senhas
23 artigos com esta tag
Acesso não autorizado ao jogo de mahjong online Maru-Jan (1.855.578 membros): e-mails e senhas vazaram; o que os membros devem fazer
Em 7 de novembro de 2026, a Signaltalk Co., Ltd. anunciou que um acesso não autorizado ao Maru-Jan, o jogo de mahjong online que ela opera, vazou os endereços de e-mail e as senhas de 1.855.578 membros. A empresa diz que uma função do seu sistema de administração foi abusada e que dados que incluíam informações de membros foram baixados para fora por volta das 15:00 de 4 de novembro. O grupo afetado são todos os membros do Maru-Jan; o endereço de e-mail está incluído para os membros que cadastraram um. Números de cartão de crédito não estão incluídos porque a empresa não os guarda. O aviso não diz como as senhas eram armazenadas (por exemplo, se tinham hash). A empresa diz que identificou a via de invasão, aplicou uma correção e retomou o serviço às 16:00 de 7 de novembro. Pede que os membros troquem a senha do Maru-Jan, troquem a senha em qualquer outro serviço em que usaram a mesma e fiquem atentos a e-mails suspeitos. Em 9 de novembro de 2026, nenhum aviso posterior havia sido encontrado. Conclusão deste site: antes de tudo, troque a senha em qualquer serviço em que você reutilizou a senha do Maru-Jan, e não abra links de e-mails que usem o nome Maru-Jan.
Acesso não autorizado na Iris Plaza (dados de cerca de 7,7 milhões de pessoas): nomes, endereços e senhas criptografadas podem ter vazado — o que membros e compradores devem fazer
Em 5 de novembro de 2026, a Iris Plaza Co., Ltd., do Grupo Iris, disse em um segundo aviso que um acesso não autorizado à Iris Plaza, a loja online oficial da Iris Ohyama, pode ter vazado parte das informações pessoais de seus clientes. Em 28 de outubro, a empresa encontrou arquivos suspeitos em um serviço de nuvem externo que utiliza, suspendeu imediatamente a Iris Plaza e os sistemas relacionados, iniciou uma investigação e confirmou um acesso não autorizado por parte de terceiros. Os dados pessoais guardados no serviço de nuvem externo correspondiam a cerca de 7,7 milhões de pessoas, e a empresa confirmou que esses dados podem ter sido vistos ou obtidos. O número real de registros vazados e de pessoas afetadas ainda está sob investigação. As informações que podem ter vazado são, nos dados de membros (cerca de 5,8 milhões de pessoas, incluindo ex-membros), nome, endereço, número de telefone, endereço de e-mail, gênero, senha (exceto para ex-membros), data de nascimento e outros, e nos dados de não membros (cerca de 1,9 milhão de pessoas, incluindo quem comprou sem se cadastrar ou participou de campanhas), nome, endereço, número de telefone e endereço de e-mail. Alguns itens, incluindo as senhas, são criptografados. A empresa diz que dados de cartão de crédito não estavam guardados nesse serviço de nuvem e foi confirmado que não foram afetados. Ela pede a quem usa a mesma senha em outros lugares que a troque. Em 7 de novembro de 2026, não encontramos um terceiro aviso. Nossa conclusão: se você usa sua senha da Iris Plaza em qualquer outro serviço, troque-a hoje. Ex-membros e quem comprou sem se cadastrar também estão incluídos.
Acesso não autorizado à Nojima Online e ao site de recompra de celulares usados (cerca de 7 milhões de registros): nomes, endereços, telefones e senhas criptografadas, e o que os membros devem fazer
A Nojima Corporation anunciou em 2 de novembro de 2026 que o sistema de gestão de membros da Nojima Online foi acessado sem autorização e que dados de membros da Nojima Online e do seu site de recompra de celulares usados vazaram. Segundo a empresa, ela detectou e confirmou o acesso em 1º de novembro e confirmou no mesmo dia que dados pessoais haviam vazado para fora. A escala é de cerca de 7 milhões de registros (membros que cancelaram o cadastro não estão incluídos). Os itens são nome (kanji e kana), data de nascimento, gênero, CEP, endereço, número de telefone, ID de login, senha criptografada e endereço de e-mail. A empresa diz que não guarda informações de pagamento e que não mantém dados de cartão de crédito nos dois sites. A causa, o período da invasão e se houve uso indevido ou dano secundário estão sob investigação, e os dois sites estavam suspensos no comunicado de 2 de novembro (não vimos aviso de reabertura em 4 de novembro). A empresa alerta que os dados podem ser usados em e-mails de falsificação de identidade e phishing, mas o comunicado não pede aos membros que troquem a senha. Conclusão deste site: não abra links em mensagens que digam ser da Nojima. Se você reutiliza a senha da Nojima em outros serviços, troque-a nesses outros serviços.
Acesso não autorizado ao app de e-commerce da Aena (dados da Minha Página de até 817.215 pessoas): nomes, endereços e dados de entrega que podem ter sido visualizados, e o que os membros devem fazer
A Aena Co., Ltd., uma rede japonesa de lojas de descontos, anunciou em 14 de outubro de 2026 que os dados da Minha Página dos membros do seu app de e-commerce podem ter sido visualizados sem autorização. Segundo a empresa, a análise dos registros do sistema o detectou às 5h58 de 13 de outubro, e até 817.215 membros (membros completos) podem ter sido afetados. Membros do LINE e clientes que compraram pela Amazon, Rakuten e sites semelhantes não são afetados. As informações que podem ter sido visualizadas são nome, endereço, telefone, e-mail, data de nascimento, gênero, ocupação, endereço de entrega, nome e telefone (incluindo os de terceiros), loja favorita e configurações de e-mail, e os últimos 4 dígitos, a data de validade e o nome do titular dos cartões de crédito cadastrados. A empresa diz que não guarda números completos de cartão nem códigos de segurança, que nenhuma senha foi visualizada ou vazou e que confirmou que nenhuma informação de membro foi alterada, ninguém foi desligado e nenhuma compra foi concluída. A causa é descrita como acesso contínuo de tipo mecânico feito por meio de acesso não autorizado, e a investigação continua. A empresa bloqueou o acesso ao seu site de e-commerce, e o app, que estava suspenso, foi retomado ao meio-dia de segunda-feira, 19 de outubro; uma tela de redefinição de senha aparece na primeira abertura após a retomada. Conclusão deste site: redefina sua senha no app, troque qualquer outro serviço em que a reutilizou e verifique mensagens sobre entregas ou pedidos sem usar os links nem os números delas.
