resposta a incidentes
80 artigos com esta tag
Incidente de segurança da Fireworks AI (outubro de 2026): afetados dados de cobrança e, em algumas contas, conjuntos de dados e pesos de modelos incompletos; a empresa diz que houve envolvimento de uma violação em provedor de nuvem. O que os clientes devem fazer
A Fireworks AI, que oferece infraestrutura de inferência de modelos de IA, publicou em 9 de novembro de 2026 uma atualização do incidente de segurança que divulgou pela primeira vez em 9 de outubro. Segundo a empresa, do incidente original, detectado em 6 de outubro, só se sabia que envolvia segredos armazenados na Fireworks (como os usados em tarefas de avaliação); desde então ela encontrou impacto em informações de conta e de cobrança e, em um conjunto limitado de contas, em segredos, conjuntos de dados e pesos de modelos incompletos. No relato dela, um provedor de nuvem terceirizado que hospedava suas máquinas de P&D sofreu um incidente de segurança em 23 de outubro, e em 24 de outubro um terceiro não autorizado o usou para chegar a máquinas de desenvolvimento da Fireworks e executar uma carga de trabalho não autorizada, causando impacto adicional em dados de clientes. A empresa detectou isso no mesmo dia e, até 25 de outubro, não havia detectado novas evidências de acesso não autorizado bem-sucedido à plataforma usada pelos clientes. Diz que as evidências indicam ligação com um grupo cibercriminoso com motivação financeira. A empresa não armazena números de cartão de pagamento e eles não foram afetados. Nenhum impacto foi detectado em Inference, Training SDK nem Nexus, que por padrão não retêm dados. Os uploads e downloads de conjuntos de dados por autoatendimento estão desativados durante a investigação. Nossa opinião: os clientes devem inventariar e trocar o que guardaram na plataforma; os operadores devem manter os ambientes de desenvolvimento separados dos sistemas de cobrança e de dados de clientes.
Violação da NEAR AI por uma falha no mecanismo de inferência (dados de conta de cerca de 100 usuários): o que foi confirmado e o que usuários e operadores de infraestrutura de IA devem fazer
A NEAR AI, que oferece chat e agentes de IA, divulgou em uma publicação oficial de seu blog, datada de 9 de novembro de 2026, um acesso não autorizado a parte de sua infraestrutura. Segundo a empresa, a causa foi uma falha de execução remota de código no SGLang, o mecanismo de inferência de código aberto que roda em seus servidores; o invasor executou código em um servidor de inferência e a partir dele chegou a outra infraestrutura. O que ela confirmou: dados de conta de cerca de 100 usuários (endereços de e-mail, nomes e, em algumas contas, informações de plano e saldo) levados de um sistema interno por trás do Private Chat, já descontinuado; o histórico de chat, as configurações e os logs de 18 agentes legados que não rodavam em seu ambiente de computação confidencial (TEE); e, separadamente, chaves de API do NEAR AI Cloud de dois clientes do Cloud que ficaram expostas em logs (revogadas; o relatório não diz que foram levadas). Em 8 de novembro, o invasor também pôde observar as requisições dos usuários sendo processadas no servidor comprometido, inclusive as do modo confidencial. A empresa não encontrou indício de que as conversas armazenadas do Private Chat ou os arquivos enviados tenham sido acessados. Diz ter substituído as credenciais, corrigido a falha e restabelecido o acesso ao NEAR AI Cloud (o Private Chat continua fora do ar). O relatório oficial não informa número de CVE. Nossa opinião: para operadores de infraestrutura de IA, o essencial é manter os servidores de inferência separados dos sistemas internos, não deixar ambientes legados para trás e manter segredos fora dos logs.
Acesso não autorizado ao sistema interno de gestão da Sharefull (até cerca de 7,5 milhões de contas): nomes, dados bancários, contatos de emergência e mais podem ter vazado, e o que os trabalhadores devem fazer
Em 9 de novembro de 2026, a Sharefull anunciou que um terceiro acessou sem autorização seu sistema interno de gestão e que informações pessoais dos usuários podem ter vazado. O acesso ocorreu por volta das 23h30 de 4 de novembro, foi detectado por volta das 9h45 de 5 de novembro e a rota foi bloqueada no mesmo dia. Até cerca de 7,5 milhões de contas individuais podem ter sido afetadas. As informações que podem ter vazado são: nome e nome em kana, número de telefone, endereço de e-mail, endereço, data de nascimento, dados da conta bancária para o pagamento de salários (não incluem senhas nem PINs), a URL da foto do rosto, contato de emergência (relação com o usuário e número de telefone), informações relacionadas à situação de residência e atributos da conta, como data de cadastro, número de trabalhos realizados e preferências. Pagamentos e pontos, dados de contratos e de trabalho e imagens de documentos de identidade não foram afetados, e a empresa afirma que não mantém My Number nem dados de cartão de crédito. Um comunicado separado do mesmo dia trata dos dados de contato das empresas contratantes (até cerca de 7.500 empresas). Em 11 de novembro de 2026, nenhum comunicado posterior havia sido encontrado. Conclusão deste site: como dados bancários, contatos de emergência e situação de residência podem estar incluídos, prepare-se para contatos que usem o nome da Sharefull ou de um órgão, ligações que finjam uma emergência de um familiar, pagamentos feitos para parecer transferências por engano e cobranças que citem sua situação de residência.
bee-js 13.3.0 da Ethersphere e Swarm Desktop 0.56.2 distribuíram malware (novembro de 2026): versões afetadas e o que os usuários devem fazer
A versão 13.3.0 do pacote npm @ethersphere/bee-js, da Ethersphere, a desenvolvedora da rede de armazenamento descentralizado Swarm, continha código malicioso. Um aviso do GitHub (GHSA-hh7j-5m3j-23pf) publicado em 9 de novembro de 2026 lista a 13.3.0 como a única versão afetada e diz que não há versão corrigida. Diz que qualquer computador que tenha o pacote instalado ou em execução deve ser considerado totalmente comprometido, e que todos os segredos e chaves nele devem ser trocados imediatamente a partir de outro computador. Remover o pacote pode não eliminar todo o software malicioso causado pela instalação. Quanto ao Swarm Desktop, as notas de versão da Ethersphere dizem que a versão 0.56.3, lançada em 9 de novembro, substitui a 0.56.2 comprometida. Segundo a análise de uma empresa de segurança, o bee-js 13.3.0 apareceu no npm por volta das 00:09 UTC de 9 de novembro (09:09 no horário do Japão) e foi removido cerca de 75 minutos depois. O Swarm Desktop 0.56.2 ficou público por cerca de 8,5 horas e também foi entregue por atualização automática no Windows x64 e no Apple Silicon. Relata-se que o bee-js 13.2.0 e anteriores, e o Swarm Desktop 0.56.1, não são afetados. A mesma análise diz que o arquivo de configuração do nó Bee (que guarda uma senha em texto simples) e sua chave de carteira foram alvos, e que credenciais usadas pela automação oficial de publicação foram abusadas. Nossa conclusão: reconstrua qualquer máquina ou ambiente de CI que instalou uma versão afetada, mova a carteira para uma chave nova e os fundos com ela, e troque as credenciais a partir de outra máquina.
Falha no servidor MCP da mittwald explorada, 56 projetos de clientes comprometidos (novembro de 2026): a cronologia publicada e o que usuários e operadores de integrações de IA devem fazer
A empresa alemã de hospedagem web mittwald disse em uma postagem oficial de seu blog que uma falha em seu servidor MCP, que conecta os assistentes de IA dos clientes ao seu painel de controle mStudio, foi explorada e que 56 projetos de clientes foram comprometidos. Segundo a empresa, o atacante testou a falha pela primeira vez em 21 de outubro, passou a agir como um usuário comum com contas de teste a partir de 23 de outubro e explorou a falha às 15:03 de 27 de outubro usando outra conta. A empresa trata como comprometidos todos os dados de 27 de outubro em diante. Em 4 de novembro foi encontrado um comportamento incomum e, no mesmo dia, a empresa identificou o servidor MCP como ponto de entrada e o desligou. Em 6 de novembro examinou forensemente os 56 projetos comprometidos e o servidor MCP, não encontrou mais projetos comprometidos e diz que atualmente não consegue detectar atividade do atacante. Nenhuma senha foi lida; o que foi lido foram os tokens de sessão dos usuários, todos revogados, diz. O centro de clientes e os sites gerenciados nele não foram afetados. O servidor MCP continua fora do ar, e a volta dele será decidida após a investigação. A empresa diz que a velocidade do atacante sugere o uso de ferramentas de IA; é uma suspeita da empresa. Diz que publicará um relato detalhado na semana seguinte. Nossa avaliação: em servidores MCP que conectam assistentes de IA a ambientes de hospedagem ou de produção, o essencial são tokens de escopo estreito e curta duração e um monitoramento capaz de pegar a fase de sondagem.
Acesso não autorizado à Nitori: dados pessoais de até 37,62 milhões de registros podem ter vazado (nomes, endereços, telefones, datas de nascimento): o que membros individuais e corporativos devem fazer
Em 9 de novembro de 2026, a Nitori Holdings Co., Ltd. anunciou que em 6 de novembro confirmou um acesso não autorizado de um terceiro a um sistema que ela gerencia, e que as informações pessoais mantidas em seus servidores, até 37,62 milhões de registros, podem ter vazado para fora. Os dados abrangem membros individuais e compradores do Grupo Nitori (número de membro, nome incluindo o furigana, e-mail, endereço, telefone, data de nascimento, sexo), membros corporativos (número de membro, nome da empresa, departamento, nome do representante, endereço e telefone da empresa, e nome, e-mail e telefone da pessoa de contato) e os dados de pedidos feitos pela Nitori Net e pela loja oficial da Nitori em shoppings online. A empresa diz que as senhas de login e os dados de cartão de crédito não estão incluídos. Também pode ter havido acesso de terceiros de meados a fins de outubro, a rota está em investigação e o número pode mudar. A empresa diz que contatará em ordem os clientes afetados por e-mail ou correio. Até 10 de novembro de 2026, nenhum comunicado posterior havia sido encontrado. Conclusão deste site: como endereço, telefone e nome estão nos dados, uma ligação, mensagem ou e-mail que use o nome da Nitori ou de uma empresa de entrega não é genuíno só porque conhece o seu endereço ou pedido corretos.
Incidente de segurança cibernética na Universidade Vanderbilt (em andamento): Wi-Fi, Okta, e-mail e CampusPrint de volta, outros sistemas restritos, semanas até a recuperação total, e o que estudantes e funcionários devem fazer
Em 9 de novembro de 2026, a Universidade Vanderbilt (Tennessee, EUA) disse que está respondendo a um incidente de segurança cibernética ativo que pode afetar dispositivos, sistemas e serviços em nuvem da universidade. Na atualização das 18h de 10 de novembro, a universidade disse que estão disponíveis o Wi-Fi do campus, o Okta (continue usando a autenticação multifator), o e-mail da Vanderbilt (em dispositivos da universidade e pessoais), o CampusPrint, o Brightspace, o Zoom e o YES (todas as matrículas em disciplinas seguem conforme o previsto). Todos os outros sistemas e aplicativos continuam restritos. Ela prevê que pode levar várias semanas para restabelecer totalmente o funcionamento normal de todos os sistemas e diz que está concentrada na contenção e em determinar quais dados, se houver, podem ter sido acessados. Estudantes, docentes e funcionários podem voltar a usar os dispositivos da universidade e são orientados a abrir imediatamente um chamado no help desk da VUIT para qualquer atividade anormal ou suspeita que ainda não tenham comunicado. As aulas seguem o horário normal. A universidade não disse se algum dado foi acessado, perdido ou comprometido (sua atualização das 9h de 10 de novembro a chamou de «incidente de hackeamento»). Segundo a imprensa, um grupo reivindicou o ataque; a universidade não confirmou. A próxima atualização é esperada até as 10h de 11 de novembro. Conclusão deste site: você pode usar os serviços disponíveis, mas os outros sistemas continuam restritos e a recuperação total pode levar semanas; confirme prazos de trabalhos com os professores e prazos de bolsas e financiamentos com o escritório de pesquisa da universidade. A exposição de dados pessoais não está confirmada, então aguarde as atualizações oficiais e, enquanto isso, troque senhas reutilizadas e desconfie de mensagens que se passem pelo TI da universidade.
Vazamento no docomo Online Shop e no My docomo da NTT DOCOMO (até cerca de 300.000 registros): números de documentos de identidade vazaram e o que os clientes devem fazer
Em 4 de novembro de 2026, a NTT DOCOMO confirmou um acesso não autorizado vindo de fora ao docomo Online Shop e ao My docomo e, a partir de cerca de 1h05 de 5 de novembro, suspendeu os procedimentos em ambos e iniciou uma manutenção de emergência. No segundo relatório (5 de novembro), a empresa disse que parte das informações de clientes vazou por acesso não autorizado antes da manutenção e, no terceiro (6 de novembro), fixou o número em até cerca de 300.000 registros. Para «todos os clientes afetados», os dados vazados são nome, data de nascimento e idade; endereço, telefone de contato e e-mail; o número de um documento de identidade; número de celular e data de início do contrato; e o plano de tarifas, as opções e os descontos. Para «alguns clientes», inclui ainda nome e contato de um representante legal ou procurador, local de trabalho ou nome e endereço da empresa, instituição financeira, agência, número da conta e titular, e informações sobre um programa de apoio à criação de filhos. A causa é um acesso não autorizado vindo de fora; a via de entrada e o alcance e o número exatos estão sob investigação, nenhum novo vazamento foi confirmado e o momento da recuperação não foi definido. Em 7 de novembro de 2026, não encontramos um quarto relatório. Nossa conclusão: uma ligação ou mensagem que cita seu nome, endereço ou dados do contrato não prova que vem da DOCOMO. Não abra links, não informe PIN, senhas nem dados de cartão e, se o número do documento vazou, fique atento a contratos fraudulentos.
Acesso não autorizado ao serviço de envio da newsletter da Hotto Motto (até cerca de 7 milhões de registros): nomes, datas de nascimento e telefones vazaram — o que os membros devem fazer
Em 4 de novembro de 2026, a Plenus Co., Ltd. anunciou que o serviço de envio da newsletter da Hotto Motto, prestado por um terceirizado externo, sofreu acesso não autorizado por parte de terceiros e que informações de membros, incluindo os endereços de e-mail dos clientes, vazaram. A empresa recebeu o comunicado do terceirizado em 2 de novembro. O incidente ocorreu de 28 a 31 de outubro e abrange até cerca de 7 milhões de registros. As informações vazadas são informações de membros que incluem endereços de e-mail, nomes, datas de nascimento e números de telefone. Dados de cartão de crédito não estão incluídos, e a empresa diz que não guarda dados de cartão. Nenhum impacto no serviço de pedidos online foi confirmado, e ele continua disponível. O serviço de envio da newsletter foi totalmente suspenso, sem data para ser retomado. Em 7 de novembro de 2026, não encontramos nenhum aviso posterior. Nossa conclusão: um e-mail que usa o nome da Hotto Motto não prova nada só porque sabe seu nome ou aniversário. Desconfie especialmente de qualquer coisa que pareça a newsletter enquanto o envio está suspenso, e verifique pelo site ou app oficial em vez de clicar em links.
Acesso não autorizado na Iris Plaza (dados de cerca de 7,7 milhões de pessoas): nomes, endereços e senhas criptografadas podem ter vazado — o que membros e compradores devem fazer
Em 5 de novembro de 2026, a Iris Plaza Co., Ltd., do Grupo Iris, disse em um segundo aviso que um acesso não autorizado à Iris Plaza, a loja online oficial da Iris Ohyama, pode ter vazado parte das informações pessoais de seus clientes. Em 28 de outubro, a empresa encontrou arquivos suspeitos em um serviço de nuvem externo que utiliza, suspendeu imediatamente a Iris Plaza e os sistemas relacionados, iniciou uma investigação e confirmou um acesso não autorizado por parte de terceiros. Os dados pessoais guardados no serviço de nuvem externo correspondiam a cerca de 7,7 milhões de pessoas, e a empresa confirmou que esses dados podem ter sido vistos ou obtidos. O número real de registros vazados e de pessoas afetadas ainda está sob investigação. As informações que podem ter vazado são, nos dados de membros (cerca de 5,8 milhões de pessoas, incluindo ex-membros), nome, endereço, número de telefone, endereço de e-mail, gênero, senha (exceto para ex-membros), data de nascimento e outros, e nos dados de não membros (cerca de 1,9 milhão de pessoas, incluindo quem comprou sem se cadastrar ou participou de campanhas), nome, endereço, número de telefone e endereço de e-mail. Alguns itens, incluindo as senhas, são criptografados. A empresa diz que dados de cartão de crédito não estavam guardados nesse serviço de nuvem e foi confirmado que não foram afetados. Ela pede a quem usa a mesma senha em outros lugares que a troque. Em 7 de novembro de 2026, não encontramos um terceiro aviso. Nossa conclusão: se você usa sua senha da Iris Plaza em qualquer outro serviço, troque-a hoje. Ex-membros e quem comprou sem se cadastrar também estão incluídos.
