ela no desenvolvimento de sistemas foi acessado sem autorização e que, até o dia 16, cerca de 1,83 milhão de registros de informações pessoais haviam vazado. Cerca de 150 mil continham ao menos um dos seguintes dados: nome, endereço de e-mail, endereço postal, número de telefone ou data de nascimento, e cerca de 120 mil deles incluíam um endereço de e-mail. Os cerca de 1,68 milhão restantes eram apenas identificadores que, sozinhos, não identificam uma pessoa. Não havia informações de cartão de crédito. Segundo a empresa, as credenciais de acesso ao serviço de nuvem foram roubadas de alguma forma, e o acesso não autorizado ocorreu da madrugada à manhã de 7 de outubro. A empresa desativou as credenciais usadas e comunicou o incidente à Comissão de Proteção de Informações Pessoais do Japão em 11 de outubro. Até o dia 16, não foram confirmados danos secundários, como uso indevido dos dados, nem queda de sistema ou adulteração de dados. A empresa diz que notificará individualmente as pessoas cujos dados forem confirmados como vazados. A empresa do grupo Nikkei National Geographic informou em 22 de outubro que havia informações de alguns usuários de seus serviços. Não foram divulgados quais serviços têm usuários afetados, as quantidades por tipo de dado nem como as credenciais foram roubadas. Avaliação deste site: não use links nem números de telefone de e-mails ou ligações que digam ser da Nikkei; confirme no site oficial.
Vazamento na Treasure Factory (Trefac) (746.277 registros de e-mail): o que clientes de compra a domicílio e do Trefac Moving devem fazer
Em 23 de outubro de 2026, a Treasure Factory Co., Ltd., varejista japonesa de artigos de segunda mão, anunciou que um terceiro obteve acesso não autorizado ao sistema de gestão de casos que ela usa para receber e tratar os pedidos do serviço de compra a domicílio (shutchō kaitori) e do serviço Trefac Moving, e levou parte dos dados de clientes e outros dados ali mantidos. Segundo a divulgação oportuna (timely disclosure) da empresa, os dados confirmados são 746.277 registros de clientes (endereços de e-mail; 11 deles incluem também nome e endereço), 750 registros com nomes e e-mails de parceiros comerciais, funcionários e outros, e 1.000 registros com nomes e identificadores de dispositivos usados por parceiros comerciais, funcionários e outros. Números de cartão de crédito e outras informações de pagamento não foram incluídos, e os dados de clientes mantidos nas lojas e no aplicativo da empresa ficam em sistemas separados e não foram afetados. A empresa confirmou o acesso por meio da análise dos registros de acesso em 20 de outubro e, no mesmo dia, bloqueou o acesso externo e os formulários de pedido. Ela acredita que foi explorada uma vulnerabilidade relacionada ao acesso ao banco de dados e diz que o incidente não tem relação com uma vulnerabilidade do PHP divulgada recentemente. Nenhum dano secundário foi confirmado. O sistema e os formulários de pedido devem voltar a funcionar por volta de 28 de outubro. Conclusão deste site: se você já fez um pedido de compra a domicílio ou do Trefac Moving, considere que seu e-mail é conhecido, não abra links em e-mails que digam ser da Trefac e confira no site oficial.
Vazamento do CAPCOM ID da Capcom (11.774.247 registros): endereços de e-mail e dados de login vazados — o que os titulares de conta devem fazer
Em 22 de outubro de 2026, a Capcom Co., Ltd. anunciou que seu serviço de associação on-line CAPCOM ID (a conta compartilhada usada nos serviços web da Capcom e em alguns jogos on-line) foi acessado sem autorização por um terceiro e que parte das informações de clientes vazou. Os dados vazados são endereços de e-mail e informações de identificação específicas do sistema (data e hora de criação da conta, data e hora do último login, número de logins e endereço IP do cliente usado no último login), em 11.774.247 registros no mundo todo. Em 43 deles, também vazaram data de nascimento, gênero, país/região e apelido. Em 196 das contas, a senha de login havia sido alterada sem autorização; a empresa já redefiniu essas senhas. Segundo o segundo comunicado, de 23 de outubro, em 19 dessas 196 contas (no Japão), um terceiro não autorizado acessou as páginas de conta da e-Capcom, a loja on-line da empresa no Japão, e vazaram: nome, nome em caracteres fonéticos japoneses, número de telefone, CEP, endereço, gênero, data de nascimento, histórico de compras, histórico de consultas à e-Capcom e informações salvas da agenda de endereços. Nas outras 177 das 196 contas, a empresa não encontrou informações comprometidas em consequência das alterações de senha. A empresa diz não ter confirmado vazamento das senhas definidas pelos próprios clientes, e informações de cartão de crédito não estavam entre os dados afetados. Segundo a empresa, ela encontrou vestígios que sugeriam acesso não autorizado em 19 de outubro, começou imediatamente a bloquear o acesso e a investigar a causa e o alcance, e confirmou o acesso não autorizado no mesmo dia; em 20 de outubro confirmou o vazamento e as alterações de senha; e em 21 de outubro comunicou o incidente à polícia e à Comissão de Proteção de Informações Pessoais do Japão. Ela diz ter identificado e tratado o método de ataque, mas não divulgou detalhes da causa. No segundo comunicado, disse que a investigação sobre o alcance do impacto foi concluída e que continuará monitorando o CAPCOM ID e os serviços relacionados. Os serviços que usam o CAPCOM ID e todos os jogos continuam disponíveis. A empresa disse que entrará em contato individualmente com os clientes afetados e criará canais de suporte específicos para cada região. Avaliação deste site: titulares de CAPCOM ID não devem abrir links em e-mails ou mensagens de texto que se digam da Capcom, não devem fornecer dados pessoais por telefone, devem trocar qualquer senha reutilizada em outros serviços e devem ativar a autenticação em dois fatores.
Vazamento de dados de membros do Comic Cmoa (até cerca de 4,2 milhões de registros em arquivos de log): e-mails e datas de nascimento vazados — o que os usuários devem fazer
A NTT Solmare Corporation, que administra a loja de e-books japonesa Comic Cmoa (コミックシーモア), publicou quatro comunicados sobre o acesso não autorizado ao serviço, de um primeiro aviso em 15 de outubro de 2026 até um quarto relatório em 21 de outubro. Segundo a empresa, em 15 de outubro ela julgou que um acesso não autorizado de fora para seus servidores muito provavelmente havia ocorrido e suspendeu o serviço às 11:35. No seu segundo relatório, em 16 de outubro, disse ter confirmado que dados de membros do sistema que gerencia as informações de membros vazaram para um terceiro (a quantidade ainda estava sendo apurada). No terceiro relatório, em 18 de outubro, disse ter identificado a rota de invasão e o método de ataque e que estava tratando deles, e que alguns arquivos de log do sistema também tinham sido visualizados e levados. No quarto relatório, em 21 de outubro, descreveu os dados confirmados como vazados como 319 registros de dados de cadastro no banco de dados de membros (e-mail, senha com hash, apelido, data de nascimento, gênero) e até cerca de 4,2 milhões de registros em arquivos de log do sistema (e-mail, apelido, data de nascimento, gênero; sem senhas; possivelmente incluindo duplicatas da mesma pessoa). Diz que dados de cartão de crédito não são mantidos nos sistemas afetados e não vazaram, e que não foi confirmado vazamento de históricos de compras nem vazamento, perda ou dano da MY Bookshelf (as estantes dos usuários). Diz que a identificação e o bloqueio da rota de invasão e do método de ataque estão concluídos, mas não divulgou quais foram. As pessoas afetadas serão contatadas por e-mail. O serviço continua suspenso e deve ser retomado em etapas, começando pela leitura web de títulos comprados; todos os usuários serão solicitados a redefinir suas senhas na retomada. A visão deste site: quem usa o mesmo e-mail e senha do Comic Cmoa em outro serviço deve trocar essa senha hoje, não deve abrir links em e-mails que se apresentem como da empresa e deve verificar pela página de notícias da NTT Solmare aberta por conta própria.
Vazamento de dados na terceirizada da Iwai Cosmo Securities (4.975 clientes): o que vazou, as ordens não intencionais e o que os clientes devem fazer
Em 16 de outubro de 2026, a Iwai Cosmo Securities Co., Ltd., corretora japonesa, anunciou por meio de uma divulgação oportuna de sua controladora Iwai Cosmo Holdings que o sistema de uma terceirizada usada para operar e manter seu sistema de negociação online havia sido acessado por terceiros, e que nomes, endereços de e-mail e outros dados (氏名、メールアドレス他) de 4.611 clientes de negociação online haviam vazado. A empresa detectou o acesso em 14 de outubro. Em seu segundo comunicado, em 20 de outubro, afirmou que uma revisão dos registros de acesso e de comunicação identificou mais 364 pessoas, elevando o total para 4.975; disse que isso não foi causado por nenhum acesso posterior. Os dados vazados não incluem senhas de negociação, e a empresa afirma que eles não podem ser usados para entrar em contas ou negociar. O segundo comunicado também revelou que, em 14 de outubro, o sistema de gestão de negociações também foi atacado, e ordens que os clientes não pretendiam foram lançadas em 7 contas (5 delas foram executadas). As negociações foram revertidas e os clientes não arcam com nenhum custo. A empresa diz que os dados pessoais vazados não foram usados nessas negociações. Diz também que o ponto que permitiu o acesso foi identificado e corrigido, e que a terceirizada adicionou medidas como restrições de acesso às funções de gestão. O método específico não foi divulgado. Nota deste site: não use links nem números de telefone em mensagens que se digam da Iwai Cosmo; confira seu histórico de ordens e execuções em uma página de login que você abriu por conta própria e entre em contato com a linha oficial (0120-405-546) em caso de dúvidas.