Vazamento de dados de membros da Hana-cupid (até 4.238.242 registros): IDs de usuário, senhas criptografadas e e-mails vazados, e o que os membros devem fazer
A Hana-cupid Co., Ltd. anunciou em 28 de outubro de 2026 que um acesso não autorizado de terceiros aos seus serviços de floricultura online, Internet Hana-cupid e Business Hana-cupid, vazou parte das informações de membros. Segundo a empresa, um terceiro acessou seu sistema de gerenciamento sem autorização entre 14 de outubro (quarta-feira) e 15 de outubro (quinta-feira), e a empresa confirmou o vazamento de informações de membros em 19 de outubro (segunda-feira) durante a investigação. O número é de 4.238.242 (clientes que podem ter sido afetados). Os itens vazados são: ID de usuário (ID de login), senha (em uma forma criptografada que não pode ser usada como está; o FAQ a chama de hash), e-mail de PC e e-mail de celular. A empresa diz que nome, gênero, data de nascimento, endereço, telefone, número de cartão de crédito, nome da empresa, nome do departamento e informações do destino de entrega não vazaram. Estão cobertos apenas os membros que cadastraram um e-mail na loja online oficial da empresa (i879.com, i879.com/biz/); pedidos feitos em shoppings externos, pedidos por telefone sem e-mail e compras em floriculturas membros da Hana-cupid não estão. A empresa diz que não guarda dados de cartão de crédito e que não é preciso bloquear nem reemitir cartões. Não confirmou danos secundários, começou a enviar e-mails individuais aos membros afetados em 28 de outubro e comunicou à Comissão de Proteção de Informações Pessoais e à polícia. A causa não foi informada, e a empresa investiga com uma organização externa especializada. Diz que não planeja compensação em dinheiro nem reembolso. Conclusão deste site: se você pode ter sido afetado, troque sua senha e a de qualquer outro serviço em que reutilizou o mesmo ID e senha. Verifique qualquer mensagem que diga ser da Hana-cupid ou de uma instituição financeira abrindo você mesmo o site oficial, e não pelos links dela.
Acesso não autorizado e vazamento de dados pessoais na White Essence (cerca de 1,05 milhão de contas): nomes, endereços, telefones e senhas criptografadas, e o que os usuários devem fazer
A White Essence Co., Ltd. anunciou em 12 de agosto de 2026 que havia suspendido seus sistemas após um acesso não autorizado ao seu site de reservas e aos seus sistemas centrais, e em 5 de outubro publicou suas conclusões em um comunicado intitulado 'Apology and Notice Regarding Leak of Personal Information Due to Unauthorized Access'. Segundo a empresa, ela confirmou um acesso não autorizado vindo de fora em 5 de agosto, suspendeu os sistemas em 12 de agosto e a investigação constatou depois que informações pessoais haviam sido levadas para fora. Das informações cadastradas em 5 de agosto de 2026, o número de pessoas afetadas é de cerca de 1,05 milhão de contas (um total que inclui clientes, pessoal de clínicas franqueadas e funcionários da matriz). Os itens vazados, no todo ou em parte, são nome, endereço, telefone, e-mail, data de nascimento, gênero, local de trabalho, ID de login e senha (em forma criptografada), informações sobre o uso dos serviços e as respostas, e o número de gestão da empresa. A empresa diz que não guarda dados de contas de instituições financeiras e que não confirmou que imagens de clientes tenham vazado. A causa, segundo ela, foi a exploração de uma vulnerabilidade no programa do seu site de reservas, usada como ponto de partida para acessar sem autorização seus sistemas centrais; a empresa diz que já terminou de tratar essa vulnerabilidade. Até 5 de outubro nenhum dano secundário havia sido confirmado, mas a empresa diz que podem chegar e-mails, ligações ou correspondências suspeitos que se passem pela empresa ou por outros negócios. Nossa conclusão: se você usa o mesmo ID de login e senha em outros serviços, troque-os lá. Trate qualquer mensagem que diga ser da empresa ou de uma clínica odontológica como não verificada, mesmo que seu nome, endereço e data de nascimento estejam corretos, e verifique por um canal oficial que você mesmo procurar.