Arquivos do launcher de PC de GODDESS OF VICTORY: NIKKE foram adulterados e um programa malicioso foi distribuído: o que fazer se você usou a versão para Windows desde as 15:41 (JST) de 27 de setembro
Em 5 de novembro de 2026, a operadora de GODDESS OF VICTORY: NIKKE (Level Infinite) anunciou que alguns arquivos do seu launcher de PC foram adulterados por um terceiro, de modo que um programa malicioso podia ser executado quando o launcher era iniciado. Segundo a operadora, um domínio externo usado por parte do serviço do jogo foi tomado em 27 de setembro, quatro scripts oficiais do CDN que o launcher baixa foram adulterados às 15:41 (JST) daquele dia, e a distribuição do programa malicioso por meio desses scripts começou às 3:52 de 30 de outubro. Ela notou a anomalia em 4 de novembro e substituiu os scripts para bloquear novas distribuições. Está no alcance quem iniciou o launcher de PC para Windows pelo menos uma vez desde as 15:41 de 27 de setembro; quem joga apenas no celular não é afetado. A operadora diz que o PC, as contas em serviços externos e os ativos podem ser afetados e, desde as 8:00 de 5 de novembro, oferece no cliente oficial de PC uma função de verificação e remoção. O alcance dos danos e a rota da adulteração estão sob investigação. Opinião deste site: se você está no alcance, use um dispositivo separado e limpo para trocar as senhas (primeiro e-mail, banco, criptomoedas, lojas de jogos e Discord), encerrar as outras sessões, reemitir chaves de API e tokens e ativar a autenticação em dois fatores.
Incidente de segurança da Trigger.dev (novembro de 2026): chaves de API root e variáveis de ambiente acessadas em 0,66% dos clientes; regenere as chaves e troque os segredos
A Trigger.dev, plataforma para executar tarefas em segundo plano e agentes de IA, divulgou um incidente de segurança em 1º de novembro de 2026 e publicou um relatório de acompanhamento em 6 de novembro. A empresa diz que alertas da infraestrutura sinalizaram atividade anômala em 1º de novembro, que a julgou maliciosa e bloqueou o atacante. O incidente afetou 0,66% de todos os clientes. O atacante obteve chaves de API root de alguns ambientes de clientes; uma chave root dá acesso total às configurações de um ambiente, incluindo suas variáveis de ambiente. Em alguns ambientes o atacante também listou execuções, implantações e agendamentos recentes, o que retornou IDs, nomes de tarefas, chaves de idempotência de execuções, status das execuções, tags, metadados e erros de implantações, IDs externos de agendamentos e metadados de execuções. A empresa diz que não encontrou indício de que outros dados de clientes, outros serviços, seus próprios bancos de dados de produção ou contas do painel de clientes tenham sido acessados. Ela não divulga o vetor de ataque, para proteger a investigação e os clientes. Os clientes afetados foram contatados por e-mail (em 1º e 2 de novembro) e por um banner no painel (sem informar quando), e as chaves de API potencialmente afetadas foram revogadas. Clientes afetados devem regenerar suas chaves de API e trocar as credenciais dos ambientes afetados, como senhas de bancos de dados e chaves de API de terceiros, revogando as antigas no provedor. A empresa diz que clientes que não receberam aviso de impacto não foram afetados, que os segredos de assinatura de webhooks não foram expostos e que as implantações auto-hospedadas não foram afetadas. Avaliação deste site: confira primeiro o e-mail e o banner do painel e, se você foi afetado, regenere as chaves e troque as credenciais como a empresa orienta.
Incidente de segurança da Chainalysis (outubro–novembro de 2026): expostos nomes, nomes de usuário, hashes de senhas e tokens ativos de todos os usuários, e o que os clientes devem fazer
A empresa de análise de blockchain Chainalysis publicou um aviso sobre um incidente de segurança em 30 de outubro de 2026 e o atualizou desde então. Na atualização de 4 de novembro, a empresa diz que os nomes, nomes de usuário, hashes de senhas e tokens ativos de todos os usuários foram expostos a um ator malicioso. Diz que não tem evidências de que dados de investigações tenham sido acessados nem de que dados de atribuição tenham sido adulterados. Uma atualização anterior daquela manhã diz que um ataque on-path expôs as senhas de um subconjunto de clientes e que as contas afetadas foram bloqueadas e precisaram ser redefinidas. A empresa pausou o KYT, a triagem de endereços e a página de login e, em 6 de novembro, começou a restaurar o KYT e a triagem de endereços em fases. Não há data de restauração para o Reactor nem para o Data Solutions. Pede-se aos clientes que solicitem a inclusão de endereços IP confiáveis na lista de permitidos, redefinam senhas e troquem as chaves de API. O aviso de 30 de outubro dizia que não havia evidências de acesso a credenciais de autenticação nem a tokens de sessão; as atualizações posteriores descrevem a exposição de tokens e a página não explica a diferença.
Incidente de segurança da Northflank (outubro de 2026): variáveis de ambiente armazenadas que devem ser tratadas como descriptografadas e uso indevido de chaves de API de IA
Em 30 de outubro de 2026 (UTC), a plataforma de implantação em nuvem Northflank publicou um incidente de segurança em sua página de status. Um alerta de ameaça de um fornecedor de segurança chegou às 11:43 UTC; a empresa implantou correções a partir das 12:02 UTC, orientou os clientes a trocar as variáveis de ambiente às 13:40 UTC e, às 13:58 UTC, a presumir que todas as variáveis de ambiente foram descriptografadas. Às 15:12 UTC sua página de status já registrava que vários usuários relatavam que suas chaves de IA haviam sido usadas e, às 23:38 UTC, dizia que usuários relataram uso não autorizado de chaves de API de IA armazenadas na plataforma. Em 31 de outubro habilitou os registros de auditoria para todos os clientes e foi liberando a rotação de segredos dos complementos, um tipo de cada vez. Em uma atualização de 2 de novembro (11:09 UTC, status Monitoring) disse acreditar ter contido o ataque na hora seguinte ao primeiro alerta, que as cargas de trabalho em execução não foram afetadas e que não viu sinais de que as cargas de trabalho ou seus dados tenham sido acessados, e que o ataque parecia focado em segredos do plano de controle. Auditores forenses independentes estão revisando, ela revogou tokens de acesso, sessões, integrações com sistemas de controle de versão (VCS) e funções IAM entre contas (portanto os usuários precisam entrar de novo e reconectar as integrações), e prometeu uma análise de causa raiz quando os achados forem confirmados. Em uma atualização de 6 de novembro (10:09 UTC) disse que a primeira descriptografia conhecida de segredos ocorreu entre 02:39 e 03:08 UTC de 30 de outubro, antes do primeiro alerta, às 11:43 UTC; que o exploit foi corrigido em até 60 minutos após o aviso e os clientes foram notificados em até duas horas; que não encontrou indício de que cargas de trabalho de clientes ou seus dados tenham sido acessados; e que trabalhou com provedores upstream para revogar credenciais quando possível. A revisão forense continua. O número de clientes afetados, como o atacante entrou e quais provedores de IA estiveram envolvidos não foram divulgados. Avaliação deste site: revogue todos os segredos que você guardou na Northflank no serviço que os emitiu, depois confira o uso e a cobrança de cada provedor de IA e defina limites de gastos.
O que verificar após uma atualização de emergência do PHP: PHP web vs. PHP de linha de comando, set -e e códigos de saída do diff, e uma nova verificação de invasão
Durante a resposta de outubro de 2026 às vulnerabilidades críticas do PHP, um site administrado pelo operador deste site tinha atualizado o PHP web, mas o PHP de linha de comando usado pelo cron ainda apontava para uma versão antiga. Verifique o web e o CLI separadamente. Com set -e, diff e grep retornam status de saída 1 para 'diferenças encontradas' ou 'sem correspondência', o que interrompe o script; trate 0, 1 e 2 separadamente. Após a correção, execute a mesma lista de verificação de invasão em todos os servidores, e esclareça uma entrada de log suspeita comparando os arquivos ativos com a cópia conhecida como boa, implantada anteriormente.
Vazamento na Tin Pan Alley, subsidiária da World (operadora da RAGTAG, segundo a imprensa), com cerca de 1,2 milhão de registros no total: nomes, endereços e telefones podem ter vazado e o que os membros devem fazer
Em 30 de outubro de 2026, a World Co., Ltd. anunciou que um terceiro acessou sem autorização um servidor de negócios de sua subsidiária consolidada Tin Pan Alley Co., Ltd., e que parte das informações de membros armazenadas nele pode ter vazado. As informações de membros que podem ter vazado somam cerca de 1,2 milhão de registros (uma contagem agregada, não um número de pessoas). Os itens são nome, endereço, número de telefone, data de nascimento, gênero e endereço de e-mail. A empresa diz que não foi confirmado vazamento de dados de cartão de crédito ou outros dados de pagamento, nem de dados faciais. O acesso ocorreu por volta das 14:51 de 17 de outubro, foi detectado por volta das 12:08 de 28 de outubro e a via foi bloqueada às 21:36 do mesmo dia. Ainda se confirma quais membros e quantos são afetados, e os e-mails individuais aos membros sairão quando estiverem prontos. Segundo a imprensa, a Tin Pan Alley opera a marca de roupas usadas RAGTAG e outras, mas o próprio comunicado não cita nenhum serviço ou marca. Avaliação deste site: presuma que seu nome, endereço, telefone e e-mail estão juntos em mãos alheias, não abra links em mensagens, confirme em um site oficial que você mesmo abrir e nunca informe senhas ou números de cartão.
Servidor de atualizações do AOMEI Backupper adulterado (de abril a julho de 2026): quem pode ter sido afetado, as datas e como verificar seu PC
A AOMEI, fabricante do software de backup para Windows AOMEI Backupper, publicou em 19 de outubro de 2026 (última atualização em 30 de outubro) um comunicado sobre um comprometimento da cadeia de suprimentos de software em seu servidor de atualizações. Citando a investigação de uma empresa de segurança, ela diz que entre abril e julho de 2026 arquivos de configuração do servidor de atualizações do AOMEI Backupper foram alterados repetidamente por cerca de cinco a dez minutos e depois restaurados. Durante essas janelas, a configuração alterada podia fazer o software baixar arquivos maliciosos. Até agora foram identificadas três janelas: 28 de maio (05:40–05:50 UTC), 16 de julho (08:33–08:39 UTC) e 20 de julho (10:35–10:40 UTC). A empresa reforçou os servidores até 29 de julho, transferiu o serviço de atualizações para um novo servidor em 5 de agosto e lançou o AOMEI Backupper 8.5.1 em 19 de outubro. Ela pede a todos os usuários do AOMEI Backupper, afetados ou não, que executem o AOMEI Security Scanner, atualizem para a 8.5.1, façam uma varredura com o software de segurança e troquem a senha da conta do Windows ou de domínio. O número de usuários afetados e as versões afetadas não foram divulgados. A opinião deste site: se o AOMEI Backupper estava instalado em um PC que ficou ligado durante essas janelas, faça os quatro passos e, se puder, troque a senha do Windows a partir de outro dispositivo limpo.
Roubo de criptoativos na Binance (cerca de US$ 6,3 bilhões): os fundos dos usuários estão cobertos e o que os titulares de contas devem fazer
A Binance disse que suas hot wallets (carteiras quentes) foram comprometidas por volta das 20h05 UTC de 29 de outubro de 2026 e que saques não autorizados se seguiram, com impacto estimado de cerca de US$ 6,3 bilhões. Em 31 de outubro, o FBI anunciou que a Coreia do Norte foi responsável pelo roubo de mais de US$ 6 bilhões e publicou 628 endereços que, segundo ele, mantêm ou mantiveram ativos do roubo, pedindo que corretoras e outros serviços os bloqueiem. A Binance diz que os fundos dos usuários estão seguros, que absorverá a perda ela mesma (em 1º de novembro disse que cerca de 95% do valor afetado já foi reposto) e que cerca de US$ 3 bilhões foram congelados on-chain. Sua primeira atualização dizia que a investigação inicial sugeria que o laptop comprometido de um engenheiro de DevOps permitiu a um invasor chegar a um contêiner de serviço e enviar saques não autorizados; a segunda atualização diz que a investigação posterior descobriu pontos de invasão adicionais e que não foi encontrada nenhuma evidência de vazamento de chave privada de carteira. A Atualização nº 4 da Binance marcou a primeira fase dos saques para 06h00 a 09h00 UTC de 1º de novembro, e a Binance disse em uma publicação no X que, às 12h36 UTC, as 15 redes da primeira fase já tinham sido retomadas; as demais redes e ativos ainda estão em teste e os depósitos não são afetados. Na Atualização nº 5, de 2 de novembro, a Binance disse que a prova completa de conhecimento zero da Prova de Reservas para dez tokens está concluída e que a próxima fase dos saques está prevista para 3 de novembro. Na Atualização nº 6, de 3 de novembro, a Binance disse que os saques são reabertos para mais ativos a partir das 04h00 UTC desse dia, progressivamente conforme as verificações de segurança terminam. Ainda falta uma análise posterior. A conclusão deste site: pelo que foi divulgado, tratou-se de um roubo das próprias carteiras da corretora, e a Binance não listou dados de clientes como afetados, então o principal risco para os titulares de contas agora são mensagens falsas de suporte, de reembolso e de recuperação. Abra a Binance apenas por seu próprio favorito ou pelo app oficial, nunca compartilhe uma frase-semente, chave privada ou código de verificação, e ative a autenticação em duas etapas.
Extensão “Claude Code” adulterada no marketplace do Cursor (29 de out., cerca de 11 horas): como verificar se há um backdoor SSH
A Cursor publicou um aviso de segurança em 29 de outubro de 2026 (atualizado em 30 de outubro) dizendo que as versões adulteradas 2.1.312 e 2.1.313 de uma extensão publicada com o nome da Anthropic (Anthropic.claude-code) foram distribuídas no marketplace de extensões do Cursor para Windows e macOS entre aproximadamente 2:27 e 13:35 (horário do Pacífico) de 29 de outubro. A Cursor afirma que as versões não foram desenvolvidas pela Anthropic. Segundo a Cursor, o código era executado quando a extensão carregava, coletava informações do host e do usuário, adicionava uma chave SSH controlada pelo atacante (com o rótulo svc-telemetry), tentava habilitar o SSH e abrir um túnel reverso, instalava persistência por um LaunchAgent no macOS ou por uma tarefa agendada ou entrada de Inicialização no Windows e enviava detalhes do host ao atacante. A Cursor diz que habilitar o SSH falha na maioria dos hosts, então o atacante não poderia ter entrado pelo túnel ali. A Cursor removeu a extensão, pausou o marketplace, auditou outras extensões, trocou chaves e diz que o servidor do atacante não funciona mais. A Cursor diz não ter evidências de que outras versões ou a distribuição oficial estejam afetadas. O BleepingComputer relata que até cerca de 5.000 desenvolvedores podem ter sido expostos. Nossa conclusão: se você instalou ou atualizou essa extensão no Cursor em 29 de outubro, verifique a chave e as entradas de persistência e troque os segredos acessíveis a partir dessa máquina.
Incidente da DreamHost (outubro de 2026): credenciais FTP e SFTP expostas pelo File Manager, credenciais de webmail também levadas, e o que os titulares de contas devem fazer
Em 29 de outubro de 2026, a DreamHost disse que em 23 de outubro detectou um acesso não autorizado ao servidor que executa seu File Manager web (files.dreamhost.com). O invasor explorou uma vulnerabilidade em um software de terceiros usado pelo File Manager e obteve os nomes de usuário e senhas FTP/SFTP de usuários que entraram no File Manager de aproximadamente agosto até 23 de outubro. O invasor também chegou a certos sistemas de webmail e obteve as credenciais de acesso de um número limitado de usuários de webmail; em um pequeno número de casos, o conteúdo de caixas de correio pode ter sido visto, e a DreamHost está contatando esses clientes individualmente. A DreamHost diz que não encontrou evidências de que logins do painel de controle ou dados de cobrança tenham sido acessados, e que não armazena números completos de cartão. Ela situa o impacto bem abaixo de aproximadamente 10% das contas de e-mail e FTP/SFTP e não informou um número. Registrou uma notificação junto ao procurador-geral da Califórnia (informada em 2 de novembro), e a carta de exemplo oferece um ano de proteção contra roubo de identidade. Desde 23 de outubro redefiniu algumas senhas como precaução, e esses usuários de e-mail, FTP e SFTP continuam bloqueados até que o titular da conta defina novas senhas no painel. Avaliação deste site: se você usou o File Manager desde agosto, troque suas senhas FTP/SFTP mesmo que não tenha recebido aviso de redefinição, atualize as senhas salvas nas ferramentas e confira encaminhamentos e filtros de e-mail e os arquivos do seu site em busca de alterações que você não fez.