Acesso não autorizado ao serviço de envio de e-mails Cuenote FC da Ymirlink (agora cerca de 51,63 milhões de registros acumulados): dados de membros do Express Reservation e do smartEX incluídos. O que destinatários de newsletters e empresas clientes devem fazer
Em 26 de outubro de 2026, a Ymirlink, Inc. (TSE Growth, 4372) publicou um segundo relatório sobre o acesso não autorizado ao seu serviço de envio de e-mails Cuenote FC, dizendo que dados vazaram de 49 sistemas, um total acumulado de 51.628.280 registros. No primeiro relatório, de 19 de outubro, havia estimado cinco sistemas e cerca de 9 milhões de registros acumulados; depois de revisar os registros de todos os sistemas, encontrou em 25 de outubro indícios de acesso não autorizado e exportação de dados em mais 42 sistemas. A contagem de registros vazados ainda está em investigação para 16 sistemas, e o total acumulado pode aumentar. A empresa atribui o incidente a uma vulnerabilidade de biblioteca e diz ter confirmado que as credenciais de sua equipe de suporte e de controle de qualidade foram obtidas, que programas maliciosos foram instalados e que informações de sessão capturadas no login foram usadas para entrar sem autorização. Em seu sistema de gestão de clientes Cuenote BASE, 190 registros de informações contratuais de clientes (nome da empresa, nome, telefone, endereço de e-mail) podiam ser visualizados. A empresa diz não ter encontrado indícios de que os dados pessoais vazados tenham sido divulgados ou usados indevidamente. Entre as empresas clientes, a JR Central, a JR West e a JR Kyushu anunciaram em 26 de outubro que, embora inicialmente tivessem sido informadas de que seus serviços Express Reservation e smartEX não foram afetados, vazaram os endereços de e-mail, IDs de membro, nomes (em katakana) e tipos de associação dos membros que receberam e-mails pelo serviço. Em um segundo relatório de 5 de novembro, disseram que o número de afetados é 172.735. A AsMarq disse no mesmo dia ter sido informada de que parte dos dados cadastrados no ambiente que utiliza provavelmente foi obtida sem autorização. Em 27 de outubro, às 21:00, a Bandai Namco Entertainment Inc. e a BANDAI SPIRITS Co., Ltd. anunciaram que 346.247 registros (endereços de e-mail e identificadores internos para gerenciar o Bandai Namco ID) vazaram do ambiente THE GUNDAM BASE MEMBERS do serviço de e-mail do Bandai Namco ID; dizem que nomes, endereços, histórico de compras, senhas de login e dados de cartão de crédito não estão incluídos, e que outros ambientes ainda estão sendo verificados. Dizem que os e-mails que enviarem sobre isso não conterão URLs. A DCM Holdings (envio de e-mails do seu programa de membros Maibo) disse em seu segundo relatório de 30 de outubro que confirmou um vazamento que afeta 753.272 membros (em 29 de outubro), com endereço de e-mail, ID de membro, nome, gênero, ano e mês de nascimento e prefeitura de residência; não estão incluídos senhas, dados de cartão nem saldos ou histórico de pontos. Conclusão deste site: membros do Express Reservation e do smartEX não devem abrir links nem mesmo em e-mails ou SMS que mostrem seu nome em katakana ou ID de membro, e devem verificar pelo aplicativo oficial ou por um site oficial salvo nos favoritos. Destinatários de newsletters não devem abrir links em e-mails que aleguem vir do remetente. As empresas clientes devem confirmar com a Ymirlink se seu ambiente foi afetado e decidir se devem comunicar a Comissão de Proteção de Informações Pessoais e notificar os indivíduos.
Vazamento de dados do Carsensor.net e do C-MATCH da Recruit (até 3.709.551 registros): nomes e endereços de pessoas que entraram em contato com revendedoras podem ter sido expostos — o que usuários e revendedores devem fazer
Em 21 de outubro de 2026, a Recruit Co., Ltd. anunciou que informações de usuários e parceiros comerciais do Carsensor.net, seu site de anúncios de carros usados (incluindo o aplicativo), e do C-MATCH, seu serviço de apoio a negócios para revendedoras de carros usados, podem ter vazado para fora em decorrência de acesso não autorizado. Segundo a empresa, ela detectou acesso suspeito de fora aos sistemas relacionados ao Carsensor.net em 17 de outubro e suspendeu todos os serviços relacionados a partir de cerca de 17h desse dia. Em 20 de outubro identificou os itens e o número (máximo) de registros de dados pessoais que podem ter vazado. O total é de até 3.709.551 registros: 3.210.421 de pessoas que entraram em contato com revendedoras pelo site (em sua maioria nome e endereço; os endereços, em princípio, vão apenas até o município), 5.289 de pessoas que publicaram avaliações, 483.168 de revendedoras cadastradas no C-MATCH (nomes de funcionários e telefones, números de licença de revendedor de usados, IDs de login etc.; para empresários individuais, também informações de conta bancária para débito direto) e 10.673 de funcionários da empresa e de equipes de terceirizados e agentes de vendas. Nenhum dos grupos inclui dados de pagamento, como cartões de crédito, ou senhas de login. A causa é acesso não autorizado por terceiros, e os detalhes estão em investigação. A empresa apresentou um relatório preliminar à Comissão de Proteção de Informações Pessoais do Japão e entrará em contato individualmente, em sequência, com as pessoas afetadas. Até 21 de outubro, nenhum dano secundário havia sido confirmado. Os serviços começaram a ser retomados por etapas a partir de cerca de 13h de 22 de outubro, começando por aqueles cuja segurança foi confirmada. A visão deste site: quem entrou em contato com uma revendedora pelo Carsensor deve presumir que cartas, e-mails e ligações podem vir de alguém que conhece seu nome e endereço, não deve abrir links ou anexos em contatos inesperados e deve conferir no aviso da própria Recruit.
Vazamento de dados do H2O ID (cerca de 1,26 milhão de registros) pelo site de reservas dos department stores Hankyu e Hanshin: endereços, telefones e datas de nascimento vazaram — o que os membros devem fazer
Em 19 de outubro de 2026, a H2O Retailing Corporation e a Hankyu Hanshin Department Stores, Inc. anunciaram em conjunto que o site de reservas dos department stores Hankyu e Hanshin, a HANKYU HANSHIN E-STORES e a Remo Order, todos operados pela Hankyu Hanshin Department Stores, haviam sido acessados sem autorização por um terceiro, e que parte dos dados pessoais dos clientes havia vazado. Em 16 de outubro, as empresas confirmaram o acesso não autorizado ao sistema de gestão de clientes por meio do site de reservas e interromperam todo o sistema desse site; em 17 de outubro, confirmaram também o acesso não autorizado à E-STORES e à Remo Order e interromperam ambos. Em 19 de outubro, constatou-se que parte dos dados pessoais de cerca de 1,26 milhão de H2O IDs gerenciados no sistema de gestão de clientes havia vazado. O comunicado diz que parte dos dados pessoais de quase todos os membros com H2O ID vazou. Os itens são H2O ID, nome (em kanji e katakana), sexo, endereço de e-mail, CEP, endereço, número de celular, telefone, idade, data de nascimento e os serviços usados com o H2O ID. Na E-STORES e na Remo Order, se houve vazamento de dados está sob investigação; as empresas listam os dados que esses serviços guardam como histórico de pedidos, parte das informações do cartão de crédito (tipo de cartão, últimos quatro dígitos, nome do titular, data de validade), parte das informações do cartão de pontos e informações da lista de endereços. Os números completos dos cartões e os códigos de segurança não são armazenados. Nenhum vazamento de senhas de login foi confirmado, e nenhum uso indevido ou dano secundário foi confirmado. A causa está sob investigação. A E-STORES reabriu às 14h de 19 de outubro. A visão deste site: espere mensagens convincentes que conheçam seu nome, endereço, telefone, data de nascimento e os serviços que você usa; não abra os links delas e verifique no site oficial que você abrir por conta própria ou pelos contatos do comunicado.
Violação no sistema de inscrição de linhas da NIFTY (até 542.513 registros): números de membro, nomes, endereços e telefones podem ter sido expostos — o que os clientes de fibra devem fazer
Em 19 de outubro de 2026, a NIFTY Corporation, um provedor de internet japonês, anunciou (primeiro relatório) que confirmou um acesso não autorizado, vindo de fora, ao seu sistema de gestão de inscrição e aceitação de linhas. Segundo a empresa, ela confirmou o acesso não autorizado por volta das 10h20 de 19 de outubro e bloqueou imediatamente o acesso a partir da origem. O sistema é uma ferramenta interna de gestão que a empresa usa para registrar informações; ele é separado do site (formulários de inscrição etc.) que os clientes usam para se inscrever diretamente. Até 542.513 registros podem ser afetados. Eles abrangem clientes que solicitaram uma linha desde 2019 (excluindo o site da empresa), para os serviços @nifty Hikari, @nifty MAX Hikari e @nifty au Hikari Plus. Os itens são número de membro, nome, sexo, data de nascimento, endereço, número de telefone e endereço de e-mail; esta é a lista completa dos itens que podem ter vazado, e o que realmente vazou está em investigação. O sistema não guarda dados de conta bancária ou de cartão de crédito, que não estão incluídos. O comunicado não menciona senhas. A causa não foi divulgada; a empresa está investigando com especialistas externos e está em processo de comunicação à Comissão de Proteção de Informações Pessoais do Japão. A visão deste site: quem se inscreveu em um desses serviços desde 2019 deve presumir que contatos podem vir de alguém que conhece seu nome, endereço, telefone e data de nascimento, e não deve seguir links ou instruções em e-mails, mensagens de texto ou ligações que se apresentem como sendo da NIFTY. Verifique por meio de um contato oficial que você mesmo procurar.
