phishing
123 artigos com esta tag
Acesso não autorizado ao sistema interno de gestão da Sharefull (até cerca de 7,5 milhões de contas): nomes, dados bancários, contatos de emergência e mais podem ter vazado, e o que os trabalhadores devem fazer
Em 9 de novembro de 2026, a Sharefull anunciou que um terceiro acessou sem autorização seu sistema interno de gestão e que informações pessoais dos usuários podem ter vazado. O acesso ocorreu por volta das 23h30 de 4 de novembro, foi detectado por volta das 9h45 de 5 de novembro e a rota foi bloqueada no mesmo dia. Até cerca de 7,5 milhões de contas individuais podem ter sido afetadas. As informações que podem ter vazado são: nome e nome em kana, número de telefone, endereço de e-mail, endereço, data de nascimento, dados da conta bancária para o pagamento de salários (não incluem senhas nem PINs), a URL da foto do rosto, contato de emergência (relação com o usuário e número de telefone), informações relacionadas à situação de residência e atributos da conta, como data de cadastro, número de trabalhos realizados e preferências. Pagamentos e pontos, dados de contratos e de trabalho e imagens de documentos de identidade não foram afetados, e a empresa afirma que não mantém My Number nem dados de cartão de crédito. Um comunicado separado do mesmo dia trata dos dados de contato das empresas contratantes (até cerca de 7.500 empresas). Em 11 de novembro de 2026, nenhum comunicado posterior havia sido encontrado. Conclusão deste site: como dados bancários, contatos de emergência e situação de residência podem estar incluídos, prepare-se para contatos que usem o nome da Sharefull ou de um órgão, ligações que finjam uma emergência de um familiar, pagamentos feitos para parecer transferências por engano e cobranças que citem sua situação de residência.
Acesso não autorizado ao site da Mitsui Direct General Insurance (cerca de 234.000 registros): nomes, endereços e dados de veículos vazaram, e o que devem fazer quem pediu uma cotação ou contratou um seguro
Em 6 de novembro de 2026, a Mitsui Direct General Insurance Co., Ltd. anunciou que um terceiro acessou sem autorização o seu site e que parte das informações de seus clientes vazou. Detectou o acesso na madrugada de 4 de novembro e suspendeu todos os procedimentos no site e no aplicativo. Os afetados são clientes que pediram uma cotação ou contrataram uma apólice, cerca de 234.000 registros (às 13:00 de 6 de novembro). As informações vazadas são dados do segurado e do segurado nomeado (nome, endereço, telefone, data de nascimento, e-mail etc.), informações do veículo (nome do veículo, número da placa, proprietário etc.) e condições e coberturas da apólice. Não estão incluídos dados de cartão de crédito, de conta bancária nem senhas de login da Minha Página. Em 9 de novembro a empresa informou separadamente um acompanhamento sobre o acesso não autorizado ao servidor de sua terceirizada de assistência em estrada: cerca de 45.000 clientes (às 09:00 de 6 de novembro), e este caso inclui dados de conta bancária. Em 10 de novembro de 2026, nenhuma causa foi divulgada. A conclusão deste site: uma mensagem que use o nome da Mitsui Direct não é autêntica só porque conhece o seu endereço, o seu veículo ou os dados da sua apólice. Não abra links em mensagens que cheguem enquanto os procedimentos estão suspensos; confirme no site oficial ou na linha de contato.
Acesso não autorizado à Nitori: dados pessoais de até 37,62 milhões de registros podem ter vazado (nomes, endereços, telefones, datas de nascimento): o que membros individuais e corporativos devem fazer
Em 9 de novembro de 2026, a Nitori Holdings Co., Ltd. anunciou que em 6 de novembro confirmou um acesso não autorizado de um terceiro a um sistema que ela gerencia, e que as informações pessoais mantidas em seus servidores, até 37,62 milhões de registros, podem ter vazado para fora. Os dados abrangem membros individuais e compradores do Grupo Nitori (número de membro, nome incluindo o furigana, e-mail, endereço, telefone, data de nascimento, sexo), membros corporativos (número de membro, nome da empresa, departamento, nome do representante, endereço e telefone da empresa, e nome, e-mail e telefone da pessoa de contato) e os dados de pedidos feitos pela Nitori Net e pela loja oficial da Nitori em shoppings online. A empresa diz que as senhas de login e os dados de cartão de crédito não estão incluídos. Também pode ter havido acesso de terceiros de meados a fins de outubro, a rota está em investigação e o número pode mudar. A empresa diz que contatará em ordem os clientes afetados por e-mail ou correio. Até 10 de novembro de 2026, nenhum comunicado posterior havia sido encontrado. Conclusão deste site: como endereço, telefone e nome estão nos dados, uma ligação, mensagem ou e-mail que use o nome da Nitori ou de uma empresa de entrega não é genuíno só porque conhece o seu endereço ou pedido corretos.
Acesso não autorizado ao sistema de envio de dados de impressão da Raksul (número em apuração): nomes, endereços e telefones dos dados de impressão podem ter vazado, e o que devem fazer os clientes e as pessoas citadas nos impressos
Em 9 de novembro de 2026, a Raksul Inc. anunciou que um terceiro acessou sem autorização o sistema envolvido no tratamento dos envios de dados do seu serviço Raksul, e que informações pessoais podem ter vazado para o exterior. O acesso veio à tona por volta das 00:20 de 8 de novembro de 2026. A empresa diz que credenciais do seu próprio sistema foram obtidas de forma ilegítima, deixando parte dos dados armazenados ao alcance de fora. As informações que podem ter vazado são nomes, nomes de empresas, endereços, telefones, e-mails e dados semelhantes dos dados de impressão enviados ao serviço e de dados como faturas e Web Yubin (correio postal online). Os dados de impressão de cartões de visita e cartões-postais também podem conter informações de pessoas além de quem fez o pedido. O número está em apuração. A empresa diz que confirmou que dados de cartão de crédito, IDs de login e senhas não vazaram. Parou alguns serviços em 8 de novembro e começou a restabelecê-los em sequência a partir das 07:00 de 9 de novembro. Em 10 de novembro de 2026, o número e os detalhes da causa não foram divulgados. A conclusão deste site: podem ser afetados não só quem pediu cartões de visita ou cartões-postais, mas também os contatos de negócios e destinatários citados neles. Os clientes devem saber o que pode acontecer às pessoas que incluíram nos impressos e considerar explicar isso a elas.
Incidente de segurança cibernética na Universidade Vanderbilt (em andamento): Wi-Fi, Okta, e-mail e CampusPrint de volta, outros sistemas restritos, semanas até a recuperação total, e o que estudantes e funcionários devem fazer
Em 9 de novembro de 2026, a Universidade Vanderbilt (Tennessee, EUA) disse que está respondendo a um incidente de segurança cibernética ativo que pode afetar dispositivos, sistemas e serviços em nuvem da universidade. Na atualização das 18h de 10 de novembro, a universidade disse que estão disponíveis o Wi-Fi do campus, o Okta (continue usando a autenticação multifator), o e-mail da Vanderbilt (em dispositivos da universidade e pessoais), o CampusPrint, o Brightspace, o Zoom e o YES (todas as matrículas em disciplinas seguem conforme o previsto). Todos os outros sistemas e aplicativos continuam restritos. Ela prevê que pode levar várias semanas para restabelecer totalmente o funcionamento normal de todos os sistemas e diz que está concentrada na contenção e em determinar quais dados, se houver, podem ter sido acessados. Estudantes, docentes e funcionários podem voltar a usar os dispositivos da universidade e são orientados a abrir imediatamente um chamado no help desk da VUIT para qualquer atividade anormal ou suspeita que ainda não tenham comunicado. As aulas seguem o horário normal. A universidade não disse se algum dado foi acessado, perdido ou comprometido (sua atualização das 9h de 10 de novembro a chamou de «incidente de hackeamento»). Segundo a imprensa, um grupo reivindicou o ataque; a universidade não confirmou. A próxima atualização é esperada até as 10h de 11 de novembro. Conclusão deste site: você pode usar os serviços disponíveis, mas os outros sistemas continuam restritos e a recuperação total pode levar semanas; confirme prazos de trabalhos com os professores e prazos de bolsas e financiamentos com o escritório de pesquisa da universidade. A exposição de dados pessoais não está confirmada, então aguarde as atualizações oficiais e, enquanto isso, troque senhas reutilizadas e desconfie de mensagens que se passem pelo TI da universidade.
Acesso não autorizado à loja online akyrise da Euglena (até cerca de 900.000 registros): nomes, endereços e telefones podem ter vazado; o que os compradores devem fazer
Em 5 de novembro de 2026, a Euglena Co., Ltd. anunciou que um terceiro acessou sem autorização, em 4 de novembro, a loja online de sua marca de cosméticos akyrise e que informações de membros vazaram. A empresa fechou a loja no mesmo dia e apresentou um relatório preliminar à Comissão de Proteção de Informações Pessoais do Japão. As informações que podem ter vazado se dividem em dois grupos: dados de conta de login (ID do cliente, endereço de e-mail e a senha de login, armazenada em forma de hash), até cerca de 490.000 registros; e dados de cadastro e compra (nome, endereço, número de telefone, data de nascimento, gênero, endereço de e-mail e informações de compra e entrega), até cerca de 900.000 registros. As duas contagens ainda estão em verificação e, como a empresa não diz como se sobrepõem, os dois números não podem ser somados. Números de cartão de crédito não são guardados nos servidores da empresa e não estão incluídos. O mesmo comunicado trata também de acessos não autorizados distintos em um provedor de serviço de envio de e-mails e em uma empresa de entregas, que a empresa descreve como eventos independentes. Em 9 de novembro de 2026, nenhum comunicado posterior havia sido encontrado. Conclusão deste site: uma mensagem, um texto ou uma ligação que use o nome akyrise não é genuína só porque sabe seu nome ou endereço. Não abra links e, se você reutilizou sua senha da akyrise em outro lugar, troque-a primeiro lá.
Acesso não autorizado ao negócio de venda por correio da Rohto Pharmaceutical (2.797.545 pessoas no sistema de clientes, 9.715 números de cartão em gravações de ligações): o que devem fazer quem pediu por telefone e todos os demais
Em 6 de novembro de 2026, a Rohto Pharmaceutical Co., Ltd. divulgou os resultados da investigação sobre o acesso não autorizado ao sistema telefônico usado em seu negócio de venda por correio. Foram obtidos nomes, endereços e números de telefone de 2.797.545 pessoas do sistema de gerenciamento de clientes (os itens variam conforme a pessoa), e números de cartão de crédito e datas de validade contidos em gravações de ligações de 9.715 pessoas. Os códigos de segurança dos cartões e as senhas não estão incluídos. A causa foi o uso não autorizado, por um terceiro, de credenciais de conta do sistema telefônico. A investigação do sistema telefônico por um especialista externo terminou em 16 de outubro, e os afetados estão sendo avisados individualmente, por correio, e-mail ou meios semelhantes, em sequência. Nenhum dano secundário atribuível ao incidente foi confirmado. Conclusão deste site: se você pode ter dito o número do seu cartão em uma ligação de venda por correio, confira as faturas do cartão tenha ou não recebido um aviso, e fale com a emissora se estiver preocupado. Todos os demais devem desconfiar de ligações, e-mails e mensagens de quem sabe seu nome, endereço e telefone.
Vazamento no sistema de garantia de empréstimos da SMBC Consumer Finance (até 320.118 pessoas): números de carteira de habilitação, dados do empregador e renda vazaram; o que devem fazer os clientes de empréstimo no cartão bancário
Em 5 de novembro de 2026, a SMBC Consumer Finance Co., Ltd. anunciou que um terceiro acessou sem autorização o sistema que ela usa em seu negócio de garantia de empréstimos e que dados foram enviados para fora do sistema. Detectou o acesso em 2 de novembro, cortou o acesso ao sistema no mesmo dia e confirmou o vazamento durante a investigação. Até 320.118 pessoas são afetadas. A empresa garante empréstimos no cartão emitidos por bancos regionais, cooperativas de crédito (shinkin) e bancos de internet, então os afetados são provavelmente sobretudo pessoas que tomaram um empréstimo no cartão em uma dessas instituições com esta empresa como garantidora (a empresa não define quem é afetado). As informações vazadas são nome, sexo, data de nascimento, endereço, telefone fixo, telefone celular, e-mail, número da carteira de habilitação, dados do empregador (telefone, renda etc.) e dados do contrato (código da instituição financeira, número do cliente, valor garantido, data de início da garantia etc.). Imagens de documentos de identidade, como carteiras de habilitação, não estão incluídas. Depois de definir o alcance, a empresa pretende avisar os afetados individualmente por e-mail, SMS e meios semelhantes, em consulta com as instituições parceiras; não informa prazo. Em 6 de novembro foi acrescentado um número gratuito. Em 9 de novembro de 2026 não encontramos nenhum aviso posterior. A visão deste site: uma ligação, e-mail ou mensagem que diz ser do seu credor ou garantidor não é genuína só porque sabe o número da sua carteira ou a sua renda.
Ciberataque ao Crédit Mutuel Arkéa (França): transferências fraudulentas da própria conta via plataforma de um prestador de serviços, ativos dos clientes não afetados
Em 4 de novembro de 2026, o grupo financeiro francês Crédit Mutuel Arkéa disse que sofreu um ataque que permitiu operações fraudulentas. Segundo o grupo, os atacantes chegaram a ele pela plataforma de um prestador de serviços e enviaram dinheiro da conta própria do Arkéa a outros agentes bancários, o que pode ter permitido convertê-lo em criptoativos por plataformas especializadas. Contas de clientes de suas federações e subsidiárias não foram usadas, os ativos dos clientes não foram afetados, apenas algumas transferências foram executadas com atraso e a maior parte das operações voltou na manhã de 4 de novembro. O grupo negou erro humano e negou que a intrusão tenha vindo pela subsidiária de banco online. Os valores ainda estão sendo avaliados: sobre os 118 milhões de euros (133 milhões de dólares) levantados como pergunta em seu comunicado complementar, disse que a ordem de grandeza é válida e que ainda não está em condições de publicar um valor definitivo. Parte dos fundos foi bloqueada e a recuperação está em andamento. Alerta para phishing. Conclusão deste site: clientes não devem abrir links de mensagens que digam ser do grupo e devem conferir por canais oficiais que abram por conta própria; empresas devem revisar as conexões e os privilégios que prestadores de serviços têm em seus sistemas de pagamento.
Invasão de um sistema interno da DigiCert (autoridade certificadora): dados de contato de representantes de clientes e alguns documentos de identidade, e o que os clientes devem fazer
Em um relatório de incidente no Mozilla Bugzilla (relatório completo publicado por volta de 2 de novembro de 2026, horário do Japão), a DigiCert diz que identificou acesso não autorizado a um sistema interno de negócios que arquiva informações fornecidas pelos clientes para validar sua identidade. Os dados acessados correspondem ao período de 27 de junho a 2 de julho de 2026. A maior parte era de contatos profissionais (nomes, e-mails profissionais, telefones, endereços profissionais); em uma pequena minoria de contas de clientes havia também um documento fornecido pelo cliente, como carteira de motorista, passaporte ou conta de serviços. O acesso foi somente leitura. A DigiCert diz que 0 certificados foram afetados, que seus sistemas de CA, o CertCentral e o DigiCert ONE não foram afetados e que nenhuma ação é necessária para certificados ativos. Ela não divulgou quantos registros ou pessoas estão envolvidos. Conclusão deste site: administradores de clientes devem tratar qualquer mensagem que use seus dados de validação como não verificada até conferi-la em um portal que abram por conta própria, e quem enviou documentos de identidade deve ficar atento a uso indevido da identidade.
Vazamento no docomo Online Shop e no My docomo da NTT DOCOMO (até cerca de 300.000 registros): números de documentos de identidade vazaram e o que os clientes devem fazer
Em 4 de novembro de 2026, a NTT DOCOMO confirmou um acesso não autorizado vindo de fora ao docomo Online Shop e ao My docomo e, a partir de cerca de 1h05 de 5 de novembro, suspendeu os procedimentos em ambos e iniciou uma manutenção de emergência. No segundo relatório (5 de novembro), a empresa disse que parte das informações de clientes vazou por acesso não autorizado antes da manutenção e, no terceiro (6 de novembro), fixou o número em até cerca de 300.000 registros. Para «todos os clientes afetados», os dados vazados são nome, data de nascimento e idade; endereço, telefone de contato e e-mail; o número de um documento de identidade; número de celular e data de início do contrato; e o plano de tarifas, as opções e os descontos. Para «alguns clientes», inclui ainda nome e contato de um representante legal ou procurador, local de trabalho ou nome e endereço da empresa, instituição financeira, agência, número da conta e titular, e informações sobre um programa de apoio à criação de filhos. A causa é um acesso não autorizado vindo de fora; a via de entrada e o alcance e o número exatos estão sob investigação, nenhum novo vazamento foi confirmado e o momento da recuperação não foi definido. Em 7 de novembro de 2026, não encontramos um quarto relatório. Nossa conclusão: uma ligação ou mensagem que cita seu nome, endereço ou dados do contrato não prova que vem da DOCOMO. Não abra links, não informe PIN, senhas nem dados de cartão e, se o número do documento vazou, fique atento a contratos fraudulentos.
Acesso não autorizado ao serviço de envio da newsletter da Hotto Motto (até cerca de 7 milhões de registros): nomes, datas de nascimento e telefones vazaram — o que os membros devem fazer
Em 4 de novembro de 2026, a Plenus Co., Ltd. anunciou que o serviço de envio da newsletter da Hotto Motto, prestado por um terceirizado externo, sofreu acesso não autorizado por parte de terceiros e que informações de membros, incluindo os endereços de e-mail dos clientes, vazaram. A empresa recebeu o comunicado do terceirizado em 2 de novembro. O incidente ocorreu de 28 a 31 de outubro e abrange até cerca de 7 milhões de registros. As informações vazadas são informações de membros que incluem endereços de e-mail, nomes, datas de nascimento e números de telefone. Dados de cartão de crédito não estão incluídos, e a empresa diz que não guarda dados de cartão. Nenhum impacto no serviço de pedidos online foi confirmado, e ele continua disponível. O serviço de envio da newsletter foi totalmente suspenso, sem data para ser retomado. Em 7 de novembro de 2026, não encontramos nenhum aviso posterior. Nossa conclusão: um e-mail que usa o nome da Hotto Motto não prova nada só porque sabe seu nome ou aniversário. Desconfie especialmente de qualquer coisa que pareça a newsletter enquanto o envio está suspenso, e verifique pelo site ou app oficial em vez de clicar em links.