Vazamento no sistema de gestão do app da Matsuya (2.377.127 registros mais membros do app): nomes, telefones e endereços de entrega expostos: o que os membros devem fazer
Em 30 de outubro de 2026, a Matsuya Foods Holdings Co., Ltd., rede japonesa de restaurantes de gyudon (tigelas de arroz com carne bovina), anunciou que um terceiro acessou sem autorização o sistema de gestão do app oficial da Matsuya (Matsuben Net, Mobile Order e Matsuben Delivery) e que dados de membros vazaram. A empresa descobriu a invasão e o vazamento em 28 de outubro. Para os usuários do Matsuben Net, Mobile Order e Matsuben Delivery (2.377.127 registros), os itens são ID de membro, endereço de entrega, nome, número de telefone e pontos Matsuya. Para os membros do app da Matsuya (2.000 registros, possivelmente até 3.000), os itens são ID de membro, prefeitura, nome, número de telefone, data de nascimento, endereço de e-mail, senha criptografada e pontos Matsuya. A empresa diz que não guarda dados de cartão de crédito. A causa e como a invasão aconteceu estão sob investigação, e o app e serviços relacionados, como o site, estão suspensos. Nossa conclusão: não abra links de mensagens que digam ser da Matsuya, confira apenas em locais oficiais que você mesmo abrir e, se for membro do app, pare de reutilizar a senha da Matsuya em outros sites.
Vazamento no app e na loja online da Ryohin Keikaku (MUJI) (até cerca de 27,26 milhões de registros): números de cerca de 1,09 milhão de MUJI Card também afetados — o que os usuários devem fazer
Depois do primeiro comunicado de 30 de outubro, a Ryohin Keikaku Co., Ltd., a varejista japonesa por trás da MUJI, disse em um segundo comunicado, de 4 de novembro de 2026, que o alcance era maior. Estão afetados os membros da loja online da MUJI (incluindo pessoas que nunca usaram o app da MUJI) além dos usuários do app, com os clientes que se desligaram incluídos. Endereço de e-mail, data de nascimento, gênero e ID de membro de até cerca de 27,26 milhões de registros podem ter sido acessados de fora, e em cerca de 520.000 deles também nome, endereço e número de telefone. Para cerca de 1,09 milhão de membros do MUJI Card (emitido pela Credit Saison, com adesão até julho de 2021), estão afetados o número completo do cartão, o ID do MUJI Card e a data de nascimento; o nome no cartão, a validade e o código de segurança não estão incluídos. Para cerca de 120 registros em que um cartão foi cadastrado no app ou na loja online, estão afetados os seis primeiros e os dois últimos dígitos do número do cartão e o nome do titular. A empresa diz que não confirmou nenhum vazamento para a dark web nem danos por uso indevido, e que entrará em contato individualmente, por e-mail ou correio, com os clientes afetados. Em 6 de novembro, anunciou que havia suspendido a loja online. Conclusão deste site: se você tem um MUJI Card, confira a fatura do cartão e fale com a Credit Saison sobre qualquer cobrança que não reconheça, e verifique qualquer mensagem ou ligação que se diga da MUJI ou de uma operadora de cartão pelo app ou site oficial que você mesmo abrir, ou pelo número no verso do cartão.
Violação no OpenCode Console (outubro de 2026, 1,4% dos usuários do Console): chaves de API de provedores de IA possivelmente expostas, e o que fazer
Em 17 de outubro de 2026, a OpenCode, o agente de programação com IA de código aberto, disse em sua conta oficial no X que sofreu na noite anterior uma violação de segurança, relacionada a um ataque de destilação em grande escala, que atingiu 1,4% dos usuários do OpenCode Console. Disse que havia enviado naquela manhã um e-mail a todos os usuários afetados, que quem não recebeu o e-mail não foi afetado e que os afetados eram um subconjunto que tinha provedores externos vinculados. A empresa disse que o incidente continuava em andamento, que não podia dar mais detalhes e que estava trabalhando com os provedores de IA envolvidos. Segundo reportagens sobre o e-mail e sobre declarações da empresa, chaves de API de provedores de IA externos que os usuários haviam armazenado em workspaces do Console podem ter sido expostas por meio de um sistema antigo, e os usuários afetados foram orientados a revogar e substituir essas chaves diretamente em cada provedor. Um cofundador disse que o app de código aberto e a ferramenta de linha de comando não foram afetados. A opinião deste site: se você recebeu o e-mail, ou tinha chaves de provedores de IA vinculadas no OpenCode Console e não tem certeza, revogue-as hoje no painel de cada provedor e verifique uso e cobrança a partir de 17 de outubro.
Vazamento de dados da Photon Health (falha em uma ferramenta de análise): nomes, endereços, telefones, datas de nascimento e informações de receitas — o que os pacientes afetados devem fazer
Em 8 de outubro de 2026, a Photon Health, uma plataforma americana de receita eletrônica, publicou um comunicado dizendo que um terceiro não autorizado explorou uma vulnerabilidade até então desconhecida em sua ferramenta de análise de dados (Metabase), que a Photon executa em sua própria infraestrutura, e acessou certos dados. A Photon diz que soube do incidente em 21 de agosto e concluiu a revisão dos dados em 4 de setembro. Os itens são nome, endereço, número de telefone, data de nascimento e informações de medicamentos prescritos, variando por pessoa. A Photon diz que não coleta nem armazena números de Seguro Social nem informações financeiras, então não foram afetados, e que não tem evidências de uso indevido. A Photon não divulgou quantas pessoas são afetadas. Separadamente, a Blueberry Pediatrics, uma empresa de telessaúde pediátrica, informou ao procurador-geral do Oregon que 340.915 pessoas foram afetadas por uma violação do seu próprio ambiente Metabase, com itens que incluem detalhes do plano de saúde e prontuários médicos. Conclusão deste site: são dados relacionados à saúde ligados a um nome, endereço e telefone reais, então espere ligações e mensagens convincentes sobre receitas, seguro ou contas de farmácia. Não aja com base nelas; retorne a ligação para um número que você mesmo procurar.
Trezor relata possível implante de hardware em um Safe 5 de um ex-revendedor (não confirmado): o que os proprietários devem fazer
Em 30 de outubro de 2026, a Trezor publicou um comunicado dizendo que sua equipe de segurança recebeu, em 28 de outubro, um relato de divulgação responsável sobre um implante de hardware em um Trezor Safe 5. O dispositivo foi comprado em agosto de 2026, por um marketplace online, de uma empresa que foi revendedora oficial da Trezor no Sudeste Asiático até outubro de 2026. O relato descreve uma placa de circuito extra com módulo celular e antena entre a placa principal e a tela, que supostamente lê o que a tela mostra, incluindo o backup da carteira (frase de recuperação), e o envia por uma rede móvel. A Trezor não recebeu o dispositivo, então isso não foi verificado, e diz que não há fundos roubados conhecidos. Para dispositivos comprados dessa revendedora desde março de 2026, a Trezor diz: não configure um novo e, se já usa um, crie uma nova carteira com uma nova frase de recuperação em um dispositivo novo e mova seus fundos. Nossa conclusão: é um relato, não uma constatação confirmada, mas os passos são baratos perto do risco, então siga a orientação do fabricante se seu dispositivo veio dessa revendedora.
Vazamento no site da Yakult Honsha (cerca de 40.000 registros): nomes, endereços, telefones, e-mails e conteúdo de consultas vazaram — o que os afetados devem fazer
A Yakult Honsha Co., Ltd. confirmou acesso não autorizado ao seu site em 26 de outubro de 2026 e suspendeu as funções do site no mesmo dia. Em seu segundo relatório, de 30 de outubro, disse ter confirmado que cerca de 40.000 registros de dados pessoais fornecidos pelo site vazaram. Os grupos e itens afetados são: usuários do formulário de consulta por e-mail (nome, gênero, faixa etária, endereço, número de telefone, endereço de e-mail, conteúdo da consulta); membros do site de merenda escolar “Tanoshii Kyushoku” (nome, tipo de atividade, local de trabalho, endereço e telefone do local de trabalho, endereço de e-mail, senha criptografada e mais); usuários do formulário de consultas da imprensa; e funcionários da empresa que atenderam essas consultas (nomes). A empresa diz que o site não guardava dados de cartão de crédito nem de conta bancária. O detalhamento do número, o período afetado e a causa não foram divulgados. Ela fez um primeiro relatório à Comissão de Proteção de Informações Pessoais do Japão e consultou a polícia. Conclusão deste site: não abra links em mensagens que se digam da Yakult e, se você é membro do site de merenda escolar, troque a senha de qualquer outro serviço em que usou a mesma.
Incidente de segurança da Zeabur (outubro de 2026, 3,22 milhões de variáveis de ambiente lidas): quais segredos trocar e o que os usuários devem fazer
Em 19 de outubro de 2026, a plataforma de deploy de aplicações Zeabur publicou um relatório preliminar sobre um incidente de segurança ocorrido em 14 e 15 de outubro (UTC). A empresa afirma que um invasor usou credenciais internas vazadas da Zeabur para entrar em seu cluster compartilhado, em alguns Dedicated Servers e em sistemas internos e, por fim, leu o banco de dados da plataforma entre 16:10 e 16:47 UTC de 15 de outubro. Ela confirmou que foram lidos 3.218.965 registros de variáveis de ambiente (nomes e valores) e dados de 321.810 contas (e-mail, nome de usuário, número de telefone e outros), além de 566 chaves de API do zSend, que ela revogou. A empresa diz que a causa raiz é responsabilidade da Zeabur: credenciais administrativas de longa duração eram armazenadas em texto puro e podiam ser usadas a partir da internet. Ela pede a todos os usuários que substituam todas as senhas e chaves armazenadas na Zeabur, mesmo que já as tenham substituído após outro incidente em agosto. A Zeabur havia anunciado em 17 de outubro que encerrará as atividades em 31 de dezembro de 2026 e, em 22 de outubro, fixou 30 de novembro de 2026 como prazo para pedidos de ressarcimento de perdas causadas pelo incidente. A opinião deste site: trate todo segredo que você já colocou em uma variável de ambiente da Zeabur como conhecido por outra pessoa, revogue-o primeiro no serviço que o emitiu e verifique faturas e logs a partir de 14 de outubro.
Vazamento de dados de clientes da ASOS e falso alerta no aplicativo: nomes e dados de contato levados, datas de nascimento e histórico de buscas relatados — o que os clientes devem fazer
Em 6 de outubro de 2026, clientes da ASOS receberam uma notificação push não autorizada pelo aplicativo da ASOS. A ASOS disse que uma parte não autorizada acessou plataformas de terceiros que ela usa para se comunicar com os clientes. Disse que nomes e dados de contato dos clientes podem ter sido acessados e que não acredita que dados de cartão de pagamento nem senhas de contas tenham sido afetados. Em uma atualização posterior aos clientes, segundo o BleepingComputer, a ASOS disse que as credenciais de login de um funcionário foram obtidas por meio de uma falsa identidade de contato de confiança. A BBC relatou que uma amostra fornecida pelos atacantes também incluía números de cliente, datas de nascimento e buscas feitas no site da ASOS; a ASOS não confirmou essa lista. A ASOS não divulgou quantos clientes foram afetados. A avaliação deste site: uma mensagem que cita seu nome ou uma busca passada não prova que vem da ASOS. Abra você mesmo o aplicativo ou o site da ASOS em vez de tocar em um link.
Roubo de criptoativos na Bitget (cerca de US$ 387,5 milhões): os saldos dos clientes estão cobertos e o que os titulares de contas devem fazer
Em 24 de setembro de 2026 (UTC), a corretora de criptomoedas Bitget detectou transferências não autorizadas de parte de suas carteiras quentes e mornas. Primeiro estimou cerca de US$ 351,6 milhões e em 25 de setembro confirmou cerca de US$ 387,5 milhões enviados a endereços controlados pelo atacante. A Bitget diz que os saldos das contas dos clientes não foram afetados, que a perda se enquadra em seu Fundo de Proteção ao Usuário, que as carteiras frias não foram tocadas e que a porta de entrada foi uma vulnerabilidade zero-day em produtos de segurança de terceiros, já corrigida. Os saques foram pausados e depois restabelecidos em fases; a página da Bitget diz que foram totalmente restabelecidos em 2 de outubro. A Bitget não divulgou o nome do produto afetado nem um relatório completo da causa raiz. A avaliação deste site: foi um roubo das carteiras da própria corretora, não um vazamento de dados de clientes, então o principal risco para os titulares agora são falsas mensagens de «recuperação» e «compensação». Ative a autenticação em dois fatores, abra a Bitget somente pelo seu próprio favorito e nunca compartilhe frase-semente, chave privada ou código de verificação.
Incidente do ConnectWise Cloud Backup (antes SkyKick): tentativas de login conduzidas por IA contra mais de 2.250 tenants do Microsoft 365 e o que os administradores devem verificar
Em 16 de outubro de 2026, a ConnectWise publicou um aviso dizendo que houve acesso não autorizado a credenciais de aplicativos associadas ao Cloud Backup (antes SkyKick), seu serviço de backup do Microsoft 365 para provedores de serviços gerenciados (MSPs). Em 17 de outubro, desativou sete identidades de aplicativo, suspendeu o Cloud Backup, o SaaS Security e o Cloud Management, e em 19 de outubro redefiniu todas as contas e credenciais do ambiente afetado. Em 21 de outubro a Microsoft publicou uma pesquisa avaliando que um grupo alinhado a um Estado estava por trás da invasão e depois usou uma estrutura multiagente de testes de intrusão com IA, de código aberto, para tentar logins em mais de 2.250 tenants. A Microsoft diz que a maior parte das tentativas não teve sucesso, mas que houve acesso privilegiado à nuvem em muitas organizações, em alguns casos em menos de três horas. Uma empresa de segurança confirmou separadamente logins não autorizados em 162 tenants em 16 de outubro. A ConnectWise diz que os arquivos de backup existentes não mostram indício de comprometimento, mas que isso não estabelece se tenants individuais do Microsoft 365 foram afetados. A avaliação deste site: se você ou seu MSP já instalou esses aplicativos, verifique as credenciais, as funções de diretório e os consentimentos de aplicativos no seu próprio tenant, e mantenha os aplicativos desativados até que a ConnectWise diga o contrário.
Vazamento de dados da Frontline Education (fornecedora de software escolar): 3,09 milhões de pessoas segundo a lista do Procurador-Geral de Indiana; números de Seguro Social, de Medicaid e de estudante afetados, e o que funcionários e famílias devem fazer
A Frontline Education, fornecedora americana de software de administração para distritos escolares K-12, publicou um Aviso de Vazamento de Dados datado de 26 de outubro de 2026. Diz que sua equipe de segurança encontrou em 14 de agosto de 2026 uma vulnerabilidade em um produto de software de terceiros que utiliza, que essa vulnerabilidade permitiu acesso não autorizado a parte de seu ambiente a partir desse dia, e que o último dia de atividade não autorizada foi 15 de agosto. Os dados afetados se relacionam a dois produtos, Frontline Central e School Health Management. A empresa diz que os seguintes dados foram afetados, e quais se aplicam varia conforme a pessoa: número de Seguro Social, data de nascimento, número da carteira de motorista, número de passaporte, outro documento de identidade oficial, identificador do Medicaid e identificador de estudante. A Frontline diz que não tem conhecimento de nenhum uso indevido dos dados e oferece a adultos nos EUA dois anos de monitoramento de crédito da TransUnion e a menores monitoramento cibernético (sua página do incidente fala em monitoramento da dark web onde disponível). A lista de vazamentos de dados do Procurador-Geral de Indiana (edição de novembro de 2026) mostra 3.085.266 pessoas no total (66.157 moradores de Indiana; data de notificação 26 de outubro, data do vazamento 14 de agosto), enquanto as notificações em outros cinco estados (MA, NH, SC, TX, VT) somavam cerca de 1,3 milhão (1.298.917), segundo a SecurityWeek. O número de distritos não foi divulgado. Nossa avaliação: se você trabalha em um distrito escolar dos EUA que usa a Frontline, ou tem um filho em um, presuma que o aviso se aplica a você, faça um congelamento de crédito gratuito e trate como não comprovada qualquer ligação ou e-mail que cite seu identificador do Medicaid ou de estudante.