Acesso não autorizado ao construtor de sites Studio: dados de todos os usuários e envios de formulários podem ter vazado — o que quem enviou formulários e donos de sites devem fazer
Em 16 de outubro de 2026, a Studio Inc. anunciou que um terceiro obteve acesso não autorizado ao ambiente de nuvem que a empresa utiliza e que dados de todos os clientes cadastrados no seu construtor de sites Studio podem ter vazado. O terceiro explorou uma vulnerabilidade em alguns recursos do Studio para acessar o ambiente e tornou seus dados acessíveis de fora. O período de acesso não autorizado confirmado vai de 30 de setembro a 1º de outubro de 2026 (horário do Japão); a empresa descobriu o caso em uma investigação interna em 13 de outubro e concluiu a correção da vulnerabilidade e o fechamento da rota em 13–14 de outubro. Os dados que podem ter vazado incluem dados de conta (nomes de usuário, endereços de e-mail, senhas com hash e mais), conteúdo do editor de design e do CMS, o conteúdo de formulários enviados em sites feitos no Studio, URLs de pré-visualização ao vivo, chaves de API e tokens de serviços externos registrados em integrações de API, senhas de páginas protegidas por senha e URLs de notificação de webhook. Alguns dados armazenados de forma criptografada também podem ter sido lidos, porque a chave necessária para descriptografá-los foi lida no mesmo acesso. A empresa não confirmou que um terceiro realmente levou os dados, mas os trata como levados. O número de pessoas afetadas e se houve algum uso indevido estão sob investigação. Empresas e organizações que criaram sites com o Studio também disseram que dados pessoais enviados por seus formulários podem ter vazado: a Luup informou 21.368 registros, o Link-U Group 7.663, a TRUSTART cerca de 1.440 e o Museu Floresta Verde de Saitama, da Província de Saitama, 162. A Agência Digital do Japão disse em 22 de outubro, depois de a Studio Inc. comunicar o incidente a ela em 16 de outubro, que consultas inseridas nos formulários de contato do seu site entre maio de 2021 e março de 2023 (cinco categorias, até 8.833 registros na maior; até 13.323 no total, somados por este site) e 35 registros de contas do Studio podem ter vazado. Sobre a comunicação à Comissão de Proteção de Informações Pessoais do Japão (PPC), a Studio Inc. pediu em 17 de outubro que os usuários de formulários suspendessem comunicações individuais e, em 20 de outubro, disse que, após conversas com a PPC, os clientes podem escolher comunicar individualmente ou em conjunto com a Studio (em qualquer caso, os clientes ainda decidem sobre notificar os indivíduos afetados). Em 19 de outubro, acrescentou à sua página de orientação que até respostas que sejam propaganda comercial, spam ou que gerem preocupação de segurança exigem, em princípio, notificação ao indivíduo se contiverem informações que identifiquem uma pessoa. Conclusão deste site: se você enviou um formulário em um site feito no Studio, verifique o comunicado do dono do site e não abra links em mensagens que mencionem o que você enviou. Donos de sites devem trocar a senha e renovar as chaves de integração na ordem indicada pela Studio Inc.
Vazamento no app do Burger King Japão (cerca de 11,18 milhões de registros): nomes, datas de nascimento e telefones expostos — o que os membros devem fazer
Em 15 de outubro de 2026, a BK Japan Co., Ltd., que opera o Burger King no Japão, anunciou que o app oficial do Burger King, operado por ela, havia sido acessado sem autorização por um terceiro, e que confirmou o vazamento das informações dos membros do app. O acesso ocorreu de 2 a 7 de outubro de 2026, e o vazamento foi constatado em 13 de outubro. Cerca de 11,18 milhões de registros de membros do app foram afetados. Os itens são: ID de membro, endereço de e-mail, tipo de cadastro, prefeitura, sexo, data de nascimento, nome (em kanji e katakana), número de telefone, se o membro tem histórico de pedidos pelo celular e se o e-mail foi verificado. A empresa afirma que não guarda números de cartão de crédito, por isso eles não vazaram, e que até agora não foi confirmado vazamento de informações de senha de login. A causa detalhada está sendo investigada com uma organização especializada externa, e nenhum dano secundário, como uso fraudulento, havia sido confirmado no momento do comunicado. Não houve atualização até 17 de outubro. A visão deste site: esperar mensagens convincentes que saibam seu nome, data de nascimento e telefone; não abra os links e verifique no app oficial que você abre por conta própria. Se você usa sua data de nascimento como PIN ou senha, troque-a.
Vazamento de dados de membros da SourceNext (22.519.960 registros): e-mails, senhas e endereços podem ter sido expostos — o que os membros devem fazer
Em 15 de outubro de 2026, a SOURCENEXT CORPORATION anunciou que um terceiro obteve acesso não autorizado aos dados de membros que ela gerencia e que dados pessoais de seus membros cadastrados vazaram para fora da empresa. Segundo a empresa, a partir de cerca das 10:00 do dia 9 de outubro, um terceiro usou indevidamente uma API de recuperação de dados de membros para obter informações de membros; a empresa confirmou o acesso não autorizado por volta das 9:00 do dia 13 de outubro e concluiu a contenção até as 13:36 do mesmo dia. Os dados que podem ter vazado somam 22.519.960 registros. Os itens são endereço de e-mail, senha, nome, nome em katakana, endereço, gênero, número de telefone, número de fax, data de nascimento, nome da empresa, cargo, departamento e identificadores do sistema (serviços contratados, data de cadastro, data de login e assim por diante); os itens variam conforme a forma como cada membro se cadastrou. Segundo a empresa, dados de cartão de crédito não são armazenados no sistema afetado e não estão incluídos. Em uma atualização de 16 de outubro, a empresa disse que a senha de todos os membros já foi desativada, que as senhas antigas não funcionam mais e pediu que os membros definam uma nova. Uma reportagem de 19 de outubro atribui à porta-voz da empresa a informação de armazenamento criptografado e exposição confirmada em forma descriptografada. O FAQ da empresa diz que ela pediu a um especialista independente em segurança que iniciasse uma investigação de terceiros em 16 de outubro, que seus produtos Super Security e Virus Security continuam podendo ser usados como antes e que os dados salvos no 1Password não são mantidos pela empresa e não fazem parte do vazamento. Separadamente, em 27 de outubro e 5 de novembro a empresa anunciou que um terceiro obteve acesso não autorizado ao provedor do serviço de envio de e-mails que ela usava (um terceirizado), de modo que e-mails e informações de pedidos usados nos envios podem ter vazado (142.669 registros, contados como endereços de e-mail distintos, no segundo comunicado de 5 de novembro; senhas, nomes, endereços, telefones e dados de cartão de crédito não estão incluídos). A empresa diz que é um incidente separado, sem relação com o de 15 de outubro. Visão deste site: quem já se cadastrou na SourceNext deve primeiro trocar a senha de qualquer outro serviço que use o mesmo e-mail e senha, depois definir uma nova senha da SourceNext pelo site oficial aberto pelo próprio usuário, e não usar links ou números em e-mails, mensagens de texto, ligações ou cartas que se apresentem como SourceNext.
Vazamento de dados da IDARE (129.659 pessoas): saldos, histórico de transações e alguns números de documentos de identidade vazados — o que os usuários devem fazer
Em 13 de outubro de 2026, a Fivot Inc. anunciou que seu aplicativo de pagamento sem dinheiro em espécie IDARE sofreu acesso não autorizado de terceiros que vazou dados pessoais. Uma vulnerabilidade em um software externo que a empresa usava para atendimento ao cliente e outras tarefas foi explorada, e dados do banco de dados da empresa foram obtidos em múltiplas ocasiões entre 10 de agosto e 27 de setembro. As pessoas afetadas são as 129.659 que haviam se cadastrado até 27 de setembro, incluindo quem havia encerrado suas contas. Para todos, os dados vazados incluem número de telefone, endereço de e-mail, data de nascimento, ID de usuário, nome de exibição, configurações e status da conta, saldo, histórico de transações e o nome e a data de validade no cartão IDARE. Para algumas pessoas, também incluem nome, endereço, gênero, finalidade de uso e número do documento de identidade enviado para verificação de identidade, os últimos 4 dígitos do número do cartão IDARE, os primeiros 6 e os últimos 4 dígitos de um cartão de crédito cadastrado para recargas, os últimos 3 dígitos de uma conta bancária cadastrada para recargas, o código de ativação do cartão físico e a renda anual e o empregador informados para o LADDER, um serviço de crédito que foi encerrado em outubro de 2021. Senhas de login, imagens de documentos de identidade e rostos, o Meu Número (My Number, número individual do Japão), números completos de cartões, códigos de segurança, PINs e números completos de contas não foram envolvidos. A empresa afirma que nenhuma transação fraudulenta foi confirmada e que a autenticação em múltiplos fatores é exigida para fazer login. Em seu segundo comunicado, em 21 de outubro, disse que nenhuma transação fraudulenta havia sido confirmada até aquela data e apresentou medidas de prevenção com prazos (30 de outubro e 30 de novembro). Uma investigação independente conduzida por uma organização especializada externa deve ser concluída entre o fim de novembro e o início de dezembro, e a empresa diz que publicará o relatório quando estiver pronto. Conclusão deste site: os dados vazados, sozinhos, não podem ser usados para fazer login ou pagar, mas uma mensagem que informe corretamente o seu saldo ou compras recentes não é prova de que é genuína. Não aja com base em mensagens que se dizem da IDARE, de uma operadora de cartão ou de um banco pelo mesmo canal por onde chegaram, e nunca forneça a ninguém sua senha, PIN, código de segurança ou código de autenticação.