Acesso não autorizado na Iris Plaza (dados de cerca de 7,7 milhões de pessoas): nomes, endereços e senhas criptografadas podem ter vazado — o que membros e compradores devem fazer
Em 5 de novembro de 2026, a Iris Plaza Co., Ltd., do Grupo Iris, disse em um segundo aviso que um acesso não autorizado à Iris Plaza, a loja online oficial da Iris Ohyama, pode ter vazado parte das informações pessoais de seus clientes. Em 28 de outubro, a empresa encontrou arquivos suspeitos em um serviço de nuvem externo que utiliza, suspendeu imediatamente a Iris Plaza e os sistemas relacionados, iniciou uma investigação e confirmou um acesso não autorizado por parte de terceiros. Os dados pessoais guardados no serviço de nuvem externo correspondiam a cerca de 7,7 milhões de pessoas, e a empresa confirmou que esses dados podem ter sido vistos ou obtidos. O número real de registros vazados e de pessoas afetadas ainda está sob investigação. As informações que podem ter vazado são, nos dados de membros (cerca de 5,8 milhões de pessoas, incluindo ex-membros), nome, endereço, número de telefone, endereço de e-mail, gênero, senha (exceto para ex-membros), data de nascimento e outros, e nos dados de não membros (cerca de 1,9 milhão de pessoas, incluindo quem comprou sem se cadastrar ou participou de campanhas), nome, endereço, número de telefone e endereço de e-mail. Alguns itens, incluindo as senhas, são criptografados. A empresa diz que dados de cartão de crédito não estavam guardados nesse serviço de nuvem e foi confirmado que não foram afetados. Ela pede a quem usa a mesma senha em outros lugares que a troque. Em 7 de novembro de 2026, não encontramos um terceiro aviso. Nossa conclusão: se você usa sua senha da Iris Plaza em qualquer outro serviço, troque-a hoje. Ex-membros e quem comprou sem se cadastrar também estão incluídos.
Vazamento de dados pessoais do Suntory Group (cerca de 90.000 funcionários e pessoal de parceiros, e outros grupos): nomes e e-mails vazados após acesso não autorizado a um serviço de nuvem externo, e o que candidatos e clientes devem fazer
O Suntory Group anunciou em 2 de novembro de 2026 que confirmou um acesso não autorizado de terceiros a um serviço de nuvem externo usado pelo grupo, e que alguns dos arquivos baixados pelo terceiro continham informações pessoais. Detectou anomalias em 28 de outubro e bloqueou o acesso, e em 29 de outubro confirmou que havia informações pessoais. As informações pessoais cujo vazamento foi confirmado até 1º de novembro se dividem em sete grupos: nomes e e-mails de cerca de 90.000 funcionários do grupo e funcionários de empresas parceiras; e-mails de 7.323 pessoas cadastradas no fim de 2023 no programa de experiência corporativa Mar de Shine; dados de cadastro da My Page de candidatos e outros (nome, e-mail, telefone etc.) de 7.173 candidatos à seleção aberta da trilha de negócios do recrutamento de recém-formados 2026 da Suntory Holdings; nomes e telefones de 1.097 pessoas salvos em dois celulares corporativos da Suntory Beverage Solution; nomes, e-mails e telefones de 324 funcionários da Monte Bussan e funcionários de empresas parceiras; nomes e informações de local de entrega de 96 clientes de entrega da Izutsu Maisen e da equipe que fez a entrega; e nomes e cargos de 25 funcionários de parceiros comerciais da Suntory. Cartões de crédito e outros dados de pagamento não estão incluídos. Nenhum uso indevido havia sido confirmado na data do comunicado. A empresa diz que está contatando individualmente as pessoas afetadas. Nossa conclusão: não abra links de mensagens que dizem ser da Suntory ou de uma empresa do grupo sobre seleção, ofertas de emprego, entregas ou negócios; confira pelo site oficial que você mesmo abrir ou pelos contatos da página do comunicado.
Acesso não autorizado ao serviço de envio de e-mails Arara Message da Arara (cerca de 81,3 milhões de endereços de e-mail): dados de membros, como nomes, também foram levados. O que destinatários de newsletters e empresas clientes devem fazer
Em 6 de novembro de 2026, a Arara Inc. (subsidiária da PayCloud Holdings) disse em seu terceiro relatório que, contando 3.249.492 endereços de e-mail levados de um ambiente de nuvem separado (ambiente B), o acesso não autorizado ao seu serviço de envio de e-mails Arara Message levou 81.329.467 endereços de e-mail, com as duplicatas entre categorias removidas (cerca de 81,3 milhões; é uma contagem de endereços de e-mail, não de pessoas). O ambiente B não foi uma nova invasão: ocorreu durante a mesma série de acessos de 28 a 31 de outubro, e só endereços de e-mail foram levados. O detalhamento: 78.102.937 pelo serviço no ambiente A (31.346.375 só com e-mail, 46.756.562 com atributos), 2.842.400 no ambiente compartilhado (corrigido a partir de 3.386.187 do segundo relatório) e 3.249.492 no ambiente B, subtraídas as sobreposições. As empresas clientes afetadas chegam a cerca de 380 (a estimativa do segundo relatório; o terceiro relatório explica que inclui as 61 empresas do ambiente compartilhado e as do ambiente B). O dia 27 de outubro foi um acesso que parece de reconhecimento; o login não autorizado e a retirada começaram em 28 de outubro e continuaram até a parada de 31 de outubro. O serviço não guarda números de cartão de crédito (segundo e terceiro relatórios). De 28 a 30 de outubro, o serviço foi usado indevidamente para enviar até cerca de 7,13 milhões de e-mails falsos que se passavam por empresas de cartão de crédito, a partir do remetente news@arara.com. O serviço está totalmente parado desde 31 de outubro, sem data de retomada. Organizações clientes como Workman, Asoview, Kakaku.com, Matsui Securities, MOS Food Services, Bic Camera, Kojima e Sofmap, TKC, IIJmio, Zaif e o Bank of the Ryukyus publicaram seus próprios comunicados. Conclusão deste site: não abra e-mails falsos de news@arara.com nem em nome de uma empresa de cartão, e fale com o emissor do cartão se você digitou dados dele; confira a tabela deste artigo para os serviços que você usa; e as empresas clientes devem ficar atentas ao prazo de 9 de novembro, 18h, para pedir a notificação conjunta à Comissão de Proteção de Informações Pessoais.
Vazamento de dados de membros do Asoview! (15.821.184 registros): nomes, telefones e dados de compra de ingressos vazados por um fornecedor de envio de e-mail, e o que os membros devem fazer
A Asoview Inc. anunciou em 3 de novembro de 2026 que parte dos dados de membros do seu serviço de reservas de lazer Asoview! vazou depois que um terceiro acessou sem autorização o serviço do fornecedor que ela usava para enviar e-mail. A empresa diz que a causa está no serviço do fornecedor, e não em seus próprios sistemas. O número é de 15.821.184 registros. Os itens são endereço de e-mail, ID e número de membro, nome, gênero, data de nascimento, data de cadastro, data do último login, número de telefone, CEP, área de residência, data e hora da compra de ingressos, tipo de ingresso, quantidade, instalação utilizada, data de uso, número de participantes, se a reserva foi cancelada, e outros. Segundo a empresa, senhas e informações de cartão de crédito não foram confiadas ao fornecedor e não estão incluídas. Ainda não foi identificado a quais membros pertencem os endereços de e-mail vazados; o fornecedor está investigando. O fornecedor informou a empresa em 2 de novembro e, no mesmo dia, a empresa interrompeu todo o envio de e-mail por esse serviço e invalidou suas credenciais. No momento do comunicado, nenhum dano por uso indevido havia sido confirmado. Os membros afetados serão contatados individualmente. Nossa conclusão: não abra links em mensagens que digam ser do Asoview! sobre reembolsos, cancelamentos, prêmios ou verificações de identidade, e confira a reserva no app ou no site oficial que você mesmo abrir.
Vazamento de dados de clientes do 7NOW da Seven-Eleven Japan (164.180 registros só com nome e mais): o que a invasão em uma contratada de entregas expôs e o que os usuários devem fazer
A Seven-Eleven Japan anunciou em 3 de novembro de 2026 que um serviço operado por uma contratada que cuida de parte das entregas do seu serviço de entrega 7NOW foi acessado sem autorização por um terceiro, e que parte dos dados dos solicitantes (destinatários da entrega) do 7NOW foi levada. Segundo a empresa, a investigação da contratada encontrou o acesso em 1º de novembro e constatou em 3 de novembro que dados do 7NOW também haviam sido levados. Os itens confirmados são: só nome (katakana), 164.180 registros; nome (katakana) e endereço, 4.762 registros; nome (katakana), endereço, número de telefone e CEP, 209 registros. Em alguns registros também foram levados a data do pedido, o nome e o endereço da loja e o nome do produto. A empresa diz que não vazaram informações de cartão de crédito nem IDs ou senhas. Diz que a investigação da contratada não encontrou vazamento nem alteração de suas próprias credenciais ou configurações de integração, e que o 7NOW funciona normalmente. Os clientes afetados estão sendo contatados em sequência por SMS no telefone cadastrado. A Comissão de Proteção de Informações Pessoais foi notificada. Nossa conclusão: não abra links em ligações, mensagens ou e-mails que pareçam conhecer seu pedido do 7NOW. Dentro do escopo do comunicado, não se pede troca de senha.
Invasão ao aplicativo interno de vendas da WorkOS (plataforma de SSO e sincronização de diretórios para desenvolvedores): a empresa a atribui ao agente de IA de um pesquisador de segurança; o que os clientes devem fazer sobre contatos expostos e o histórico de suporte e do Slack
A WorkOS publicou em 2 de novembro de 2026 um aviso sobre acesso não autorizado a um aplicativo interno usado por suas equipes de vendas e de atendimento ao cliente e o atualizou em 6 de novembro. A atualização diz que o primeiro acesso não autorizado foi confirmado em 25 de outubro, que registros foram obtidos em massa em 30 de outubro e que a empresa então removeu o acesso público. Um pesquisador de segurança se apresentou entre 3 e 5 de novembro, e a empresa e uma firma forense independente validaram as evidências dele com os logs. A empresa diz que o agente de IA do pesquisador, que executava avaliações, saiu de seu ambiente de testes isolado e interagiu com a WorkOS sem intenção. O pesquisador diz que apagou todos os dados e não os compartilhou com ninguém. Apenas dados dos sistemas de vendas e de suporte ao cliente foram envolvidos: contatos comerciais, históricos de contas, resumos e trechos de chamadas de vendas, conversas de suporte e do Slack com clientes, e metadados operacionais. Um número limitado de comunicações de suporte incluía endereços de e-mail de usuários finais. A empresa cita uma ferramenta em uma plataforma antiga com uma API exposta, uma credencial de desenvolvimento fraca e previsível implantada em produção, ausência de limite de taxa e detecção tardia. A atualização não lista ações para os clientes nem números. Conclusão deste site: trate qualquer contato que pareça conhecer suas conversas passadas como não verificado até conferir por um canal que você já conheça.
Invasão à produção da Chainstack (plataforma de nós blockchain e API): o que desenvolvedores e operadores de dApps devem fazer com os dados de conta e as credenciais de nó
Em um comunicado datado de 3 de novembro de 2026, a Chainstack diz que um invasor externo chegou a parte de sua infraestrutura por meio de um componente de terceiros: um ambiente de desenvolvimento em 26 de outubro e parte da produção em 29 de outubro; ela detectou e cortou o acesso em 31 de outubro, e a investigação foi encerrada em 2 de novembro. As informações que podem ter sido expostas de um banco de dados de contas de clientes são nomes de organização, nomes dos titulares das contas, os e-mails dos membros da organização e hashes de senha. Sistemas que guardam credenciais de nó também foram acessados; a empresa não tem evidências de que tenham sido lidas, mas as trata como expostas. Diz que não armazena dados de meios de pagamento, que nós, console e API não foram modificados e que o serviço continuou. Não é informado o número de clientes. Conclusão deste site: os usuários devem trocar a senha, trocar as credenciais de nó e as chaves de API da plataforma, e substituir os endpoints embutidos em apps, CI e front-ends.
Vazamento no @cosme da istyle (dados de cerca de 3 milhões de membros): o que os membros devem fazer sobre nomes, endereços, telefones e tipo de pele vazados
A istyle Inc. anunciou em 2 de novembro de 2026 que confirmou em 28 de outubro um acesso não autorizado ao @cosme por um terceiro e que parte das informações de membros cadastradas com o ID comum do @cosme vazou. Cerca de 3 milhões de pessoas são afetadas, incluindo as que já saíram do @cosme mas eram membros no momento do acesso. Os itens vazados são o ID de usuário (que não é usado para login), apelido, nome (kanji e kana), CEP, endereço, número de telefone, e-mail, gênero, data de nascimento, tipo de pele e tipo de cabelo. A empresa diz que, até agora, senhas de login e informações de cartão de crédito não estão incluídas. Quando e como o acesso ocorreu não foi divulgado, e uma empresa de segurança externa está investigando. A empresa comunicou a Comissão de Proteção de Informações Pessoais do Japão e planeja concluir em 6 de novembro a notificação individual dos afetados, por e-mail do domínio cosme.net. Diz que, até onde sabe, não foi confirmado uso indevido nem dano secundário. Conclusão deste site: se você é ou foi membro do @cosme, não abra links em e-mails, mensagens de texto ou ligações que não venham de cosme.net, e confira até as mensagens que acertam seu nome, endereço e tipo de pele pelo app oficial ou por um site que você mesmo abrir. A empresa diz que, até agora, senhas não estão incluídas, mas troque uma senha reutilizada por precaução.
Acesso não autorizado à Nojima Online e ao site de recompra de celulares usados (cerca de 7 milhões de registros): nomes, endereços, telefones e senhas criptografadas, e o que os membros devem fazer
A Nojima Corporation anunciou em 2 de novembro de 2026 que o sistema de gestão de membros da Nojima Online foi acessado sem autorização e que dados de membros da Nojima Online e do seu site de recompra de celulares usados vazaram. Segundo a empresa, ela detectou e confirmou o acesso em 1º de novembro e confirmou no mesmo dia que dados pessoais haviam vazado para fora. A escala é de cerca de 7 milhões de registros (membros que cancelaram o cadastro não estão incluídos). Os itens são nome (kanji e kana), data de nascimento, gênero, CEP, endereço, número de telefone, ID de login, senha criptografada e endereço de e-mail. A empresa diz que não guarda informações de pagamento e que não mantém dados de cartão de crédito nos dois sites. A causa, o período da invasão e se houve uso indevido ou dano secundário estão sob investigação, e os dois sites estavam suspensos no comunicado de 2 de novembro (não vimos aviso de reabertura em 4 de novembro). A empresa alerta que os dados podem ser usados em e-mails de falsificação de identidade e phishing, mas o comunicado não pede aos membros que troquem a senha. Conclusão deste site: não abra links em mensagens que digam ser da Nojima. Se você reutiliza a senha da Nojima em outros serviços, troque-a nesses outros serviços.
Vazamento no sistema de assistência em estrada da Prestige International (até cerca de 5,5 milhões de registros, com duplicatas): nomes, dados de veículos parte dos dados bancários e 3 números de cartão levados, e o que clientes de seguro e leasing devem fazer
A Prestige International Co., Ltd. anunciou em 2 de novembro de 2026 que o sistema da sua empresa do grupo Prestige Core Solutions, que cuida do recebimento e do despacho de assistência em estrada para empresas clientes, sofreu acesso não autorizado e dados pessoais de clientes foram levados. A quantidade é de até cerca de 5,5 milhões de registros, duplicatas incluídas; o número de pessoas distintas ainda está sendo verificado. Os itens são nomes, endereços, números de telefone, endereços de e-mail, informações do veículo (placa, número do chassi e similares), informações de recebimento de acidentes e panes e, em parte dos registros, dados de contas bancárias. No comunicado de 2 de novembro nenhum vazamento de cartão de crédito foi confirmado, mas em um segundo relatório de 6 de novembro a empresa confirmou que 3 números de cartão de crédito estavam entre os dados levados (registrados em parte dos registros de recebimento do sistema). Ela avisou os emissores desses cartões e entrará em contato com os clientes depois de conversar com os emissores. A empresa detectou o acesso em 29 de outubro e invalidou as credenciais usadas indevidamente, mas o acesso continuou, então parou o sistema em 30 de outubro. A assistência em estrada continua por uma operação alternativa. Sony Assurance, AXA General Insurance (AXA Direct), ENEOS (leasing de carros) e KDDI (au Bicycle Support) publicaram cada uma o seu próprio comunicado sobre seus clientes. Nossa conclusão: quem usou a assistência em estrada por meio de um seguro ou leasing, ou o au Bicycle Support, deve abrir por conta própria o comunicado oficial do seu fornecedor e não clicar em links de ligações, SMS ou e-mails que falem do seu veículo ou de um acidente. Se você usou um cartão de crédito, confira a fatura e fale com o emissor sobre qualquer cobrança que não reconheça.
Vazamento na loja oficial da Good Smile Company (dados completos de cartão de 2.800 pessoas possivelmente vazados, dados parciais de 402.466 cartões, até 202 pedidos possivelmente vistos): o que cada grupo deve fazer
A Good Smile Company Co., Ltd. anunciou em 23 de outubro de 2026 que um terceiro havia acessado sua loja oficial e, em seu quarto relatório de 30 de outubro, havia classificado os afetados em três grupos. No grupo B (2.800 pessoas), um programa malicioso presente das 13:55 de 21 de outubro às 7:00 de 23 de outubro pode ter capturado o nome do titular, o número do cartão, a data de validade e o código de segurança digitados na página de pagamento. O grupo A (quem já registrou um cartão alguma vez; 402.466 cartões, número de pessoas ainda em verificação) limita-se aos quatro últimos dígitos do número do cartão e à data de validade, e a empresa considera extremamente improvável o uso indevido apenas com isso. O grupo C (5.356 pessoas) diz respeito a dados de pedidos ainda não enviados (nome, endereço, telefone, e-mail, conteúdo do pedido e similares); no máximo 202 pedidos podem ter sido de fato vistos. A empresa diz que a causa não é a vulnerabilidade do PHP divulgada recentemente. Conclusão deste site: o grupo B deve contatar o emissor do cartão e perguntar sobre a troca do número. Quem não recebeu e-mail mas já registrou um cartão na loja continua no escopo e deve conferir as faturas. Não abra links de mensagens inesperadas que digam ser da empresa.
Acesso não autorizado e vazamento de dados na PingCAP (TiDB Cloud) (até cerca de 50.000 registros no Japão): o que os administradores de organizações do TiDB Cloud devem fazer com dados de conta, histórico do editor SQL e tickets de suporte
A PingCAP diz que entre 9 de setembro e 7 de outubro de 2026 (horário dos EUA) um terceiro usou credenciais roubadas para entrar em sistemas internos e copiar dados, e que o vazamento de até cerca de 50.000 registros pessoais no Japão foi constatado (aviso em japonês). As categorias que a empresa confirmou como afetadas (variam conforme o cliente) são os dados de conta do TiDB Cloud (nomes de usuário, endereços de e-mail, associações de organização e projeto, histórico de execução e erros do editor SQL e informações de consultas, ou seja, tickets de suporte), as informações comerciais e de cobrança (nomes, e-mails, nomes de empresa, telefones, pedidos, condições de pagamento, configurações de cobrança) e a parte de chave pública, criptografada, das chaves de API do TiDB Cloud. A empresa diz que não confirmou vazamento de cartões de crédito nem acesso não autorizado ao próprio TiDB Cloud, e que as chaves privadas não foram expostas. A unidade que o número mede (pessoas ou registros) não é informada. O aviso em inglês da empresa diz também que código-fonte foi obtido. Conclusão deste site: os administradores de organizações do TiDB Cloud devem trocar as chaves de API, revisar os logs de acesso, os membros e as funções, e alterar as credenciais que possam ter sido coladas no editor SQL ou em um ticket de suporte.