Vazamento de dados da iRhythm (8.179.772 pessoas na lista do HHS): nomes de pacientes do Zio, números de seguro e números de série de dispositivos, e o que os pacientes devem fazer
A iRhythm Technologies, fabricante americana do monitor cardíaco vestível Zio, informou à SEC dos EUA em 15 de junho de 2026 que havia detectado acesso não autorizado a certos aplicativos de negócios hospedados por terceiros e que dados foram extraídos. Em um aviso datado de 2 de outubro de 2026, a empresa diz que sua investigação constatou que os dados foram acessados e baixados entre 3 e 8 de junho de 2026, e que os avisos às pessoas afetadas começaram em 2 de outubro. Os dados incluem nome do paciente, informações de contato (endereço, e-mail, telefone), número da conta do paciente, número de série do dispositivo, número do seguro, data do serviço e data de nascimento, e a empresa diz que contam como informações de saúde protegidas pela HIPAA. A iRhythm não divulgou um total próprio. O incidente apareceu no portal de vazamentos do Departamento de Saúde e Serviços Humanos dos EUA (HHS) com 8.179.772 pessoas, segundo SecurityWeek e CyberInsider em 29 de outubro de 2026. Registros estaduais anteriores listavam 298.647 pessoas no Texas e 69.526 na Carolina do Sul. A empresa diz que não encontrou impacto em seus produtos nem nos sistemas clínicos ou de dispositivos médicos, e que não armazena informações de cartões de pagamento nem de contas financeiras. Avaliação deste site: se você foi paciente do Zio, espere mensagens convincentes que usem seu nome e os dados do seu seguro, confira os extratos da sua operadora e considere um congelamento de crédito gratuito.
Vazamento de dados da Universidade de Copenhague (cerca de 525.000 pessoas): nomes, números CPR, telefones e e-mails — o que fazer
A Universidade de Copenhague (Københavns Universitet, KU) anunciou em 23 de outubro de 2026 que hackers haviam acessado um de seus ambientes de testes. Reportagens consistentes que citam a universidade dizem que foram obtidos dados de cerca de 525.000 pessoas: nome completo, número CPR (o número de registro civil da Dinamarca), telefones de trabalho e particulares e um e-mail particular. Em uma atualização de 25 de outubro, a universidade disse que os códigos PIN dos cartões de identificação de cerca de 20.000 funcionários e estudantes também foram comprometidos, e que novos PINs foram emitidos. As reportagens dizem que a invasão foi detectada na terça-feira, 20 de outubro, e controlada. A universidade comunicou a Autoridade Dinamarquesa de Proteção de Dados. As páginas da própria universidade não puderam ser abertas a partir deste site em 30 de outubro, então este artigo se baseia nessas reportagens. Avaliação deste site: trate como não comprovada qualquer mensagem que use seu nome e número CPR, confirme por canais que você mesmo abra e nunca informe número CPR, senha ou PIN a quem pedir.
Dados de entrega do Ichiban Kuji ONLINE podem ter vazado (acesso não autorizado na Bandai Logipal): nomes, endereços e telefones, e o que os membros devem fazer
Em 26 de outubro de 2026, a BANDAI NAMCO Holdings Inc., a BANDAI SPIRITS CO., LTD. e a Bandai Logipal Co., Ltd. anunciaram (primeiro comunicado) que um sistema gerenciado pela Bandai Logipal, a subsidiária de logística da BANDAI NAMCO Holdings, foi acessado sem autorização por um terceiro, e que isso foi descoberto em 21 de outubro. Segundo as três empresas, os dados pessoais que podem ter vazado são os dados de entrega (nome, endereço e telefone) do Ichiban Kuji ONLINE, um serviço cuja entrega de produtos a BANDAI SPIRITS terceiriza para a Bandai Logipal. Detalhes como o número de pessoas afetadas estão em investigação; dados de cartão de crédito não foram incluídos, e nenhum uso indevido foi confirmado até agora. Em 21 de outubro, a empresa encontrou indícios de acesso não autorizado em um servidor de seu sistema de logística e desligou o servidor, e no mesmo dia confirmou que operações foram realizadas por meio do uso indevido de uma conta da Bandai Logipal. Ela parou o sistema de logística em questão em 24 de outubro e informou a polícia e a Comissão de Proteção de Informações Pessoais do Japão em 26 de outubro. O comunicado diz que o sistema de expedição em questão está suspenso desde 26 de outubro. Como o acesso não autorizado ocorreu não foi divulgado. As empresas alertam que podem chegar ligações telefônicas e correspondências suspeitas relacionadas ao incidente. A conclusão deste site: quem recebeu itens pelo Ichiban Kuji ONLINE não deve responder a ligações ou correspondências inesperadas que aleguem ser do Ichiban Kuji ou da Bandai, e deve usar o formulário de contato do site oficial, aberto por conta própria, para verificar qualquer coisa.
Vazamento no site de pesquisas Qzoo (cerca de 400.000 registros): dados de membros, incluindo dados de contas bancárias, podem ter vazado, e o que os membros devem fazer
Em 21 de outubro de 2026, a Monitas Inc. anunciou que seu site de pesquisas Qzoo foi acessado sem autorização por um terceiro e que dados pessoais dos membros (painelistas) podem ter vazado. Segundo a cronologia, o acesso não autorizado começou às 8:30 de 17 de outubro; às 12:22 o banco de dados foi consultado e atualizado por meio de injeção de SQL; às 18:44 o acesso foi detectado e bloqueado; às 19:02 o serviço entrou em manutenção de emergência; e em 20 de outubro foi feito um relatório preliminar à Comissão de Proteção de Informações Pessoais do Japão. O alcance é de cerca de 400.000 registros (todos os registros mantidos no sistema do Qzoo em 17 de outubro). O banco de dados que pode ter sido afetado armazena informações básicas (nome, data de nascimento, endereço, telefone, endereço de e-mail etc.), informações de autenticação do membro (ID de membro, senha etc.), informações financeiras (número da conta, nome da agência, nome do titular da conta etc.) e respostas a pesquisas (renda anual, ocupação etc.). Os itens ainda estão em investigação. A empresa não mantém dados de cartão de crédito nem o My Number (número nacional de identificação do Japão). Ela diz que o invasor explorou uma vulnerabilidade em seu sistema. Não foi encontrado acesso não autorizado aos seus outros sistemas. A visão deste site: troque hoje qualquer senha que você compartilhe com o Qzoo, não abra links em mensagens que aleguem ser do Qzoo ou de um banco e nunca informe sua senha bancária (PIN) ou seus dados de login a ninguém. Verifique também a movimentação da sua conta bancária.
Acesso não autorizado ao Rakuten Travel (até cerca de 2,6 milhões de registros): nomes, contatos e dados parciais de cartão de reservas de hotéis no exterior, e o que os usuários devem fazer
Em 26 de outubro de 2026, a Rakuten Group, Inc. anunciou ter confirmado acesso não autorizado por um terceiro externo a algumas páginas do site de reservas de hotéis no exterior do Rakuten Travel, gerenciado e operado por sua subsidiária Rakuten Travel Xchange, e ao site de reservas multilíngue operado pela Rakuten Group. Nas páginas de reservas de hotéis no exterior (incidente 1), uma anomalia foi detectada em 10 de setembro e a correção do sistema foi concluída em 16 de setembro. As informações que foram alvo do acesso não autorizado abrangem nomes, endereços de e-mail, números de telefone e números de identificação internos de até cerca de 2,6 milhões de registros de clientes que fizeram login e, para até cerca de 40.000 registros de clientes que fizeram reservas, nomes, contatos, país de residência, dados da reserva e nomes de acompanhantes; além das informações de pagamento (número de identificação do emissor do cartão e últimos quatro dígitos, nome do titular, data de validade e bandeira do cartão) de até cerca de 36.000 deles. Números completos de cartão, códigos de segurança, senhas, documentos de identidade e endereços não estão incluídos (segundo a nota do item sobre quem fez reservas). No site de reservas multilíngue (incidente 2), detectado em 20 de outubro e corrigido em 21 de outubro, foram afetados os endereços de e-mail e IDs internos de até cerca de 860.000 registros de clientes que fizeram login, e os nomes de conta e endereços de e-mail de até cerca de 40.000 registros de funcionários de hospedagens inseridos na tela de administração. A causa, o período abrangido e qualquer compensação não foram anunciados. Conclusão deste site: uma mensagem que pede para você digitar de novo o número do cartão ou pagar não é verdadeira só porque acerta a sua reserva ou os últimos quatro dígitos do seu cartão. Não use links de e-mails nem de SMS; confira sua reserva no app do Rakuten Travel ou em um site oficial salvo nos favoritos.
Como limpar o histórico de navegação, os cookies e as senhas salvas (Chrome, Safari, Edge e Firefox no computador e no celular): o que apagar depois de um vazamento e o que guardar antes
Um guia para excluir o histórico de navegação, os cookies (dados de sites), o cache, as senhas salvas e o preenchimento automático no Chrome (Windows, Mac, Android, iPhone), no Safari (Mac, iPhone, iPad), no Edge e no Firefox, com os nomes usados na ajuda oficial de cada fabricante. Excluir o histórico de navegação não recupera nada que já tenha sido copiado e não é uma defesa contra uma ameaça. O que reduz danos futuros é cuidar do estado de login (cookies) e das senhas salvas: troque as senhas e saia de todas as sessões a partir de um dispositivo seguro. Se você for procurar a polícia, registre o e-mail de ameaça e as extensões suspeitas antes de apagar. Se a sincronização estiver ativada, a exclusão também remove os dados dos seus outros dispositivos na mesma conta. No caso do Onamae.com Desktop Cloud, de outubro de 2026, o sexto comunicado da GMO Internet pede aos clientes que mantenham a sincronização do navegador desativada até concluir a verificação dos dispositivos.
Fujicco: dados de inscrição em campanha possivelmente vazados (cerca de 15.500 inscrições): nomes, endereços, detalhes familiares e o que os participantes devem fazer
Em 22 de outubro de 2026, a Fujicco Co., Ltd., fabricante japonês de alimentos conhecido por seus produtos Caspian Sea Yogurt e de algas, anunciou que um servidor da empresa contratada para lidar com as inscrições das campanhas havia sido acessado sem autorização por uma parte externa, e que os dados pessoais dos participantes podem ter vazado. O acesso foi identificado em 21 de outubro e o servidor foi prontamente desligado. Os dados abrangem as informações pessoais inseridas nos formulários de inscrição para não associados de duas campanhas realizadas desde maio de 2026: a série Caspian Sea Yogurt “Motto! Toro-mocchi Campaign Part 2” e a “Fujicco Thanksgiving Festival Campaign”. São cerca de 15.500 inscrições no total, incluindo inscrições repetidas da mesma pessoa. Os itens são nome, idade, sexo, ocupação, estado civil, composição familiar, telefone, e-mail, endereço e respostas de pesquisa. Carteiras de motorista, cartões de crédito e números de conta bancária não estão incluídos. Inscrições feitas como membro Fujicoin, por cartão postal ou no X não são afetadas. Não há confirmação de publicação ou uso indevido, mas a empresa está tratando os dados como obtidos por terceiros. Conclusão deste site: as pessoas que se inscreveram pelos formulários afetados não devem pagar taxas de envio ou manuseio, reenviar comprovantes ou informar novamente dados pessoais quando solicitadas, e devem confirmar com o escritório da campanha pelo número indicado no comunicado oficial.
Possível vazamento de dados do app FX Navi da Green Monster (cerca de 6,19 milhões de registros): endereços de e-mail e respostas de pesquisa estão entre os itens, e o que os usuários devem fazer
Em 23 de outubro de 2026, a Green Monster Inc. (Tokyo Stock Exchange Growth, 157A) anunciou que informações de usuários do seu app de negociação demo de forex FX Navi (FXなび) podem ter sido obtidas por terceiros (primeiro relatório). Em 17 de outubro, a empresa identificou acesso não autorizado ao app por terceiros e iniciou uma investigação. Nessa investigação, descobriu que, de cerca das 20h26 de 27 de abril a cerca das 14h26 de 30 de abril, um terceiro que utilizava um endereço IP diferente pode ter obtido continuamente informações de usuários do app. A empresa afirma que não foi confirmado vazamento decorrente do próprio acesso de 17 de outubro. Cerca de 6,19 milhões de registros podem ter sido obtidos, incluindo dados que não são informações pessoais. Os itens são endereço de e-mail (66.003), apelido, gênero, faixa etária, categoria de ocupação, ID do X (antigo Twitter) (6.434), texto de autoapresentação, URL da imagem de ícone, respostas da pesquisa de primeira abertura (4.809.631), ID do dispositivo, credenciais de login, código de transferência de conta (5.120), identificador de notificação push, ID de publicidade, endereço IP de origem e dados de uso, como resultados de negociações. Nome, endereço, telefone, data de nascimento, cartão de crédito, conta bancária e My Number (número de identificação nacional do Japão) não são itens que os usuários podem cadastrar. A empresa diz que a causa foi uma função da API do app; ela corrigiu a função da API e as credenciais de login, e invalidou todas as credenciais de login emitidas antes da correção. Nenhum dano secundário foi confirmado. Conclusão deste site: os usuários do FX Navi não devem abrir links ou anexos em e-mails ou mensagens no X que aleguem ser da empresa ou de empresas relacionadas, e devem tratar qualquer oferta de investimento como falsa.
Vazamento de dados de membros da loja online e do app da Lindt Japão (3.147.469 registros): nomes, endereços, telefones, datas de nascimento e senhas com hash vazados, e o que os membros devem fazer
Em 23 de outubro de 2026, a Lindt & Sprüngli Japão, filial japonesa da fabricante suíça de chocolate, anunciou que o sistema da empresa terceirizada que fornece a plataforma da sua loja online e gerencia os dados de membros foi acessado sem autorização, e que 3.147.469 registros de membros da loja online e do app oficial da Lindt vazaram. Segundo o relatório da terceirizada, uma vulnerabilidade em um software usado no servidor da terceirizada foi explorada entre 23h02 de 17 de outubro e 0h16 de 18 de outubro (horário do Japão). Os itens vazados são o ID de membro, nome, e-mail, endereço postal, telefone, data de nascimento, gênero, configurações de newsletter, loja cadastrada, senha de login (armazenada com hash) e outros dados de membros, como a leitura do nome, a data de cadastro e o último login. Dados de pagamento, como cartões de crédito, não estavam incluídos. Até as 11h de 23 de outubro, nenhum uso indevido havia sido confirmado. A loja online está suspensa desde as 16h de 21 de outubro, e os membros serão solicitados a trocar a senha quando ela for reaberta. Os membros afetados começam a receber e-mails a partir de 26 de outubro. Conclusão deste site: os membros não devem seguir instruções em e-mails, mensagens de texto, ligações ou cartas que se apresentem como da Lindt, e devem trocar agora a senha de qualquer outro serviço em que usaram a mesma.
Vazamento na plataforma de cartão pré-pago Value Card (1,42 milhão de registros, 1,13 milhão de registros do MOS Card): números de cartão, PINs e saldos vazados, e o que os portadores devem fazer
Em 23 de outubro de 2026, a PayCloud Holdings, empresa listada no mercado Growth da Bolsa de Valores de Tóquio, anunciou que os servidores do Value Card, um serviço de emissão de moeda eletrônica (cartão pré-pago de loja) próprio que sua subsidiária Value Design Inc. fornece a emissores de cartões, foram acessados sem autorização por um terceiro, e que 1.424.748 registros de números de identificação, PINs e informações de saldo vazaram (569.224 IDs emitidos e 855.524 IDs não emitidos, isto é, IDs ainda não adquiridos por um usuário). O acesso foi confirmado em 19 de outubro, e a causa foi um terceiro explorar uma vulnerabilidade de servidor web em parte do ambiente de sistemas da subsidiária. Não houve envolvimento de informações pessoais; o risco de uso indevido de IDs emitidos foi tratado, e não houve nenhum dano real decorrente de uso indevido. No mesmo dia, a MOS Food Services, Inc., que opera a rede de hamburguerias MOS Burger e seu cartão pré-pago MOS Card, anunciou que o acesso não autorizado ao sistema da Value Design, empresa contratada para operar e manter os servidores do MOS Card, vazou 1.133.070 registros do MOS Card (número de cartão de 16 dígitos, PIN de 6 dígitos e saldo; cerca de 570.000 cartões em circulação e cerca de 560.000 ainda não em circulação), e que redefiniu à força os PINs vinculados aos números de cartão vazados. Nomes, endereços, números de telefone e dados de cartão de crédito não foram incluídos. Quais cartões de outros emissores foram afetados não foi divulgado. Conclusão deste site: os portadores do MOS Card devem verificar seu histórico de uso em busca de cobranças que não reconhecem, entrar em contato com a central de atendimento dedicada se as consultas de saldo online e funções semelhantes deixarem de funcionar e nunca fornecer seu PIN ou número de cartão a quem pedir.