Acesso não autorizado à Beauty Garage e à Eyelash Garage (775.725 registros): nomes de salões, telefones, e-mails e hashes de senhas vazados, e como se proteger de falsificação de identidade
A Beauty Garage Co., Ltd. anunciou em 15 de outubro que os servidores de sua loja online, e os da Eyelash Garage, foram acessados sem autorização de 10 a 12 de outubro e que parte das informações de clientes vazou. Detectou o incidente em 13 de outubro, identificou a via e a bloqueou no mesmo dia. Segundo a empresa, o alcance é de 775.725 registros de clientes mantidos nos sistemas de comércio eletrônico da Beauty Garage e da Eyelash Garage às 23h55 de 10 de outubro de 2026 (sem detalhamento por marca); o comunicado próprio da Eyelash Garage informa 49.191 (não se diz como isso se relaciona com 775.725). Os principais itens confirmados como vazados são nome da empresa, nome do salão, nome do cliente, tipo de negócio, URL do salão, telefone, e-mail, valores hash de senhas e valores hash da pergunta e da resposta de redefinição de senha. Até agora não foi confirmado o vazamento de endereço e dados de entrega, histórico de compras nem dados de pagamento, incluindo cartões de crédito. A empresa diz que não confirmou que os dados tenham sido publicados ou usados indevidamente. Os segundos comunicados de ambas as empresas, de 20 de outubro, dizem que as lojas online funcionam normalmente e que o assunto foi comunicado à Comissão de Proteção de Informações Pessoais. A causa não foi divulgada. Conclusão deste site: uma mensagem que diga ser de qualquer uma das duas empresas ou de um parceiro comercial não é genuína só porque acerta o nome do seu salão ou o seu. Verifique por um contato oficial qualquer pedido de mudar a conta de transferência bancária ou de fazer um pagamento adicional.
Acesso não autorizado ao banco de dados de membros da So-net (2,14 mi de registros da So-net, 443 mil da plala S-Course): nomes, telefones e datas de nascimento vazados, e o que os usuários devem fazer
A Sony Network Communications Inc. anunciou em 27 de outubro de 2026 que confirmou um vazamento de informações por acesso não autorizado ao banco de dados de membros do seu serviço de internet So-net. Segundo a empresa, o banco de dados foi acessado de fora em 19 de outubro, a empresa confirmou isso em 23 de outubro e parou o servidor afetado, e em 24 de outubro determinou quais itens e quantos registros vazaram. As informações vazadas são: informações de membros da So-net, 2.141.986 registros (1.869.771 membros atuais e 272.215 ex-membros que saíram em março de 2026 ou depois), e informações de membros da plala (S-Course), 443.495 registros (422.365 atuais e 21.130 ex-membros que saíram em março de 2026 ou depois). Ambas contêm nome, telefone, e-mail, ID de usuário, data de nascimento, gênero e ID de conexão de internet. A empresa diz que nenhuma senha vazou nas informações de membros. Em quatro serviços de e-mail (Mail Service G, A-Box, Sonnet VAIO Mail e PostPet Mail Account Service), as senhas de e-mail também vazaram, de 54.401 endereços no total, e a empresa as redefiniu em 27 de outubro. Dados de conta bancária de 16 registros e informações de avisos de redefinição de senha de 7 registros também vazaram, e a empresa diz que entrará em contato individualmente com essas pessoas. Dados de cartão de crédito não estão incluídos, e a empresa não confirmou vazamento de outros serviços, como o NURO. A causa é indicada como acesso não autorizado de terceiros (em investigação); a via da intrusão não foi divulgada. Conclusão deste site: se você usou algum dos quatro serviços de e-mail, redefina a senha do e-mail e troque a de qualquer outro serviço em que a reutilizou. Todos devem conferir uma mensagem que diga ser da So-net por um site oficial ou pela linha telefônica exclusiva, e não pelos links ou números dela, mesmo que acerte seu nome e data de nascimento.
Vazamento no site de pesquisas Qzoo (cerca de 400.000 registros): dados de membros, incluindo dados de contas bancárias, podem ter vazado, e o que os membros devem fazer
Em 21 de outubro de 2026, a Monitas Inc. anunciou que seu site de pesquisas Qzoo foi acessado sem autorização por um terceiro e que dados pessoais dos membros (painelistas) podem ter vazado. Segundo a cronologia, o acesso não autorizado começou às 8:30 de 17 de outubro; às 12:22 o banco de dados foi consultado e atualizado por meio de injeção de SQL; às 18:44 o acesso foi detectado e bloqueado; às 19:02 o serviço entrou em manutenção de emergência; e em 20 de outubro foi feito um relatório preliminar à Comissão de Proteção de Informações Pessoais do Japão. O alcance é de cerca de 400.000 registros (todos os registros mantidos no sistema do Qzoo em 17 de outubro). O banco de dados que pode ter sido afetado armazena informações básicas (nome, data de nascimento, endereço, telefone, endereço de e-mail etc.), informações de autenticação do membro (ID de membro, senha etc.), informações financeiras (número da conta, nome da agência, nome do titular da conta etc.) e respostas a pesquisas (renda anual, ocupação etc.). Os itens ainda estão em investigação. A empresa não mantém dados de cartão de crédito nem o My Number (número nacional de identificação do Japão). Ela diz que o invasor explorou uma vulnerabilidade em seu sistema. Não foi encontrado acesso não autorizado aos seus outros sistemas. A visão deste site: troque hoje qualquer senha que você compartilhe com o Qzoo, não abra links em mensagens que aleguem ser do Qzoo ou de um banco e nunca informe sua senha bancária (PIN) ou seus dados de login a ninguém. Verifique também a movimentação da sua conta bancária.
Como limpar o histórico de navegação, os cookies e as senhas salvas (Chrome, Safari, Edge e Firefox no computador e no celular): o que apagar depois de um vazamento e o que guardar antes
Um guia para excluir o histórico de navegação, os cookies (dados de sites), o cache, as senhas salvas e o preenchimento automático no Chrome (Windows, Mac, Android, iPhone), no Safari (Mac, iPhone, iPad), no Edge e no Firefox, com os nomes usados na ajuda oficial de cada fabricante. Excluir o histórico de navegação não recupera nada que já tenha sido copiado e não é uma defesa contra uma ameaça. O que reduz danos futuros é cuidar do estado de login (cookies) e das senhas salvas: troque as senhas e saia de todas as sessões a partir de um dispositivo seguro. Se você for procurar a polícia, registre o e-mail de ameaça e as extensões suspeitas antes de apagar. Se a sincronização estiver ativada, a exclusão também remove os dados dos seus outros dispositivos na mesma conta. No caso do Onamae.com Desktop Cloud, de outubro de 2026, o sexto comunicado da GMO Internet pede aos clientes que mantenham a sincronização do navegador desativada até concluir a verificação dos dispositivos.