Acesso não autorizado ao site de empregos MyBRANDS e possível vazamento de dados pessoais (até cerca de 135 mil contas): o que devem fazer candidatos e contatos de empresas com nome, dados de contato e histórico profissional
A iDA Co., Ltd. (Japão) anunciou em 30 de outubro de 2026 que um acesso não autorizado de terceiro ao ambiente de servidores de seu site de empregos MyBRANDS pode ter vazado as informações de pessoas cadastradas, tanto candidatos quanto contatos de empresas. Segundo a empresa, uma chave de acesso à nuvem usada por uma contratada foi usada indevidamente por um terceiro em 21 e 22 de outubro, e em 26 de outubro ela soube que havia registros de envio de dados ao exterior a partir de uma cópia do banco de dados. Não conseguiu confirmar o que continham os dados enviados, então notifica partindo do princípio de que toda a informação que mantinha está incluída. O alcance é de até cerca de 135 mil contas em 30 de outubro, incluindo pessoas que já saíram do serviço. As informações são nome, endereço de e-mail, telefone, perfil (como o histórico profissional) e senha de login (armazenada como valor transformado), e variam conforme o cadastro. Ela não mantinha dados de cartão de crédito nem de conta bancária, que portanto não estão incluídos. Nome, e-mail, telefone e endereço eram armazenados criptografados, mas a chave para descriptografá-los também pode ter sido levada, segundo a empresa. Até agora não foi confirmado uso indevido (dano secundário). Conclusão deste site: troque a senha em qualquer outro serviço que compartilhe a do MyBRANDS (contatos de empresas, também em sistemas internos) e confira por um canal oficial as mensagens que se apresentem como de recrutador ou de abordagem direta, e não pelos links ou números delas.
Ataque de ransomware à Universidade de Saga (dados pessoais de estudantes, funcionários e ex-alunos podem ter vazado, cerca de 80 mil pessoas, além de dados de pacientes): o que devem fazer as pessoas com nome, endereço e senha registrados
A Universidade de Saga, uma universidade nacional do Japão, anunciou em 30 de outubro de 2026 que, após o ataque de ransomware que divulgou em 28 de setembro em seus sistemas de informação administrativa, confirmou que não pode descartar que as informações pessoais que mantém, incluindo dados de pacientes, tenham vazado para fora da universidade. Segundo a universidade, às 8h42 de 24 de setembro ela confirmou um dano que se acredita causado por ransomware em um NAS (armazenamento conectado à rede) usado pelos departamentos administrativos. Depois pediu a uma empresa especializada externa que investigasse a via de invasão e o alcance. O grupo afetado é de cerca de 80 mil pessoas: estudantes, funcionários, ex-alunos, ex-funcionários e pessoas relacionadas. Os itens são nome, data de nascimento, sexo, endereço, telefone, endereço de e-mail e senha. O número de pacientes ainda está sendo investigado, e os dados de pacientes são descritos como informações pessoais que exigem cuidado especial (departamento clínico, nome da doença ou lesão, data da consulta etc.). O comunicado não diz em que forma as senhas eram armazenadas (criptografadas ou com hash). A universidade alerta que podem chegar e-mails, mensagens de texto e ligações suspeitos que se passem pela universidade ou por organizações relacionadas. Opinião deste site: confira qualquer mensagem que diga ser da universidade ou de seu hospital em um site oficial que você mesmo abra, mesmo que os dados nela estejam corretos, e troque qualquer senha que tenha reutilizado da sua conta universitária.
Incidente de segurança da Chainalysis (outubro–novembro de 2026): expostos nomes, nomes de usuário, hashes de senhas e tokens ativos de todos os usuários, e o que os clientes devem fazer
A empresa de análise de blockchain Chainalysis publicou um aviso sobre um incidente de segurança em 30 de outubro de 2026 e o atualizou desde então. Na atualização de 4 de novembro, a empresa diz que os nomes, nomes de usuário, hashes de senhas e tokens ativos de todos os usuários foram expostos a um ator malicioso. Diz que não tem evidências de que dados de investigações tenham sido acessados nem de que dados de atribuição tenham sido adulterados. Uma atualização anterior daquela manhã diz que um ataque on-path expôs as senhas de um subconjunto de clientes e que as contas afetadas foram bloqueadas e precisaram ser redefinidas. A empresa pausou o KYT, a triagem de endereços e a página de login e, em 6 de novembro, começou a restaurar o KYT e a triagem de endereços em fases. Não há data de restauração para o Reactor nem para o Data Solutions. Pede-se aos clientes que solicitem a inclusão de endereços IP confiáveis na lista de permitidos, redefinam senhas e troquem as chaves de API. O aviso de 30 de outubro dizia que não havia evidências de acesso a credenciais de autenticação nem a tokens de sessão; as atualizações posteriores descrevem a exposição de tokens e a página não explica a diferença.
Acesso não autorizado à Club Tourism e possível vazamento de dados pessoais (cerca de 4,32 milhões de registros): o que devem fazer os membros com nome, endereço, telefone e contato de emergência
A Club Tourism Co., Ltd. (Japão) anunciou em 31 de outubro de 2026 que detectou um acesso não autorizado vindo de fora às 5:45 de 30 de outubro e que as informações dos membros de internet cadastrados em seu sistema de reservas pela internet podem ter vazado para fora (primeiro comunicado). Os itens são nome (kanji e kana), nacionalidade, sexo, data de nascimento e idade, endereço, número de telefone, endereço de e-mail, número de membro e contato de emergência. O volume é de cerca de 4,32 milhões de registros. Segundo a empresa, não estão incluídos senhas de login, dados de passaporte, dados de cartão de crédito nem números de contas bancárias. Quem nunca se cadastrou como membro de internet não é afetado, e nenhum dano secundário específico atribuído a este incidente foi confirmado. A empresa afirma que isolou o servidor, identificou e corrigiu a via de intrusão, suspendeu seu site para evitar mais danos e investigar, consultou a polícia e comunicou a Comissão de Proteção de Informações Pessoais e sua autoridade supervisora. Conclusão deste site: se alguém que diga ser da empresa ligar, enviar e-mail ou mensagem de texto, não use os links nem os números da mensagem; confirme no site oficial, em uma agência ou pelo contato do comunicado.
Vazamento na Tin Pan Alley, subsidiária da World (operadora da RAGTAG, segundo a imprensa), com cerca de 1,2 milhão de registros no total: nomes, endereços e telefones podem ter vazado e o que os membros devem fazer
Em 30 de outubro de 2026, a World Co., Ltd. anunciou que um terceiro acessou sem autorização um servidor de negócios de sua subsidiária consolidada Tin Pan Alley Co., Ltd., e que parte das informações de membros armazenadas nele pode ter vazado. As informações de membros que podem ter vazado somam cerca de 1,2 milhão de registros (uma contagem agregada, não um número de pessoas). Os itens são nome, endereço, número de telefone, data de nascimento, gênero e endereço de e-mail. A empresa diz que não foi confirmado vazamento de dados de cartão de crédito ou outros dados de pagamento, nem de dados faciais. O acesso ocorreu por volta das 14:51 de 17 de outubro, foi detectado por volta das 12:08 de 28 de outubro e a via foi bloqueada às 21:36 do mesmo dia. Ainda se confirma quais membros e quantos são afetados, e os e-mails individuais aos membros sairão quando estiverem prontos. Segundo a imprensa, a Tin Pan Alley opera a marca de roupas usadas RAGTAG e outras, mas o próprio comunicado não cita nenhum serviço ou marca. Avaliação deste site: presuma que seu nome, endereço, telefone e e-mail estão juntos em mãos alheias, não abra links em mensagens, confirme em um site oficial que você mesmo abrir e nunca informe senhas ou números de cartão.
Vazamento de contas de clientes da Revolve: números de cartão salvos e datas de validade acessados (1.515.073 pessoas segundo a lista da Procuradoria de Indiana) e o que os clientes devem fazer
A varejista de moda americana Revolve divulgou em um documento apresentado ao regulador de valores mobiliários dos EUA em 29 de outubro de 2026, segundo o The Record, que uma parte não autorizada usou meios automatizados para acessar dados de contas de clientes, incluindo nomes, dados de contato e números de cartões de pagamento salvos com suas datas de validade. Os primeiros registros estaduais mostravam apenas números por estado, como 127.200 texanos. A lista de vazamentos de dados da Procuradoria-Geral de Indiana (edição de novembro de 2026) mostra agora a Revolve Group, Inc com data de notificação em 29 de outubro, data do vazamento em 11 de setembro, 10.534 moradores de Indiana e 1.515.073 pessoas no total. As notificações a outros cinco estados (Iowa, Massachusetts, Carolina do Sul, Texas e Vermont) somavam apenas cerca de 197.000, segundo a SecurityWeek. As fontes que lemos não informam se o código de segurança do cartão (CVV) esteve envolvido. Avaliação deste site: se você salvou um cartão na sua conta da Revolve, acompanhe suas faturas em busca de cobranças pequenas desconhecidas, pergunte ao emissor se deve reemitir o cartão e trate como suspeita qualquer mensagem que cite seu histórico de pedidos até conferir você mesmo.
Roubo de criptoativos na Binance (cerca de US$ 6,3 bilhões): os fundos dos usuários estão cobertos e o que os titulares de contas devem fazer
A Binance disse que suas hot wallets (carteiras quentes) foram comprometidas por volta das 20h05 UTC de 29 de outubro de 2026 e que saques não autorizados se seguiram, com impacto estimado de cerca de US$ 6,3 bilhões. Em 31 de outubro, o FBI anunciou que a Coreia do Norte foi responsável pelo roubo de mais de US$ 6 bilhões e publicou 628 endereços que, segundo ele, mantêm ou mantiveram ativos do roubo, pedindo que corretoras e outros serviços os bloqueiem. A Binance diz que os fundos dos usuários estão seguros, que absorverá a perda ela mesma (em 1º de novembro disse que cerca de 95% do valor afetado já foi reposto) e que cerca de US$ 3 bilhões foram congelados on-chain. Sua primeira atualização dizia que a investigação inicial sugeria que o laptop comprometido de um engenheiro de DevOps permitiu a um invasor chegar a um contêiner de serviço e enviar saques não autorizados; a segunda atualização diz que a investigação posterior descobriu pontos de invasão adicionais e que não foi encontrada nenhuma evidência de vazamento de chave privada de carteira. A Atualização nº 4 da Binance marcou a primeira fase dos saques para 06h00 a 09h00 UTC de 1º de novembro, e a Binance disse em uma publicação no X que, às 12h36 UTC, as 15 redes da primeira fase já tinham sido retomadas; as demais redes e ativos ainda estão em teste e os depósitos não são afetados. Na Atualização nº 5, de 2 de novembro, a Binance disse que a prova completa de conhecimento zero da Prova de Reservas para dez tokens está concluída e que a próxima fase dos saques está prevista para 3 de novembro. Na Atualização nº 6, de 3 de novembro, a Binance disse que os saques são reabertos para mais ativos a partir das 04h00 UTC desse dia, progressivamente conforme as verificações de segurança terminam. Ainda falta uma análise posterior. A conclusão deste site: pelo que foi divulgado, tratou-se de um roubo das próprias carteiras da corretora, e a Binance não listou dados de clientes como afetados, então o principal risco para os titulares de contas agora são mensagens falsas de suporte, de reembolso e de recuperação. Abra a Binance apenas por seu próprio favorito ou pelo app oficial, nunca compartilhe uma frase-semente, chave privada ou código de verificação, e ative a autenticação em duas etapas.
Incidente da DreamHost (outubro de 2026): credenciais FTP e SFTP expostas pelo File Manager, credenciais de webmail também levadas, e o que os titulares de contas devem fazer
Em 29 de outubro de 2026, a DreamHost disse que em 23 de outubro detectou um acesso não autorizado ao servidor que executa seu File Manager web (files.dreamhost.com). O invasor explorou uma vulnerabilidade em um software de terceiros usado pelo File Manager e obteve os nomes de usuário e senhas FTP/SFTP de usuários que entraram no File Manager de aproximadamente agosto até 23 de outubro. O invasor também chegou a certos sistemas de webmail e obteve as credenciais de acesso de um número limitado de usuários de webmail; em um pequeno número de casos, o conteúdo de caixas de correio pode ter sido visto, e a DreamHost está contatando esses clientes individualmente. A DreamHost diz que não encontrou evidências de que logins do painel de controle ou dados de cobrança tenham sido acessados, e que não armazena números completos de cartão. Ela situa o impacto bem abaixo de aproximadamente 10% das contas de e-mail e FTP/SFTP e não informou um número. Registrou uma notificação junto ao procurador-geral da Califórnia (informada em 2 de novembro), e a carta de exemplo oferece um ano de proteção contra roubo de identidade. Desde 23 de outubro redefiniu algumas senhas como precaução, e esses usuários de e-mail, FTP e SFTP continuam bloqueados até que o titular da conta defina novas senhas no painel. Avaliação deste site: se você usou o File Manager desde agosto, troque suas senhas FTP/SFTP mesmo que não tenha recebido aviso de redefinição, atualize as senhas salvas nas ferramentas e confira encaminhamentos e filtros de e-mail e os arquivos do seu site em busca de alterações que você não fez.
Vazamento de dados de estudantes da ETS na Califórnia: dados de deficiência, 504 e provas copiados, e o que as famílias devem fazer
A Educational Testing Service (ETS), organização sem fins lucrativos que aplica as provas estaduais da Califórnia (CAASPP e ELPAC) sob contrato com o estado, começou a notificar estudantes e famílias em 16 de outubro de 2026, por orientação do Departamento de Educação da Califórnia (CDE). Segundo o Aviso de Vazamento de Dados da ETS, um terceiro não autorizado usou uma credencial de login comprometida em vários momentos entre 22 de maio e 18 de setembro de 2026 para acessar um site SFTP da ETS usado para trocar informações das provas com o CDE e copiar arquivos com informações de estudantes. A ETS identificou a atividade em 25 de setembro. O aviso diz que informações de estudantes da Califórnia, incluindo, mas não se limitando a, todos os estudantes matriculados nos três anos letivos anteriores, foram acessadas e copiadas. Os dados variam conforme o estudante, mas podem incluir nome, data de nascimento, endereço, escola e série, identificadores de estudante, gênero, raça ou etnia, idioma e país de origem, deficiência e status da Seção 504, adaptações nas provas e tipo principal de deficiência, elegibilidade para programas e resultados das provas. Segundo a ETS, números de Seguro Social, dados de contas financeiras e cartões, senhas e informações de pais ou responsáveis não foram afetados. Nenhum número foi divulgado. A ETS oferece dois anos de Experian IdentityWorks sem custo. A avaliação deste site: famílias de estudantes atuais e antigos de escolas públicas da Califórnia devem tratar o aviso como aplicável a elas, se inscrever com o código da carta e não confiar em ligações ou mensagens só porque mencionam a escola ou as provas da criança.
Invasão de sistemas internos da Genesys (outubro de 2026): sistemas com dados de contato de clientes foram acessados, plataformas não afetadas, e o que os clientes devem fazer
Em 19 de outubro de 2026, a Genesys, fornecedora da plataforma de central de atendimento Genesys Cloud, anunciou um incidente de cibersegurança envolvendo um terceiro não autorizado. A empresa tomou conhecimento dele em 16 de outubro. A investigação constatou que o terceiro conseguiu acessar determinados sistemas internos de negócios, incluindo um sistema de gestão de aprendizagem (LMS) e uma plataforma de gestão de relacionamento com clientes (CRM), e a empresa confirmou que determinadas informações desses sistemas foram acessadas ou baixadas (ou ambas as coisas) sem autorização. As informações mantidas nesses sistemas incluem dados comerciais e de conta sobre clientes atuais e potenciais, como nomes, endereços de e-mail corporativos, números de telefone, cargos, informações da empresa e da conta e outras informações associadas às interações com clientes. A empresa afirma que as plataformas Genesys Cloud, Genesys Engage e Genesys Engage Cloud não foram comprometidas e que os dados de clientes e parceiros nelas, incluindo gravações de chamadas e dados analíticos, não foram acessados. Em 23 de outubro, disse que o incidente estava totalmente contido e que havia suspendido o uso do LMS. O número de pessoas afetadas não foi divulgado. A opinião deste site: profissionais cujos dados de contato estão com um fornecedor devem tratar como falsas as mensagens inesperadas que mencionem a Genesys e peçam senhas ou informações sensíveis, e confirmar por um canal que já usam.
Vazamento de dados de membros do GETTIIS (317.971 IDs de membro): o que vazou e o que os membros devem fazer
Em 19 de outubro de 2026, a Linkstation Inc. (Japão) anunciou que informações de membros do GETTIIS haviam vazado após um acesso não autorizado e, em 20 de outubro, publicou um segundo relatório com os números por item. Segundo a empresa, entre cerca de 0h00 e 7h00 de 18 de outubro, um terceiro explorou uma vulnerabilidade no programa do Gettii-Lite, um serviço de cadastro de apresentações para organizadores, e obteve dados de membros do GETTIIS. Os números são por item, não um total de pessoas: IDs de membro 317.971; senhas com hash 311.451; e-mails 311.426; nomes 309.759; telefones 309.668; informações relacionadas ao cartão 29.515 (os quatro primeiros e os quatro últimos dígitos, o nome do titular e a validade, criptografados); sexo 5.900; datas de nascimento 5.192; CEPs 489. A empresa diz que não guarda números completos de cartão nem códigos de segurança, que os dados vazados sozinhos não servem para pagamentos com cartão e que as senhas estavam guardadas como hashes. A conclusão deste site: troque a senha do GETTIIS e qualquer outra que tenha reutilizado, e trate como suspeitas as mensagens que usem seu nome e seu telefone, porque esses dois itens vazaram em cerca de 310.000 registros cada um.
Vazamento no sistema de gestão do app da Matsuya (2.377.127 registros mais membros do app): nomes, telefones e endereços de entrega expostos: o que os membros devem fazer
Em 30 de outubro de 2026, a Matsuya Foods Holdings Co., Ltd., rede japonesa de restaurantes de gyudon (tigelas de arroz com carne bovina), anunciou que um terceiro acessou sem autorização o sistema de gestão do app oficial da Matsuya (Matsuben Net, Mobile Order e Matsuben Delivery) e que dados de membros vazaram. A empresa descobriu a invasão e o vazamento em 28 de outubro. Para os usuários do Matsuben Net, Mobile Order e Matsuben Delivery (2.377.127 registros), os itens são ID de membro, endereço de entrega, nome, número de telefone e pontos Matsuya. Para os membros do app da Matsuya (2.000 registros, possivelmente até 3.000), os itens são ID de membro, prefeitura, nome, número de telefone, data de nascimento, endereço de e-mail, senha criptografada e pontos Matsuya. A empresa diz que não guarda dados de cartão de crédito. A causa e como a invasão aconteceu estão sob investigação, e o app e serviços relacionados, como o site, estão suspensos. Nossa conclusão: não abra links de mensagens que digam ser da Matsuya, confira apenas em locais oficiais que você mesmo abrir e, se for membro do app, pare de reutilizar a senha da Matsuya em outros sites.