Serviços de nuvem da Digital Arts atingidos por acesso não autorizado (i-FILTER@Cloud e outros cinco): alguns dados de clientes podem ter sido visualizados, e o que os administradores devem fazer
Em 21 de outubro de 2026, a Digital Arts Inc., fabricante japonesa de produtos de filtragem web e de e-mail e de segurança de arquivos, anunciou em comunicado de divulgação oportuna e em seu site que havia encontrado vestígios de acesso não autorizado ao ambiente operacional de seus serviços de nuvem e ao seu ambiente interno. Segundo a empresa, credenciais usadas para operar seus serviços de nuvem foram obtidas por uma parte externa e usadas para entrar no ambiente operacional dos serviços. Como resultado, informações de alguns clientes de seis serviços de nuvem (i-FILTER@Cloud, m-FILTER@Cloud (Modern Edition), m-FILTER MailAdviser for Microsoft 365, FINAL CODE@Cloud, z-FILTER e Desk) podem ter sido visualizadas pela parte externa. Os vestígios foram encontrados em 9 de outubro, em uma revisão em toda a empresa que usou IA, e alguns remontam a cerca de julho de 2025. Até o meio-dia de 21 de outubro, não havia sido confirmada nenhuma retirada de dados de clientes para fora da empresa, nem foram relatados uso indevido ou danos secundários. Os itens de dados e o número de clientes que podem ter sido visualizados não foram divulgados. A empresa pede que todos os clientes dos seis serviços alterem as senhas de administrador e de usuário, e entrará em contato individualmente com alguns clientes onde for necessária mais ação. As versões de software instaladas em ambiente próprio não são afetadas. Em um Q&A para investidores em 23 de outubro, a empresa disse que seu banco de dados de lista de permissões não podia ser visualizado pelo invasor nem foi alterado, e que comunicou o incidente à Comissão de Proteção de Informações Pessoais do Japão. Conclusão deste site: os administradores de organizações que usam qualquer um dos seis serviços devem alterar as senhas de administrador e de usuário nesta semana e verificar se a empresa entrou em contato com eles individualmente.
Vazamento nas lojas online FANCL e Attenir (368.184 e 417.312 membros): nomes, endereços, telefones e datas de nascimento expostos, e o que os membros devem fazer
Em 16 de outubro de 2026, a FANCL Corporation e a Attenir Corporation, duas empresas japonesas de cosméticos e produtos de saúde, anunciaram que suas lojas online foram acessadas sem autorização por uma parte externa entre 3 e 10 de outubro, e que parte dos dados de membros vazou. O acesso foi identificado em uma investigação interna em 15 de outubro, e as empresas identificaram e interromperam a função que causou o problema. Os dados vazados abrangem 393.785 registros de 368.184 membros da FANCL e 441.162 registros de 417.312 membros da Attenir. Os itens são endereço de e-mail, nome, endereço, telefone, data de nascimento, gênero, número de cliente, um e-mail secundário e sua senha (uma senha secundária com hash, definida por alguns membros; a senha principal não está incluída), itens de perguntas de segurança (respostas não incluídas) e outros dados de cadastro, como pontos e nível de associação. Dados de pagamento, como cartões de crédito, não estão incluídos. Nenhum uso indevido ou dano secundário foi confirmado. A FAQ da FANCL informa que os clientes afetados foram contatados no e-mail cadastrado durante 17 de outubro. Conclusão deste site: os membros de qualquer uma das empresas devem presumir que seu nome, endereço, telefone e data de nascimento são conhecidos, não devem seguir instruções em e-mails, mensagens de texto, ligações ou cartas que aleguem vir das empresas, e devem verificar pelo site oficial ou pela central de atendimento compartilhada.
Vazamento de dados da Trustbank no Furusato Choice (4.454.097 registros de membros): nomes, endereços e senhas com hash vazaram; o que doadores devem fazer
Em 20 de outubro de 2026, a Trustbank, Inc., que opera o Furusato Choice, um grande site do sistema japonês de doações de imposto para cidades natais (furusato nozei), anunciou que uma parte externa obteve acesso não autorizado a dados de membros e que dados pessoais de doadores vazaram. Após notar padrões de acesso incomuns em 19 de outubro, a empresa constatou que o acesso não autorizado ocorreu em 17 de outubro e encerrou os serviços relacionados às 15:50 de 19 de outubro. O vazamento confirmado abrange 4.454.097 registros de membros: nome, endereço de e-mail, endereço postal, telefone, senha com hash e valor estimado da dedução do imposto da doação. Em um segundo comunicado, em 23 de outubro, a empresa disse que, para cinco desses doadores, vazaram itens adicionais, incluindo histórico de pontos, histórico de doações, data de nascimento e endereço de entrega. Para dois deles, uma parte externa acessou a tela Minha Página, que mostra os dados de cartão salvos (últimos quatro dígitos, nome do titular e data de validade). A empresa diz que os dados do cartão são buscados na processadora de pagamentos cada vez que essa tela é exibida, não são armazenados em seus sistemas e não podem ser usados isoladamente para fazer um pagamento com cartão. Desde 21 de outubro, os membros têm recebido e-mails individuais informando se seus dados vazaram e quais itens. Em um terceiro comunicado, em 26 de outubro, a empresa disse ter começado naquele dia a retomar gradualmente o sistema de gestão de doações usado pelas prefeituras e pelos fornecedores de presentes de retribuição (suas perguntas frequentes do mesmo dia dizem que a partir de 25 de outubro). Novas doações não estão sendo aceitas, e não há data definida para a retomada do site voltado aos doadores. As senhas de todos os membros foram invalidadas, e será preciso definir uma nova senha após a retomada. A conclusão deste site: os membros devem trocar a senha de qualquer outro serviço em que usem a mesma combinação de e-mail e senha e não devem abrir links em mensagens que aleguem ser do Furusato Choice ou de uma prefeitura.
Vazamento na and ST HD (cerca de 2,5 milhões de registros de clientes): o que pode ter vazado e o que os membros devem fazer
Em 23 de outubro de 2026, a and ST HD Co., Ltd. anunciou que um acesso não autorizado de um terceiro aos seus servidores de negócios pode ter vazado parte dos dados de clientes, parceiros comerciais e funcionários. Segundo a empresa, a partir de cerca das 7h30 de 22 de outubro (horário do Japão), tentativas de login, invasão e extração de dados foram realizadas em sequência contra vários de seus servidores; a empresa detectou a atividade não autorizada por volta das 10h, isolou os servidores e cortou a rota de acesso até as 17h. Os dados que podem ter vazado abrangem cerca de 2,5 milhões de registros de clientes (nome, data de nascimento, gênero, endereço, número de telefone, endereço de e-mail e ID de membro) e cerca de 10.000 registros de parceiros comerciais (nome da empresa, endereços de pedidos e de devoluções, nome do contato, número de telefone e endereço de e-mail); o alcance para funcionários ainda está sendo confirmado. Dados de pagamento, como os do cartão de crédito, e senhas definidas pelos próprios clientes não estão incluídos, segundo a empresa. A loja virtual and ST não foi afetada pelo acesso não autorizado, mas os pontos de membro atualmente não podem ser usados nas lojas nem na loja virtual. A empresa diz que está começando a avisar em sequência os clientes e parceiros afetados e que criará um canal de atendimento. Avaliação deste site: como se diz que as senhas não estão incluídas, a prioridade hoje não é trocar a senha, e sim desconfiar de mensagens que usem o nome da empresa ou de suas marcas junto com seu endereço ou data de nascimento reais. Confira pelo aplicativo oficial ou por um site que você mesmo abrir.
Variáveis de ambiente da Railway possivelmente expostas (outubro de 2026, até 1,85% dos workspaces): quais segredos rotacionar e o que os usuários devem fazer
Em 21 de outubro de 2026 (UTC), a Railway anunciou que detectou atividade anômala envolvendo sistemas que armazenam variáveis de ambiente de clientes, e que um terceiro não autorizado pode ter acessado variáveis de ambiente criptografadas e, em parte delas, obtido o conteúdo descriptografado. Segundo o relatório preliminar datado de 22 de outubro (disponibilizado às 16:38 UTC de 23 de outubro, conforme a página de status), o ataque ocorreu de 13:58 UTC de 20 de outubro até 03:32 UTC de 22 de outubro. Começou com tentativas de escalonamento de privilégios na infraestrutura de build; em 21 de outubro, credenciais do ambiente de CI foram usadas e um subconjunto de variáveis de ambiente criptografadas foi descriptografado. No máximo 1,85% de todos os workspaces (cerca de 100.000 workspaces, segundo a empresa) tiveram algumas variáveis de ambiente potencialmente comprometidas. A empresa afirma que nenhuma conta de usuário da Railway foi acessada e não descartou o acesso ao código-fonte até o relatório final. O invasor parece ter buscado chaves de API de provedores de IA. A Railway recomenda que todos os usuários rotacionem os segredos armazenados antes de 21 de outubro, removam o acesso público de rede aos bancos de dados e revisem os logs de auditoria do GitHub e de registries (como o Docker Hub). Conclusão deste site: mesmo que você não tenha sido contatado, trate os segredos armazenados na Railway como expostos, reemita-os na origem e faça o redeploy antes de revogar os valores antigos.
Vazamento na Treasure Factory (Trefac) (746.277 registros de e-mail): o que clientes de compra a domicílio e do Trefac Moving devem fazer
Em 23 de outubro de 2026, a Treasure Factory Co., Ltd., varejista japonesa de artigos de segunda mão, anunciou que um terceiro obteve acesso não autorizado ao sistema de gestão de casos que ela usa para receber e tratar os pedidos do serviço de compra a domicílio (shutchō kaitori) e do serviço Trefac Moving, e levou parte dos dados de clientes e outros dados ali mantidos. Segundo a divulgação oportuna (timely disclosure) da empresa, os dados confirmados são 746.277 registros de clientes (endereços de e-mail; 11 deles incluem também nome e endereço), 750 registros com nomes e e-mails de parceiros comerciais, funcionários e outros, e 1.000 registros com nomes e identificadores de dispositivos usados por parceiros comerciais, funcionários e outros. Números de cartão de crédito e outras informações de pagamento não foram incluídos, e os dados de clientes mantidos nas lojas e no aplicativo da empresa ficam em sistemas separados e não foram afetados. A empresa confirmou o acesso por meio da análise dos registros de acesso em 20 de outubro e, no mesmo dia, bloqueou o acesso externo e os formulários de pedido. Ela acredita que foi explorada uma vulnerabilidade relacionada ao acesso ao banco de dados e diz que o incidente não tem relação com uma vulnerabilidade do PHP divulgada recentemente. Nenhum dano secundário foi confirmado. O sistema e os formulários de pedido devem voltar a funcionar por volta de 28 de outubro. Conclusão deste site: se você já fez um pedido de compra a domicílio ou do Trefac Moving, considere que seu e-mail é conhecido, não abra links em e-mails que digam ser da Trefac e confira no site oficial.
Vazamento de dados de membros do Comic Cmoa (até cerca de 4,2 milhões de registros em arquivos de log): e-mails e datas de nascimento vazados — o que os usuários devem fazer
A NTT Solmare Corporation, que administra a loja de e-books japonesa Comic Cmoa (コミックシーモア), publicou quatro comunicados sobre o acesso não autorizado ao serviço, de um primeiro aviso em 15 de outubro de 2026 até um quarto relatório em 21 de outubro. Segundo a empresa, em 15 de outubro ela julgou que um acesso não autorizado de fora para seus servidores muito provavelmente havia ocorrido e suspendeu o serviço às 11:35. No seu segundo relatório, em 16 de outubro, disse ter confirmado que dados de membros do sistema que gerencia as informações de membros vazaram para um terceiro (a quantidade ainda estava sendo apurada). No terceiro relatório, em 18 de outubro, disse ter identificado a rota de invasão e o método de ataque e que estava tratando deles, e que alguns arquivos de log do sistema também tinham sido visualizados e levados. No quarto relatório, em 21 de outubro, descreveu os dados confirmados como vazados como 319 registros de dados de cadastro no banco de dados de membros (e-mail, senha com hash, apelido, data de nascimento, gênero) e até cerca de 4,2 milhões de registros em arquivos de log do sistema (e-mail, apelido, data de nascimento, gênero; sem senhas; possivelmente incluindo duplicatas da mesma pessoa). Diz que dados de cartão de crédito não são mantidos nos sistemas afetados e não vazaram, e que não foi confirmado vazamento de históricos de compras nem vazamento, perda ou dano da MY Bookshelf (as estantes dos usuários). Diz que a identificação e o bloqueio da rota de invasão e do método de ataque estão concluídos, mas não divulgou quais foram. As pessoas afetadas serão contatadas por e-mail. O serviço continua suspenso e deve ser retomado em etapas, começando pela leitura web de títulos comprados; todos os usuários serão solicitados a redefinir suas senhas na retomada. A visão deste site: quem usa o mesmo e-mail e senha do Comic Cmoa em outro serviço deve trocar essa senha hoje, não deve abrir links em e-mails que se apresentem como da empresa e deve verificar pela página de notícias da NTT Solmare aberta por conta própria.