Vazamento do SpeeCAN RAIDEN (2026): usuários de e-mail de alerta de desastres e riscos de golpes
Em 13 de outubro de 2026, a Arcadia Inc. anunciou que o SpeeCAN RAIDEN, seu serviço de notificação em massa por e-mail e outras mensagens, foi acessado sem autorização por um terceiro, e que podem ter vazado nomes de contato, endereços de e-mail, números de telefone e de fax, informações de funcionários e de contratos, e o texto das mensagens enviadas, guardado como histórico. Os números máximos são cerca de 3.136.000 endereços de e-mail, cerca de 105.000 números de telefone e cerca de 15.000 números de fax (todos estimativas, ainda sob investigação). A Arcadia viu atividade suspeita às 16h30 de 11 de outubro, aplicou um bloqueio provisório por volta das 3h00 de 12 de outubro e, às 11h00 de 13 de outubro, desligou os serviços que haviam sido a via de invasão (raiden3 e s2, do Raiden School). Em 14 de outubro, incluiu NET119 e 119RAIDEN no possível vazamento e, na 11ª atualização de 16 de outubro, informou números por serviço: no NET119, dados pessoais como nomes, datas de nascimento e endereços vinculados a 9.020 endereços de e-mail (a empresa confirmou que nenhum dado pessoal sensível vazou); no 119RAIDEN, cerca de 97.000 endereços de e-mail e outros dados. Os serviços suspensos foram restabelecidos por volta das 15h00 de 15 de outubro. Dados de pagamento não são tratados. Os municípios publicaram avisos próprios; a Cidade de Shizuoka diz ter estabelecido que vazaram endereços de e-mail de 34.336 moradores cadastrados e outros dados, e viu e-mails falsos que se passavam por uma empresa de cartão, enviados do mesmo domínio dos alertas verdadeiros, @raiden.ktaiwork.jp. Na 17ª atualização, de 21 de outubro, a Arcadia disse que um programa malicioso enviou 1.423.428 e-mails de phishing a partir do seu sistema entre 1h17 e 7h16 de 13 de outubro, que pelo menos 869.575 deles foram para endereços que a empresa não possui, e que uma organização externa fará uma pesquisa na dark web. A empresa também enviou e-mails a clientes e revendedores sobre o envio, em nome deles, das comunicações à Comissão de Proteção de Informações Pessoais e ao Ministério dos Assuntos Internos e Comunicações. Na 20ª atualização, de 22 de outubro, informou aos clientes que devem usar autenticação em duas etapas no login, para evitar recorrência, e na 22ª atualização, de 23 de outubro, pediu o mesmo aos clientes do Raiden School. No relatório publicado com a 21ª atualização, de 23 de outubro, diz que um arquivo de configuração foi obtido por uma vulnerabilidade no servidor de mídia que publica anexos, vazando uma chave secreta usada em logins entre serviços, entre outras causas; que todos os serviços estão dentro do escopo do possível vazamento; e que a contagem ainda está sob investigação (9.020 delas no NET119). A empresa pediu uma investigação detalhada a uma organização de segurança independente. Em sua 25ª atualização (17h00 de 2 de novembro), disse que, separadamente do envio de 13 de outubro, também foram enviados externamente a partir de seu sistema supostos e-mails de phishing em 22 e 23 de outubro. Aponta duas causas: a conta da API de envio de e-mails vazada durante a invasão de 11 a 13 de outubro teve a senha quebrada por força bruta e foi usada de fora, e, depois que a integração com a API foi interrompida, uma vulnerabilidade de confusão na análise de URL foi usada para abusar da API novamente. Diz que interrompeu a integração com a API por volta das 6h30 de 22 de outubro e corrigiu a vulnerabilidade por volta das 10h30 de 23 de outubro, e que os e-mails não autorizados cessaram. Na 26ª atualização, às 16h15 de 6 de novembro, informou que está retomando a função de integração por API com sistemas externos interrompida na 19ª atualização; os clientes precisam alterar configurações para voltar a usá-la, e os afetados estão sendo contatados individualmente. Nossa conclusão: o remetente não permite distinguir o verdadeiro do falso; por isso, não bloqueie o remetente dos alertas de desastres e não abra links em e-mails que pedem para confirmar dados de cartão ou pessoais.
Acesso não autorizado ao Commune (166.505 registros de membros, contados por comunidade): dados de membros de comunidades corporativas vazados — o que membros e operadores devem fazer
Em 9 de outubro de 2026, a Commune Inc. anunciou que seus serviços de comunidade para empresas, Commune e Commune for Work, foram acessados sem autorização por um terceiro externo, e que dados de membros de algumas comunidades vazaram. Os vazamentos ocorreram por volta das 18h00 de 5 de outubro até por volta das 21h00 de 6 de outubro, e das 13h17 às 14h36 de 7 de outubro (horário do Japão). O primeiro comunicado indicou cerca de 307.000 membros (estimativa de pessoas únicas) como o máximo possivelmente afetado. Em uma atualização de 21 de outubro, após uma investigação detalhada, confirmou que 166.505 membros foram afetados (o total de IDs de membros contados por comunidade, então pessoas em várias comunidades são contadas uma vez para cada uma; isso inclui comunidades administradas pela empresa e comunidades de teste/demonstração, e exclui contas criadas pelo atacante), e que 125.601 deles tiveram dados, incluindo endereços de e-mail, vazados. Para os demais, os dados vazados incluem nomes de exibição, perfis e participações em grupos privados. Para 144 membros, as senhas foram alteradas para senhas temporárias sem a ação deles. Não foi confirmado vazamento das próprias senhas nem de mensagens diretas, e a empresa não guarda dados de pagamento. Ela atribui o incidente a links de convite para comunidades privadas obtidos de forma ilegítima e à personificação de administradores. Empresas clientes que administram comunidades no serviço também publicaram comunicados; a JMAM informou que nomes, endereços, idades e telefones nos perfis de membros de sua comunidade Toki Labo também vazaram. Para impedir o uso indevido dos e-mails vazados, a Commune Inc. interrompeu todas as comunidades para manutenção emergencial a partir das 00h50 de 10 de outubro e adotou medidas como tornar obrigatória a autenticação em dois fatores para contas de administradores. Em 16 de outubro, anunciou que as comunidades seriam reabertas em etapas, começando por clientes que solicitarem, apenas na versão para navegador web e com alguns recursos restritos (o aplicativo, o novo cadastro com endereço de e-mail e a redefinição por “esqueci minha senha” continuam indisponíveis). Diz que nenhum novo acesso não autorizado ou vazamento foi encontrado durante a manutenção ou os testes. A atualização de 21 de outubro também informa que a empresa apresentou um relatório preliminar ao Ministério de Assuntos Internos e Comunicações (Gabinete Regional de Telecomunicações de Kanto) em 9 de outubro, começou a consultar a polícia, não encontrou programas, contas ou configurações deixados pelo atacante após analisar todos os registros, e está preparando uma investigação forense por uma organização terceirizada. Nossa avaliação: verifique o comunicado da empresa que administra sua comunidade para saber se você foi afetado e não abra links em e-mails que aleguem vir da comunidade.
Vazamento da Baitoru (até cerca de 3,89 milhões de endereços de e-mail): apenas e-mails vazados — como os membros podem identificar mensagens falsas de entrevista e golpes de emprego
Em 9 de outubro de 2026, a dip Corporation anunciou que, em 6 de outubro, confirmou acesso não autorizado de terceiros à Baitoru e à Baitoru NEXT, sites de emprego que ela opera no Japão, e que alguns endereços de e-mail de membros vazaram. O número de endereços que podem ter vazado é de até 3.885.771. A empresa diz que apenas endereços de e-mail vazaram e que nomes, números de telefone, senhas e dados de cartão de crédito não foram incluídos. Ela atribui a causa a acesso não autorizado do exterior que explorou uma falha na especificação de parte de seu sistema. Bloqueou todo o acesso do exterior e modificou o programa. Não confirmou nenhuma publicação dos dados na internet nem qualquer uso indevido. Os membros afetados foram avisados nos serviços em 6 de outubro e estão sendo contatados individualmente por e-mail e por outros meios. Não houve comunicado de acompanhamento até 10 de outubro. A visão deste site: mesmo que apenas endereços de e-mail tenham vazado, sabe-se que eles pertencem a membros de sites de emprego. Não abra links em mensagens sobre horários de entrevista ou confirmações de candidatura; verifique no aplicativo oficial que você mesmo abre. Não migre para outros aplicativos de mensagens nem responda a ofertas de 'pagamento alto, pago no mesmo dia'.