Serviços de nuvem da Digital Arts atingidos por acesso não autorizado (i-FILTER@Cloud e outros cinco): alguns dados de clientes podem ter sido visualizados, e o que os administradores devem fazer
Em 21 de outubro de 2026, a Digital Arts Inc., fabricante japonesa de produtos de filtragem web e de e-mail e de segurança de arquivos, anunciou em comunicado de divulgação oportuna e em seu site que havia encontrado vestígios de acesso não autorizado ao ambiente operacional de seus serviços de nuvem e ao seu ambiente interno. Segundo a empresa, credenciais usadas para operar seus serviços de nuvem foram obtidas por uma parte externa e usadas para entrar no ambiente operacional dos serviços. Como resultado, informações de alguns clientes de seis serviços de nuvem (i-FILTER@Cloud, m-FILTER@Cloud (Modern Edition), m-FILTER MailAdviser for Microsoft 365, FINAL CODE@Cloud, z-FILTER e Desk) podem ter sido visualizadas pela parte externa. Os vestígios foram encontrados em 9 de outubro, em uma revisão em toda a empresa que usou IA, e alguns remontam a cerca de julho de 2025. Até o meio-dia de 21 de outubro, não havia sido confirmada nenhuma retirada de dados de clientes para fora da empresa, nem foram relatados uso indevido ou danos secundários. Os itens de dados e o número de clientes que podem ter sido visualizados não foram divulgados. A empresa pede que todos os clientes dos seis serviços alterem as senhas de administrador e de usuário, e entrará em contato individualmente com alguns clientes onde for necessária mais ação. As versões de software instaladas em ambiente próprio não são afetadas. Em um Q&A para investidores em 23 de outubro, a empresa disse que seu banco de dados de lista de permissões não podia ser visualizado pelo invasor nem foi alterado, e que comunicou o incidente à Comissão de Proteção de Informações Pessoais do Japão. Conclusão deste site: os administradores de organizações que usam qualquer um dos seis serviços devem alterar as senhas de administrador e de usuário nesta semana e verificar se a empresa entrou em contato com eles individualmente.
Vazamento de dados da Trustbank no Furusato Choice (4.454.097 registros de membros): nomes, endereços e senhas com hash vazaram; o que doadores devem fazer
Em 20 de outubro de 2026, a Trustbank, Inc., que opera o Furusato Choice, um grande site do sistema japonês de doações de imposto para cidades natais (furusato nozei), anunciou que uma parte externa obteve acesso não autorizado a dados de membros e que dados pessoais de doadores vazaram. Após notar padrões de acesso incomuns em 19 de outubro, a empresa constatou que o acesso não autorizado ocorreu em 17 de outubro e encerrou os serviços relacionados às 15:50 de 19 de outubro. O vazamento confirmado abrange 4.454.097 registros de membros: nome, endereço de e-mail, endereço postal, telefone, senha com hash e valor estimado da dedução do imposto da doação. Em um segundo comunicado, em 23 de outubro, a empresa disse que, para cinco desses doadores, vazaram itens adicionais, incluindo histórico de pontos, histórico de doações, data de nascimento e endereço de entrega. Para dois deles, uma parte externa acessou a tela Minha Página, que mostra os dados de cartão salvos (últimos quatro dígitos, nome do titular e data de validade). A empresa diz que os dados do cartão são buscados na processadora de pagamentos cada vez que essa tela é exibida, não são armazenados em seus sistemas e não podem ser usados isoladamente para fazer um pagamento com cartão. Desde 21 de outubro, os membros têm recebido e-mails individuais informando se seus dados vazaram e quais itens. Em um terceiro comunicado, em 26 de outubro, a empresa disse ter começado naquele dia a retomar gradualmente o sistema de gestão de doações usado pelas prefeituras e pelos fornecedores de presentes de retribuição (suas perguntas frequentes do mesmo dia dizem que a partir de 25 de outubro). Novas doações não estão sendo aceitas, e não há data definida para a retomada do site voltado aos doadores. As senhas de todos os membros foram invalidadas, e será preciso definir uma nova senha após a retomada. A conclusão deste site: os membros devem trocar a senha de qualquer outro serviço em que usem a mesma combinação de e-mail e senha e não devem abrir links em mensagens que aleguem ser do Furusato Choice ou de uma prefeitura.