Acesso não autorizado ao Onamae.com Desktop Cloud (GMO Internet) (26.739 servidores possivelmente afetados): dados de clientes extraídos, compensação e o que traders de Forex e valores mobiliários devem fazer hoje
Em 21 de outubro de 2026, a GMO Internet, Inc. anunciou acesso não autorizado de terceiros ao Onamae.com Desktop Cloud, um serviço de VPS (servidor privado virtual) para negociação automatizada de Forex, e afirmou que um programa malicioso fora colocado no ambiente de servidores de alguns clientes. Até 26.739 servidores podem ter sido afetados; a empresa diz que este é o número de servidores que poderiam ser afetados, e não o número em que acesso não autorizado ou aquisição de dados foi confirmado. A partir das 04:00 de 21 de outubro, ela interrompeu os servidores de todos os planos, um após o outro. Em seu quarto comunicado, de 24 de outubro, a empresa disse que existia um problema de segurança no sistema do serviço, que confirmou acesso não autorizado ao ambiente do serviço e que informações de clientes foram extraídas. Também afirmou que alguns clientes relataram operações em suas contas de negociação que não fizeram. Não foram divulgados quais informações foram extraídas e de quantos clientes, a rota da invasão, nem o número de contas afetadas e os valores envolvidos. A empresa pagará um valor fixo de 5.000 ienes a cada usuário atual do serviço e compensará perdas realizadas em operações que considerar causadas por esse acesso não autorizado (descontado qualquer reembolso da bolsa ou da corretora). Ela não reiniciará a plataforma atual do sistema como está e oferecerá a migração para um serviço alternativo em outra plataforma de nuvem, gratuito por seis meses após a migração. Segundo a empresa, alguém que ela acredita ser o invasor exigiu dinheiro e ameaçou divulgar informações e tomar outras medidas caso não haja pagamento; a empresa diz que não pagará e entregou provas à polícia. Seu quinto comunicado, também de 24 de outubro, pede novamente que os clientes façam uma varredura completa e um backup de seus próprios dispositivos, troquem as senhas a partir de um dispositivo não usado para negociar Forex, encerrem todas as sessões ativas mesmo que já tenham trocado a senha, e ativem a autenticação em dois fatores. Em seu sétimo comunicado, de 26 de outubro, a empresa disse que alguém que se acredita ser o invasor anunciou que divulgaria informações de clientes e lançaria um ataque de ransomware às 12:00 de 27 de outubro. Em seu oitavo comunicado, de 27 de outubro, pediu que os clientes fizessem backup dos seus dados e depois, antes das 12:00, se desconectassem da rede, desligassem o PC e retirassem todos os cabos conectados a ele. Em seu nono comunicado (atualizado às 11:59), afirmou que nenhum malware (incluindo ransomware) foi encontrado nos dispositivos de clientes cuja análise já havia concluído, mas que isso não confirmava que todos os dispositivos estavam seguros, e que os clientes atingidos por ransomware que entrarem em contato com o suporte receberão um PC novo de desempenho equivalente depois que os danos forem verificados. Em seu décimo comunicado, de 27 de outubro (atualizado às 13:55), a empresa disse ter confirmado às 12:30 que alguém que se acredita ser o invasor divulgou o que alega serem informações sobre a empresa e seus clientes (a empresa ainda está verificando o conteúdo e diz que ele pode incluir informações falsas). Disse que nenhum ataque de ransomware havia sido confirmado até as 13:55. Pede que ninguém acesse nem compartilhe o site onde as informações teriam sido divulgadas, dizendo que o invasor obtém as informações de quem o acessa. Em seu décimo segundo comunicado (atualizado às 19:10), a empresa disse que fará um pagamento especial de 10.000 a 25.000 ienes por categoria de informação (limitado a 3 milhões de ienes por divulgação) aos clientes cujas informações ela confirmar que estavam incluídas no que o invasor divulgou, e criou uma recompensa limitada a US$ 1 milhão no total por informações que ajudem a identificar os autores (recebidas a partir das 12:00 de 28 de outubro). Em seu décimo terceiro comunicado, de 28 de outubro (atualizado às 11:00), a empresa disse que confirmou que o domínio do site de alguém que se acredita ser o invasor (incluindo sites espelho) foi suspenso por volta das 04:00 daquele dia, e que agirá para derrubar qualquer site semelhante que apareça. Em seu décimo quarto comunicado do mesmo dia (atualizado às 18:20), a empresa disse que o site da recompensa, aberto às 12:00 daquele dia, recebeu 113 informações nas primeiras seis horas mais ou menos (às 18:00), que enviou 20 avisos no total sobre publicações no X que espalhavam a URL ou o conteúdo do site de alguém que se acredita ser o invasor (às 18:00), e que sua análise de dispositivos não encontrou até agora vestígios de infecção por malware nem de ataque de ransomware. Agradeceu aos clientes que desligaram os dispositivos e pediu que, se reutilizarem um PC, façam antes uma verificação de segurança e um backup. No décimo quinto comunicado (atualizado às 12:40 de 29 de outubro), a empresa disse que sua equipe de hackers white hat do grupo fez uma investigação própria e obteve informações que acredita poderem levar à identificação dos autores, que planejava entregar nesse dia à polícia e a outras partes pertinentes, e informou 270 informações ao site da recompensa às 11:30. No décimo sexto comunicado (atualizado às 20:50 de 29 de outubro), informou que as informações subiram de 113 (às 18:00 de 28 de outubro) para 321 (às 18:00 de 29 de outubro), forneceu um formulário de denúncia (indicado nos comunicados décimo quinto e décimo sexto) para novos sites do lado do invasor e sites em que informações pessoais são publicadas sem autorização, e pediu de novo que ninguém identifique nem contate os autores, publique informações não verificadas ou compartilhe URLs suspeitas. Ela também diz que tomará medidas legais, inclusive queixas criminais, contra o ataque e a extorsão. A divulgação de 28 de outubro diz que, segundo sua controladora GMO Internet Group, o grupo ainda está verificando os serviços de suas empresas e que, no momento, não foi confirmado impacto deste incidente em outros serviços além deste. Segundo reportagens, clientes receberam e-mails de alguém que se acredita ser o invasor, com parte do seu histórico de navegação anexada como prova de que possuem os dados. O CEO do grupo da empresa escreveu em um post de blog que o invasor ameaçou divulgar informações dos PCs dos clientes e atacá-los com ransomware, mas a empresa não disse que o PC de algum cliente tenha sido de fato comprometido. Seu sexto comunicado, de 26 de outubro, pede, entre outras medidas, que os clientes façam uma varredura completa nos dispositivos que usaram para se conectar e mantenham a sincronização do navegador desativada até concluírem a verificação. A visão deste site: a partir de um dispositivo que você não usa para negociar Forex, troque as senhas da corretora, encerre todas as sessões e verifique seu histórico de operações e seu saldo. Para a compensação, use apenas o site oficial da empresa e os comunicados enviados ao e-mail cadastrado, e nunca forneça a ninguém uma senha que possa operar.
Vazamento de dados do Carsensor.net e do C-MATCH da Recruit (até 3.709.551 registros): nomes e endereços de pessoas que entraram em contato com revendedoras podem ter sido expostos — o que usuários e revendedores devem fazer
Em 21 de outubro de 2026, a Recruit Co., Ltd. anunciou que informações de usuários e parceiros comerciais do Carsensor.net, seu site de anúncios de carros usados (incluindo o aplicativo), e do C-MATCH, seu serviço de apoio a negócios para revendedoras de carros usados, podem ter vazado para fora em decorrência de acesso não autorizado. Segundo a empresa, ela detectou acesso suspeito de fora aos sistemas relacionados ao Carsensor.net em 17 de outubro e suspendeu todos os serviços relacionados a partir de cerca de 17h desse dia. Em 20 de outubro identificou os itens e o número (máximo) de registros de dados pessoais que podem ter vazado. O total é de até 3.709.551 registros: 3.210.421 de pessoas que entraram em contato com revendedoras pelo site (em sua maioria nome e endereço; os endereços, em princípio, vão apenas até o município), 5.289 de pessoas que publicaram avaliações, 483.168 de revendedoras cadastradas no C-MATCH (nomes de funcionários e telefones, números de licença de revendedor de usados, IDs de login etc.; para empresários individuais, também informações de conta bancária para débito direto) e 10.673 de funcionários da empresa e de equipes de terceirizados e agentes de vendas. Nenhum dos grupos inclui dados de pagamento, como cartões de crédito, ou senhas de login. A causa é acesso não autorizado por terceiros, e os detalhes estão em investigação. A empresa apresentou um relatório preliminar à Comissão de Proteção de Informações Pessoais do Japão e entrará em contato individualmente, em sequência, com as pessoas afetadas. Até 21 de outubro, nenhum dano secundário havia sido confirmado. Os serviços começaram a ser retomados por etapas a partir de cerca de 13h de 22 de outubro, começando por aqueles cuja segurança foi confirmada. A visão deste site: quem entrou em contato com uma revendedora pelo Carsensor deve presumir que cartas, e-mails e ligações podem vir de alguém que conhece seu nome e endereço, não deve abrir links ou anexos em contatos inesperados e deve conferir no aviso da própria Recruit.
LiteLLM 1.107.0 distribuiu um ladrão de credenciais (outubro de 2026): versão afetada no PyPI e imagens Docker, e o que os usuários devem fazer
Em 21 de outubro de 2026 (UTC), a BerriAI, empresa por trás do LiteLLM, anunciou que seu pipeline de lançamento havia sido comprometido e que uma v1.107.0 contendo malware que rouba credenciais e carrega ferramentas de execução remota de código foi publicada. Foram afetados o litellm==1.107.0 no PyPI (das 11:39 às 13:23 UTC) e as tags v1.107.0, latest, main-latest e main-stable no Docker Hub (das 11:46 às 14:20 UTC) e no GHCR (a partir das 11:46 UTC até serem retiradas, no máximo às 13:51 UTC, cerca de duas horas). A tag oficial do código-fonte v1.107.0 no GitHub não contém os arquivos maliciosos; os artefatos foram construídos a partir de um repositório semelhante controlado pelo atacante. Todas as versões anteriores estão fora deste comprometimento, e a empresa pede que os usuários fixem a 1.106.2 ou outra versão anterior explícita. Em 24 de outubro (UTC) a empresa publicou as versões 1.103.8, 1.104.6, 1.105.4 e 1.106.3, e a partir dessas versões as imagens Docker e os Helm charts são assinados com uma nova chave cosign (a chave anterior não os verifica mais). Em 23 de outubro a empresa publicou uma análise de causa raiz e corrigiu sua primeira hipótese de que os tokens teriam sido obtidos dos logs de uma implantação interna do LiteLLM. Segundo a análise, um arquivo de configuração enviado por engano a um repositório público em 27 de maio continha a chave mestra de uma plataforma interna de agentes; o commit foi sobrescrito, mas a chave nunca foi revogada. Em 10 de outubro o atacante usou essa chave para chamar a API da plataforma e obteve o token do GitHub CLI de um proprietário da organização no GitHub configurado ali. Com ele, o atacante exfiltrou segredos de CI para obter os tokens de mais dois mantenedores e, em 21 de outubro, desativou a proteção de branch, alterou o workflow de lançamento e aprovou o lançamento. Conclusão deste site: reconstrua todo ambiente que instalou ou iniciou a 1.107.0 durante a janela e rotacione todas as chaves que ele podia acessar, incluindo chaves de provedores de LLM, a chave mestra do proxy, a senha do banco de dados e as funções de nuvem.
Vazamento de dados do H2O ID (cerca de 1,26 milhão de registros) pelo site de reservas dos department stores Hankyu e Hanshin: endereços, telefones e datas de nascimento vazaram — o que os membros devem fazer
Em 19 de outubro de 2026, a H2O Retailing Corporation e a Hankyu Hanshin Department Stores, Inc. anunciaram em conjunto que o site de reservas dos department stores Hankyu e Hanshin, a HANKYU HANSHIN E-STORES e a Remo Order, todos operados pela Hankyu Hanshin Department Stores, haviam sido acessados sem autorização por um terceiro, e que parte dos dados pessoais dos clientes havia vazado. Em 16 de outubro, as empresas confirmaram o acesso não autorizado ao sistema de gestão de clientes por meio do site de reservas e interromperam todo o sistema desse site; em 17 de outubro, confirmaram também o acesso não autorizado à E-STORES e à Remo Order e interromperam ambos. Em 19 de outubro, constatou-se que parte dos dados pessoais de cerca de 1,26 milhão de H2O IDs gerenciados no sistema de gestão de clientes havia vazado. O comunicado diz que parte dos dados pessoais de quase todos os membros com H2O ID vazou. Os itens são H2O ID, nome (em kanji e katakana), sexo, endereço de e-mail, CEP, endereço, número de celular, telefone, idade, data de nascimento e os serviços usados com o H2O ID. Na E-STORES e na Remo Order, se houve vazamento de dados está sob investigação; as empresas listam os dados que esses serviços guardam como histórico de pedidos, parte das informações do cartão de crédito (tipo de cartão, últimos quatro dígitos, nome do titular, data de validade), parte das informações do cartão de pontos e informações da lista de endereços. Os números completos dos cartões e os códigos de segurança não são armazenados. Nenhum vazamento de senhas de login foi confirmado, e nenhum uso indevido ou dano secundário foi confirmado. A causa está sob investigação. A E-STORES reabriu às 14h de 19 de outubro. A visão deste site: espere mensagens convincentes que conheçam seu nome, endereço, telefone, data de nascimento e os serviços que você usa; não abra os links delas e verifique no site oficial que você abrir por conta própria ou pelos contatos do comunicado.
Violação no sistema de inscrição de linhas da NIFTY (até 542.513 registros): números de membro, nomes, endereços e telefones podem ter sido expostos — o que os clientes de fibra devem fazer
Em 19 de outubro de 2026, a NIFTY Corporation, um provedor de internet japonês, anunciou (primeiro relatório) que confirmou um acesso não autorizado, vindo de fora, ao seu sistema de gestão de inscrição e aceitação de linhas. Segundo a empresa, ela confirmou o acesso não autorizado por volta das 10h20 de 19 de outubro e bloqueou imediatamente o acesso a partir da origem. O sistema é uma ferramenta interna de gestão que a empresa usa para registrar informações; ele é separado do site (formulários de inscrição etc.) que os clientes usam para se inscrever diretamente. Até 542.513 registros podem ser afetados. Eles abrangem clientes que solicitaram uma linha desde 2019 (excluindo o site da empresa), para os serviços @nifty Hikari, @nifty MAX Hikari e @nifty au Hikari Plus. Os itens são número de membro, nome, sexo, data de nascimento, endereço, número de telefone e endereço de e-mail; esta é a lista completa dos itens que podem ter vazado, e o que realmente vazou está em investigação. O sistema não guarda dados de conta bancária ou de cartão de crédito, que não estão incluídos. O comunicado não menciona senhas. A causa não foi divulgada; a empresa está investigando com especialistas externos e está em processo de comunicação à Comissão de Proteção de Informações Pessoais do Japão. A visão deste site: quem se inscreveu em um desses serviços desde 2019 deve presumir que contatos podem vir de alguém que conhece seu nome, endereço, telefone e data de nascimento, e não deve seguir links ou instruções em e-mails, mensagens de texto ou ligações que se apresentem como sendo da NIFTY. Verifique por meio de um contato oficial que você mesmo procurar.
Rank Math PRO 3.0.123 distribuído com malware (outubro de 2026): quem foi afetado e o que os donos de sites WordPress devem fazer
Em 16 de outubro de 2026 (UTC), o Rank Math anunciou que o Rank Math PRO v3.0.123, versão paga do seu plugin para WordPress, continha malware para um número limitado de usuários que o baixaram entre 20:02 UTC de 15 de outubro e 07:12 UTC de 16 de outubro. O malware poderia comprometer um site se o plugin fosse ativado e poderia recriar sua backdoor oculta sempre que o site fosse visitado. A empresa removeu os arquivos afetados e lançou a v3.0.124 limpa. A versão gratuita distribuída no WordPress.org não é afetada. Não foram divulgados nem o número de usuários afetados nem como o malware chegou aos arquivos. Até 20 de outubro, a última alteração do aviso foi em 19 de outubro, quando foi incluída uma nota de que a versão gratuita não é afetada. Conclusão deste site: trate qualquer site que tenha ativado uma cópia da 3.0.123 obtida durante o período afetado como comprometido e, ou restaure um backup feito antes do período, ou apague toda a pasta do plugin e faça a limpeza na ordem indicada pela empresa. Em qualquer caso, troque todas as credenciais que o site poderia acessar.
Vazamento no app do Burger King Japão (cerca de 11,18 milhões de registros): nomes, datas de nascimento e telefones expostos — o que os membros devem fazer
Em 15 de outubro de 2026, a BK Japan Co., Ltd., que opera o Burger King no Japão, anunciou que o app oficial do Burger King, operado por ela, havia sido acessado sem autorização por um terceiro, e que confirmou o vazamento das informações dos membros do app. O acesso ocorreu de 2 a 7 de outubro de 2026, e o vazamento foi constatado em 13 de outubro. Cerca de 11,18 milhões de registros de membros do app foram afetados. Os itens são: ID de membro, endereço de e-mail, tipo de cadastro, prefeitura, sexo, data de nascimento, nome (em kanji e katakana), número de telefone, se o membro tem histórico de pedidos pelo celular e se o e-mail foi verificado. A empresa afirma que não guarda números de cartão de crédito, por isso eles não vazaram, e que até agora não foi confirmado vazamento de informações de senha de login. A causa detalhada está sendo investigada com uma organização especializada externa, e nenhum dano secundário, como uso fraudulento, havia sido confirmado no momento do comunicado. Não houve atualização até 17 de outubro. A visão deste site: esperar mensagens convincentes que saibam seu nome, data de nascimento e telefone; não abra os links e verifique no app oficial que você abre por conta própria. Se você usa sua data de nascimento como PIN ou senha, troque-a.
Acesso não autorizado a alguns servidores web do ConoHa WING (GMO Internet) (426 contas): dados nas áreas de servidor web dos clientes afetados e o que os donos de sites devem fazer hoje
Em 20 de setembro de 2026, a GMO Internet, Inc. anunciou que, em alguns servidores de hospedagem (servidores web) do seu serviço de hospedagem de aluguel ConoHa WING, um terceiro obteve acesso não autorizado às áreas de servidor web de alguns clientes e instalou um programa malicioso. 426 contas foram afetadas, e os dados envolvidos são os 'dados armazenados nas áreas de servidor web dos clientes'. O acesso e a instalação começaram em 3 de setembro; a empresa detectou o caso em 16 de setembro e, em 18 de setembro, identificou a causa e a abrangência e removeu os programas. Ela diz ter identificado a causa, mas não a divulgou. Dados de membros, contratos e pagamentos são gerenciados em um ambiente separado e não vazaram, segundo a empresa. O comunicado não diz se os dados das áreas de servidor web foram copiados. Os clientes afetados foram contatados individualmente no endereço de e-mail cadastrado, e os clientes que não foram contatados não são afetados. Não houve comunicado de acompanhamento até 15 de outubro. A visão deste site: primeiro verifique se você recebeu um e-mail individual e, se recebeu, siga as instruções dele. Depois, trate as credenciais guardadas na sua área de servidor web (a senha do banco de dados em wp-config.php, chaves de API em .env etc.) como lidas e troque-as, e procure arquivos, administradores e tarefas agendadas adicionados desde 3 de setembro.