Vazamento de dados de membros da Bookoff (6.383.279 pessoas): nomes, endereços, e-mails e hashes de senha podem ter sido expostos — o que os membros devem fazer
Em 9 de outubro de 2026, a BOOKOFF GROUP HOLDINGS LIMITED anunciou que um terceiro obteve acesso não autorizado ao sistema de gestão de membros da Bookoff no Japão, fornecido por sua subsidiária BOOKOFF CORPORATION LIMITED, e que dados de membros vazaram para fora da empresa. Segundo o segundo relatório, de 13 de outubro, os dados de membros foram retirados por acesso externo entre 4 e 6 de outubro. A contagem é de 6.427.735 registros por número de membro, ou 6.383.279 pessoas quando os registros de membros cadastrados com o mesmo endereço de e-mail são contados como uma única pessoa (212.371 delas são ex-membros). Os afetados são membros do app, membros da loja online e membros da web; quem usa apenas o cartão de membro e nunca se cadastrou pelo app ou pela web não está incluído. Os dados que podem ter vazado são nome, data de nascimento, gênero, ocupação, apelido, endereço de e-mail, telefone, código postal e endereço, hash de senha, número do cartão de pontos e número de membro (ocupação e apelido foram acrescentados por uma correção de 16 de outubro), embora nem todos os itens tenham vazado para todos os membros. Dados de pagamento, como detalhes de cartão de crédito, dados de conta bancária, texto lido de documentos de identidade em compras presenciais nas lojas e imagens de documentos de identidade de compras por correio não estão incluídos. A empresa enviou e-mails aos membros afetados em etapas a partir de 15 de outubro (o envio para todos os endereços que ela conseguiu confirmar como entregáveis terminou em 22 de outubro) e pede que troquem as senhas da loja online oficial e do app. Em 23 de outubro anunciou uma consulta na web, no site de membros da Bookoff, em que o membro faz login e verifica se foi afetado, e informou que abriu uma linha gratuita dedicada em 22 de outubro. No terceiro relatório, de 6 de novembro, informou que uma investigação com especialistas externos constatou que um terceiro explorou um problema de controle de acesso em parte do sistema que trata dados de membros; não divulga detalhes técnicos como a configuração do sistema ou os ajustes. Segundo o terceiro relatório, o alcance (serviços, pessoas e itens) não mudou em relação ao segundo relatório, e de 26 a 29 de outubro a empresa também avisou individualmente os membros afetados por notificações no app oficial. Não foram confirmados divulgação de dados de membros, uso indevido de pontos nem alteração de dados de membros, e a empresa diz que compensará integralmente os pontos se for confirmado uso indevido decorrente do incidente. Ela prevê apresentar o relatório final à Comissão de Proteção de Informações Pessoais no início de dezembro. Avaliação deste site: quem se cadastrou pelo app ou pela loja online deve trocar a senha pelo app oficial ou por um site que abra por conta própria, trocá-la em qualquer outro serviço que use a mesma senha e não abrir links de e-mails ou mensagens de texto que digam ser da Bookoff.
Malware em computador de um terceirizado da Daiichikosho (cerca de 8,72 milhões de registros): nomes, datas de nascimento e telefones de membros do Big Echo e de outros podem ter vazado — o que fazer
Em 8 de outubro de 2026, a Daiichikosho Co., Ltd. anunciou que uma empresa à qual terceiriza o tratamento de dados pessoais informou que um computador usado por um de seus funcionários estava infectado com malware, e que as informações de clientes da Daiichikosho podem ter vazado. Dados pessoais relacionados ao trabalho terceirizado haviam sido armazenados temporariamente nesse computador. Os registros se referem a cerca de 8.631.000 clientes que se cadastraram como membros ou fizeram reservas nas lojas da empresa (Big Echo, Mega Big, Karaoke CLUB DAM, Banana Club, B-GARAGE e DK Dining, após a remoção de duplicidades) e a cerca de 93.000 funcionários, totalizando cerca de 8.724.000. Os itens são nome (nome cadastrado), sexo, data de nascimento, e-mail e telefone. Senhas não foram incluídas, e a empresa diz que os pontos não podem ser usados apenas com essas informações. Não foi confirmado nenhum vazamento externo real, uso indevido ou impacto nos sistemas próprios da empresa. Uma linha de atendimento gratuita foi aberta em 9 de outubro. Em um acréscimo datado de 26 de outubro, a empresa disse que está contatando individualmente, aos poucos, por SMS e outros meios, os clientes que podem ter sido afetados, e divulgou os números remetentes (NTT Docomo, au e Rakuten Mobile: 05036052572, que pode aparecer como +815036052572; SoftBank: 247473). Ela diz que esse contato não significa que um novo vazamento tenha sido descoberto, e que nenhum vazamento externo real ou uso indevido decorrente do incidente foi confirmado. Também diz que o número remetente, sozinho, não garante que um SMS seja legítimo. Em 6 de novembro, publicou os resultados de uma investigação forense feita por uma organização especializada externa: no dispositivo que a empresa contratada usava foram encontradas infecção por malware e comunicação não autorizada com um servidor externo, e o malware tinha uma função para enviar para fora informações do dispositivo, mas não foi possível identificar quais informações foram de fato enviadas nem em que volume. Nenhum vazamento ou uso indevido de dados pessoais decorrente do incidente foi confirmado. Não foram encontrados vestígios que indiquem controle remoto, e o malware já estava neutralizado quando a investigação começou. Os avisos individuais aos clientes que podem ter sido afetados continuam. Visão deste site: não abra links em mensagens que se apresentem como Big Echo ou DAM sobre cupons, renovação de associação ou pontos, nem em SMS que se apresentem como da Daiichikosho; confira no aplicativo oficial ou em um site que você mesmo abra, e deixe de usar sua data de nascimento como PIN ou senha.
Possível vazamento de e-mails da JR East, VIEW Card e JR Kyushu (2026): o que fazer
Em 9 de outubro de 2026, a East Japan Railway Company (JR East), a VIEW Card Co., Ltd. e a Kyushu Railway Company (JR Kyushu) anunciaram cada uma que o serviço externo que usam para enviar e-mails a seus membros foi afetado por acesso não autorizado em um provedor de serviços em nuvem, e que não podem descartar que endereços de e-mail e outros dados dos membros tenham sido visualizados ou obtidos. Os números são, no máximo, cerca de 1,67 milhão de membros do eki-net e cerca de 390 mil membros do Otona no Kyujitsu Club (JR East); cerca de 4,03 milhões de endereços de e-mail de usuários do VIEW's NET (VIEW Card); e, no máximo, cerca de 1,3 milhão de membros do JR Kyushu Web (JR Kyushu). Para eki-net, VIEW's NET e membros do JR Kyushu Web, apenas endereços de e-mail estão envolvidos; para membros do Otona no Kyujitsu Club, também estão envolvidos o número de membro, a data de validade do cartão de crédito e a data de nascimento. Nomes, endereços, telefones e números de cartão estão excluídos. O provedor de serviços em nuvem afirmou que a interrupção iniciada no começo de 7 de outubro foi causada por um ataque de ransomware de terceiros. Em seu quinto relatório, em 14 de outubro, o provedor disse não ter encontrado nenhum rastro de dados nos servidores virtuais da área afetada sendo visualizados ou retirados, e concluiu que não houve vazamento externo de dados. Em 15 de outubro, após receber essas conclusões, a JR Kyushu anunciou que não foi confirmado nenhum vazamento de endereços de e-mail dos membros do JR Kyushu Web. O site do eki-net da JR East também informa que, em 15 de outubro, a empresa de serviço de envio de e-mails comunicou ter concluído que nenhum dado pessoal dos membros do eki-net vazou (verificado em 19 de outubro). Para membros do Otona no Kyujitsu Club e para a VIEW Card, este site não encontrou novidades até 19 de outubro (verificado no site de cada empresa). Em seu sétimo relatório, em 27 de outubro, o provedor de serviços em nuvem disse que sua investigação foi concluída e apontou como causa uma vulnerabilidade em um software de código aberto usado no sistema de autenticação de seu portal de gestão de clientes. Sua conclusão de que nenhum dado dos servidores virtuais vazou para o exterior não mudou. A visão deste site: a JR Kyushu disse que nenhum vazamento foi confirmado, e o eki-net afirma ter sido informado de que nenhum dado pessoal de seus membros vazou. Mesmo assim, e-mails falsos que usam este incidente como pretexto ainda podem chegar. Não faça login a partir de links em e-mails; verifique pelo aplicativo oficial ou por um favorito salvo por você mesmo.
Vazamento de dados da NewsPicks (nomes de titulares de cartão e últimos dígitos, até 362.000 registros): o que vazou por meio de uma ferramenta administrativa interna e o que os usuários devem fazer
Em 8 de outubro de 2026, a Uzabase, Inc. anunciou que uma ferramenta administrativa usada na operação de seu serviço de notícias NewsPicks foi acessada sem autorização por um terceiro, e que alguns dados pessoais de usuários podem ter vazado. Seu segundo comunicado, de 9 de outubro, disse que a invasão explorou uma vulnerabilidade nessa ferramenta administrativa e informou as quantidades máximas estimadas por item: parte dos dados de cartão usados em pagamentos na web (nome do titular e os últimos 3 ou 4 dígitos do número do cartão, entre outros) 362.000; endereços de e-mail 323.000; categoria de cargo 273.000; vínculo institucional 65.000; nomes 59.000; e outros. A empresa afirma que números completos de cartão e códigos de segurança nunca foram armazenados em seus sistemas e não vazaram, e que nenhum vazamento de senhas foi confirmado. Nenhum dano secundário foi confirmado. Visão deste site: uma mensagem que cita os últimos dígitos do seu cartão ou o seu empregador não é prova de que é verdadeira. Não abra links, verifique pelo aplicativo oficial ou por um site oficial que você mesmo abrir, e acompanhe as faturas do seu cartão.