Acesso não autorizado ao sistema de clínicas @link (at-link) da Medley: nomes, datas de nascimento, IDs de login e senhas de pacientes vazaram — o que pacientes e clínicas devem fazer
Em 15 de outubro de 2026, a Medley, Inc. anunciou o acesso não autorizado de um terceiro ao seu sistema de gestão de instituições médicas @link (at-link), ao aplicativo at-link voltado aos pacientes e a serviços relacionados, e disse que os suspendeu desde a madrugada de 14 de outubro. Segundo a empresa, ela começou a investigar em 11 de outubro, depois que uma organização especializada externa alertou sobre um possível acesso não autorizado, e confirmou o acesso. Em 23 de outubro, a empresa disse ter confirmado que, do fim de setembro até meados de outubro de 2026, o terceiro acessou o banco de dados da empresa por meio de um programa instalado sem autorização e obteve informações, e que houve vazamento de dados pessoais. Para pacientes que usaram o aplicativo at-link ou o agendamento pela web, os itens vazados são nome, leitura do nome (furigana), dia e mês de nascimento, e-mail (somente se cadastrado), ID de login e senha do aplicativo e do agendamento pela web, nome da clínica usada, data de cadastro, data da última consulta e histórico de pagamentos com cartão de crédito (somente data e valor do pagamento; apenas para quem pagou online pelo aplicativo). Para pacientes que não usaram o aplicativo nem o agendamento pela web, os itens vazados são nome, furigana, dia e mês de nascimento, nome da clínica usada, data de cadastro, data da última consulta e o ID de login e a senha inicial do aplicativo e do agendamento pela web. A empresa diz que não guarda números de cartão. O número de clínicas e de pessoas afetadas está sob investigação; a empresa notificará as pessoas afetadas aos poucos, em conjunto com as clínicas. Ela não divulgou o método específico, dizendo que isso poderia atrair ataques semelhantes. Fechou a via de acesso e invalidou todas as credenciais relacionadas, e comunicou o caso à Comissão de Proteção de Informações Pessoais e ao Ministério da Saúde, Trabalho e Bem-Estar. As senhas do aplicativo e do agendamento pela web não serão mantidas; os usuários definirão novas senhas quando o serviço for reiniciado. No aviso atualizado às 12h30 de 28 de outubro, a empresa disse que em 28 de outubro começou o uso de teste do «@link Cloud beta», voltado às clínicas, em algumas clínicas (funções em teste: consulta e registro de agendamentos, informações de pacientes e calendário de consultas), que o aplicativo para pacientes, o site de agendamento pela web e outros serviços continuam suspensos, e que pretende reembolsar as taxas do período de suspensão dentro de novembro. A investigação sobre a causa e o alcance continua. Opinião deste site: quem usou o aplicativo at-link ou o agendamento pela web deve trocar a senha em qualquer serviço em que a tenha reutilizado e não deve abrir links em mensagens que mencionem sua clínica ou suas consultas. As clínicas devem encaminhar as dúvidas dos pacientes ao contato exclusivo da empresa.
Vazamento de dados de membros do Comic Cmoa (até cerca de 4,2 milhões de registros em arquivos de log): e-mails e datas de nascimento vazados — o que os usuários devem fazer
A NTT Solmare Corporation, que administra a loja de e-books japonesa Comic Cmoa (コミックシーモア), publicou quatro comunicados sobre o acesso não autorizado ao serviço, de um primeiro aviso em 15 de outubro de 2026 até um quarto relatório em 21 de outubro. Segundo a empresa, em 15 de outubro ela julgou que um acesso não autorizado de fora para seus servidores muito provavelmente havia ocorrido e suspendeu o serviço às 11:35. No seu segundo relatório, em 16 de outubro, disse ter confirmado que dados de membros do sistema que gerencia as informações de membros vazaram para um terceiro (a quantidade ainda estava sendo apurada). No terceiro relatório, em 18 de outubro, disse ter identificado a rota de invasão e o método de ataque e que estava tratando deles, e que alguns arquivos de log do sistema também tinham sido visualizados e levados. No quarto relatório, em 21 de outubro, descreveu os dados confirmados como vazados como 319 registros de dados de cadastro no banco de dados de membros (e-mail, senha com hash, apelido, data de nascimento, gênero) e até cerca de 4,2 milhões de registros em arquivos de log do sistema (e-mail, apelido, data de nascimento, gênero; sem senhas; possivelmente incluindo duplicatas da mesma pessoa). Diz que dados de cartão de crédito não são mantidos nos sistemas afetados e não vazaram, e que não foi confirmado vazamento de históricos de compras nem vazamento, perda ou dano da MY Bookshelf (as estantes dos usuários). Diz que a identificação e o bloqueio da rota de invasão e do método de ataque estão concluídos, mas não divulgou quais foram. As pessoas afetadas serão contatadas por e-mail. O serviço continua suspenso e deve ser retomado em etapas, começando pela leitura web de títulos comprados; todos os usuários serão solicitados a redefinir suas senhas na retomada. A visão deste site: quem usa o mesmo e-mail e senha do Comic Cmoa em outro serviço deve trocar essa senha hoje, não deve abrir links em e-mails que se apresentem como da empresa e deve verificar pela página de notícias da NTT Solmare aberta por conta própria.