Vazamento do SpeeCAN RAIDEN (2026): usuários de e-mail de alerta de desastres e riscos de golpes
Em 13 de outubro de 2026, a Arcadia Inc. anunciou que o SpeeCAN RAIDEN, seu serviço de notificação em massa por e-mail e outras mensagens, foi acessado sem autorização por um terceiro, e que podem ter vazado nomes de contato, endereços de e-mail, números de telefone e de fax, informações de funcionários e de contratos, e o texto das mensagens enviadas, guardado como histórico. Os números máximos são cerca de 3.136.000 endereços de e-mail, cerca de 105.000 números de telefone e cerca de 15.000 números de fax (todos estimativas, ainda sob investigação). A Arcadia viu atividade suspeita às 16h30 de 11 de outubro, aplicou um bloqueio provisório por volta das 3h00 de 12 de outubro e, às 11h00 de 13 de outubro, desligou os serviços que haviam sido a via de invasão (raiden3 e s2, do Raiden School). Em 14 de outubro, incluiu NET119 e 119RAIDEN no possível vazamento e, na 11ª atualização de 16 de outubro, informou números por serviço: no NET119, dados pessoais como nomes, datas de nascimento e endereços vinculados a 9.020 endereços de e-mail (a empresa confirmou que nenhum dado pessoal sensível vazou); no 119RAIDEN, cerca de 97.000 endereços de e-mail e outros dados. Os serviços suspensos foram restabelecidos por volta das 15h00 de 15 de outubro. Dados de pagamento não são tratados. Os municípios publicaram avisos próprios; a Cidade de Shizuoka diz ter estabelecido que vazaram endereços de e-mail de 34.336 moradores cadastrados e outros dados, e viu e-mails falsos que se passavam por uma empresa de cartão, enviados do mesmo domínio dos alertas verdadeiros, @raiden.ktaiwork.jp. Na 17ª atualização, de 21 de outubro, a Arcadia disse que um programa malicioso enviou 1.423.428 e-mails de phishing a partir do seu sistema entre 1h17 e 7h16 de 13 de outubro, que pelo menos 869.575 deles foram para endereços que a empresa não possui, e que uma organização externa fará uma pesquisa na dark web. A empresa também enviou e-mails a clientes e revendedores sobre o envio, em nome deles, das comunicações à Comissão de Proteção de Informações Pessoais e ao Ministério dos Assuntos Internos e Comunicações. Na 20ª atualização, de 22 de outubro, informou aos clientes que devem usar autenticação em duas etapas no login, para evitar recorrência, e na 22ª atualização, de 23 de outubro, pediu o mesmo aos clientes do Raiden School. No relatório publicado com a 21ª atualização, de 23 de outubro, diz que um arquivo de configuração foi obtido por uma vulnerabilidade no servidor de mídia que publica anexos, vazando uma chave secreta usada em logins entre serviços, entre outras causas; que todos os serviços estão dentro do escopo do possível vazamento; e que a contagem ainda está sob investigação (9.020 delas no NET119). A empresa pediu uma investigação detalhada a uma organização de segurança independente. Em sua 25ª atualização (17h00 de 2 de novembro), disse que, separadamente do envio de 13 de outubro, também foram enviados externamente a partir de seu sistema supostos e-mails de phishing em 22 e 23 de outubro. Aponta duas causas: a conta da API de envio de e-mails vazada durante a invasão de 11 a 13 de outubro teve a senha quebrada por força bruta e foi usada de fora, e, depois que a integração com a API foi interrompida, uma vulnerabilidade de confusão na análise de URL foi usada para abusar da API novamente. Diz que interrompeu a integração com a API por volta das 6h30 de 22 de outubro e corrigiu a vulnerabilidade por volta das 10h30 de 23 de outubro, e que os e-mails não autorizados cessaram. Na 26ª atualização, às 16h15 de 6 de novembro, informou que está retomando a função de integração por API com sistemas externos interrompida na 19ª atualização; os clientes precisam alterar configurações para voltar a usá-la, e os afetados estão sendo contatados individualmente. Nossa conclusão: o remetente não permite distinguir o verdadeiro do falso; por isso, não bloqueie o remetente dos alertas de desastres e não abra links em e-mails que pedem para confirmar dados de cartão ou pessoais.
Como verificar se o seu site ou servidor foi invadido: verificações passo a passo para hospedagem compartilhada, WordPress e VPS, e o que fazer primeiro se encontrar algo
Verificar se um site foi invadido significa olhar tanto os sinais visíveis de fora quanto os rastros deixados dentro. Sinais: o relatório Problemas de segurança do Search Console, um rótulo 'Este site pode ter sido invadido' na busca, um aviso da hospedagem, administradores desconhecidos, redirecionamentos que acontecem só no celular ou a partir da busca. Rastros: usuários administradores, arquivos do núcleo modificados (wp core verify-checksums), histórico de login, authorized_keys, cron, portas em escuta, arquivos alterados recentemente. A visão deste site: não encontrar nada não prova que está limpo. Se encontrar algo, preserve as evidências antes de limpar, troque todas as credenciais a partir de um aparelho limpo, restaure um backup anterior à invasão ou reconstrua, feche o ponto de entrada e só então peça uma revisão.
Vazamento de dados da Daiwa Securities via fornecedor (cerca de 110.000 clientes, 220.000 registros): o que pode ter vazado e o que os clientes devem fazer
Em 5 de outubro de 2026, a Daiwa Securities Co. Ltd., uma das maiores corretoras do Japão, anunciou que o servidor de um fornecedor cujo serviço ela usa para gerenciar consultas online de clientes foi acessado sem autorização. Nomes, endereços de e-mail, números de conta e outras informações de 110.000 clientes, contidos em registros de consultas, podem ter vazado; incluindo consultas que não identificam ninguém, cerca de 220.000 registros estão envolvidos. O acesso ocorreu entre cerca de 20h33 de 2 de outubro e 8h01 de 3 de outubro, e não foi encontrado acesso não autorizado aos sistemas próprios da Daiwa. A empresa afirma que esses dados não podem ser usados para acessar contas ou negociar, inclusive por meio de negociação online, e que, até 5 de outubro, não foram encontradas negociações fraudulentas nem publicação ou disseminação dos dados. Em 6 de outubro, o lado do fornecedor publicou um aviso próprio: dados de consultas armazenados nos ambientes de até cinco empresas clientes no mesmo servidor, com até 713.126 registros contados por consulta, podem ter sido copiados. Citando o mesmo fornecedor, a Citizen Watch (cerca de 100.000 pessoas), a Sompo Japan (cerca de 60.000 registros contados por consulta) e a ORIX Life Insurance (cerca de 26.500 registros) também anunciaram que os dados de seus clientes podem ter vazado. A visão deste site: espere mensagens falsas que conheçam o número da sua conta e suas consultas anteriores. Nunca faça login a partir de links em e-mails ou mensagens de texto; acesse por um favorito ou pelo aplicativo oficial e verifique ali sua caixa de mensagens e seu histórico de operações.
Uso indevido do registro CPR da Dinamarca (cerca de 8,8 milhões de pessoas): o que foi acessado e o que residentes e organizações que concedem acesso de consulta devem fazer
Em 5 de outubro de 2026, o Ministério da Pesquisa, Educação e Digitalização da Dinamarca anunciou que pessoas não autorizadas usaram indevidamente o acesso legítimo de uma empresa privada dinamarquesa para consultar dados do sistema de registro civil (CPR) e obtiveram nomes, endereços, números CPR e outras informações de cerca de 8,8 milhões de pessoas cadastradas, incluindo pessoas vivas, emigradas e falecidas. O CPR tem cerca de 11 milhões de pessoas. A administração do CPR percebeu na noite de 2 de outubro que havia atividade irregular durante setembro e suspendeu o acesso da empresa. Nomes e endereços de pessoas com proteção de nome e endereço não foram incluídos. Segundo a mídia dinamarquesa, em 9 de outubro a administração do CPR lembrou as 1.039 empresas com acesso de consulta de suas regras de segurança, e a ministra reconheceu que a segurança não tinha sido suficiente. A mídia também relata que a senha 123456 foi usada em contas de consulta; isso não foi confirmado oficialmente. A visão deste site: quem sabe seu nome, endereço e número CPR ainda pode ser um golpista. Os residentes nunca devem compartilhar dados do MitID ou códigos de uso único, e as empresas devem parar de tratar esses três itens como prova de identidade.
Vazamento de dados do infoQ (894.082 registros): o que vazou e o que os membros devem fazer
Em 5 de outubro de 2026, a GMO Research & AI, Inc. anunciou que seu site de pesquisas infoQ havia sido acessado por terceiros sem autorização e que dados pessoais dos membros haviam sido retirados. No segundo comunicado, em 14 de outubro, confirmou que o número de registros retirados era 894.082 (o primeiro comunicado falava em até 948.498). Os itens são nome, nome em katakana (furigana), sexo, data de nascimento, e-mail, endereço residencial, telefone, senha criptografada, número de membro e outros dados de cadastro, como apelido e saldo de pontos. A empresa diz não ter dados de cartão de crédito nem o My Number (número japonês de identificação nacional). Além disso, 611 trocas de pontos, no valor de 2.869.500 ienes, foram convertidas em códigos de presente da Amazon sem o consentimento dos membros, e a empresa afirma que os compensará integralmente (creditados nas contas quando o serviço for retomado). A empresa invalidou todas as senhas dos membros em 7 de outubro. Segundo a empresa, o invasor explorou uma vulnerabilidade em um software usado em seu site. Análise deste site: com data de nascimento e endereço incluídos, é fácil criar mensagens falsas convincentes. Troque a senha de qualquer serviço que use a mesma senha do infoQ, ative a verificação em duas etapas na sua conta de e-mail e não abra links em mensagens que digam ser do infoQ.
Violação no app e na loja online MrMax (até cerca de 1,74 milhão de pessoas): nomes, e-mails e telefones vazados — o que os membros devem fazer
Em 6 de outubro de 2026, a MrMax Co., Ltd., rede de lojas de desconto japonesa, anunciou que os servidores do app e da loja online MrMax, que ela opera, foram acessados sem autorização por um terceiro, e que parte dos dados pessoais de seus membros vazou. Até 1.735.154 pessoas cadastradas como membros em 3 de outubro de 2026 são afetadas. Os itens são ID de membro, nome, e-mail e telefone (variam conforme o que cada membro cadastrou). A empresa diz ter confirmado que endereços, datas de nascimento, dados de cartão de crédito, senhas e histórico de compras não vazaram. Ela percebeu acessos suspeitos na noite de 3 de outubro, suspendeu o serviço imediatamente e bloqueou o acesso externo no mesmo dia. A empresa diz que um terceiro usou indevidamente uma função do software que compõe o serviço para entrar no servidor. Até o momento do comunicado, não havia dano confirmado com o uso indevido dos dados. A visão deste site: espere e-mails, mensagens de texto e ligações convincentes que usem o seu nome. Não abra os links deles; confira no app ou site oficial que você mesmo abrir e nunca informe senhas ou números de cartão.
Ataque de ransomware na Universidade Metropolitana de Osaka (vazamento de dados pessoais confirmado a partir do armazenamento em nuvem de um terceirizado): o que alunos, ex-alunos, pais e funcionários devem fazer
A Universidade Metropolitana de Osaka, no Japão, afirma que uma falha em larga escala atingiu sua plataforma de virtualização nas primeiras horas de 2 de outubro de 2026, derrubando a rede do campus, o OMU Mail, seus sites e os sistemas acadêmico, financeiro, de folha de pagamento e da biblioteca. Em entrevista coletiva em 5 de outubro, afirmou ter concluído que a causa foi um ataque de ransomware. As aulas foram suspensas de 2 a 8 de outubro e, em seu quarto comunicado, em 8 de outubro, a universidade anunciou que as aulas presenciais seriam retomadas em todos os campi em 9 de outubro. No quinto comunicado, em 21 de outubro, a universidade disse que a contratada que mantém e opera seus sistemas principais informou que uma empresa para a qual subcontrata foi alvo de um ataque cibernético no fim de setembro de 2026, e que os sistemas da universidade foram acessados sem autorização usando a conta legítima da subcontratada. A contratada também informou que dados pessoais relacionados à universidade e informações de sistema armazenados em nuvem usada pela contratada foram confirmados como vazados; o conteúdo e os números ainda estão sendo verificados com a contratada. Os dados que a universidade citou na entrevista como possivelmente vazados (cerca de 130.000 registros relacionados ao sistema de assuntos acadêmicos, entre outros) estão na própria plataforma de virtualização da universidade e são separados; se vazaram, ainda está sob investigação. Em 23 de outubro, a universidade abriu uma central de atendimento para ex-alunos e pais. Reportagens indicam que cerca de 500 servidores pararam e grande parte dos dados de backup também foi criptografada. A visão deste site: verifique qualquer mensagem que se diga da universidade na página OMU Entrance, e não por links em e-mails ou mensagens de texto, e comunique contatos suspeitos à central de atendimento da universidade. As organizações devem listar as contas que suas contratadas e subcontratadas usam e manter ao menos um backup que as contas administrativas de produção não possam apagar.
Vazamento do Rakuten Drive (dados armazenados de 15.382 contas): o que foi acessado e o que os usuários devem fazer
Em 6 de outubro de 2026, o serviço de armazenamento em nuvem Rakuten Drive anunciou que um terceiro obteve de forma ilegítima as credenciais de uma conta de gerenciamento de parte dos sistemas usados pelo serviço, acessou os sistemas e obteve e visualizou informações. Foram afetados os dados armazenados (incluindo fotos e documentos) de 15.382 contas entre 29 de janeiro e 17 de setembro de 2026; o nome da conta, o nome de exibição e a URL da imagem de perfil de 687 contas em 27 de agosto; e, no mesmo dia, o nome da conta, o nome de exibição, a senha criptografada, a string acrescentada durante a criptografia da senha e a URL da imagem de perfil de 313 contas. O serviço diz que não foi confirmado nenhum dano secundário e que notificará os usuários afetados individualmente por e-mail ou por outros meios. Em uma atualização de 13 de agosto sobre notificações push suspeitas vistas em 30 de julho, o serviço havia afirmado que o acesso não autorizado de terceiros aos dados armazenados não havia sido confirmado naquele momento. A visão deste site: ao contrário de uma senha, a exposição dos arquivos armazenados não pode ser desfeita. Verifique se há um aviso, considere como vistos quaisquer documentos de identidade ou contratos que você tenha armazenado, troque sua senha e não responda a mensagens, cobranças ou ameaças que aleguem ser do Rakuten Drive.
Vazamento de dados da Abahouse: detalhes de pedidos podem ter vazado — como lidar com e-mails falsos de reembolso
Em 2 de outubro de 2026, a Abahouse International Co., Ltd. anunciou que um acesso não autorizado a seus sistemas internos, considerado feito por um terceiro no exterior, pode ter vazado números de identificação de membros, nomes, endereços, telefones, e-mails, datas de nascimento, gênero e detalhes de pedidos (data e hora do pedido, nomes dos produtos, valores e endereços de entrega). Como não consegue identificar totalmente a extensão dos dados obtidos, a empresa enviou e-mails em 2 de outubro aos clientes que julgou possivelmente afetados, com base no histórico de compras e em outros registros. Ela exclui os dados de membros um mês após o desligamento, mas mantém registros de pedidos anteriores por um período por motivos legais e contábeis, e diz não poder descartar que esses pedidos tenham sido acessados; ex-membros receberam o mesmo e-mail. Nenhum número foi divulgado. Números de cartão e códigos de segurança são tratados por um processador de pagamentos, e nenhum vazamento deles foi confirmado. O incidente veio à tona quando vários clientes relataram e-mails suspeitos de reembolso que correspondiam aos seus pedidos reais. Em uma atualização em 9 de outubro, a empresa disse que a via de invasão foi bloqueada, sem nova propagação confirmada, que registrou um boletim de ocorrência na polícia e que não recebeu relatos de prejuízo financeiro. A extensão dos dados obtidos e os detalhes da causa seguem em investigação com especialistas externos. Opinião deste site: uma mensagem que acerta os detalhes do seu pedido não é prova de que é verdadeira. Não siga links nem migre para o LINE a partir de e-mails de 'reembolso' ou 'produto esgotado'; verifique o histórico de pedidos em Minha Página.