Vazamento de dados da skyticket (Adventure Inc.) (cerca de 14,64 milhões de registros): senhas, dados bancários de reembolso e dados de cartão de alguns usuários expostos. O que os usuários devem fazer hoje
Em 9 de outubro de 2026, a Adventure Inc. anunciou três incidentes separados de acesso não autorizado, cada um por uma rota diferente, que afetaram seu site de comparação e reserva de viagens skyticket. No primeiro, uma função administrativa foi usada indevidamente e serviu de ponto de partida para acessar outros servidores e dados armazenados na nuvem; cerca de 14,64 milhões de registros vazaram, incluindo nomes (também como escritos no passaporte), datas de nascimento, endereços de e-mail, números de telefone, endereços e o nome do remetente usado em transferências bancárias. Cerca de 4,13 milhões deles incluíam senhas de membros em hash. No segundo, uma vulnerabilidade em um sistema de gestão empresarial foi explorada, e 17.780 registros (incluindo duplicatas, com mais ainda sendo contados) contendo dados de contas bancárias para reembolso vazaram ou podem ter vazado. No terceiro, a página de conclusão de reservas de ônibus podia ser exibida sem login, e cerca de 12.000 reservas foram ou podem ter sido visualizadas. A empresa afirmou inicialmente que números de cartão não estavam entre os dados vazados, mas corrigiu isso em um segundo comunicado, em 16 de outubro: o número do cartão, o nome do titular e a data de validade (para alguns, apenas o número; sem códigos de segurança) de até 6.140 pessoas que cadastraram ou usaram um cartão de crédito para pagar a taxa de associação “skyticket Premium” entre fevereiro de 2017 e junho de 2018 vazaram no primeiro incidente, junto com IDs de membro, nomes e senhas de um serviço de benefícios sociais oferecido como vantagem do Premium. Imagens de passaportes não foram expostas e, até o comunicado de 9 de outubro, o único dano secundário confirmado foi um login não autorizado em uma conta de membro (o segundo comunicado não informa se os dados de cartão vazados foram usados indevidamente). A visão deste site: os membros devem trocar a senha pelo site ou aplicativo oficial hoje, trocá-la em qualquer outro serviço em que a tenham reutilizado, verificar as faturas do cartão a partir de outubro caso tenham cadastrado ou usado um cartão para a taxa Premium nesse período, ignorar mensagens sobre reembolsos, indenizações ou alterações de reserva e nunca informar a ninguém a senha do cartão bancário nem um código de uso único.
Programa de roubo de cartões na página de pagamento do PhotoGoods (Daiko Printing): o que quem pagou entre 6 de agosto e 11 de setembro deve fazer
Em 16 de setembro de 2026, a Daiko Printing Co., Ltd. anunciou acesso não autorizado de terceiros ao PhotoGoods (photo-goods.com), serviço que ela opera, e disse que um programa capaz de capturar ilegalmente dados de cartão de crédito digitados na página de pagamento havia sido instalado. O programa esteve presente de 6 de agosto até ser removido em 11 de setembro. Pessoas que informaram um cartão na página de pagamento nesse período (inclusive as que não concluíram a compra) podem ter tido expostos o número do cartão, a data de validade e o código de segurança, além de nome, endereço, telefone, e-mail e informações derivadas da senha de membro (armazenadas em forma convertida). A empresa afirma ter confirmado acesso não autorizado por meio de vulnerabilidades do sistema e uso indevido de uma função de upload de arquivos. O número de pessoas afetadas e o alcance real estão em apuração, e não havia comunicado de acompanhamento até 7 de outubro. A opinião deste site: quem informou um cartão nesse período deve pedir à operadora do cartão a troca do número, trocar a senha em qualquer outro serviço que use a mesma senha do PhotoGoods e ignorar links em mensagens de 'desculpas' ou 'reembolso'.
Como verificar se sua senha vazou: usar o Have I Been Pwned com segurança e as verificações que já existem no navegador e no celular
Um guia para verificar senhas vazadas. O Have I Been Pwned (HIBP) diz se um endereço de e-mail aparece num vazamento de dados conhecido, de qual serviço veio e que tipos de dados vazaram. A verificação de senhas dele (Pwned Passwords) gera o hash da senha no seu aparelho e envia só os cinco primeiros caracteres do hash, então a senha em si nunca é enviada (documentação da API do HIBP). A visão deste site: verifique suas senhas atuais onde elas já estão salvas (Gerenciador de senhas do Google, app Senhas do iPhone, Monitor de Senhas do Edge ou seu gerenciador de senhas) em vez de digitá-las num site, e use o HIBP para endereços de e-mail. Um resultado 'não encontrado' não prova que nada vazou.
Vazamento de dados da Daiwa Securities via fornecedor (cerca de 110.000 clientes, 220.000 registros): o que pode ter vazado e o que os clientes devem fazer
Em 5 de outubro de 2026, a Daiwa Securities Co. Ltd., uma das maiores corretoras do Japão, anunciou que o servidor de um fornecedor cujo serviço ela usa para gerenciar consultas online de clientes foi acessado sem autorização. Nomes, endereços de e-mail, números de conta e outras informações de 110.000 clientes, contidos em registros de consultas, podem ter vazado; incluindo consultas que não identificam ninguém, cerca de 220.000 registros estão envolvidos. O acesso ocorreu entre cerca de 20h33 de 2 de outubro e 8h01 de 3 de outubro, e não foi encontrado acesso não autorizado aos sistemas próprios da Daiwa. A empresa afirma que esses dados não podem ser usados para acessar contas ou negociar, inclusive por meio de negociação online, e que, até 5 de outubro, não foram encontradas negociações fraudulentas nem publicação ou disseminação dos dados. Em 6 de outubro, o lado do fornecedor publicou um aviso próprio: dados de consultas armazenados nos ambientes de até cinco empresas clientes no mesmo servidor, com até 713.126 registros contados por consulta, podem ter sido copiados. Citando o mesmo fornecedor, a Citizen Watch (cerca de 100.000 pessoas), a Sompo Japan (cerca de 60.000 registros contados por consulta) e a ORIX Life Insurance (cerca de 26.500 registros) também anunciaram que os dados de seus clientes podem ter vazado. A visão deste site: espere mensagens falsas que conheçam o número da sua conta e suas consultas anteriores. Nunca faça login a partir de links em e-mails ou mensagens de texto; acesse por um favorito ou pelo aplicativo oficial e verifique ali sua caixa de mensagens e seu histórico de operações.
Uso indevido do registro CPR da Dinamarca (cerca de 8,8 milhões de pessoas): o que foi acessado e o que residentes e organizações que concedem acesso de consulta devem fazer
Em 5 de outubro de 2026, o Ministério da Pesquisa, Educação e Digitalização da Dinamarca anunciou que pessoas não autorizadas usaram indevidamente o acesso legítimo de uma empresa privada dinamarquesa para consultar dados do sistema de registro civil (CPR) e obtiveram nomes, endereços, números CPR e outras informações de cerca de 8,8 milhões de pessoas cadastradas, incluindo pessoas vivas, emigradas e falecidas. O CPR tem cerca de 11 milhões de pessoas. A administração do CPR percebeu na noite de 2 de outubro que havia atividade irregular durante setembro e suspendeu o acesso da empresa. Nomes e endereços de pessoas com proteção de nome e endereço não foram incluídos. Segundo a mídia dinamarquesa, em 9 de outubro a administração do CPR lembrou as 1.039 empresas com acesso de consulta de suas regras de segurança, e a ministra reconheceu que a segurança não tinha sido suficiente. A mídia também relata que a senha 123456 foi usada em contas de consulta; isso não foi confirmado oficialmente. A visão deste site: quem sabe seu nome, endereço e número CPR ainda pode ser um golpista. Os residentes nunca devem compartilhar dados do MitID ou códigos de uso único, e as empresas devem parar de tratar esses três itens como prova de identidade.
Vazamento de dados do infoQ (894.082 registros): o que vazou e o que os membros devem fazer
Em 5 de outubro de 2026, a GMO Research & AI, Inc. anunciou que seu site de pesquisas infoQ havia sido acessado por terceiros sem autorização e que dados pessoais dos membros haviam sido retirados. No segundo comunicado, em 14 de outubro, confirmou que o número de registros retirados era 894.082 (o primeiro comunicado falava em até 948.498). Os itens são nome, nome em katakana (furigana), sexo, data de nascimento, e-mail, endereço residencial, telefone, senha criptografada, número de membro e outros dados de cadastro, como apelido e saldo de pontos. A empresa diz não ter dados de cartão de crédito nem o My Number (número japonês de identificação nacional). Além disso, 611 trocas de pontos, no valor de 2.869.500 ienes, foram convertidas em códigos de presente da Amazon sem o consentimento dos membros, e a empresa afirma que os compensará integralmente (creditados nas contas quando o serviço for retomado). A empresa invalidou todas as senhas dos membros em 7 de outubro. Segundo a empresa, o invasor explorou uma vulnerabilidade em um software usado em seu site. Análise deste site: com data de nascimento e endereço incluídos, é fácil criar mensagens falsas convincentes. Troque a senha de qualquer serviço que use a mesma senha do infoQ, ative a verificação em duas etapas na sua conta de e-mail e não abra links em mensagens que digam ser do infoQ.
Violação no app e na loja online MrMax (até cerca de 1,74 milhão de pessoas): nomes, e-mails e telefones vazados — o que os membros devem fazer
Em 6 de outubro de 2026, a MrMax Co., Ltd., rede de lojas de desconto japonesa, anunciou que os servidores do app e da loja online MrMax, que ela opera, foram acessados sem autorização por um terceiro, e que parte dos dados pessoais de seus membros vazou. Até 1.735.154 pessoas cadastradas como membros em 3 de outubro de 2026 são afetadas. Os itens são ID de membro, nome, e-mail e telefone (variam conforme o que cada membro cadastrou). A empresa diz ter confirmado que endereços, datas de nascimento, dados de cartão de crédito, senhas e histórico de compras não vazaram. Ela percebeu acessos suspeitos na noite de 3 de outubro, suspendeu o serviço imediatamente e bloqueou o acesso externo no mesmo dia. A empresa diz que um terceiro usou indevidamente uma função do software que compõe o serviço para entrar no servidor. Até o momento do comunicado, não havia dano confirmado com o uso indevido dos dados. A visão deste site: espere e-mails, mensagens de texto e ligações convincentes que usem o seu nome. Não abra os links deles; confira no app ou site oficial que você mesmo abrir e nunca informe senhas ou números de cartão.