Acesso não autorizado ao Onamae.com Desktop Cloud (GMO Internet) (26.739 servidores possivelmente afetados): dados de clientes extraídos, compensação e o que traders de Forex e valores mobiliários devem fazer hoje
Em 21 de outubro de 2026, a GMO Internet, Inc. anunciou acesso não autorizado de terceiros ao Onamae.com Desktop Cloud, um serviço de VPS (servidor privado virtual) para negociação automatizada de Forex, e afirmou que um programa malicioso fora colocado no ambiente de servidores de alguns clientes. Até 26.739 servidores podem ter sido afetados; a empresa diz que este é o número de servidores que poderiam ser afetados, e não o número em que acesso não autorizado ou aquisição de dados foi confirmado. A partir das 04:00 de 21 de outubro, ela interrompeu os servidores de todos os planos, um após o outro. Em seu quarto comunicado, de 24 de outubro, a empresa disse que existia um problema de segurança no sistema do serviço, que confirmou acesso não autorizado ao ambiente do serviço e que informações de clientes foram extraídas. Também afirmou que alguns clientes relataram operações em suas contas de negociação que não fizeram. Não foram divulgados quais informações foram extraídas e de quantos clientes, a rota da invasão, nem o número de contas afetadas e os valores envolvidos. A empresa pagará um valor fixo de 5.000 ienes a cada usuário atual do serviço e compensará perdas realizadas em operações que considerar causadas por esse acesso não autorizado (descontado qualquer reembolso da bolsa ou da corretora). Ela não reiniciará a plataforma atual do sistema como está e oferecerá a migração para um serviço alternativo em outra plataforma de nuvem, gratuito por seis meses após a migração. Segundo a empresa, alguém que ela acredita ser o invasor exigiu dinheiro e ameaçou divulgar informações e tomar outras medidas caso não haja pagamento; a empresa diz que não pagará e entregou provas à polícia. Seu quinto comunicado, também de 24 de outubro, pede novamente que os clientes façam uma varredura completa e um backup de seus próprios dispositivos, troquem as senhas a partir de um dispositivo não usado para negociar Forex, encerrem todas as sessões ativas mesmo que já tenham trocado a senha, e ativem a autenticação em dois fatores. Em seu sétimo comunicado, de 26 de outubro, a empresa disse que alguém que se acredita ser o invasor anunciou que divulgaria informações de clientes e lançaria um ataque de ransomware às 12:00 de 27 de outubro. Em seu oitavo comunicado, de 27 de outubro, pediu que os clientes fizessem backup dos seus dados e depois, antes das 12:00, se desconectassem da rede, desligassem o PC e retirassem todos os cabos conectados a ele. Em seu nono comunicado (atualizado às 11:59), afirmou que nenhum malware (incluindo ransomware) foi encontrado nos dispositivos de clientes cuja análise já havia concluído, mas que isso não confirmava que todos os dispositivos estavam seguros, e que os clientes atingidos por ransomware que entrarem em contato com o suporte receberão um PC novo de desempenho equivalente depois que os danos forem verificados. Em seu décimo comunicado, de 27 de outubro (atualizado às 13:55), a empresa disse ter confirmado às 12:30 que alguém que se acredita ser o invasor divulgou o que alega serem informações sobre a empresa e seus clientes (a empresa ainda está verificando o conteúdo e diz que ele pode incluir informações falsas). Disse que nenhum ataque de ransomware havia sido confirmado até as 13:55. Pede que ninguém acesse nem compartilhe o site onde as informações teriam sido divulgadas, dizendo que o invasor obtém as informações de quem o acessa. Em seu décimo segundo comunicado (atualizado às 19:10), a empresa disse que fará um pagamento especial de 10.000 a 25.000 ienes por categoria de informação (limitado a 3 milhões de ienes por divulgação) aos clientes cujas informações ela confirmar que estavam incluídas no que o invasor divulgou, e criou uma recompensa limitada a US$ 1 milhão no total por informações que ajudem a identificar os autores (recebidas a partir das 12:00 de 28 de outubro). Em seu décimo terceiro comunicado, de 28 de outubro (atualizado às 11:00), a empresa disse que confirmou que o domínio do site de alguém que se acredita ser o invasor (incluindo sites espelho) foi suspenso por volta das 04:00 daquele dia, e que agirá para derrubar qualquer site semelhante que apareça. Em seu décimo quarto comunicado do mesmo dia (atualizado às 18:20), a empresa disse que o site da recompensa, aberto às 12:00 daquele dia, recebeu 113 informações nas primeiras seis horas mais ou menos (às 18:00), que enviou 20 avisos no total sobre publicações no X que espalhavam a URL ou o conteúdo do site de alguém que se acredita ser o invasor (às 18:00), e que sua análise de dispositivos não encontrou até agora vestígios de infecção por malware nem de ataque de ransomware. Agradeceu aos clientes que desligaram os dispositivos e pediu que, se reutilizarem um PC, façam antes uma verificação de segurança e um backup. No décimo quinto comunicado (atualizado às 12:40 de 29 de outubro), a empresa disse que sua equipe de hackers white hat do grupo fez uma investigação própria e obteve informações que acredita poderem levar à identificação dos autores, que planejava entregar nesse dia à polícia e a outras partes pertinentes, e informou 270 informações ao site da recompensa às 11:30. No décimo sexto comunicado (atualizado às 20:50 de 29 de outubro), informou que as informações subiram de 113 (às 18:00 de 28 de outubro) para 321 (às 18:00 de 29 de outubro), forneceu um formulário de denúncia (indicado nos comunicados décimo quinto e décimo sexto) para novos sites do lado do invasor e sites em que informações pessoais são publicadas sem autorização, e pediu de novo que ninguém identifique nem contate os autores, publique informações não verificadas ou compartilhe URLs suspeitas. Ela também diz que tomará medidas legais, inclusive queixas criminais, contra o ataque e a extorsão. A divulgação de 28 de outubro diz que, segundo sua controladora GMO Internet Group, o grupo ainda está verificando os serviços de suas empresas e que, no momento, não foi confirmado impacto deste incidente em outros serviços além deste. Segundo reportagens, clientes receberam e-mails de alguém que se acredita ser o invasor, com parte do seu histórico de navegação anexada como prova de que possuem os dados. O CEO do grupo da empresa escreveu em um post de blog que o invasor ameaçou divulgar informações dos PCs dos clientes e atacá-los com ransomware, mas a empresa não disse que o PC de algum cliente tenha sido de fato comprometido. Seu sexto comunicado, de 26 de outubro, pede, entre outras medidas, que os clientes façam uma varredura completa nos dispositivos que usaram para se conectar e mantenham a sincronização do navegador desativada até concluírem a verificação. A visão deste site: a partir de um dispositivo que você não usa para negociar Forex, troque as senhas da corretora, encerre todas as sessões e verifique seu histórico de operações e seu saldo. Para a compensação, use apenas o site oficial da empresa e os comunicados enviados ao e-mail cadastrado, e nunca forneça a ninguém uma senha que possa operar.