Vazamento de dados da Lashinbang: números de documentos de identidade e dados bancários para repasse podem ter vazado (sem imagens de documentos) — o que os vendedores devem fazer
Em 1º de outubro de 2026, a Lashinbang Co., Ltd. anunciou que um acesso não autorizado a um serviço que opera, entre 14 e 16 de setembro de 2026, pode ter vazado nomes, endereços, números de telefone, endereços de e-mail, datas de nascimento e profissões, além do tipo e do número de documentos de identidade, o nome do banco, a agência, o número da conta e o titular informados ao solicitar uma recompra (quando os clientes vendem itens à loja), imagens dos termos de consentimento da recompra e detalhes de recompras e pedidos. A empresa diz que não vazaram informações de cartão de crédito nem senhas e que não coleta o My Number (número individual do Japão). Em um adendo de 9 de outubro, acrescentou que imagens de documentos de identidade, incluindo carteiras de habilitação, não vazaram. O aviso também ganhou uma seção dizendo que as pessoas afetadas são as que receberam um e-mail individual da empresa. Até 10 de outubro de 2026, a quantidade de afetados e a causa não foram divulgadas. Visão deste site: um número de conta e o nome do titular, sozinhos, não permitem sacar dinheiro, mas não responda a contatos que usem seus dados bancários, número de identidade ou detalhes reais da recompra para parecer legítimos. Nunca informe a ninguém um PIN, login ou código de autenticação, e, se o número do seu documento de identidade vazou, considere uma autodeclaração nos bureaus de crédito do Japão.
Vazamento de dados no app Seicomart (cerca de 575 mil membros): nomes, endereços e datas de nascimento visualizados — o que os membros devem fazer
Em 29 de setembro de 2026, a Seicomart Co., Ltd., que administra a rede de lojas de conveniência Seicomart no Japão, anunciou que um terceiro obteve acesso não autorizado ao servidor que guarda os dados dos membros, por meio do servidor por trás do seu app para smartphones Seicomart. Seu quarto comunicado, em 5 de outubro, afirmou que as contas afetadas são 574.647 membros do Club que se cadastraram no app, e que as pessoas que deixaram o programa Club Card até 24 de setembro não estão incluídas. Os itens visualizados são sobrenome e nome, sexo, data de nascimento, endereço, telefone, e-mail e as datas de adesão e saída do programa Club Card. Dados de senha e histórico de compras não foram vazados, e a empresa não guarda dados de cartão de crédito. A partir de 5 de outubro, a empresa informa a cada membro do app, por meio dos avisos do aplicativo, se ele foi afetado. Ela encerrou as funções do app e da web para novos cadastros, visualização e alteração de dados cadastrais e troca de cartões registrados; as solicitações agora são feitas em lojas ou por formulário. A causa não foi divulgada. A visão deste site: o que foi exposto é um conjunto de dados pessoais que não podem ser alterados, e o próximo passo mais provável são e-mails, mensagens de texto e ligações convincentes que se passam pela empresa. Verifique os avisos do app para saber se você foi afetado, não siga links ou instruções em tais mensagens e deixe de usar sua data de nascimento como PIN ou como resposta em verificações de identidade.
Vazamento de dados do ShopServe da E-store (relatório final: cerca de 23,36 milhões de pessoas): o que compradores, donos de lojas e afiliados devem fazer
No relatório final de 16 de outubro de 2026, a E-store Co., Ltd. informou que um terceiro explorou uma vulnerabilidade em uma aplicação nos servidores do ShopServe, seu serviço para criar lojas online, e enviou ao exterior o conteúdo do banco de dados entre 21 de maio e 1º de agosto de 2026. Cerca de 23.356.000 pessoas são afetadas (compradores e membros, operadores de lojas e afiliados somados; valor aproximado após remover duplicidades), das quais cerca de 2.096.900 tiveram parte dos dados do cartão incluída. São afetadas 7.858 lojas (incluindo as atuais e as antigas do ShopServe). O vazamento inclui nomes, endereços, telefones, e-mails e locais de trabalho dos compradores; IDs de membro e senhas criptografadas; nomes dos titulares, os 6 primeiros e os 4 últimos dígitos do cartão e datas de validade; e as credenciais de lojas e afiliados. Números completos de cartão e códigos de segurança não eram mantidos e não foram afetados. O relatório final corrige o segundo relatório: foi confirmado que não vazaram os IDs e senhas do sistema de e-mail e do FTP das lojas nem os dados das contas bancárias para as quais a E-store transfere dinheiro (contas de repasse). Nenhum dano secundário havia sido relatado. Conclusão deste site: a maioria dos compradores comprou no site próprio de cada loja sem nunca ter ouvido o nome ShopServe. Mesmo que não saiba de qual loja se trata, desconfie de mensagens que citem os dados reais do seu pedido ou os quatro últimos dígitos do seu cartão, confira as faturas do cartão e troque senhas reutilizadas. Donos de lojas e afiliados devem trocar a senha de administração ou de afiliado e ativar a verificação em duas etapas.
Acesso não autorizado ao TEMAIRAZU (2026): orientações para hóspedes e hotéis
Em 28 de setembro de 2026, a Temairazu, Inc. anunciou acesso não autorizado à sua Série TEMAIRAZU, um sistema que hotéis e ryokans usam para gerenciar reservas de muitas fontes em um só lugar. A partir do fim da noite de 21 de setembro, hóspedes de propriedades que usam o sistema começaram a receber mensagens suspeitas por aplicativos de mensagem como o WhatsApp, por e-mail e por SMS. As mensagens pareciam conhecer os detalhes das reservas e, sob pretextos como check-in antecipado ou manutenção da reserva válida, levavam os destinatários a sites externos para inserir dados de cartão ou pagar. No seu segundo relatório, de 7 de outubro (versão em inglês em 8 de outubro), a empresa listou as informações que podem ter sido visualizadas ou obtidas por terceiros: nomes dos hóspedes, números de telefone, endereços de e-mail, nomes das propriedades de hospedagem, datas de check-in, datas de check-out e valores de hospedagem. Ela não armazena informações de cartão de crédito nem credenciais de login de sites de reserva. Em um comunicado de divulgação relevante a investidores, em 9 de outubro, informou que o número de pessoas com dados de reserva envolvidos é de até cerca de 4,45 milhões e que contratou uma empresa externa de segurança para investigar. Segundo avisos de hotéis que usam o sistema, a causa foi um problema de segurança em parte de um produto instalado que a empresa forneceu no passado, corrigido em 26 de setembro. Opinião deste site: pessoas que reservaram por sites de viagem também podem ser afetadas. Se uma mensagem em nome do seu hotel pedir que você insira novamente os dados do cartão ou pague, recuse mesmo que os dados estejam corretos, e confirme pelo aplicativo oficial do site de reservas ou pelo telefone no site oficial do hotel.
Vazamentos de dados da Yamato e da Sagawa (2026): usuários afetados e resposta
A Yamato Transport identificou acesso não autorizado ao seu serviço de pagamento postergado Kuroneko em 28 de setembro de 2026, e a Sagawa Express identificou acesso não autorizado ao seu serviço de rastreamento de encomendas em 30 de setembro. Em 1º e 2 de outubro, as duas empresas disseram que dados pessoais podem ter vazado. São incidentes separados, e nenhuma das empresas menciona uma ligação entre eles. No quarto comunicado, em 16 de outubro, a Yamato disse que dados foram obtidos: cerca de 5,26 milhões de registros de usuários do pagamento postergado (nome, endereço, telefone, e-mail, detalhes dos itens e outros, de 1º de outubro de 2018 a 28 de setembro de 2026), cerca de 50.000 registros de informações de endereço de entrega de alguns usuários e cerca de 4.100 registros de lojas participantes. Valores de cobrança, saldos em aberto e nomes de funcionários não foram encontrados como obtidos. No quinto comunicado, em 23 de outubro, a Sagawa disse que nomes, endereços e telefones de remetentes e destinatários de encomendas que tratou de 21 de junho a 30 de setembro de 2026 (cerca de 100 dias), entre outros dados, podem ter vazado, e informou que a contagem máxima é de cerca de 53,23 milhões de registros (com duplicatas; não é o número de pessoas). Encomendas enviadas com guias preenchidas à mão não estão incluídas. Nenhum dos incidentes inclui dados de cartão de crédito ou senhas. A Yamato reiniciou o serviço de pagamento postergado em 9 de outubro e estendeu os prazos de pagamento em 17 dias; a Sagawa reiniciou seu serviço de rastreamento de encomendas em 23 de outubro, enquanto outros oito serviços web, inclusive a reserva online, seguem suspensos. Opinião deste site: com a Sagawa, você pode ser afetado apenas por ter recebido uma encomenda, mesmo que nunca tenha usado a empresa. Considere que mensagens falsas de ausência na entrega e cobranças de pagamento podem agora conter seu nome e endereço reais, o fato de você ter recebido uma encomenda ou o que comprou. Não abra links dessas mensagens; confira no aplicativo oficial ou no histórico de pedidos da loja onde comprou.
Vazamento de dados de reservas da Booking.com: como identificar mensagens de golpe que se passam pela sua hospedagem
Em abril de 2026 a Booking.com notificou hóspedes de que terceiros não autorizados podem ter conseguido acessar certas informações de reservas, atualizou os PINs das reservas afetadas e disse que havia contido o problema. Segundo o aviso e o que um porta-voz da empresa disse à imprensa, as informações incluíam dados da reserva, nomes, endereços de e-mail, números de telefone e mensagens trocadas com as hospedagens; as informações financeiras não foram acessadas. O número de afetados e a causa não foram divulgados. A conclusão deste site: acertar o nome do hotel, a data e o preço já não prova nada. O teste é se o pedido bate com a política de pagamento da reserva que você mesmo abre no app oficial. Recuse qualquer pedido para digitar o cartão de novo, pagar por um link ou fazer uma transferência que não esteja na política.
Vazamento de dados do Canvas (Instructure): matrículas em cursos e mensagens vazaram — o que alunos, professores e instituições de ensino devem fazer
Segundo a Instructure, empresa por trás do sistema de gestão de aprendizagem (LMS) Canvas, uma atividade não autorizada foi detectada em 29 de abril de 2026, e nomes de usuário, endereços de e-mail, nomes de cursos, informações de matrícula e mensagens foram exfiltrados. A empresa diz que os campos envolvidos não foram projetados para armazenar senhas, datas de nascimento, informações de saúde, números do Seguro Social (EUA), informações financeiras, notas nem registros disciplinares. Em 7 de maio, o mesmo agente usou outra vulnerabilidade para alterar páginas exibidas após o login. A lista de campos parece banal, mas um e-mail mais as disciplinas que alguém cursa é exatamente o que um golpe convincente com tema escolar precisa, e as mensagens são texto livre, então qualquer coisa que as pessoas tenham escrito nelas pode estar incluída. Confirme qualquer contato só pelos canais oficiais da sua instituição; a TI da escola deve cadastrar contatos de segurança, revisar os logs, exigir MFA dos administradores e manter cópia dos dados dos cursos fora do LMS.
Vazamento de dados da Times Car (6.628.007 registros com nomes e endereços, indícios de envio de cerca de 1,46 milhão de imagens de documentos de identidade): como verificar em Minha Página e o que membros e ex-membros devem fazer
Em seu quinto comunicado, em 23 de outubro de 2026, a Times Mobility Co., Ltd. informou que a investigação forense externa havia terminado e publicou os números finais. No sistema web da Times Car, foram encontrados indícios de acesso do invasor e de transmissão externa para 6.628.007 registros de nome, endereço, data de nascimento, telefone, e-mail e informações da carteira de motorista. Das imagens de documentos de identidade, armazenadas criptografadas, 1.464.800 apresentaram indícios de envio (a empresa havia dito antes que cerca de 1,6 milhão poderia ter vazado) e 891.602 foram acessadas sem indícios de envio. Senhas em hash foram enviadas em 4 casos. No sistema web relacionado Times Club, onde também foi constatado acesso não autorizado, 19.510 números de cartão Times Club, 135.436 IDs de serviços vinculados e 28 registros dos quatro últimos dígitos de cartões de crédito, entre outros, apresentaram indícios de envio (a empresa não possui os números completos dos cartões nem os códigos de segurança). A causa foi a exploração de uma vulnerabilidade no sistema web. A empresa pagará 3.000 ienes às pessoas cujas imagens foram enviadas (detalhes e forma ainda em definição) e, desde as 17h do dia 23 de outubro, mostra em Minha Página os itens vazados de cada pessoa. Visão deste site: primeiro verifique seus próprios itens em Minha Página. Se suas imagens de documentos foram enviadas, registre alertas de fraude nos bureaus de crédito e consulte seu histórico de crédito; todos devem ignorar contatos que se passem pela empresa. Ex-membros podem pedir informações por meio de um formulário específico.
Equipamentos de VPN são a principal porta de entrada do ransomware: defesa do acesso remoto após a violação na Agência Digital do Japão
Um equipamento de VPN liga a internet à rede interna de uma organização e, no Japão, foi por onde os atacantes entraram em cerca de dois terços dos casos de ransomware com via de entrada conhecida. O incidente do GSS da Agência Digital seguiu o mesmo formato: entrada por uma vulnerabilidade de VPN e, depois, uso da conta de um operador de manutenção para chegar a um grande volume de arquivos. A visão deste site: só mantenha um equipamento de VPN se conseguir mantê-lo atualizado, e defenda-o com três coisas: velocidade de correção, privilégios restritos após uma invasão e detecção de acessos em massa.
Quando o seu provedor de hospedagem é invadido: o que os clientes devem fazer
Um comprometimento do lado do provedor não pode ser bloqueado pelas configurações do cliente, então a defesa passa de prevenir para limitar o quanto você pode perder. Os resultados da investigação de 10 de setembro estabeleceram a parte que mais importa: o acesso não autorizado ao sistema de gestão de vendas ocorreu entre abril de 2023 e março de 2026, as contas de hospedagem afetadas subiram de 583 para 951, e algumas senhas iniciais não tinham hash. A visão deste site: trate tudo o que está em hospedagem compartilhada como legível, leve segredos, credenciais e backups para fora do provedor e troque hoje qualquer senha inicial que você ainda esteja usando.
O que é C2 (comando e controle): o canal que atacantes usam para controlar um dispositivo após uma invasão
C2 é o canal que um dispositivo comprometido usa para ligar de volta ao servidor do atacante (um beacon) para receber comandos e exfiltrar dados — a etapa após a invasão. As principais pistas são tráfego de saída periódico suspeito e destinos sabidamente maliciosos. Defesas: filtragem de saída, monitoramento de DNS, correspondência de IOC/IOA, privilégio mínimo. Confirmar que 'não há C2 residente' é uma parte fundamental da investigação de uma invasão.
O que é EDR: registrar a atividade dos endpoints para detectar e responder a ataques que passam pelo antivírus
O EDR registra continuamente o comportamento do endpoint, detecta atividade suspeita (no estilo IOA) e apoia a resposta (isolar, investigar). Ele captura ataques sem arquivo e living-off-the-land que o antivírus baseado em assinaturas/IOC perde, por meio de comportamento e de uma linha do tempo. Times pequenos muitas vezes não precisam de um EDR completo — a proteção embutida no SO mais logs mais a mentalidade de IOA já entregam boa parte do valor.
O que é um IOA (Indicator of Attack): detectar uma invasão por comportamento, não por rastros
Um IOA (Indicator of Attack) detecta uma invasão pelo comportamento de um ataque em andamento (escalonamento de privilégios → movimento lateral → exfiltração). É a contraparte do IOC, que é a posteriori. Atacantes trocam hashes e IPs num instante, mas a técnica (comportamento) é difícil de mudar — então os IOAs duram. Até times pequenos podem se aproximar disso observando comportamento que difere do normal.
O que é um IOC (Indicator of Compromise): rastros que revelam uma invasão
Um IOC (Indicator of Compromise) é um rastro que uma invasão deixa para trás — hashes de arquivo sabidamente maliciosos, IPs/domínios de atacantes, URLs, processos incomuns. Seu valor é detectar/bloquear mecanicamente o sabidamente malicioso. Mas é uma pista reativa que os atacantes trocam barato, então a correspondência de IOC é uma verificação final, não uma defesa completa. A defesa principal é um design que resiste a invasões (privilégio mínimo, correções, MFA).
O mínimo de segurança de uma organização: seis prioridades deduzidas dos incidentes reais do Japão em 2026
O «mínimo» de uma organização deve ser definido por onde os incidentes reais romperam a defesa, não por uma lista de produtos. Colocando em fila os incidentes do Japão em 2026, as entradas diferem — um dispositivo VPN, software de terceiros, uma função de consulta, não divulgada —, mas as causas que ampliaram o dano se resumem a seis: (1) fechar dispositivos expostos à internet com prazo, (2) restringir contas de manutenção, terceirizados e ex-funcionários, (3) vigiar volume e horário, (4) manter logs o bastante para olhar para trás, (5) não guardar dados que não são mais necessários, (6) repriorizar pelo KEV. A visão deste site: o mínimo é decidir quem percebe, por qual número e quando.