Vazamento do Rakuten Drive (dados armazenados de 15.382 contas): o que foi acessado e o que os usuários devem fazer
Em 6 de outubro de 2026, o serviço de armazenamento em nuvem Rakuten Drive anunciou que um terceiro obteve de forma ilegítima as credenciais de uma conta de gerenciamento de parte dos sistemas usados pelo serviço, acessou os sistemas e obteve e visualizou informações. Foram afetados os dados armazenados (incluindo fotos e documentos) de 15.382 contas entre 29 de janeiro e 17 de setembro de 2026; o nome da conta, o nome de exibição e a URL da imagem de perfil de 687 contas em 27 de agosto; e, no mesmo dia, o nome da conta, o nome de exibição, a senha criptografada, a string acrescentada durante a criptografia da senha e a URL da imagem de perfil de 313 contas. O serviço diz que não foi confirmado nenhum dano secundário e que notificará os usuários afetados individualmente por e-mail ou por outros meios. Em uma atualização de 13 de agosto sobre notificações push suspeitas vistas em 30 de julho, o serviço havia afirmado que o acesso não autorizado de terceiros aos dados armazenados não havia sido confirmado naquele momento. A visão deste site: ao contrário de uma senha, a exposição dos arquivos armazenados não pode ser desfeita. Verifique se há um aviso, considere como vistos quaisquer documentos de identidade ou contratos que você tenha armazenado, troque sua senha e não responda a mensagens, cobranças ou ameaças que aleguem ser do Rakuten Drive.
Vazamento de dados da Abahouse: detalhes de pedidos podem ter vazado — como lidar com e-mails falsos de reembolso
Em 2 de outubro de 2026, a Abahouse International Co., Ltd. anunciou que um acesso não autorizado a seus sistemas internos, considerado feito por um terceiro no exterior, pode ter vazado números de identificação de membros, nomes, endereços, telefones, e-mails, datas de nascimento, gênero e detalhes de pedidos (data e hora do pedido, nomes dos produtos, valores e endereços de entrega). Como não consegue identificar totalmente a extensão dos dados obtidos, a empresa enviou e-mails em 2 de outubro aos clientes que julgou possivelmente afetados, com base no histórico de compras e em outros registros. Ela exclui os dados de membros um mês após o desligamento, mas mantém registros de pedidos anteriores por um período por motivos legais e contábeis, e diz não poder descartar que esses pedidos tenham sido acessados; ex-membros receberam o mesmo e-mail. Nenhum número foi divulgado. Números de cartão e códigos de segurança são tratados por um processador de pagamentos, e nenhum vazamento deles foi confirmado. O incidente veio à tona quando vários clientes relataram e-mails suspeitos de reembolso que correspondiam aos seus pedidos reais. Em uma atualização em 9 de outubro, a empresa disse que a via de invasão foi bloqueada, sem nova propagação confirmada, que registrou um boletim de ocorrência na polícia e que não recebeu relatos de prejuízo financeiro. A extensão dos dados obtidos e os detalhes da causa seguem em investigação com especialistas externos. Opinião deste site: uma mensagem que acerta os detalhes do seu pedido não é prova de que é verdadeira. Não siga links nem migre para o LINE a partir de e-mails de 'reembolso' ou 'produto esgotado'; verifique o histórico de pedidos em Minha Página.
Vazamento de dados da Lashinbang: números de documentos de identidade e dados bancários para repasse podem ter vazado (sem imagens de documentos) — o que os vendedores devem fazer
Em 1º de outubro de 2026, a Lashinbang Co., Ltd. anunciou que um acesso não autorizado a um serviço que opera, entre 14 e 16 de setembro de 2026, pode ter vazado nomes, endereços, números de telefone, endereços de e-mail, datas de nascimento e profissões, além do tipo e do número de documentos de identidade, o nome do banco, a agência, o número da conta e o titular informados ao solicitar uma recompra (quando os clientes vendem itens à loja), imagens dos termos de consentimento da recompra e detalhes de recompras e pedidos. A empresa diz que não vazaram informações de cartão de crédito nem senhas e que não coleta o My Number (número individual do Japão). Em um adendo de 9 de outubro, acrescentou que imagens de documentos de identidade, incluindo carteiras de habilitação, não vazaram. O aviso também ganhou uma seção dizendo que as pessoas afetadas são as que receberam um e-mail individual da empresa. Até 10 de outubro de 2026, a quantidade de afetados e a causa não foram divulgadas. Visão deste site: um número de conta e o nome do titular, sozinhos, não permitem sacar dinheiro, mas não responda a contatos que usem seus dados bancários, número de identidade ou detalhes reais da recompra para parecer legítimos. Nunca informe a ninguém um PIN, login ou código de autenticação, e, se o número do seu documento de identidade vazou, considere uma autodeclaração nos bureaus de crédito do Japão.
Vazamento de dados no app Seicomart (cerca de 575 mil membros): nomes, endereços e datas de nascimento visualizados — o que os membros devem fazer
Em 29 de setembro de 2026, a Seicomart Co., Ltd., que administra a rede de lojas de conveniência Seicomart no Japão, anunciou que um terceiro obteve acesso não autorizado ao servidor que guarda os dados dos membros, por meio do servidor por trás do seu app para smartphones Seicomart. Seu quarto comunicado, em 5 de outubro, afirmou que as contas afetadas são 574.647 membros do Club que se cadastraram no app, e que as pessoas que deixaram o programa Club Card até 24 de setembro não estão incluídas. Os itens visualizados são sobrenome e nome, sexo, data de nascimento, endereço, telefone, e-mail e as datas de adesão e saída do programa Club Card. Dados de senha e histórico de compras não foram vazados, e a empresa não guarda dados de cartão de crédito. A partir de 5 de outubro, a empresa informa a cada membro do app, por meio dos avisos do aplicativo, se ele foi afetado. Ela encerrou as funções do app e da web para novos cadastros, visualização e alteração de dados cadastrais e troca de cartões registrados; as solicitações agora são feitas em lojas ou por formulário. A causa não foi divulgada. A visão deste site: o que foi exposto é um conjunto de dados pessoais que não podem ser alterados, e o próximo passo mais provável são e-mails, mensagens de texto e ligações convincentes que se passam pela empresa. Verifique os avisos do app para saber se você foi afetado, não siga links ou instruções em tais mensagens e deixe de usar sua data de nascimento como PIN ou como resposta em verificações de identidade.
Vazamento de dados do ShopServe da E-store (relatório final: cerca de 23,36 milhões de pessoas): o que compradores, donos de lojas e afiliados devem fazer
No relatório final de 16 de outubro de 2026, a E-store Co., Ltd. informou que um terceiro explorou uma vulnerabilidade em uma aplicação nos servidores do ShopServe, seu serviço para criar lojas online, e enviou ao exterior o conteúdo do banco de dados entre 21 de maio e 1º de agosto de 2026. Cerca de 23.356.000 pessoas são afetadas (compradores e membros, operadores de lojas e afiliados somados; valor aproximado após remover duplicidades), das quais cerca de 2.096.900 tiveram parte dos dados do cartão incluída. São afetadas 7.858 lojas (incluindo as atuais e as antigas do ShopServe). O vazamento inclui nomes, endereços, telefones, e-mails e locais de trabalho dos compradores; IDs de membro e senhas criptografadas; nomes dos titulares, os 6 primeiros e os 4 últimos dígitos do cartão e datas de validade; e as credenciais de lojas e afiliados. Números completos de cartão e códigos de segurança não eram mantidos e não foram afetados. O relatório final corrige o segundo relatório: foi confirmado que não vazaram os IDs e senhas do sistema de e-mail e do FTP das lojas nem os dados das contas bancárias para as quais a E-store transfere dinheiro (contas de repasse). Nenhum dano secundário havia sido relatado. Conclusão deste site: a maioria dos compradores comprou no site próprio de cada loja sem nunca ter ouvido o nome ShopServe. Mesmo que não saiba de qual loja se trata, desconfie de mensagens que citem os dados reais do seu pedido ou os quatro últimos dígitos do seu cartão, confira as faturas do cartão e troque senhas reutilizadas. Donos de lojas e afiliados devem trocar a senha de administração ou de afiliado e ativar a verificação em duas etapas.
Acesso não autorizado ao TEMAIRAZU (2026): orientações para hóspedes e hotéis
Em 28 de setembro de 2026, a Temairazu, Inc. anunciou acesso não autorizado à sua Série TEMAIRAZU, um sistema que hotéis e ryokans usam para gerenciar reservas de muitas fontes em um só lugar. A partir do fim da noite de 21 de setembro, hóspedes de propriedades que usam o sistema começaram a receber mensagens suspeitas por aplicativos de mensagem como o WhatsApp, por e-mail e por SMS. As mensagens pareciam conhecer os detalhes das reservas e, sob pretextos como check-in antecipado ou manutenção da reserva válida, levavam os destinatários a sites externos para inserir dados de cartão ou pagar. No seu segundo relatório, de 7 de outubro (versão em inglês em 8 de outubro), a empresa listou as informações que podem ter sido visualizadas ou obtidas por terceiros: nomes dos hóspedes, números de telefone, endereços de e-mail, nomes das propriedades de hospedagem, datas de check-in, datas de check-out e valores de hospedagem. Ela não armazena informações de cartão de crédito nem credenciais de login de sites de reserva. Em um comunicado de divulgação relevante a investidores, em 9 de outubro, informou que o número de pessoas com dados de reserva envolvidos é de até cerca de 4,45 milhões e que contratou uma empresa externa de segurança para investigar. Segundo avisos de hotéis que usam o sistema, a causa foi um problema de segurança em parte de um produto instalado que a empresa forneceu no passado, corrigido em 26 de setembro. Opinião deste site: pessoas que reservaram por sites de viagem também podem ser afetadas. Se uma mensagem em nome do seu hotel pedir que você insira novamente os dados do cartão ou pague, recuse mesmo que os dados estejam corretos, e confirme pelo aplicativo oficial do site de reservas ou pelo telefone no site oficial do hotel.