Vazamento de dados de membros da SourceNext (22.519.960 registros): e-mails, senhas e endereços podem ter sido expostos — o que os membros devem fazer
Em 15 de outubro de 2026, a SOURCENEXT CORPORATION anunciou que um terceiro obteve acesso não autorizado aos dados de membros que ela gerencia e que dados pessoais de seus membros cadastrados vazaram para fora da empresa. Segundo a empresa, a partir de cerca das 10:00 do dia 9 de outubro, um terceiro usou indevidamente uma API de recuperação de dados de membros para obter informações de membros; a empresa confirmou o acesso não autorizado por volta das 9:00 do dia 13 de outubro e concluiu a contenção até as 13:36 do mesmo dia. Os dados que podem ter vazado somam 22.519.960 registros. Os itens são endereço de e-mail, senha, nome, nome em katakana, endereço, gênero, número de telefone, número de fax, data de nascimento, nome da empresa, cargo, departamento e identificadores do sistema (serviços contratados, data de cadastro, data de login e assim por diante); os itens variam conforme a forma como cada membro se cadastrou. Segundo a empresa, dados de cartão de crédito não são armazenados no sistema afetado e não estão incluídos. Em uma atualização de 16 de outubro, a empresa disse que a senha de todos os membros já foi desativada, que as senhas antigas não funcionam mais e pediu que os membros definam uma nova. Uma reportagem de 19 de outubro atribui à porta-voz da empresa a informação de armazenamento criptografado e exposição confirmada em forma descriptografada. O FAQ da empresa diz que ela pediu a um especialista independente em segurança que iniciasse uma investigação de terceiros em 16 de outubro, que seus produtos Super Security e Virus Security continuam podendo ser usados como antes e que os dados salvos no 1Password não são mantidos pela empresa e não fazem parte do vazamento. Separadamente, em 27 de outubro e 5 de novembro a empresa anunciou que um terceiro obteve acesso não autorizado ao provedor do serviço de envio de e-mails que ela usava (um terceirizado), de modo que e-mails e informações de pedidos usados nos envios podem ter vazado (142.669 registros, contados como endereços de e-mail distintos, no segundo comunicado de 5 de novembro; senhas, nomes, endereços, telefones e dados de cartão de crédito não estão incluídos). A empresa diz que é um incidente separado, sem relação com o de 15 de outubro. Visão deste site: quem já se cadastrou na SourceNext deve primeiro trocar a senha de qualquer outro serviço que use o mesmo e-mail e senha, depois definir uma nova senha da SourceNext pelo site oficial aberto pelo próprio usuário, e não usar links ou números em e-mails, mensagens de texto, ligações ou cartas que se apresentem como SourceNext.
Vazamento de dados de membros da Bookoff (6.383.279 pessoas): nomes, endereços, e-mails e hashes de senha podem ter sido expostos — o que os membros devem fazer
Em 9 de outubro de 2026, a BOOKOFF GROUP HOLDINGS LIMITED anunciou que um terceiro obteve acesso não autorizado ao sistema de gestão de membros da Bookoff no Japão, fornecido por sua subsidiária BOOKOFF CORPORATION LIMITED, e que dados de membros vazaram para fora da empresa. Segundo o segundo relatório, de 13 de outubro, os dados de membros foram retirados por acesso externo entre 4 e 6 de outubro. A contagem é de 6.427.735 registros por número de membro, ou 6.383.279 pessoas quando os registros de membros cadastrados com o mesmo endereço de e-mail são contados como uma única pessoa (212.371 delas são ex-membros). Os afetados são membros do app, membros da loja online e membros da web; quem usa apenas o cartão de membro e nunca se cadastrou pelo app ou pela web não está incluído. Os dados que podem ter vazado são nome, data de nascimento, gênero, ocupação, apelido, endereço de e-mail, telefone, código postal e endereço, hash de senha, número do cartão de pontos e número de membro (ocupação e apelido foram acrescentados por uma correção de 16 de outubro), embora nem todos os itens tenham vazado para todos os membros. Dados de pagamento, como detalhes de cartão de crédito, dados de conta bancária, texto lido de documentos de identidade em compras presenciais nas lojas e imagens de documentos de identidade de compras por correio não estão incluídos. A empresa enviou e-mails aos membros afetados em etapas a partir de 15 de outubro (o envio para todos os endereços que ela conseguiu confirmar como entregáveis terminou em 22 de outubro) e pede que troquem as senhas da loja online oficial e do app. Em 23 de outubro anunciou uma consulta na web, no site de membros da Bookoff, em que o membro faz login e verifica se foi afetado, e informou que abriu uma linha gratuita dedicada em 22 de outubro. No terceiro relatório, de 6 de novembro, informou que uma investigação com especialistas externos constatou que um terceiro explorou um problema de controle de acesso em parte do sistema que trata dados de membros; não divulga detalhes técnicos como a configuração do sistema ou os ajustes. Segundo o terceiro relatório, o alcance (serviços, pessoas e itens) não mudou em relação ao segundo relatório, e de 26 a 29 de outubro a empresa também avisou individualmente os membros afetados por notificações no app oficial. Não foram confirmados divulgação de dados de membros, uso indevido de pontos nem alteração de dados de membros, e a empresa diz que compensará integralmente os pontos se for confirmado uso indevido decorrente do incidente. Ela prevê apresentar o relatório final à Comissão de Proteção de Informações Pessoais no início de dezembro. Avaliação deste site: quem se cadastrou pelo app ou pela loja online deve trocar a senha pelo app oficial ou por um site que abra por conta própria, trocá-la em qualquer outro serviço que use a mesma senha e não abrir links de e-mails ou mensagens de texto que digam ser da Bookoff.