Vazamento no app e na loja online da Ryohin Keikaku (MUJI) (até cerca de 27,26 milhões de registros): números de cerca de 1,09 milhão de MUJI Card também afetados — o que os usuários devem fazer
Depois do primeiro comunicado de 30 de outubro, a Ryohin Keikaku Co., Ltd., a varejista japonesa por trás da MUJI, disse em um segundo comunicado, de 4 de novembro de 2026, que o alcance era maior. Estão afetados os membros da loja online da MUJI (incluindo pessoas que nunca usaram o app da MUJI) além dos usuários do app, com os clientes que se desligaram incluídos. Endereço de e-mail, data de nascimento, gênero e ID de membro de até cerca de 27,26 milhões de registros podem ter sido acessados de fora, e em cerca de 520.000 deles também nome, endereço e número de telefone. Para cerca de 1,09 milhão de membros do MUJI Card (emitido pela Credit Saison, com adesão até julho de 2021), estão afetados o número completo do cartão, o ID do MUJI Card e a data de nascimento; o nome no cartão, a validade e o código de segurança não estão incluídos. Para cerca de 120 registros em que um cartão foi cadastrado no app ou na loja online, estão afetados os seis primeiros e os dois últimos dígitos do número do cartão e o nome do titular. A empresa diz que não confirmou nenhum vazamento para a dark web nem danos por uso indevido, e que entrará em contato individualmente, por e-mail ou correio, com os clientes afetados. Em 6 de novembro, anunciou que havia suspendido a loja online. Conclusão deste site: se você tem um MUJI Card, confira a fatura do cartão e fale com a Credit Saison sobre qualquer cobrança que não reconheça, e verifique qualquer mensagem ou ligação que se diga da MUJI ou de uma operadora de cartão pelo app ou site oficial que você mesmo abrir, ou pelo número no verso do cartão.
Vazamento de dados da Paradigm Healthcare Services: números de afiliado do Medi-Cal e datas de nascimento podem ter sido acessados, e o que os afiliados devem fazer
A Paradigm Healthcare Services, prestadora de serviços terceirizada que processa o faturamento do Medi-Cal e mantém os números de identificação de afiliado do Medi-Cal para o Departamento de Serviços de Saúde da Califórnia (DHCS), publicou um Aviso de Vazamento de Dados e enviou cartas datadas de 14 de setembro de 2026. Segundo a Paradigm, ela tomou conhecimento de um acesso não autorizado à sua rede local em 13 de outubro de 2025, tirou certos sistemas do ar e notificou as autoridades. Em 18 de agosto de 2026, concluiu que arquivos com informações de saúde protegidas de algumas pessoas podem ter sido acessados por um terceiro não autorizado entre 8 e 15 de outubro de 2025. As informações que podem ter sido acessadas são nome, data de nascimento, gênero e número de identificação de afiliado do Medi-Cal. A Paradigm diz que sua plataforma Student Health Network não foi afetada e que não tem evidências de que as informações tenham sido usadas para fraude ou roubo de identidade. O aviso não traz um número; a imprensa fala em cerca de 970.000 pessoas (SecurityWeek, citando a notificação da Paradigm ao Departamento de Saúde e Serviços Humanos dos EUA, e HIPAA Journal, que informa 970.403). A avaliação deste site: afiliados do Medi-Cal que receberem a carta devem verificar seus extratos de benefícios em busca de serviços que não receberam e não devem considerar legítimo quem liga só porque sabe o número do Medi-Cal e a data de nascimento.
Vazamento de dados da Photon Health (falha em uma ferramenta de análise): nomes, endereços, telefones, datas de nascimento e informações de receitas — o que os pacientes afetados devem fazer
Em 8 de outubro de 2026, a Photon Health, uma plataforma americana de receita eletrônica, publicou um comunicado dizendo que um terceiro não autorizado explorou uma vulnerabilidade até então desconhecida em sua ferramenta de análise de dados (Metabase), que a Photon executa em sua própria infraestrutura, e acessou certos dados. A Photon diz que soube do incidente em 21 de agosto e concluiu a revisão dos dados em 4 de setembro. Os itens são nome, endereço, número de telefone, data de nascimento e informações de medicamentos prescritos, variando por pessoa. A Photon diz que não coleta nem armazena números de Seguro Social nem informações financeiras, então não foram afetados, e que não tem evidências de uso indevido. A Photon não divulgou quantas pessoas são afetadas. Separadamente, a Blueberry Pediatrics, uma empresa de telessaúde pediátrica, informou ao procurador-geral do Oregon que 340.915 pessoas foram afetadas por uma violação do seu próprio ambiente Metabase, com itens que incluem detalhes do plano de saúde e prontuários médicos. Conclusão deste site: são dados relacionados à saúde ligados a um nome, endereço e telefone reais, então espere ligações e mensagens convincentes sobre receitas, seguro ou contas de farmácia. Não aja com base nelas; retorne a ligação para um número que você mesmo procurar.
Vazamento de dados da Ricardo (marketplace suíço), cerca de 890 mil contas: nomes, endereços e telefones expostos, e o que os usuários devem fazer
Em 9 de outubro de 2026, o SMG Swiss Marketplace Group, que opera o marketplace suíço Ricardo, anunciou um acesso não autorizado a dados pessoais vinculados a pedidos na plataforma Ricardo. A Ricardo detectou atividade suspeita em seus servidores em 7 de outubro e iniciou medidas técnicas imediatamente; a empresa afirma que a vulnerabilidade de segurança que permitiu o acesso foi totalmente resolvida. A investigação constatou que dados pessoais relativos a cerca de 890 mil contas de usuário foram expostos. Os dados expostos se limitaram a nomes, endereços postais e números de telefone e, no caso de usuários empresariais, nomes de empresas; endereços de e-mail e senhas não foram afetados. A Ricardo está informando diretamente os usuários afetados e notificou o Comissário Federal Suíço de Proteção de Dados e Informação (FDPIC). A natureza da vulnerabilidade e o período de acesso não foram divulgados. A opinião deste site: parta do princípio de que seu endereço e seu telefone são conhecidos e não informe dados de cartão nem logins de banco ou do TWINT a cartas, ligações, SMS ou mensagens de WhatsApp que digam vir da Ricardo ou da outra parte de uma negociação.
Vazamento no site da Yakult Honsha (cerca de 40.000 registros): nomes, endereços, telefones, e-mails e conteúdo de consultas vazaram — o que os afetados devem fazer
A Yakult Honsha Co., Ltd. confirmou acesso não autorizado ao seu site em 26 de outubro de 2026 e suspendeu as funções do site no mesmo dia. Em seu segundo relatório, de 30 de outubro, disse ter confirmado que cerca de 40.000 registros de dados pessoais fornecidos pelo site vazaram. Os grupos e itens afetados são: usuários do formulário de consulta por e-mail (nome, gênero, faixa etária, endereço, número de telefone, endereço de e-mail, conteúdo da consulta); membros do site de merenda escolar “Tanoshii Kyushoku” (nome, tipo de atividade, local de trabalho, endereço e telefone do local de trabalho, endereço de e-mail, senha criptografada e mais); usuários do formulário de consultas da imprensa; e funcionários da empresa que atenderam essas consultas (nomes). A empresa diz que o site não guardava dados de cartão de crédito nem de conta bancária. O detalhamento do número, o período afetado e a causa não foram divulgados. Ela fez um primeiro relatório à Comissão de Proteção de Informações Pessoais do Japão e consultou a polícia. Conclusão deste site: não abra links em mensagens que se digam da Yakult e, se você é membro do site de merenda escolar, troque a senha de qualquer outro serviço em que usou a mesma.
Acesso não autorizado ao app de e-commerce da Aena (dados da Minha Página de até 817.215 pessoas): nomes, endereços e dados de entrega que podem ter sido visualizados, e o que os membros devem fazer
A Aena Co., Ltd., uma rede japonesa de lojas de descontos, anunciou em 14 de outubro de 2026 que os dados da Minha Página dos membros do seu app de e-commerce podem ter sido visualizados sem autorização. Segundo a empresa, a análise dos registros do sistema o detectou às 5h58 de 13 de outubro, e até 817.215 membros (membros completos) podem ter sido afetados. Membros do LINE e clientes que compraram pela Amazon, Rakuten e sites semelhantes não são afetados. As informações que podem ter sido visualizadas são nome, endereço, telefone, e-mail, data de nascimento, gênero, ocupação, endereço de entrega, nome e telefone (incluindo os de terceiros), loja favorita e configurações de e-mail, e os últimos 4 dígitos, a data de validade e o nome do titular dos cartões de crédito cadastrados. A empresa diz que não guarda números completos de cartão nem códigos de segurança, que nenhuma senha foi visualizada ou vazou e que confirmou que nenhuma informação de membro foi alterada, ninguém foi desligado e nenhuma compra foi concluída. A causa é descrita como acesso contínuo de tipo mecânico feito por meio de acesso não autorizado, e a investigação continua. A empresa bloqueou o acesso ao seu site de e-commerce, e o app, que estava suspenso, foi retomado ao meio-dia de segunda-feira, 19 de outubro; uma tela de redefinição de senha aparece na primeira abertura após a retomada. Conclusão deste site: redefina sua senha no app, troque qualquer outro serviço em que a reutilizou e verifique mensagens sobre entregas ou pedidos sem usar os links nem os números delas.
Vazamento de dados de clientes da ASOS e falso alerta no aplicativo: nomes e dados de contato levados, datas de nascimento e histórico de buscas relatados — o que os clientes devem fazer
Em 6 de outubro de 2026, clientes da ASOS receberam uma notificação push não autorizada pelo aplicativo da ASOS. A ASOS disse que uma parte não autorizada acessou plataformas de terceiros que ela usa para se comunicar com os clientes. Disse que nomes e dados de contato dos clientes podem ter sido acessados e que não acredita que dados de cartão de pagamento nem senhas de contas tenham sido afetados. Em uma atualização posterior aos clientes, segundo o BleepingComputer, a ASOS disse que as credenciais de login de um funcionário foram obtidas por meio de uma falsa identidade de contato de confiança. A BBC relatou que uma amostra fornecida pelos atacantes também incluía números de cliente, datas de nascimento e buscas feitas no site da ASOS; a ASOS não confirmou essa lista. A ASOS não divulgou quantos clientes foram afetados. A avaliação deste site: uma mensagem que cita seu nome ou uma busca passada não prova que vem da ASOS. Abra você mesmo o aplicativo ou o site da ASOS em vez de tocar em um link.
Vazamento em terceirizada da Benefit One no 'Toku-Kai' (29.465 pessoas): nomes, datas de nascimento e e-mails vazados, e o que os membros devem fazer
Em 28 de outubro de 2026, a Benefit One Inc. anunciou que um sistema operado por uma de suas terceirizadas foi acessado sem autorização e que dados pessoais de 29.465 membros (incluindo alguns que já saíram) do Toku-Kai, serviço para titulares de cartões da Credit Saison Co., Ltd., vazaram. O acesso ocorreu de forma intermitente de 14 a 20 de outubro; a terceirizada detectou parte dele em 21 de outubro e comunicou à Benefit One, que suspendeu o serviço no mesmo dia. Os itens vazados são nome, furigana (leitura do nome), data de nascimento, gênero, CEP, e-mail, número de cliente, informações de adesão e cancelamento e um número de gerenciamento usado no processamento do pagamento da mensalidade (os itens variam conforme o membro). Separadamente, parte das informações de autenticação da Benefit One usadas para a integração com o sistema de pagamento pode ter vazado; elas foram trocadas em 26 de outubro, e nenhum pagamento fraudulento atribuível a este incidente foi confirmado. A Benefit One diz que números de cartão, datas de validade e códigos de segurança não são mantidos no sistema afetado e não vazaram. A empresa diz que os dados não vieram dos sistemas da Credit Saison. A causa e o número final estão sob investigação. Avaliação deste site: o comunicado da Benefit One não pede que os membros troquem o número do cartão, mas nomes, datas de nascimento e e-mails vazaram; por isso, não abra links em mensagens que se digam da empresa ou de seus parceiros e confirme em um site oficial que você mesmo abra.
Roubo de criptoativos na Bitget (cerca de US$ 387,5 milhões): os saldos dos clientes estão cobertos e o que os titulares de contas devem fazer
Em 24 de setembro de 2026 (UTC), a corretora de criptomoedas Bitget detectou transferências não autorizadas de parte de suas carteiras quentes e mornas. Primeiro estimou cerca de US$ 351,6 milhões e em 25 de setembro confirmou cerca de US$ 387,5 milhões enviados a endereços controlados pelo atacante. A Bitget diz que os saldos das contas dos clientes não foram afetados, que a perda se enquadra em seu Fundo de Proteção ao Usuário, que as carteiras frias não foram tocadas e que a porta de entrada foi uma vulnerabilidade zero-day em produtos de segurança de terceiros, já corrigida. Os saques foram pausados e depois restabelecidos em fases; a página da Bitget diz que foram totalmente restabelecidos em 2 de outubro. A Bitget não divulgou o nome do produto afetado nem um relatório completo da causa raiz. A avaliação deste site: foi um roubo das carteiras da própria corretora, não um vazamento de dados de clientes, então o principal risco para os titulares agora são falsas mensagens de «recuperação» e «compensação». Ative a autenticação em dois fatores, abra a Bitget somente pelo seu próprio favorito e nunca compartilhe frase-semente, chave privada ou código de verificação.
Acesso não autorizado ao groupware interno da Bithumb (dados pessoais de 844 clientes expostos): números de identificação, números de conta e mais, e o que os clientes devem fazer
A Bithumb, corretora de criptomoedas da Coreia do Sul, descobriu em 27 de outubro de 2026 um acesso anômalo de um terceiro externo não autorizado ao seu sistema interno de groupware móvel e, segundo a imprensa coreana que noticiou seu anúncio de 29 de outubro, constatou que dados pessoais de clientes foram expostos. Dos registros de 6.444 clientes envolvidos, 5.600 estavam em arquivos criptografados com DRM que não podiam ser lidos de fora, e os dados de 844 clientes foram expostos. Os itens variam conforme o cliente e incluem nome, número de celular, e-mail, número de registro de residente, número da carteira de motorista, número de conta e cópias do documento de identidade. Também foram afetados 715 funcionários. A Bithumb diz que o groupware é separado das contas da corretora e das informações de ativos, e nenhuma invasão direta ao serviço da corretora ou ao banco de dados de clientes foi confirmada. Conclusão deste site: trate como suspeita qualquer ligação, mensagem de texto ou e-mail que mencione seu documento de identidade ou os dados da sua conta, nunca compartilhe um código de uso único ou uma senha e confira o comunicado da Bithumb no app ou site oficial que você mesmo abra.
Vazamento de dados de agentes da Covered California: nomes, números de licença e número de Seguro Social ou FEIN expostos em um incidente de phishing, e o que os agentes devem fazer
A Covered California, o marketplace de planos de saúde da Califórnia, apresentou uma notificação de vazamento de dados ao Procurador-Geral da Califórnia (informada em 16 de outubro de 2026). O aviso aos agentes diz que, em 13 de maio de 2026, uma pessoa não autorizada usou um esquema de phishing para obter acesso a informações relativas aos agentes, e que planilhas de agentes foram acessadas. Essas planilhas incluíam o nome de cada agente, o nome da agência, o número de licença, o FEIN ou número de Seguro Social e a função dentro da agência. O aviso não diz quantos agentes foram afetados, não menciona dados de inscritos (consumidores) e não oferece monitoramento de crédito. A Covered California recomenda fazer um alerta de fraude junto aos três bureaus de crédito e seguir as dicas do Breach Help do Procurador-Geral. Avaliação deste site: agentes licenciados e funcionários de agências devem fazer já um alerta de fraude ou um congelamento de crédito, tratar como suspeitas as mensagens inesperadas que citem seu número de licença ou sua agência e usar o contato indicado no aviso.
Vazamento de dados do bot de Discord Double Counter (cerca de 28 milhões de IDs do Discord, 1 milhão de e-mails): o que vazou e o que membros e administradores de servidores devem fazer
A Tellter SAS, operadora do bot de verificação do Discord Double Counter, publicou um relatório do incidente em 5 de outubro de 2026 (versão 2.0 em 21 de outubro). Ela diz que um atacante entrou em 4 de outubro por uma ferramenta de análise Metabase acessível publicamente em um servidor desativado de um provedor de hospedagem e depois usou duas credenciais de sua nuvem guardadas nesse mesmo servidor. Foram afetados cerca de 28 milhões de IDs e nomes de usuário do Discord, 27 milhões de endereços IP com localização aproximada, 25 milhões de dados de dispositivo com hash e 1,0 milhão de endereços de e-mail, com cópia parcial nas duas primeiras categorias. Cerca de 5.000 registros de clientes dos produtos de pagamento da operadora também foram copiados. O bot nunca recebeu senhas do Discord e os números completos de cartão não foram afetados. O atacante também usou o token do bot para postar convites para outro servidor do Discord em cerca de 50 servidores grandes. A operadora notificou a autoridade francesa de proteção de dados em 5 de outubro e começou a enviar e-mails a cerca de 1 milhão de pessoas em 21 de outubro. A avaliação deste site: os membros não precisam mudar sua conta do Discord, mas devem esperar mensagens que usem seu ID, e-mail e endereço IP, e os administradores de servidores devem apagar as postagens de convite de 4 de outubro.
Vazamento de dados de clientes da ENGIE (França): dados de contato e números de contrato expostos por uma ferramenta de vendas de parceiros, sem dados bancários, e o que os clientes devem fazer
A ENGIE, fornecedora de energia francesa, começou a enviar e-mails a clientes na França no fim de outubro de 2026 para dizer que um ataque (a expressão foi reproduzida como um ato de ciber-malevolência) atingiu uma ferramenta usada por alguns de seus parceiros para prospectar clientes e vender suas ofertas. Segundo reportagens que citam o e-mail da ENGIE aos clientes (a declaração da ENGIE à BleepingComputer não listava, por si só, os itens), os dados expostos são nome e sobrenome, endereços postal e de e-mail, telefones, a referência do ponto de entrega de eletricidade (PDL) ou do ponto de medição de gás (PCE), o identificador do cliente e o número do contrato. A ENGIE diz que nenhum dado bancário é afetado, que seus próprios sistemas de TI não foram comprometidos, que cortou o acesso dos atacantes à plataforma e que informou as autoridades. O número de clientes afetados e o parceiro envolvido não foram divulgados. Não encontramos nenhum comunicado sobre isso no próprio site da ENGIE, então este artigo se baseia em declarações da ENGIE noticiadas por vários veículos. Avaliação deste site: não informe IBAN, número de cartão ou código a ninguém que ligue ou escreva citando seu número de contrato ou de medidor, e desligue e ligue para o número da sua fatura.