Vazamentos de dados da Yamato e da Sagawa (2026): usuários afetados e resposta
A Yamato Transport identificou acesso não autorizado ao seu serviço de pagamento postergado Kuroneko em 28 de setembro de 2026, e a Sagawa Express identificou acesso não autorizado ao seu serviço de rastreamento de encomendas em 30 de setembro. Em 1º e 2 de outubro, as duas empresas disseram que dados pessoais podem ter vazado. São incidentes separados, e nenhuma das empresas menciona uma ligação entre eles. No quarto comunicado, em 16 de outubro, a Yamato disse que dados foram obtidos: cerca de 5,26 milhões de registros de usuários do pagamento postergado (nome, endereço, telefone, e-mail, detalhes dos itens e outros, de 1º de outubro de 2018 a 28 de setembro de 2026), cerca de 50.000 registros de informações de endereço de entrega de alguns usuários e cerca de 4.100 registros de lojas participantes. Valores de cobrança, saldos em aberto e nomes de funcionários não foram encontrados como obtidos. No quinto comunicado, em 23 de outubro, a Sagawa disse que nomes, endereços e telefones de remetentes e destinatários de encomendas que tratou de 21 de junho a 30 de setembro de 2026 (cerca de 100 dias), entre outros dados, podem ter vazado, e informou que a contagem máxima é de cerca de 53,23 milhões de registros (com duplicatas; não é o número de pessoas). Encomendas enviadas com guias preenchidas à mão não estão incluídas. Nenhum dos incidentes inclui dados de cartão de crédito ou senhas. A Yamato reiniciou o serviço de pagamento postergado em 9 de outubro e estendeu os prazos de pagamento em 17 dias; a Sagawa reiniciou seu serviço de rastreamento de encomendas em 23 de outubro, enquanto outros oito serviços web, inclusive a reserva online, seguem suspensos. Opinião deste site: com a Sagawa, você pode ser afetado apenas por ter recebido uma encomenda, mesmo que nunca tenha usado a empresa. Considere que mensagens falsas de ausência na entrega e cobranças de pagamento podem agora conter seu nome e endereço reais, o fato de você ter recebido uma encomenda ou o que comprou. Não abra links dessas mensagens; confira no aplicativo oficial ou no histórico de pedidos da loja onde comprou.
Vazamento de dados de reservas da Booking.com: como identificar mensagens de golpe que se passam pela sua hospedagem
Em abril de 2026 a Booking.com notificou hóspedes de que terceiros não autorizados podem ter conseguido acessar certas informações de reservas, atualizou os PINs das reservas afetadas e disse que havia contido o problema. Segundo o aviso e o que um porta-voz da empresa disse à imprensa, as informações incluíam dados da reserva, nomes, endereços de e-mail, números de telefone e mensagens trocadas com as hospedagens; as informações financeiras não foram acessadas. O número de afetados e a causa não foram divulgados. A conclusão deste site: acertar o nome do hotel, a data e o preço já não prova nada. O teste é se o pedido bate com a política de pagamento da reserva que você mesmo abre no app oficial. Recuse qualquer pedido para digitar o cartão de novo, pagar por um link ou fazer uma transferência que não esteja na política.
Vazamento de dados do Canvas (Instructure): matrículas em cursos e mensagens vazaram — o que alunos, professores e instituições de ensino devem fazer
Segundo a Instructure, empresa por trás do sistema de gestão de aprendizagem (LMS) Canvas, uma atividade não autorizada foi detectada em 29 de abril de 2026, e nomes de usuário, endereços de e-mail, nomes de cursos, informações de matrícula e mensagens foram exfiltrados. A empresa diz que os campos envolvidos não foram projetados para armazenar senhas, datas de nascimento, informações de saúde, números do Seguro Social (EUA), informações financeiras, notas nem registros disciplinares. Em 7 de maio, o mesmo agente usou outra vulnerabilidade para alterar páginas exibidas após o login. A lista de campos parece banal, mas um e-mail mais as disciplinas que alguém cursa é exatamente o que um golpe convincente com tema escolar precisa, e as mensagens são texto livre, então qualquer coisa que as pessoas tenham escrito nelas pode estar incluída. Confirme qualquer contato só pelos canais oficiais da sua instituição; a TI da escola deve cadastrar contatos de segurança, revisar os logs, exigir MFA dos administradores e manter cópia dos dados dos cursos fora do LMS.
Vazamento de dados da Times Car (6.628.007 registros com nomes e endereços, indícios de envio de cerca de 1,46 milhão de imagens de documentos de identidade): como verificar em Minha Página e o que membros e ex-membros devem fazer
Em seu quinto comunicado, em 23 de outubro de 2026, a Times Mobility Co., Ltd. informou que a investigação forense externa havia terminado e publicou os números finais. No sistema web da Times Car, foram encontrados indícios de acesso do invasor e de transmissão externa para 6.628.007 registros de nome, endereço, data de nascimento, telefone, e-mail e informações da carteira de motorista. Das imagens de documentos de identidade, armazenadas criptografadas, 1.464.800 apresentaram indícios de envio (a empresa havia dito antes que cerca de 1,6 milhão poderia ter vazado) e 891.602 foram acessadas sem indícios de envio. Senhas em hash foram enviadas em 4 casos. No sistema web relacionado Times Club, onde também foi constatado acesso não autorizado, 19.510 números de cartão Times Club, 135.436 IDs de serviços vinculados e 28 registros dos quatro últimos dígitos de cartões de crédito, entre outros, apresentaram indícios de envio (a empresa não possui os números completos dos cartões nem os códigos de segurança). A causa foi a exploração de uma vulnerabilidade no sistema web. A empresa pagará 3.000 ienes às pessoas cujas imagens foram enviadas (detalhes e forma ainda em definição) e, desde as 17h do dia 23 de outubro, mostra em Minha Página os itens vazados de cada pessoa. Visão deste site: primeiro verifique seus próprios itens em Minha Página. Se suas imagens de documentos foram enviadas, registre alertas de fraude nos bureaus de crédito e consulte seu histórico de crédito; todos devem ignorar contatos que se passem pela empresa. Ex-membros podem pedir informações por meio de um formulário específico.
Vazamento em massa do MOVEit (2023) — como um zero-day de SQL injection alcançou mais de 2.700 organizações, e como se defender
A entrada foi um zero-day de SQL injection (CVE-2023-34362) no MOVEit Transfer, exposto à internet. Um web shell (LEMURLOOT) foi plantado e dados foram roubados em massa do banco de dados de retaguarda, atingindo mais de 2.700 organizações e cerca de 93,3M de pessoas. A maioria das vítimas foi arrastada indiretamente porque um fornecedor usava o MOVEit. No seu ambiente: patch rápido de KEV, minimizar a exposição, menor privilégio e segmentação entre web↔DB, inventário de fornecedores e minimização de dados.
O mínimo de segurança de uma organização: seis prioridades deduzidas dos incidentes reais do Japão em 2026
O «mínimo» de uma organização deve ser definido por onde os incidentes reais romperam a defesa, não por uma lista de produtos. Colocando em fila os incidentes do Japão em 2026, as entradas diferem — um dispositivo VPN, software de terceiros, uma função de consulta, não divulgada —, mas as causas que ampliaram o dano se resumem a seis: (1) fechar dispositivos expostos à internet com prazo, (2) restringir contas de manutenção, terceirizados e ex-funcionários, (3) vigiar volume e horário, (4) manter logs o bastante para olhar para trás, (5) não guardar dados que não são mais necessários, (6) repriorizar pelo KEV. A visão deste site: o mínimo é decidir quem percebe, por qual número e quando.
Vazamento da Capital One (2019) — como um SSRF expôs mais de 100M de registros, e como se defender
Um único SSRF alcançou o endpoint de metadados → credenciais IAM temporárias com privilégios excessivos → cópia em massa do S3, vazando cerca de 106M de registros. Cada etapa poderia tê-lo interrompido. No seu ambiente: IMDSv2, IAM de menor privilégio e uma allowlist para requisições de saída.
Vazamento da Codecov (2021) — quando uma ferramenta de CI foi adulterada e segredos vazaram
Uma ferramenta de CI confiável (o Bash Uploader curl|bash) foi alterada na origem. Como o seu próprio código permaneceu intocado, passou despercebido por cerca de 2 meses enquanto segredos de CI vazavam; uma verificação de checksum o pegou. No seu CI: verifique artefatos baixados, segredos de menor privilégio, rotação, monitoramento de egress.
Vazamento da Equifax (2017) — como uma falha não corrigida no Apache Struts expôs 147M de pessoas
A causa foi um CVE conhecido e já corrigido (CVSS 10.0) deixado sem aplicar em um sistema público. Um certificado de monitoramento expirado ocultou a exfiltração por 76 dias. No seu ambiente: inventário de ativos, um SLA de patch, monitoramento por máquina e detecção saudável.