Vazamento de dados da skyticket (Adventure Inc.) (cerca de 14,64 milhões de registros): senhas, dados bancários de reembolso e dados de cartão de alguns usuários expostos. O que os usuários devem fazer hoje
Em 9 de outubro de 2026, a Adventure Inc. anunciou três incidentes separados de acesso não autorizado, cada um por uma rota diferente, que afetaram seu site de comparação e reserva de viagens skyticket. No primeiro, uma função administrativa foi usada indevidamente e serviu de ponto de partida para acessar outros servidores e dados armazenados na nuvem; cerca de 14,64 milhões de registros vazaram, incluindo nomes (também como escritos no passaporte), datas de nascimento, endereços de e-mail, números de telefone, endereços e o nome do remetente usado em transferências bancárias. Cerca de 4,13 milhões deles incluíam senhas de membros em hash. No segundo, uma vulnerabilidade em um sistema de gestão empresarial foi explorada, e 17.780 registros (incluindo duplicatas, com mais ainda sendo contados) contendo dados de contas bancárias para reembolso vazaram ou podem ter vazado. No terceiro, a página de conclusão de reservas de ônibus podia ser exibida sem login, e cerca de 12.000 reservas foram ou podem ter sido visualizadas. A empresa afirmou inicialmente que números de cartão não estavam entre os dados vazados, mas corrigiu isso em um segundo comunicado, em 16 de outubro: o número do cartão, o nome do titular e a data de validade (para alguns, apenas o número; sem códigos de segurança) de até 6.140 pessoas que cadastraram ou usaram um cartão de crédito para pagar a taxa de associação “skyticket Premium” entre fevereiro de 2017 e junho de 2018 vazaram no primeiro incidente, junto com IDs de membro, nomes e senhas de um serviço de benefícios sociais oferecido como vantagem do Premium. Imagens de passaportes não foram expostas e, até o comunicado de 9 de outubro, o único dano secundário confirmado foi um login não autorizado em uma conta de membro (o segundo comunicado não informa se os dados de cartão vazados foram usados indevidamente). A visão deste site: os membros devem trocar a senha pelo site ou aplicativo oficial hoje, trocá-la em qualquer outro serviço em que a tenham reutilizado, verificar as faturas do cartão a partir de outubro caso tenham cadastrado ou usado um cartão para a taxa Premium nesse período, ignorar mensagens sobre reembolsos, indenizações ou alterações de reserva e nunca informar a ninguém a senha do cartão bancário nem um código de uso único.
Como verificar se sua senha vazou: usar o Have I Been Pwned com segurança e as verificações que já existem no navegador e no celular
Um guia para verificar senhas vazadas. O Have I Been Pwned (HIBP) diz se um endereço de e-mail aparece num vazamento de dados conhecido, de qual serviço veio e que tipos de dados vazaram. A verificação de senhas dele (Pwned Passwords) gera o hash da senha no seu aparelho e envia só os cinco primeiros caracteres do hash, então a senha em si nunca é enviada (documentação da API do HIBP). A visão deste site: verifique suas senhas atuais onde elas já estão salvas (Gerenciador de senhas do Google, app Senhas do iPhone, Monitor de Senhas do Edge ou seu gerenciador de senhas) em vez de digitá-las num site, e use o HIBP para endereços de e-mail. Um resultado 'não encontrado' não prova que nada vazou.
Vazamento de dados do infoQ (894.082 registros): o que vazou e o que os membros devem fazer
Em 5 de outubro de 2026, a GMO Research & AI, Inc. anunciou que seu site de pesquisas infoQ havia sido acessado por terceiros sem autorização e que dados pessoais dos membros haviam sido retirados. No segundo comunicado, em 14 de outubro, confirmou que o número de registros retirados era 894.082 (o primeiro comunicado falava em até 948.498). Os itens são nome, nome em katakana (furigana), sexo, data de nascimento, e-mail, endereço residencial, telefone, senha criptografada, número de membro e outros dados de cadastro, como apelido e saldo de pontos. A empresa diz não ter dados de cartão de crédito nem o My Number (número japonês de identificação nacional). Além disso, 611 trocas de pontos, no valor de 2.869.500 ienes, foram convertidas em códigos de presente da Amazon sem o consentimento dos membros, e a empresa afirma que os compensará integralmente (creditados nas contas quando o serviço for retomado). A empresa invalidou todas as senhas dos membros em 7 de outubro. Segundo a empresa, o invasor explorou uma vulnerabilidade em um software usado em seu site. Análise deste site: com data de nascimento e endereço incluídos, é fácil criar mensagens falsas convincentes. Troque a senha de qualquer serviço que use a mesma senha do infoQ, ative a verificação em duas etapas na sua conta de e-mail e não abra links em mensagens que digam ser do infoQ.
O que é hashing de senha? Armazenar senhas com segurança usando uma transformação irreversível
Hashing de senha significa armazenar uma senha como uma transformação de mão única, não reversível. Nunca armazene texto puro. Diferente da criptografia, você não consegue descriptografá-la de volta — esse é o ponto. Mas MD5/SHA-256 puro cai diante de rainbow tables e força bruta. A correção: um sal por usuário mais um hash deliberadamente lento (bcrypt/Argon2/scrypt). Não faça o seu próprio — use a função padrão.
O que é um sal? O valor aleatório por usuário adicionado ao fazer o hash de senhas
Um sal é um valor aleatório, por usuário, adicionado antes do hashing de uma senha. A mesma senha então é armazenada de forma diferente para cada usuário, o que derrota rainbow tables pré-computadas e impede que uma execução de quebra quebre muitas contas. Um sal não é secreto — armazene-o junto com o hash. bcrypt/Argon2 adicionam um automaticamente.
Como armazenar senhas com segurança: a forma certa de fazer hash e salt
Um guia prático para armazenar senhas com segurança no servidor. Entenda por que texto puro, criptografia e hashes crus falham e então convirja para uma resposta: um salt por usuário mais um hash deliberadamente lento (Argon2id recomendado, bcrypt/scrypt como alternativas). Não invente o seu — use a função padrão, eleve o custo com o tempo e migre hashes fracos refazendo o hash no login.