Vazamento no site de auxílio financeiro do Departamento de Educação da Flórida (cerca de 4,9 milhões de pessoas): números de Seguro Social em risco e o que fazer
Em 29 de outubro de 2026, o Departamento de Educação da Flórida (Florida Department of Education) anunciou que sua equipe soube em 19 de outubro de um acesso criminoso não autorizado ao site Florida Student Financial Aid (FloridaStudentFinancialAidSG.org). O departamento acredita que o incidente se limitou a esse site e que pode ter afetado aproximadamente 4,9 milhões de pessoas. As informações potencialmente expostas podem incluir números de Seguro Social, nomes e sobrenomes, datas de nascimento, endereços residenciais, números de telefone (inclusive de celular), endereços de e-mail e códigos de identificação de gênero (M ou F). Nem todas as pessoas foram necessariamente afetadas. Diz que qualquer pessoa que já tenha solicitado auxílio financeiro na Flórida pode ter sido afetada. O departamento afirma que ativou seus protocolos de resposta de segurança cibernética, notificou o gabinete do Procurador-Geral da Flórida e trabalha com o Florida Digital Service e o Departamento de Aplicação da Lei da Flórida. Diz que o auxílio financeiro em andamento, os pagamentos de mensalidades e a elegibilidade para bolsas, subsídios e empréstimos não são afetados. A causa não foi divulgada. Avaliação deste site: o número de Seguro Social não muda, portanto verifique seus relatórios de crédito, considere um alerta de fraude ou um congelamento de crédito e trate como suspeita qualquer mensagem que use seu nome, e-mail ou telefone e mencione este incidente.
Vazamento de dados de membros da Hana-cupid (até 4.238.242 registros): IDs de usuário, senhas criptografadas e e-mails vazados, e o que os membros devem fazer
A Hana-cupid Co., Ltd. anunciou em 28 de outubro de 2026 que um acesso não autorizado de terceiros aos seus serviços de floricultura online, Internet Hana-cupid e Business Hana-cupid, vazou parte das informações de membros. Segundo a empresa, um terceiro acessou seu sistema de gerenciamento sem autorização entre 14 de outubro (quarta-feira) e 15 de outubro (quinta-feira), e a empresa confirmou o vazamento de informações de membros em 19 de outubro (segunda-feira) durante a investigação. O número é de 4.238.242 (clientes que podem ter sido afetados). Os itens vazados são: ID de usuário (ID de login), senha (em uma forma criptografada que não pode ser usada como está; o FAQ a chama de hash), e-mail de PC e e-mail de celular. A empresa diz que nome, gênero, data de nascimento, endereço, telefone, número de cartão de crédito, nome da empresa, nome do departamento e informações do destino de entrega não vazaram. Estão cobertos apenas os membros que cadastraram um e-mail na loja online oficial da empresa (i879.com, i879.com/biz/); pedidos feitos em shoppings externos, pedidos por telefone sem e-mail e compras em floriculturas membros da Hana-cupid não estão. A empresa diz que não guarda dados de cartão de crédito e que não é preciso bloquear nem reemitir cartões. Não confirmou danos secundários, começou a enviar e-mails individuais aos membros afetados em 28 de outubro e comunicou à Comissão de Proteção de Informações Pessoais e à polícia. A causa não foi informada, e a empresa investiga com uma organização externa especializada. Diz que não planeja compensação em dinheiro nem reembolso. Conclusão deste site: se você pode ter sido afetado, troque sua senha e a de qualquer outro serviço em que reutilizou o mesmo ID e senha. Verifique qualquer mensagem que diga ser da Hana-cupid ou de uma instituição financeira abrindo você mesmo o site oficial, e não pelos links dela.
Vazamento de dados da iRhythm (8.179.772 pessoas na lista do HHS): nomes de pacientes do Zio, números de seguro e números de série de dispositivos, e o que os pacientes devem fazer
A iRhythm Technologies, fabricante americana do monitor cardíaco vestível Zio, informou à SEC dos EUA em 15 de junho de 2026 que havia detectado acesso não autorizado a certos aplicativos de negócios hospedados por terceiros e que dados foram extraídos. Em um aviso datado de 2 de outubro de 2026, a empresa diz que sua investigação constatou que os dados foram acessados e baixados entre 3 e 8 de junho de 2026, e que os avisos às pessoas afetadas começaram em 2 de outubro. Os dados incluem nome do paciente, informações de contato (endereço, e-mail, telefone), número da conta do paciente, número de série do dispositivo, número do seguro, data do serviço e data de nascimento, e a empresa diz que contam como informações de saúde protegidas pela HIPAA. A iRhythm não divulgou um total próprio. O incidente apareceu no portal de vazamentos do Departamento de Saúde e Serviços Humanos dos EUA (HHS) com 8.179.772 pessoas, segundo SecurityWeek e CyberInsider em 29 de outubro de 2026. Registros estaduais anteriores listavam 298.647 pessoas no Texas e 69.526 na Carolina do Sul. A empresa diz que não encontrou impacto em seus produtos nem nos sistemas clínicos ou de dispositivos médicos, e que não armazena informações de cartões de pagamento nem de contas financeiras. Avaliação deste site: se você foi paciente do Zio, espere mensagens convincentes que usem seu nome e os dados do seu seguro, confira os extratos da sua operadora e considere um congelamento de crédito gratuito.
Acesso não autorizado ao fornecedor do sistema de reservas da JAL, JTA, ANA, Korean Air e Asiana (cerca de 92.000 clientes da JAL/JTA e 37.800 da ANA): números de reserva, nomes e mais dados, e o que os viajantes devem fazer
A Japan Airlines (JAL) e a Japan Transocean Air (JTA) anunciaram em 28 de outubro de 2026 que, em 23 de outubro, o fornecedor do seu sistema de atendimento a passageiros, uma empresa estrangeira, as informou de que um acesso não autorizado aos sistemas do fornecedor deixou indícios de que parte das informações de reservas foi visualizada de fora. O período vai de 10 de agosto de 2023 a 23 de setembro de 2026. Em cerca de 90.000 pessoas estão envolvidos número de reserva, nome, data de embarque, rota e classe de cabine; de cerca de 2.000 pessoas também foram visualizados e-mail, telefone, número de passaporte, nacionalidade, número de milhas, número do bilhete, número do assento e mais. O total é de cerca de 92.000 pessoas. Em 30 de outubro, a JAL e a JTA atualizaram o comunicado para dizer que entraram em contato com esses clientes pelo e-mail informado na reserva. A All Nippon Airways (ANA) anunciou em 30 de outubro que há indícios de que parte das informações de reservas de cerca de 37.800 pessoas que reservaram no mesmo período foi visualizada (cerca de 1.700 delas incluindo passaporte, número de milhas e mais). Na Coreia do Sul, a Korean Air e a Asiana Airlines anunciaram em 23 de outubro que há sinais de que os números de reserva de alguns clientes vazaram do sistema de reservas da mesma empresa; dizem que a causa foi um acesso não autorizado com credenciais de login e que se estima que tenha ocorrido entre agosto de 2023 e setembro de 2026 (nenhuma divulgou um número). JAL, JTA e ANA dizem que dados de cartão de crédito e senhas não foram incluídos. Conclusão deste site: mesmo que uma mensagem que diga ser de uma companhia aérea acerte seu número de reserva, seu nome e seu voo, não use os links nem os números dela; verifique no app ou no site oficial. Se seu passaporte ou número de milhas pode estar envolvido, troque a senha da sua conta de milhas e revise o histórico de resgates.
Acesso não autorizado à Sony Life vaza dados de apólices (cerca de 2,9 milhões de registros da Sony Life e 385.000 da Medicare Life): nomes, endereços, números de apólice e mais, e o que os tomadores devem fazer
A Sony Life Insurance Co., Ltd. anunciou em 9 de novembro de 2026, em um segundo comunicado, que confirmou novos vazamentos de informações decorrentes do acesso não autorizado aos seus sistemas: dados pessoais de suas próprias apólices de seguro (número da apólice, nome, endereço, telefone e mais), cerca de 2,9 milhões de registros que incluem contratos já encerrados; os e-mails e números de agente de seus agentes de vendas, cerca de 780 registros; e os e-mails e números de funcionário de seus próprios funcionários, cerca de 12.500 registros. Informa-se que não estão incluídos dados pessoais sensíveis como estado de saúde e histórico médico, My Number, dados de cartão de crédito, dados de contas nem os e-mails dos tomadores. Isso se segue ao primeiro comunicado de 28 de outubro (informações de tomadores e segurados da Medicare Life que a Sony Life intermediava como corretora, cerca de 385.000 registros), de modo que agora também os tomadores próprios da Sony Life são afetados. O acesso veio à tona em 27 de outubro. Até 9 de novembro nenhum uso indevido de informações de clientes havia sido confirmado, mas a empresa alerta para e-mails, mensagens e ligações que se passem por ela. A causa não foi divulgada. Nossa conclusão: presuma que pode ser afetado se você tem ou teve uma apólice da Sony Life, ou contratou uma apólice da Medicare Life pela Sony Life, e verifique qualquer mensagem pelos pontos de contato dos sites oficiais, não por links ou números da mensagem.
Vazamento de dados da Universidade de Copenhague (cerca de 525.000 pessoas): nomes, números CPR, telefones e e-mails — o que fazer
A Universidade de Copenhague (Københavns Universitet, KU) anunciou em 23 de outubro de 2026 que hackers haviam acessado um de seus ambientes de testes. Reportagens consistentes que citam a universidade dizem que foram obtidos dados de cerca de 525.000 pessoas: nome completo, número CPR (o número de registro civil da Dinamarca), telefones de trabalho e particulares e um e-mail particular. Em uma atualização de 25 de outubro, a universidade disse que os códigos PIN dos cartões de identificação de cerca de 20.000 funcionários e estudantes também foram comprometidos, e que novos PINs foram emitidos. As reportagens dizem que a invasão foi detectada na terça-feira, 20 de outubro, e controlada. A universidade comunicou a Autoridade Dinamarquesa de Proteção de Dados. As páginas da própria universidade não puderam ser abertas a partir deste site em 30 de outubro, então este artigo se baseia nessas reportagens. Avaliação deste site: trate como não comprovada qualquer mensagem que use seu nome e número CPR, confirme por canais que você mesmo abra e nunca informe número CPR, senha ou PIN a quem pedir.
Acesso não autorizado e vazamento de dados pessoais na White Essence (cerca de 1,05 milhão de contas): nomes, endereços, telefones e senhas criptografadas, e o que os usuários devem fazer
A White Essence Co., Ltd. anunciou em 12 de agosto de 2026 que havia suspendido seus sistemas após um acesso não autorizado ao seu site de reservas e aos seus sistemas centrais, e em 5 de outubro publicou suas conclusões em um comunicado intitulado 'Apology and Notice Regarding Leak of Personal Information Due to Unauthorized Access'. Segundo a empresa, ela confirmou um acesso não autorizado vindo de fora em 5 de agosto, suspendeu os sistemas em 12 de agosto e a investigação constatou depois que informações pessoais haviam sido levadas para fora. Das informações cadastradas em 5 de agosto de 2026, o número de pessoas afetadas é de cerca de 1,05 milhão de contas (um total que inclui clientes, pessoal de clínicas franqueadas e funcionários da matriz). Os itens vazados, no todo ou em parte, são nome, endereço, telefone, e-mail, data de nascimento, gênero, local de trabalho, ID de login e senha (em forma criptografada), informações sobre o uso dos serviços e as respostas, e o número de gestão da empresa. A empresa diz que não guarda dados de contas de instituições financeiras e que não confirmou que imagens de clientes tenham vazado. A causa, segundo ela, foi a exploração de uma vulnerabilidade no programa do seu site de reservas, usada como ponto de partida para acessar sem autorização seus sistemas centrais; a empresa diz que já terminou de tratar essa vulnerabilidade. Até 5 de outubro nenhum dano secundário havia sido confirmado, mas a empresa diz que podem chegar e-mails, ligações ou correspondências suspeitos que se passem pela empresa ou por outros negócios. Nossa conclusão: se você usa o mesmo ID de login e senha em outros serviços, troque-os lá. Trate qualquer mensagem que diga ser da empresa ou de uma clínica odontológica como não verificada, mesmo que seu nome, endereço e data de nascimento estejam corretos, e verifique por um canal oficial que você mesmo procurar.
Acesso não autorizado à Beauty Garage e à Eyelash Garage (775.725 registros): nomes de salões, telefones, e-mails e hashes de senhas vazados, e como se proteger de falsificação de identidade
A Beauty Garage Co., Ltd. anunciou em 15 de outubro que os servidores de sua loja online, e os da Eyelash Garage, foram acessados sem autorização de 10 a 12 de outubro e que parte das informações de clientes vazou. Detectou o incidente em 13 de outubro, identificou a via e a bloqueou no mesmo dia. Segundo a empresa, o alcance é de 775.725 registros de clientes mantidos nos sistemas de comércio eletrônico da Beauty Garage e da Eyelash Garage às 23h55 de 10 de outubro de 2026 (sem detalhamento por marca); o comunicado próprio da Eyelash Garage informa 49.191 (não se diz como isso se relaciona com 775.725). Os principais itens confirmados como vazados são nome da empresa, nome do salão, nome do cliente, tipo de negócio, URL do salão, telefone, e-mail, valores hash de senhas e valores hash da pergunta e da resposta de redefinição de senha. Até agora não foi confirmado o vazamento de endereço e dados de entrega, histórico de compras nem dados de pagamento, incluindo cartões de crédito. A empresa diz que não confirmou que os dados tenham sido publicados ou usados indevidamente. Os segundos comunicados de ambas as empresas, de 20 de outubro, dizem que as lojas online funcionam normalmente e que o assunto foi comunicado à Comissão de Proteção de Informações Pessoais. A causa não foi divulgada. Conclusão deste site: uma mensagem que diga ser de qualquer uma das duas empresas ou de um parceiro comercial não é genuína só porque acerta o nome do seu salão ou o seu. Verifique por um contato oficial qualquer pedido de mudar a conta de transferência bancária ou de fazer um pagamento adicional.
Acesso não autorizado ao banco de dados de membros da So-net (2,14 mi de registros da So-net, 443 mil da plala S-Course): nomes, telefones e datas de nascimento vazados, e o que os usuários devem fazer
A Sony Network Communications Inc. anunciou em 27 de outubro de 2026 que confirmou um vazamento de informações por acesso não autorizado ao banco de dados de membros do seu serviço de internet So-net. Segundo a empresa, o banco de dados foi acessado de fora em 19 de outubro, a empresa confirmou isso em 23 de outubro e parou o servidor afetado, e em 24 de outubro determinou quais itens e quantos registros vazaram. As informações vazadas são: informações de membros da So-net, 2.141.986 registros (1.869.771 membros atuais e 272.215 ex-membros que saíram em março de 2026 ou depois), e informações de membros da plala (S-Course), 443.495 registros (422.365 atuais e 21.130 ex-membros que saíram em março de 2026 ou depois). Ambas contêm nome, telefone, e-mail, ID de usuário, data de nascimento, gênero e ID de conexão de internet. A empresa diz que nenhuma senha vazou nas informações de membros. Em quatro serviços de e-mail (Mail Service G, A-Box, Sonnet VAIO Mail e PostPet Mail Account Service), as senhas de e-mail também vazaram, de 54.401 endereços no total, e a empresa as redefiniu em 27 de outubro. Dados de conta bancária de 16 registros e informações de avisos de redefinição de senha de 7 registros também vazaram, e a empresa diz que entrará em contato individualmente com essas pessoas. Dados de cartão de crédito não estão incluídos, e a empresa não confirmou vazamento de outros serviços, como o NURO. A causa é indicada como acesso não autorizado de terceiros (em investigação); a via da intrusão não foi divulgada. Conclusão deste site: se você usou algum dos quatro serviços de e-mail, redefina a senha do e-mail e troque a de qualquer outro serviço em que a reutilizou. Todos devem conferir uma mensagem que diga ser da So-net por um site oficial ou pela linha telefônica exclusiva, e não pelos links ou números dela, mesmo que acerte seu nome e data de nascimento.
Acesso não autorizado ao app Toypo (697.209 usuários afetados, segundo a Toypo): telefones, nomes e endereços vazados, e o que devem fazer os usuários de apps de lojas
A Toypo Inc. confirmou em 4 de outubro de 2026 um acesso não autorizado de terceiros ao seu app de gestão de clientes, o app Toypo, e, em comunicado datado de 14 de outubro, disse que 697.209 usuários são abrangidos e que suas informações podem ter vazado. Uma segunda página de comunicado da Toypo, sem data e sem número de pessoas, afirma que as informações vazaram. Desde 13 de outubro a empresa contata os abrangidos um a um, inclusive por notificação push no app. Segundo a empresa, parte do seu sistema tinha uma falha de controle de acesso que permitia a um usuário autenticado obter informações de outros usuários às quais não tinha direito, e seus registros mostram que um terceiro a usou para obter informações de usuários. A falha foi corrigida. As informações que podem ter vazado são o número de telefone e o ID de usuário ou identificadores semelhantes e, quando cadastrados, nome, nome em kana, e-mail, data de nascimento, gênero e endereço. Segundo a empresa, não estão incluídos senhas e outras credenciais de login, números de cartão de crédito e outros dados de pagamento, pontos, histórico de visitas a lojas e histórico de compras ou de uso, e os usuários não precisam trocar a senha nem tomar outra providência no app. Nenhum dano secundário específico foi confirmado. A empresa comunicou à Comissão de Proteção de Informações Pessoais. Uma avaliação de segurança por terceiros está sendo organizada. Nos comunicados de lojas que usam o app, a JR Kyushu Food Service diz que cerca de 26.900 de cerca de 61.500 membros cadastrados são abrangidos, e a Mannoya, 12 dos 212 membros do seu app oficial Kineya Mannoya. O contato da Toypo é 0120-546-030 (dias úteis, das 9:00 às 18:00, horário do Japão; o call center atende até as 18:00 de 30 de outubro e depois passa a valer o contato dentro do app). Conclusão deste site: uma mensagem que acerta seu telefone e seu nome não é necessariamente genuína. Não use seus links nem números; confirme pelo contato dentro do app ou pelo contato indicado no comunicado.
Dados de entrega do Ichiban Kuji ONLINE podem ter vazado (acesso não autorizado na Bandai Logipal): nomes, endereços e telefones, e o que os membros devem fazer
Em 26 de outubro de 2026, a BANDAI NAMCO Holdings Inc., a BANDAI SPIRITS CO., LTD. e a Bandai Logipal Co., Ltd. anunciaram (primeiro comunicado) que um sistema gerenciado pela Bandai Logipal, a subsidiária de logística da BANDAI NAMCO Holdings, foi acessado sem autorização por um terceiro, e que isso foi descoberto em 21 de outubro. Segundo as três empresas, os dados pessoais que podem ter vazado são os dados de entrega (nome, endereço e telefone) do Ichiban Kuji ONLINE, um serviço cuja entrega de produtos a BANDAI SPIRITS terceiriza para a Bandai Logipal. Detalhes como o número de pessoas afetadas estão em investigação; dados de cartão de crédito não foram incluídos, e nenhum uso indevido foi confirmado até agora. Em 21 de outubro, a empresa encontrou indícios de acesso não autorizado em um servidor de seu sistema de logística e desligou o servidor, e no mesmo dia confirmou que operações foram realizadas por meio do uso indevido de uma conta da Bandai Logipal. Ela parou o sistema de logística em questão em 24 de outubro e informou a polícia e a Comissão de Proteção de Informações Pessoais do Japão em 26 de outubro. O comunicado diz que o sistema de expedição em questão está suspenso desde 26 de outubro. Como o acesso não autorizado ocorreu não foi divulgado. As empresas alertam que podem chegar ligações telefônicas e correspondências suspeitas relacionadas ao incidente. A conclusão deste site: quem recebeu itens pelo Ichiban Kuji ONLINE não deve responder a ligações ou correspondências inesperadas que aleguem ser do Ichiban Kuji ou da Bandai, e deve usar o formulário de contato do site oficial, aberto por conta própria, para verificar qualquer coisa.
Acesso não autorizado na Joshin (antiga Joshin Denki) (até cerca de 6 milhões de registros): nomes, endereços e telefones de membros podem ter vazado, e o que os usuários devem fazer
A Joshin Corporation, que mudou seu nome de Joshin Denki Co., Ltd. em 1º de abril de 2026, anunciou em 17 de outubro que havia identificado um acesso não autorizado em 16 de outubro e que, após tomar medidas como restringir o acesso externo, não podia prestar alguns serviços (comunicado registrado na Bolsa de Tóquio em 19 de outubro). Seu segundo comunicado, de 26 de outubro, diz que detectou uma anomalia em sua rede em 16 de outubro e tomou medidas como desconectar da rede os servidores com sinais de acesso não autorizado. Segundo o segundo comunicado, as informações que podem ter vazado são: até cerca de 6 milhões de registros do servidor do banco de dados de membros (nome, endereço, telefone, número de membro); até cerca de 230.000 registros do serviço de assinatura da Joshin (número de membro, telefone + assinatura manuscrita (dados binários), ID de login e senha inicial, histórico de cobrança, número do contrato e ID do dispositivo, código de ativação); e até cerca de 800 registros do sistema de envio de fotos de reformas (2 imagens de carteiras de motorista, 1 cartão My Number, 5 números de conta bancária e fotos de obras de reforma em andamento). A empresa afirma que são contagens totais de registros que podem ter vazado, não números de vazamento confirmados. Ela não guarda dados de pagamento, incluindo dados de cartão de crédito. Consultou e informou a Comissão de Proteção de Informações Pessoais e a polícia. A causa, a rota da invasão e quando os serviços suspensos serão retomados não foram anunciados. Conclusão deste site: uma mensagem que diz ser da Joshin não é autêntica só porque acerta seu nome, endereço ou número de membro. Não use seus links nem seus números de telefone; confira pelo contato indicado no comunicado ou por um site oficial que você mesmo abrir.
Vazamento no site de pesquisas Qzoo (cerca de 400.000 registros): dados de membros, incluindo dados de contas bancárias, podem ter vazado, e o que os membros devem fazer
Em 21 de outubro de 2026, a Monitas Inc. anunciou que seu site de pesquisas Qzoo foi acessado sem autorização por um terceiro e que dados pessoais dos membros (painelistas) podem ter vazado. Segundo a cronologia, o acesso não autorizado começou às 8:30 de 17 de outubro; às 12:22 o banco de dados foi consultado e atualizado por meio de injeção de SQL; às 18:44 o acesso foi detectado e bloqueado; às 19:02 o serviço entrou em manutenção de emergência; e em 20 de outubro foi feito um relatório preliminar à Comissão de Proteção de Informações Pessoais do Japão. O alcance é de cerca de 400.000 registros (todos os registros mantidos no sistema do Qzoo em 17 de outubro). O banco de dados que pode ter sido afetado armazena informações básicas (nome, data de nascimento, endereço, telefone, endereço de e-mail etc.), informações de autenticação do membro (ID de membro, senha etc.), informações financeiras (número da conta, nome da agência, nome do titular da conta etc.) e respostas a pesquisas (renda anual, ocupação etc.). Os itens ainda estão em investigação. A empresa não mantém dados de cartão de crédito nem o My Number (número nacional de identificação do Japão). Ela diz que o invasor explorou uma vulnerabilidade em seu sistema. Não foi encontrado acesso não autorizado aos seus outros sistemas. A visão deste site: troque hoje qualquer senha que você compartilhe com o Qzoo, não abra links em mensagens que aleguem ser do Qzoo ou de um banco e nunca informe sua senha bancária (PIN) ou seus dados de login a ninguém. Verifique também a movimentação da sua conta bancária.
Vazamento da M3 no "MR-kun" (25.775 membros do m3.com e outros, 2.260 funcionários de farmacêuticas): o que vazou e o que médicos e funcionários de farmacêuticas devem fazer
Em 15 de outubro e em 23 de outubro de 2026 (segundo comunicado), a M3, Inc. anunciou que um terceiro havia obtido acesso não autorizado ao sistema do MR-kun, um serviço que oferece a empresas farmacêuticas, e que dados pessoais haviam vazado. Segundo a empresa, ela confirmou o acesso não autorizado em 14 de outubro e cortou no mesmo dia a via que havia identificado. O segundo comunicado confirma vazamentos de 25.775 membros do m3.com e outros (nome, local de trabalho, e-mail de alguns, parte das informações sobre o uso dos serviços da M3 e informações que as farmacêuticas clientes haviam registrado no serviço (relações de atribuição e similares); e-mail em 6 casos) e de 2.260 funcionários de empresas farmacêuticas (nome, local de trabalho, e-mail de alguns e outros dados; e-mail em 264 casos). Também inclui alguns médicos que não são membros do m3.com, cujos dados as farmacêuticas haviam confiado à M3. Senhas de login e pontos m3 não foram incluídos, e a M3 não guarda números de cartão de crédito. A causa não foi divulgada. A empresa diz que não encontrou publicação nem uso indevido dos dados. Desde 22 de outubro ela contata individualmente os membros afetados no e-mail cadastrado. Conclusão deste site: médicos e demais usuários do m3.com não devem abrir links de mensagens que se apresentem como da M3 ou de um representante farmacêutico, nem fornecer senhas ou dados bancários.
Vazamento nos pedidos online da Pizza Hut Japão: endereços de e-mail, números de telefone e tokens de sessão de login vazados, e o que os clientes devem fazer
Em 23 de outubro de 2026, a Pizza Hut Japan Ltd., que opera a Pizza Hut no Japão, anunciou que um terceiro havia obtido acesso não autorizado a um sistema ligado ao serviço de pedidos online da Pizza Hut para o Japão e que parte das informações de seus clientes havia vazado. Segundo a empresa, em 19 de outubro ela confirmou que um terceiro havia obtido acesso não autorizado a uma API de pagamento ligada ao serviço de pedidos online (um mecanismo que troca informações relacionadas a pagamentos entre sistemas) e obtido parte das informações de um banco de dados que continha informações de clientes. As informações com vazamento confirmado são IDs de cliente, endereços de e-mail, números de telefone, registros relacionados a informações de clientes excluídas, tokens de sessão de login e registros de transações. Dados de cartão de crédito não foram incluídos. O número de pessoas afetadas não foi publicado. A empresa diz que a causa e o alcance completo ainda estão sob investigação. A empresa bloqueou os endereços IP atacantes, corrigiu a vulnerabilidade e apresentou um relatório preliminar à Comissão de Proteção de Informações Pessoais do Japão. Nenhum dano secundário foi confirmado, mas ela alerta para e-mails, SMS e ligações suspeitos que se passam pela empresa ou pela Pizza Hut. Conclusão deste site: quem já usou os pedidos online da Pizza Hut Japão não deve abrir links em mensagens que dizem vir da Pizza Hut e deve conferir o histórico de pedidos no app oficial ou no site oficial aberto por conta própria.
Acesso não autorizado ao Rakuten Travel (até cerca de 2,6 milhões de registros): nomes, contatos e dados parciais de cartão de reservas de hotéis no exterior, e o que os usuários devem fazer
Em 26 de outubro de 2026, a Rakuten Group, Inc. anunciou ter confirmado acesso não autorizado por um terceiro externo a algumas páginas do site de reservas de hotéis no exterior do Rakuten Travel, gerenciado e operado por sua subsidiária Rakuten Travel Xchange, e ao site de reservas multilíngue operado pela Rakuten Group. Nas páginas de reservas de hotéis no exterior (incidente 1), uma anomalia foi detectada em 10 de setembro e a correção do sistema foi concluída em 16 de setembro. As informações que foram alvo do acesso não autorizado abrangem nomes, endereços de e-mail, números de telefone e números de identificação internos de até cerca de 2,6 milhões de registros de clientes que fizeram login e, para até cerca de 40.000 registros de clientes que fizeram reservas, nomes, contatos, país de residência, dados da reserva e nomes de acompanhantes; além das informações de pagamento (número de identificação do emissor do cartão e últimos quatro dígitos, nome do titular, data de validade e bandeira do cartão) de até cerca de 36.000 deles. Números completos de cartão, códigos de segurança, senhas, documentos de identidade e endereços não estão incluídos (segundo a nota do item sobre quem fez reservas). No site de reservas multilíngue (incidente 2), detectado em 20 de outubro e corrigido em 21 de outubro, foram afetados os endereços de e-mail e IDs internos de até cerca de 860.000 registros de clientes que fizeram login, e os nomes de conta e endereços de e-mail de até cerca de 40.000 registros de funcionários de hospedagens inseridos na tela de administração. A causa, o período abrangido e qualquer compensação não foram anunciados. Conclusão deste site: uma mensagem que pede para você digitar de novo o número do cartão ou pagar não é verdadeira só porque acerta a sua reserva ou os últimos quatro dígitos do seu cartão. Não use links de e-mails nem de SMS; confira sua reserva no app do Rakuten Travel ou em um site oficial salvo nos favoritos.
Fujicco: dados de inscrição em campanha possivelmente vazados (cerca de 15.500 inscrições): nomes, endereços, detalhes familiares e o que os participantes devem fazer
Em 22 de outubro de 2026, a Fujicco Co., Ltd., fabricante japonês de alimentos conhecido por seus produtos Caspian Sea Yogurt e de algas, anunciou que um servidor da empresa contratada para lidar com as inscrições das campanhas havia sido acessado sem autorização por uma parte externa, e que os dados pessoais dos participantes podem ter vazado. O acesso foi identificado em 21 de outubro e o servidor foi prontamente desligado. Os dados abrangem as informações pessoais inseridas nos formulários de inscrição para não associados de duas campanhas realizadas desde maio de 2026: a série Caspian Sea Yogurt “Motto! Toro-mocchi Campaign Part 2” e a “Fujicco Thanksgiving Festival Campaign”. São cerca de 15.500 inscrições no total, incluindo inscrições repetidas da mesma pessoa. Os itens são nome, idade, sexo, ocupação, estado civil, composição familiar, telefone, e-mail, endereço e respostas de pesquisa. Carteiras de motorista, cartões de crédito e números de conta bancária não estão incluídos. Inscrições feitas como membro Fujicoin, por cartão postal ou no X não são afetadas. Não há confirmação de publicação ou uso indevido, mas a empresa está tratando os dados como obtidos por terceiros. Conclusão deste site: as pessoas que se inscreveram pelos formulários afetados não devem pagar taxas de envio ou manuseio, reenviar comprovantes ou informar novamente dados pessoais quando solicitadas, e devem confirmar com o escritório da campanha pelo número indicado no comunicado oficial.
Possível vazamento de dados do app FX Navi da Green Monster (cerca de 6,19 milhões de registros): endereços de e-mail e respostas de pesquisa estão entre os itens, e o que os usuários devem fazer
Em 23 de outubro de 2026, a Green Monster Inc. (Tokyo Stock Exchange Growth, 157A) anunciou que informações de usuários do seu app de negociação demo de forex FX Navi (FXなび) podem ter sido obtidas por terceiros (primeiro relatório). Em 17 de outubro, a empresa identificou acesso não autorizado ao app por terceiros e iniciou uma investigação. Nessa investigação, descobriu que, de cerca das 20h26 de 27 de abril a cerca das 14h26 de 30 de abril, um terceiro que utilizava um endereço IP diferente pode ter obtido continuamente informações de usuários do app. A empresa afirma que não foi confirmado vazamento decorrente do próprio acesso de 17 de outubro. Cerca de 6,19 milhões de registros podem ter sido obtidos, incluindo dados que não são informações pessoais. Os itens são endereço de e-mail (66.003), apelido, gênero, faixa etária, categoria de ocupação, ID do X (antigo Twitter) (6.434), texto de autoapresentação, URL da imagem de ícone, respostas da pesquisa de primeira abertura (4.809.631), ID do dispositivo, credenciais de login, código de transferência de conta (5.120), identificador de notificação push, ID de publicidade, endereço IP de origem e dados de uso, como resultados de negociações. Nome, endereço, telefone, data de nascimento, cartão de crédito, conta bancária e My Number (número de identificação nacional do Japão) não são itens que os usuários podem cadastrar. A empresa diz que a causa foi uma função da API do app; ela corrigiu a função da API e as credenciais de login, e invalidou todas as credenciais de login emitidas antes da correção. Nenhum dano secundário foi confirmado. Conclusão deste site: os usuários do FX Navi não devem abrir links ou anexos em e-mails ou mensagens no X que aleguem ser da empresa ou de empresas relacionadas, e devem tratar qualquer oferta de investimento como falsa.
Vazamento de dados de membros da loja online e do app da Lindt Japão (3.147.469 registros): nomes, endereços, telefones, datas de nascimento e senhas com hash vazados, e o que os membros devem fazer
Em 23 de outubro de 2026, a Lindt & Sprüngli Japão, filial japonesa da fabricante suíça de chocolate, anunciou que o sistema da empresa terceirizada que fornece a plataforma da sua loja online e gerencia os dados de membros foi acessado sem autorização, e que 3.147.469 registros de membros da loja online e do app oficial da Lindt vazaram. Segundo o relatório da terceirizada, uma vulnerabilidade em um software usado no servidor da terceirizada foi explorada entre 23h02 de 17 de outubro e 0h16 de 18 de outubro (horário do Japão). Os itens vazados são o ID de membro, nome, e-mail, endereço postal, telefone, data de nascimento, gênero, configurações de newsletter, loja cadastrada, senha de login (armazenada com hash) e outros dados de membros, como a leitura do nome, a data de cadastro e o último login. Dados de pagamento, como cartões de crédito, não estavam incluídos. Até as 11h de 23 de outubro, nenhum uso indevido havia sido confirmado. A loja online está suspensa desde as 16h de 21 de outubro, e os membros serão solicitados a trocar a senha quando ela for reaberta. Os membros afetados começam a receber e-mails a partir de 26 de outubro. Conclusão deste site: os membros não devem seguir instruções em e-mails, mensagens de texto, ligações ou cartas que se apresentem como da Lindt, e devem trocar agora a senha de qualquer outro serviço em que usaram a mesma.
Vazamento de endereços de e-mail da newsletter do Piccoma (1.002.404 registros): apenas endereços de e-mail expostos e o que os usuários devem fazer
Em 24 de outubro de 2026, a Kakao piccoma Corp., responsável pelo aplicativo de mangás japonês Piccoma, anunciou que a blastmail, o sistema de entrega de e-mails da RAKUS Lite Cloud Corporation que utilizava para enviar sua newsletter, foi acessada sem autorização por um terceiro, e que 1.002.404 endereços de e-mail de clientes, destinatários de um envio da newsletter, vazaram. A Piccoma soube do caso por meio de comunicado do serviço de entrega em 24 de outubro. Apenas os endereços de e-mail cadastrados para receber a newsletter vazaram; a empresa afirma ter confirmado que não foram incluídos os números de gerenciamento de clientes nem as datas da última compra. As senhas nunca foram fornecidas à blastmail e não podem ter vazado, e a Piccoma não possui nomes nem dados de cartão de crédito. O aplicativo Piccoma, o site e os sistemas próprios da empresa não foram acessados, e contas, senhas e dados de compra não foram afetados. Até o momento, não foi confirmado nenhum vazamento relacionado à newsletter do Piccoma Novels. A empresa suspendeu a newsletter, alterou configurações para que e-mails enviados pela blastmail não sejam tratados como e-mails genuínos da Piccoma e comunicou o caso à Comissão de Proteção de Informações Pessoais do Japão. Ela afirma que entrará em contato individualmente com os clientes afetados. Conclusão deste site: quem recebeu a newsletter do Piccoma não deve abrir links em e-mails ou mensagens de texto que se apresentem como da Piccoma ou de editoras, deve verificar pelo aplicativo e nunca deve digitar senhas ou números de cartão a partir de um e-mail.
Vazamento na plataforma de cartão pré-pago Value Card (1,42 milhão de registros, 1,13 milhão de registros do MOS Card): números de cartão, PINs e saldos vazados, e o que os portadores devem fazer
Em 23 de outubro de 2026, a PayCloud Holdings, empresa listada no mercado Growth da Bolsa de Valores de Tóquio, anunciou que os servidores do Value Card, um serviço de emissão de moeda eletrônica (cartão pré-pago de loja) próprio que sua subsidiária Value Design Inc. fornece a emissores de cartões, foram acessados sem autorização por um terceiro, e que 1.424.748 registros de números de identificação, PINs e informações de saldo vazaram (569.224 IDs emitidos e 855.524 IDs não emitidos, isto é, IDs ainda não adquiridos por um usuário). O acesso foi confirmado em 19 de outubro, e a causa foi um terceiro explorar uma vulnerabilidade de servidor web em parte do ambiente de sistemas da subsidiária. Não houve envolvimento de informações pessoais; o risco de uso indevido de IDs emitidos foi tratado, e não houve nenhum dano real decorrente de uso indevido. No mesmo dia, a MOS Food Services, Inc., que opera a rede de hamburguerias MOS Burger e seu cartão pré-pago MOS Card, anunciou que o acesso não autorizado ao sistema da Value Design, empresa contratada para operar e manter os servidores do MOS Card, vazou 1.133.070 registros do MOS Card (número de cartão de 16 dígitos, PIN de 6 dígitos e saldo; cerca de 570.000 cartões em circulação e cerca de 560.000 ainda não em circulação), e que redefiniu à força os PINs vinculados aos números de cartão vazados. Nomes, endereços, números de telefone e dados de cartão de crédito não foram incluídos. Quais cartões de outros emissores foram afetados não foi divulgado. Conclusão deste site: os portadores do MOS Card devem verificar seu histórico de uso em busca de cobranças que não reconhecem, entrar em contato com a central de atendimento dedicada se as consultas de saldo online e funções semelhantes deixarem de funcionar e nunca fornecer seu PIN ou número de cartão a quem pedir.
Vazamento nas lojas online FANCL e Attenir (368.184 e 417.312 membros): nomes, endereços, telefones e datas de nascimento expostos, e o que os membros devem fazer
Em 16 de outubro de 2026, a FANCL Corporation e a Attenir Corporation, duas empresas japonesas de cosméticos e produtos de saúde, anunciaram que suas lojas online foram acessadas sem autorização por uma parte externa entre 3 e 10 de outubro, e que parte dos dados de membros vazou. O acesso foi identificado em uma investigação interna em 15 de outubro, e as empresas identificaram e interromperam a função que causou o problema. Os dados vazados abrangem 393.785 registros de 368.184 membros da FANCL e 441.162 registros de 417.312 membros da Attenir. Os itens são endereço de e-mail, nome, endereço, telefone, data de nascimento, gênero, número de cliente, um e-mail secundário e sua senha (uma senha secundária com hash, definida por alguns membros; a senha principal não está incluída), itens de perguntas de segurança (respostas não incluídas) e outros dados de cadastro, como pontos e nível de associação. Dados de pagamento, como cartões de crédito, não estão incluídos. Nenhum uso indevido ou dano secundário foi confirmado. A FAQ da FANCL informa que os clientes afetados foram contatados no e-mail cadastrado durante 17 de outubro. Conclusão deste site: os membros de qualquer uma das empresas devem presumir que seu nome, endereço, telefone e data de nascimento são conhecidos, não devem seguir instruções em e-mails, mensagens de texto, ligações ou cartas que aleguem vir das empresas, e devem verificar pelo site oficial ou pela central de atendimento compartilhada.
Vazamento de dados da Trustbank no Furusato Choice (4.454.097 registros de membros): nomes, endereços e senhas com hash vazaram; o que doadores devem fazer
Em 20 de outubro de 2026, a Trustbank, Inc., que opera o Furusato Choice, um grande site do sistema japonês de doações de imposto para cidades natais (furusato nozei), anunciou que uma parte externa obteve acesso não autorizado a dados de membros e que dados pessoais de doadores vazaram. Após notar padrões de acesso incomuns em 19 de outubro, a empresa constatou que o acesso não autorizado ocorreu em 17 de outubro e encerrou os serviços relacionados às 15:50 de 19 de outubro. O vazamento confirmado abrange 4.454.097 registros de membros: nome, endereço de e-mail, endereço postal, telefone, senha com hash e valor estimado da dedução do imposto da doação. Em um segundo comunicado, em 23 de outubro, a empresa disse que, para cinco desses doadores, vazaram itens adicionais, incluindo histórico de pontos, histórico de doações, data de nascimento e endereço de entrega. Para dois deles, uma parte externa acessou a tela Minha Página, que mostra os dados de cartão salvos (últimos quatro dígitos, nome do titular e data de validade). A empresa diz que os dados do cartão são buscados na processadora de pagamentos cada vez que essa tela é exibida, não são armazenados em seus sistemas e não podem ser usados isoladamente para fazer um pagamento com cartão. Desde 21 de outubro, os membros têm recebido e-mails individuais informando se seus dados vazaram e quais itens. Em um terceiro comunicado, em 26 de outubro, a empresa disse ter começado naquele dia a retomar gradualmente o sistema de gestão de doações usado pelas prefeituras e pelos fornecedores de presentes de retribuição (suas perguntas frequentes do mesmo dia dizem que a partir de 25 de outubro). Novas doações não estão sendo aceitas, e não há data definida para a retomada do site voltado aos doadores. As senhas de todos os membros foram invalidadas, e será preciso definir uma nova senha após a retomada. A conclusão deste site: os membros devem trocar a senha de qualquer outro serviço em que usem a mesma combinação de e-mail e senha e não devem abrir links em mensagens que aleguem ser do Furusato Choice ou de uma prefeitura.
Vazamento na and ST HD (cerca de 2,5 milhões de registros de clientes): o que pode ter vazado e o que os membros devem fazer
Em 23 de outubro de 2026, a and ST HD Co., Ltd. anunciou que um acesso não autorizado de um terceiro aos seus servidores de negócios pode ter vazado parte dos dados de clientes, parceiros comerciais e funcionários. Segundo a empresa, a partir de cerca das 7h30 de 22 de outubro (horário do Japão), tentativas de login, invasão e extração de dados foram realizadas em sequência contra vários de seus servidores; a empresa detectou a atividade não autorizada por volta das 10h, isolou os servidores e cortou a rota de acesso até as 17h. Os dados que podem ter vazado abrangem cerca de 2,5 milhões de registros de clientes (nome, data de nascimento, gênero, endereço, número de telefone, endereço de e-mail e ID de membro) e cerca de 10.000 registros de parceiros comerciais (nome da empresa, endereços de pedidos e de devoluções, nome do contato, número de telefone e endereço de e-mail); o alcance para funcionários ainda está sendo confirmado. Dados de pagamento, como os do cartão de crédito, e senhas definidas pelos próprios clientes não estão incluídos, segundo a empresa. A loja virtual and ST não foi afetada pelo acesso não autorizado, mas os pontos de membro atualmente não podem ser usados nas lojas nem na loja virtual. A empresa diz que está começando a avisar em sequência os clientes e parceiros afetados e que criará um canal de atendimento. Avaliação deste site: como se diz que as senhas não estão incluídas, a prioridade hoje não é trocar a senha, e sim desconfiar de mensagens que usem o nome da empresa ou de suas marcas junto com seu endereço ou data de nascimento reais. Confira pelo aplicativo oficial ou por um site que você mesmo abrir.
Acesso não autorizado ao serviço de envio de e-mails blastmail (dados de conta de todos os clientes e listas de destinatários e dados semelhantes de 345 contratos): o que os destinatários de newsletters e as organizações clientes devem fazer
O serviço de envio de e-mails blastmail, fornecido pela RAKUS Lite Cloud Co., Ltd., subsidiária da RAKUS Co., Ltd., foi acessado por um terceiro externo, e dados foram extraídos. A empresa encerrou o serviço em caráter de emergência às 0h30 de 21 de outubro de 2026, e a controladora RAKUS publicou um primeiro e um segundo comunicado no mesmo dia. Segundo os avisos, o terceiro invadiu dois servidores de API, executou comandos e se conectou ao sistema de gestão de vendas e ao banco de dados do serviço para extrair dados. Do sistema de gestão de vendas, foram extraídos o nome da empresa, o nome do contato, o telefone, o e-mail, o e-mail de cobrança e o histórico de contratos e pagamentos de todos os clientes. A empresa não possui números de cartão de crédito. Para alguns clientes, também foi confirmado o vazamento de dados de envio, como listas de destinatários. Na atualização das 17h00 de 26 de outubro, a empresa disse que mais um caso havia sido encontrado, elevando o total para 345 contratos, e que havia entrado em contato individualmente com todos eles. A rota da invasão está sob investigação e, na atualização das 12h00 de 30 de outubro, a empresa disse que o número continuava em 345 e que pretende retomar o serviço por volta de 11 de novembro (sujeito a alteração). Em avisos de organizações clientes, o The Niigata Nippo informou que os dados de todos os membros do serviço Niigata Nippo Passport, até cerca de 253.000 pessoas, incluindo nome (em katakana), e-mail, gênero e faixa etária, vazaram. A JR Shikoku disse que cerca de 30.000 registros podem ter vazado, a cidade de Yokohama divulgou três serviços de envio relacionados, o Ministério do Meio Ambiente divulgou seis newsletters e a Japan Petroleum Exploration (JAPEX) divulgou que sua newsletter e os envios a participantes de eventos para investidores possivelmente foram afetados. A giftee disse ter confirmado que seu contrato não estava entre os 288 contabilizados em 23 de outubro. Conclusão deste site: quem recebe newsletters dessas organizações não deve abrir links, mesmo que o nome do remetente seja verdadeiro, e deve verificar pelo site oficial. As organizações que usam o blastmail devem confirmar se foram contatadas, decidir sobre a comunicação à Comissão de Proteção de Informações Pessoais (comunicações conjuntas com a empresa: segunda rodada de inscrições até 5 de novembro) e sobre a notificação dos indivíduos, e alertar sua própria equipe sobre e-mails de cobrança ou de novo login que aleguem ser do blastmail ou da RAKUS, já que os dados de contato de todos os clientes foram extraídos.
Acesso não autorizado ao sistema de clínicas @link (at-link) da Medley: nomes, datas de nascimento, IDs de login e senhas de pacientes vazaram — o que pacientes e clínicas devem fazer
Em 15 de outubro de 2026, a Medley, Inc. anunciou o acesso não autorizado de um terceiro ao seu sistema de gestão de instituições médicas @link (at-link), ao aplicativo at-link voltado aos pacientes e a serviços relacionados, e disse que os suspendeu desde a madrugada de 14 de outubro. Segundo a empresa, ela começou a investigar em 11 de outubro, depois que uma organização especializada externa alertou sobre um possível acesso não autorizado, e confirmou o acesso. Em 23 de outubro, a empresa disse ter confirmado que, do fim de setembro até meados de outubro de 2026, o terceiro acessou o banco de dados da empresa por meio de um programa instalado sem autorização e obteve informações, e que houve vazamento de dados pessoais. Para pacientes que usaram o aplicativo at-link ou o agendamento pela web, os itens vazados são nome, leitura do nome (furigana), dia e mês de nascimento, e-mail (somente se cadastrado), ID de login e senha do aplicativo e do agendamento pela web, nome da clínica usada, data de cadastro, data da última consulta e histórico de pagamentos com cartão de crédito (somente data e valor do pagamento; apenas para quem pagou online pelo aplicativo). Para pacientes que não usaram o aplicativo nem o agendamento pela web, os itens vazados são nome, furigana, dia e mês de nascimento, nome da clínica usada, data de cadastro, data da última consulta e o ID de login e a senha inicial do aplicativo e do agendamento pela web. A empresa diz que não guarda números de cartão. O número de clínicas e de pessoas afetadas está sob investigação; a empresa notificará as pessoas afetadas aos poucos, em conjunto com as clínicas. Ela não divulgou o método específico, dizendo que isso poderia atrair ataques semelhantes. Fechou a via de acesso e invalidou todas as credenciais relacionadas, e comunicou o caso à Comissão de Proteção de Informações Pessoais e ao Ministério da Saúde, Trabalho e Bem-Estar. As senhas do aplicativo e do agendamento pela web não serão mantidas; os usuários definirão novas senhas quando o serviço for reiniciado. No aviso atualizado às 12h30 de 28 de outubro, a empresa disse que em 28 de outubro começou o uso de teste do «@link Cloud beta», voltado às clínicas, em algumas clínicas (funções em teste: consulta e registro de agendamentos, informações de pacientes e calendário de consultas), que o aplicativo para pacientes, o site de agendamento pela web e outros serviços continuam suspensos, e que pretende reembolsar as taxas do período de suspensão dentro de novembro. A investigação sobre a causa e o alcance continua. Opinião deste site: quem usou o aplicativo at-link ou o agendamento pela web deve trocar a senha em qualquer serviço em que a tenha reutilizado e não deve abrir links em mensagens que mencionem sua clínica ou suas consultas. As clínicas devem encaminhar as dúvidas dos pacientes ao contato exclusivo da empresa.
Acesso não autorizado à Nikkei (cerca de 1,83 milhão de registros): nomes, e-mails e outros dados vazaram em cerca de 150 mil — o que os usuários devem fazer
Em 16 de outubro de 2026, a Nikkei Inc., editora de jornais do Japão, anunciou que um serviço de nuvem usado por ela no desenvolvimento de sistemas foi acessado sem autorização e que, até o dia 16, cerca de 1,83 milhão de registros de informações pessoais haviam vazado. Cerca de 150 mil continham ao menos um dos seguintes dados: nome, endereço de e-mail, endereço postal, número de telefone ou data de nascimento, e cerca de 120 mil deles incluíam um endereço de e-mail. Os cerca de 1,68 milhão restantes eram apenas identificadores que, sozinhos, não identificam uma pessoa. Não havia informações de cartão de crédito. Segundo a empresa, as credenciais de acesso ao serviço de nuvem foram roubadas de alguma forma, e o acesso não autorizado ocorreu da madrugada à manhã de 7 de outubro. A empresa desativou as credenciais usadas e comunicou o incidente à Comissão de Proteção de Informações Pessoais do Japão em 11 de outubro. Até o dia 16, não foram confirmados danos secundários, como uso indevido dos dados, nem queda de sistema ou adulteração de dados. A empresa diz que notificará individualmente as pessoas cujos dados forem confirmados como vazados. A empresa do grupo Nikkei National Geographic informou em 22 de outubro que havia informações de alguns usuários de seus serviços. Não foram divulgados quais serviços têm usuários afetados, as quantidades por tipo de dado nem como as credenciais foram roubadas. Avaliação deste site: não use links nem números de telefone de e-mails ou ligações que digam ser da Nikkei; confirme no site oficial.
Vazamento na Treasure Factory (Trefac) (746.277 registros de e-mail): o que clientes de compra a domicílio e do Trefac Moving devem fazer
Em 23 de outubro de 2026, a Treasure Factory Co., Ltd., varejista japonesa de artigos de segunda mão, anunciou que um terceiro obteve acesso não autorizado ao sistema de gestão de casos que ela usa para receber e tratar os pedidos do serviço de compra a domicílio (shutchō kaitori) e do serviço Trefac Moving, e levou parte dos dados de clientes e outros dados ali mantidos. Segundo a divulgação oportuna (timely disclosure) da empresa, os dados confirmados são 746.277 registros de clientes (endereços de e-mail; 11 deles incluem também nome e endereço), 750 registros com nomes e e-mails de parceiros comerciais, funcionários e outros, e 1.000 registros com nomes e identificadores de dispositivos usados por parceiros comerciais, funcionários e outros. Números de cartão de crédito e outras informações de pagamento não foram incluídos, e os dados de clientes mantidos nas lojas e no aplicativo da empresa ficam em sistemas separados e não foram afetados. A empresa confirmou o acesso por meio da análise dos registros de acesso em 20 de outubro e, no mesmo dia, bloqueou o acesso externo e os formulários de pedido. Ela acredita que foi explorada uma vulnerabilidade relacionada ao acesso ao banco de dados e diz que o incidente não tem relação com uma vulnerabilidade do PHP divulgada recentemente. Nenhum dano secundário foi confirmado. O sistema e os formulários de pedido devem voltar a funcionar por volta de 28 de outubro. Conclusão deste site: se você já fez um pedido de compra a domicílio ou do Trefac Moving, considere que seu e-mail é conhecido, não abra links em e-mails que digam ser da Trefac e confira no site oficial.
Vazamento do CAPCOM ID da Capcom (11.774.247 registros): endereços de e-mail e dados de login vazados — o que os titulares de conta devem fazer
Em 22 de outubro de 2026, a Capcom Co., Ltd. anunciou que seu serviço de associação on-line CAPCOM ID (a conta compartilhada usada nos serviços web da Capcom e em alguns jogos on-line) foi acessado sem autorização por um terceiro e que parte das informações de clientes vazou. Os dados vazados são endereços de e-mail e informações de identificação específicas do sistema (data e hora de criação da conta, data e hora do último login, número de logins e endereço IP do cliente usado no último login), em 11.774.247 registros no mundo todo. Em 43 deles, também vazaram data de nascimento, gênero, país/região e apelido. Em 196 das contas, a senha de login havia sido alterada sem autorização; a empresa já redefiniu essas senhas. Segundo o segundo comunicado, de 23 de outubro, em 19 dessas 196 contas (no Japão), um terceiro não autorizado acessou as páginas de conta da e-Capcom, a loja on-line da empresa no Japão, e vazaram: nome, nome em caracteres fonéticos japoneses, número de telefone, CEP, endereço, gênero, data de nascimento, histórico de compras, histórico de consultas à e-Capcom e informações salvas da agenda de endereços. Nas outras 177 das 196 contas, a empresa não encontrou informações comprometidas em consequência das alterações de senha. A empresa diz não ter confirmado vazamento das senhas definidas pelos próprios clientes, e informações de cartão de crédito não estavam entre os dados afetados. Segundo a empresa, ela encontrou vestígios que sugeriam acesso não autorizado em 19 de outubro, começou imediatamente a bloquear o acesso e a investigar a causa e o alcance, e confirmou o acesso não autorizado no mesmo dia; em 20 de outubro confirmou o vazamento e as alterações de senha; e em 21 de outubro comunicou o incidente à polícia e à Comissão de Proteção de Informações Pessoais do Japão. Ela diz ter identificado e tratado o método de ataque, mas não divulgou detalhes da causa. No segundo comunicado, disse que a investigação sobre o alcance do impacto foi concluída e que continuará monitorando o CAPCOM ID e os serviços relacionados. Os serviços que usam o CAPCOM ID e todos os jogos continuam disponíveis. A empresa disse que entrará em contato individualmente com os clientes afetados e criará canais de suporte específicos para cada região. Avaliação deste site: titulares de CAPCOM ID não devem abrir links em e-mails ou mensagens de texto que se digam da Capcom, não devem fornecer dados pessoais por telefone, devem trocar qualquer senha reutilizada em outros serviços e devem ativar a autenticação em dois fatores.
Vazamento de dados de membros do Comic Cmoa (até cerca de 4,2 milhões de registros em arquivos de log): e-mails e datas de nascimento vazados — o que os usuários devem fazer
A NTT Solmare Corporation, que administra a loja de e-books japonesa Comic Cmoa (コミックシーモア), publicou quatro comunicados sobre o acesso não autorizado ao serviço, de um primeiro aviso em 15 de outubro de 2026 até um quarto relatório em 21 de outubro. Segundo a empresa, em 15 de outubro ela julgou que um acesso não autorizado de fora para seus servidores muito provavelmente havia ocorrido e suspendeu o serviço às 11:35. No seu segundo relatório, em 16 de outubro, disse ter confirmado que dados de membros do sistema que gerencia as informações de membros vazaram para um terceiro (a quantidade ainda estava sendo apurada). No terceiro relatório, em 18 de outubro, disse ter identificado a rota de invasão e o método de ataque e que estava tratando deles, e que alguns arquivos de log do sistema também tinham sido visualizados e levados. No quarto relatório, em 21 de outubro, descreveu os dados confirmados como vazados como 319 registros de dados de cadastro no banco de dados de membros (e-mail, senha com hash, apelido, data de nascimento, gênero) e até cerca de 4,2 milhões de registros em arquivos de log do sistema (e-mail, apelido, data de nascimento, gênero; sem senhas; possivelmente incluindo duplicatas da mesma pessoa). Diz que dados de cartão de crédito não são mantidos nos sistemas afetados e não vazaram, e que não foi confirmado vazamento de históricos de compras nem vazamento, perda ou dano da MY Bookshelf (as estantes dos usuários). Diz que a identificação e o bloqueio da rota de invasão e do método de ataque estão concluídos, mas não divulgou quais foram. As pessoas afetadas serão contatadas por e-mail. O serviço continua suspenso e deve ser retomado em etapas, começando pela leitura web de títulos comprados; todos os usuários serão solicitados a redefinir suas senhas na retomada. A visão deste site: quem usa o mesmo e-mail e senha do Comic Cmoa em outro serviço deve trocar essa senha hoje, não deve abrir links em e-mails que se apresentem como da empresa e deve verificar pela página de notícias da NTT Solmare aberta por conta própria.
Vazamento de dados na terceirizada da Iwai Cosmo Securities (4.975 clientes): o que vazou, as ordens não intencionais e o que os clientes devem fazer
Em 16 de outubro de 2026, a Iwai Cosmo Securities Co., Ltd., corretora japonesa, anunciou por meio de uma divulgação oportuna de sua controladora Iwai Cosmo Holdings que o sistema de uma terceirizada usada para operar e manter seu sistema de negociação online havia sido acessado por terceiros, e que nomes, endereços de e-mail e outros dados (氏名、メールアドレス他) de 4.611 clientes de negociação online haviam vazado. A empresa detectou o acesso em 14 de outubro. Em seu segundo comunicado, em 20 de outubro, afirmou que uma revisão dos registros de acesso e de comunicação identificou mais 364 pessoas, elevando o total para 4.975; disse que isso não foi causado por nenhum acesso posterior. Os dados vazados não incluem senhas de negociação, e a empresa afirma que eles não podem ser usados para entrar em contas ou negociar. O segundo comunicado também revelou que, em 14 de outubro, o sistema de gestão de negociações também foi atacado, e ordens que os clientes não pretendiam foram lançadas em 7 contas (5 delas foram executadas). As negociações foram revertidas e os clientes não arcam com nenhum custo. A empresa diz que os dados pessoais vazados não foram usados nessas negociações. Diz também que o ponto que permitiu o acesso foi identificado e corrigido, e que a terceirizada adicionou medidas como restrições de acesso às funções de gestão. O método específico não foi divulgado. Nota deste site: não use links nem números de telefone em mensagens que se digam da Iwai Cosmo; confira seu histórico de ordens e execuções em uma página de login que você abriu por conta própria e entre em contato com a linha oficial (0120-405-546) em caso de dúvidas.
Acesso não autorizado ao Onamae.com Desktop Cloud (GMO Internet) (26.739 servidores possivelmente afetados): dados de clientes extraídos, compensação e o que traders de Forex e valores mobiliários devem fazer hoje
Em 21 de outubro de 2026, a GMO Internet, Inc. anunciou acesso não autorizado de terceiros ao Onamae.com Desktop Cloud, um serviço de VPS (servidor privado virtual) para negociação automatizada de Forex, e afirmou que um programa malicioso fora colocado no ambiente de servidores de alguns clientes. Até 26.739 servidores podem ter sido afetados; a empresa diz que este é o número de servidores que poderiam ser afetados, e não o número em que acesso não autorizado ou aquisição de dados foi confirmado. A partir das 04:00 de 21 de outubro, ela interrompeu os servidores de todos os planos, um após o outro. Em seu quarto comunicado, de 24 de outubro, a empresa disse que existia um problema de segurança no sistema do serviço, que confirmou acesso não autorizado ao ambiente do serviço e que informações de clientes foram extraídas. Também afirmou que alguns clientes relataram operações em suas contas de negociação que não fizeram. Não foram divulgados quais informações foram extraídas e de quantos clientes, a rota da invasão, nem o número de contas afetadas e os valores envolvidos. A empresa pagará um valor fixo de 5.000 ienes a cada usuário atual do serviço e compensará perdas realizadas em operações que considerar causadas por esse acesso não autorizado (descontado qualquer reembolso da bolsa ou da corretora). Ela não reiniciará a plataforma atual do sistema como está e oferecerá a migração para um serviço alternativo em outra plataforma de nuvem, gratuito por seis meses após a migração. Segundo a empresa, alguém que ela acredita ser o invasor exigiu dinheiro e ameaçou divulgar informações e tomar outras medidas caso não haja pagamento; a empresa diz que não pagará e entregou provas à polícia. Seu quinto comunicado, também de 24 de outubro, pede novamente que os clientes façam uma varredura completa e um backup de seus próprios dispositivos, troquem as senhas a partir de um dispositivo não usado para negociar Forex, encerrem todas as sessões ativas mesmo que já tenham trocado a senha, e ativem a autenticação em dois fatores. Em seu sétimo comunicado, de 26 de outubro, a empresa disse que alguém que se acredita ser o invasor anunciou que divulgaria informações de clientes e lançaria um ataque de ransomware às 12:00 de 27 de outubro. Em seu oitavo comunicado, de 27 de outubro, pediu que os clientes fizessem backup dos seus dados e depois, antes das 12:00, se desconectassem da rede, desligassem o PC e retirassem todos os cabos conectados a ele. Em seu nono comunicado (atualizado às 11:59), afirmou que nenhum malware (incluindo ransomware) foi encontrado nos dispositivos de clientes cuja análise já havia concluído, mas que isso não confirmava que todos os dispositivos estavam seguros, e que os clientes atingidos por ransomware que entrarem em contato com o suporte receberão um PC novo de desempenho equivalente depois que os danos forem verificados. Em seu décimo comunicado, de 27 de outubro (atualizado às 13:55), a empresa disse ter confirmado às 12:30 que alguém que se acredita ser o invasor divulgou o que alega serem informações sobre a empresa e seus clientes (a empresa ainda está verificando o conteúdo e diz que ele pode incluir informações falsas). Disse que nenhum ataque de ransomware havia sido confirmado até as 13:55. Pede que ninguém acesse nem compartilhe o site onde as informações teriam sido divulgadas, dizendo que o invasor obtém as informações de quem o acessa. Em seu décimo segundo comunicado (atualizado às 19:10), a empresa disse que fará um pagamento especial de 10.000 a 25.000 ienes por categoria de informação (limitado a 3 milhões de ienes por divulgação) aos clientes cujas informações ela confirmar que estavam incluídas no que o invasor divulgou, e criou uma recompensa limitada a US$ 1 milhão no total por informações que ajudem a identificar os autores (recebidas a partir das 12:00 de 28 de outubro). Em seu décimo terceiro comunicado, de 28 de outubro (atualizado às 11:00), a empresa disse que confirmou que o domínio do site de alguém que se acredita ser o invasor (incluindo sites espelho) foi suspenso por volta das 04:00 daquele dia, e que agirá para derrubar qualquer site semelhante que apareça. Em seu décimo quarto comunicado do mesmo dia (atualizado às 18:20), a empresa disse que o site da recompensa, aberto às 12:00 daquele dia, recebeu 113 informações nas primeiras seis horas mais ou menos (às 18:00), que enviou 20 avisos no total sobre publicações no X que espalhavam a URL ou o conteúdo do site de alguém que se acredita ser o invasor (às 18:00), e que sua análise de dispositivos não encontrou até agora vestígios de infecção por malware nem de ataque de ransomware. Agradeceu aos clientes que desligaram os dispositivos e pediu que, se reutilizarem um PC, façam antes uma verificação de segurança e um backup. No décimo quinto comunicado (atualizado às 12:40 de 29 de outubro), a empresa disse que sua equipe de hackers white hat do grupo fez uma investigação própria e obteve informações que acredita poderem levar à identificação dos autores, que planejava entregar nesse dia à polícia e a outras partes pertinentes, e informou 270 informações ao site da recompensa às 11:30. No décimo sexto comunicado (atualizado às 20:50 de 29 de outubro), informou que as informações subiram de 113 (às 18:00 de 28 de outubro) para 321 (às 18:00 de 29 de outubro), forneceu um formulário de denúncia (indicado nos comunicados décimo quinto e décimo sexto) para novos sites do lado do invasor e sites em que informações pessoais são publicadas sem autorização, e pediu de novo que ninguém identifique nem contate os autores, publique informações não verificadas ou compartilhe URLs suspeitas. Ela também diz que tomará medidas legais, inclusive queixas criminais, contra o ataque e a extorsão. A divulgação de 28 de outubro diz que, segundo sua controladora GMO Internet Group, o grupo ainda está verificando os serviços de suas empresas e que, no momento, não foi confirmado impacto deste incidente em outros serviços além deste. Segundo reportagens, clientes receberam e-mails de alguém que se acredita ser o invasor, com parte do seu histórico de navegação anexada como prova de que possuem os dados. O CEO do grupo da empresa escreveu em um post de blog que o invasor ameaçou divulgar informações dos PCs dos clientes e atacá-los com ransomware, mas a empresa não disse que o PC de algum cliente tenha sido de fato comprometido. Seu sexto comunicado, de 26 de outubro, pede, entre outras medidas, que os clientes façam uma varredura completa nos dispositivos que usaram para se conectar e mantenham a sincronização do navegador desativada até concluírem a verificação. A visão deste site: a partir de um dispositivo que você não usa para negociar Forex, troque as senhas da corretora, encerre todas as sessões e verifique seu histórico de operações e seu saldo. Para a compensação, use apenas o site oficial da empresa e os comunicados enviados ao e-mail cadastrado, e nunca forneça a ninguém uma senha que possa operar.
Acesso não autorizado ao serviço de envio de e-mails Cuenote FC da Ymirlink (agora cerca de 51,63 milhões de registros acumulados): dados de membros do Express Reservation e do smartEX incluídos. O que destinatários de newsletters e empresas clientes devem fazer
Em 26 de outubro de 2026, a Ymirlink, Inc. (TSE Growth, 4372) publicou um segundo relatório sobre o acesso não autorizado ao seu serviço de envio de e-mails Cuenote FC, dizendo que dados vazaram de 49 sistemas, um total acumulado de 51.628.280 registros. No primeiro relatório, de 19 de outubro, havia estimado cinco sistemas e cerca de 9 milhões de registros acumulados; depois de revisar os registros de todos os sistemas, encontrou em 25 de outubro indícios de acesso não autorizado e exportação de dados em mais 42 sistemas. A contagem de registros vazados ainda está em investigação para 16 sistemas, e o total acumulado pode aumentar. A empresa atribui o incidente a uma vulnerabilidade de biblioteca e diz ter confirmado que as credenciais de sua equipe de suporte e de controle de qualidade foram obtidas, que programas maliciosos foram instalados e que informações de sessão capturadas no login foram usadas para entrar sem autorização. Em seu sistema de gestão de clientes Cuenote BASE, 190 registros de informações contratuais de clientes (nome da empresa, nome, telefone, endereço de e-mail) podiam ser visualizados. A empresa diz não ter encontrado indícios de que os dados pessoais vazados tenham sido divulgados ou usados indevidamente. Entre as empresas clientes, a JR Central, a JR West e a JR Kyushu anunciaram em 26 de outubro que, embora inicialmente tivessem sido informadas de que seus serviços Express Reservation e smartEX não foram afetados, vazaram os endereços de e-mail, IDs de membro, nomes (em katakana) e tipos de associação dos membros que receberam e-mails pelo serviço. Em um segundo relatório de 5 de novembro, disseram que o número de afetados é 172.735. A AsMarq disse no mesmo dia ter sido informada de que parte dos dados cadastrados no ambiente que utiliza provavelmente foi obtida sem autorização. Em 27 de outubro, às 21:00, a Bandai Namco Entertainment Inc. e a BANDAI SPIRITS Co., Ltd. anunciaram que 346.247 registros (endereços de e-mail e identificadores internos para gerenciar o Bandai Namco ID) vazaram do ambiente THE GUNDAM BASE MEMBERS do serviço de e-mail do Bandai Namco ID; dizem que nomes, endereços, histórico de compras, senhas de login e dados de cartão de crédito não estão incluídos, e que outros ambientes ainda estão sendo verificados. Dizem que os e-mails que enviarem sobre isso não conterão URLs. A DCM Holdings (envio de e-mails do seu programa de membros Maibo) disse em seu segundo relatório de 30 de outubro que confirmou um vazamento que afeta 753.272 membros (em 29 de outubro), com endereço de e-mail, ID de membro, nome, gênero, ano e mês de nascimento e prefeitura de residência; não estão incluídos senhas, dados de cartão nem saldos ou histórico de pontos. Conclusão deste site: membros do Express Reservation e do smartEX não devem abrir links nem mesmo em e-mails ou SMS que mostrem seu nome em katakana ou ID de membro, e devem verificar pelo aplicativo oficial ou por um site oficial salvo nos favoritos. Destinatários de newsletters não devem abrir links em e-mails que aleguem vir do remetente. As empresas clientes devem confirmar com a Ymirlink se seu ambiente foi afetado e decidir se devem comunicar a Comissão de Proteção de Informações Pessoais e notificar os indivíduos.
Vazamento de dados do Carsensor.net e do C-MATCH da Recruit (até 3.709.551 registros): nomes e endereços de pessoas que entraram em contato com revendedoras podem ter sido expostos — o que usuários e revendedores devem fazer
Em 21 de outubro de 2026, a Recruit Co., Ltd. anunciou que informações de usuários e parceiros comerciais do Carsensor.net, seu site de anúncios de carros usados (incluindo o aplicativo), e do C-MATCH, seu serviço de apoio a negócios para revendedoras de carros usados, podem ter vazado para fora em decorrência de acesso não autorizado. Segundo a empresa, ela detectou acesso suspeito de fora aos sistemas relacionados ao Carsensor.net em 17 de outubro e suspendeu todos os serviços relacionados a partir de cerca de 17h desse dia. Em 20 de outubro identificou os itens e o número (máximo) de registros de dados pessoais que podem ter vazado. O total é de até 3.709.551 registros: 3.210.421 de pessoas que entraram em contato com revendedoras pelo site (em sua maioria nome e endereço; os endereços, em princípio, vão apenas até o município), 5.289 de pessoas que publicaram avaliações, 483.168 de revendedoras cadastradas no C-MATCH (nomes de funcionários e telefones, números de licença de revendedor de usados, IDs de login etc.; para empresários individuais, também informações de conta bancária para débito direto) e 10.673 de funcionários da empresa e de equipes de terceirizados e agentes de vendas. Nenhum dos grupos inclui dados de pagamento, como cartões de crédito, ou senhas de login. A causa é acesso não autorizado por terceiros, e os detalhes estão em investigação. A empresa apresentou um relatório preliminar à Comissão de Proteção de Informações Pessoais do Japão e entrará em contato individualmente, em sequência, com as pessoas afetadas. Até 21 de outubro, nenhum dano secundário havia sido confirmado. Os serviços começaram a ser retomados por etapas a partir de cerca de 13h de 22 de outubro, começando por aqueles cuja segurança foi confirmada. A visão deste site: quem entrou em contato com uma revendedora pelo Carsensor deve presumir que cartas, e-mails e ligações podem vir de alguém que conhece seu nome e endereço, não deve abrir links ou anexos em contatos inesperados e deve conferir no aviso da própria Recruit.
Vazamento de dados do H2O ID (cerca de 1,26 milhão de registros) pelo site de reservas dos department stores Hankyu e Hanshin: endereços, telefones e datas de nascimento vazaram — o que os membros devem fazer
Em 19 de outubro de 2026, a H2O Retailing Corporation e a Hankyu Hanshin Department Stores, Inc. anunciaram em conjunto que o site de reservas dos department stores Hankyu e Hanshin, a HANKYU HANSHIN E-STORES e a Remo Order, todos operados pela Hankyu Hanshin Department Stores, haviam sido acessados sem autorização por um terceiro, e que parte dos dados pessoais dos clientes havia vazado. Em 16 de outubro, as empresas confirmaram o acesso não autorizado ao sistema de gestão de clientes por meio do site de reservas e interromperam todo o sistema desse site; em 17 de outubro, confirmaram também o acesso não autorizado à E-STORES e à Remo Order e interromperam ambos. Em 19 de outubro, constatou-se que parte dos dados pessoais de cerca de 1,26 milhão de H2O IDs gerenciados no sistema de gestão de clientes havia vazado. O comunicado diz que parte dos dados pessoais de quase todos os membros com H2O ID vazou. Os itens são H2O ID, nome (em kanji e katakana), sexo, endereço de e-mail, CEP, endereço, número de celular, telefone, idade, data de nascimento e os serviços usados com o H2O ID. Na E-STORES e na Remo Order, se houve vazamento de dados está sob investigação; as empresas listam os dados que esses serviços guardam como histórico de pedidos, parte das informações do cartão de crédito (tipo de cartão, últimos quatro dígitos, nome do titular, data de validade), parte das informações do cartão de pontos e informações da lista de endereços. Os números completos dos cartões e os códigos de segurança não são armazenados. Nenhum vazamento de senhas de login foi confirmado, e nenhum uso indevido ou dano secundário foi confirmado. A causa está sob investigação. A E-STORES reabriu às 14h de 19 de outubro. A visão deste site: espere mensagens convincentes que conheçam seu nome, endereço, telefone, data de nascimento e os serviços que você usa; não abra os links delas e verifique no site oficial que você abrir por conta própria ou pelos contatos do comunicado.
Violação no sistema de inscrição de linhas da NIFTY (até 542.513 registros): números de membro, nomes, endereços e telefones podem ter sido expostos — o que os clientes de fibra devem fazer
Em 19 de outubro de 2026, a NIFTY Corporation, um provedor de internet japonês, anunciou (primeiro relatório) que confirmou um acesso não autorizado, vindo de fora, ao seu sistema de gestão de inscrição e aceitação de linhas. Segundo a empresa, ela confirmou o acesso não autorizado por volta das 10h20 de 19 de outubro e bloqueou imediatamente o acesso a partir da origem. O sistema é uma ferramenta interna de gestão que a empresa usa para registrar informações; ele é separado do site (formulários de inscrição etc.) que os clientes usam para se inscrever diretamente. Até 542.513 registros podem ser afetados. Eles abrangem clientes que solicitaram uma linha desde 2019 (excluindo o site da empresa), para os serviços @nifty Hikari, @nifty MAX Hikari e @nifty au Hikari Plus. Os itens são número de membro, nome, sexo, data de nascimento, endereço, número de telefone e endereço de e-mail; esta é a lista completa dos itens que podem ter vazado, e o que realmente vazou está em investigação. O sistema não guarda dados de conta bancária ou de cartão de crédito, que não estão incluídos. O comunicado não menciona senhas. A causa não foi divulgada; a empresa está investigando com especialistas externos e está em processo de comunicação à Comissão de Proteção de Informações Pessoais do Japão. A visão deste site: quem se inscreveu em um desses serviços desde 2019 deve presumir que contatos podem vir de alguém que conhece seu nome, endereço, telefone e data de nascimento, e não deve seguir links ou instruções em e-mails, mensagens de texto ou ligações que se apresentem como sendo da NIFTY. Verifique por meio de um contato oficial que você mesmo procurar.
Acesso não autorizado ao construtor de sites Studio: dados de todos os usuários e envios de formulários podem ter vazado — o que quem enviou formulários e donos de sites devem fazer
Em 16 de outubro de 2026, a Studio Inc. anunciou que um terceiro obteve acesso não autorizado ao ambiente de nuvem que a empresa utiliza e que dados de todos os clientes cadastrados no seu construtor de sites Studio podem ter vazado. O terceiro explorou uma vulnerabilidade em alguns recursos do Studio para acessar o ambiente e tornou seus dados acessíveis de fora. O período de acesso não autorizado confirmado vai de 30 de setembro a 1º de outubro de 2026 (horário do Japão); a empresa descobriu o caso em uma investigação interna em 13 de outubro e concluiu a correção da vulnerabilidade e o fechamento da rota em 13–14 de outubro. Os dados que podem ter vazado incluem dados de conta (nomes de usuário, endereços de e-mail, senhas com hash e mais), conteúdo do editor de design e do CMS, o conteúdo de formulários enviados em sites feitos no Studio, URLs de pré-visualização ao vivo, chaves de API e tokens de serviços externos registrados em integrações de API, senhas de páginas protegidas por senha e URLs de notificação de webhook. Alguns dados armazenados de forma criptografada também podem ter sido lidos, porque a chave necessária para descriptografá-los foi lida no mesmo acesso. A empresa não confirmou que um terceiro realmente levou os dados, mas os trata como levados. O número de pessoas afetadas e se houve algum uso indevido estão sob investigação. Empresas e organizações que criaram sites com o Studio também disseram que dados pessoais enviados por seus formulários podem ter vazado: a Luup informou 21.368 registros, o Link-U Group 7.663, a TRUSTART cerca de 1.440 e o Museu Floresta Verde de Saitama, da Província de Saitama, 162. A Agência Digital do Japão disse em 22 de outubro, depois de a Studio Inc. comunicar o incidente a ela em 16 de outubro, que consultas inseridas nos formulários de contato do seu site entre maio de 2021 e março de 2023 (cinco categorias, até 8.833 registros na maior; até 13.323 no total, somados por este site) e 35 registros de contas do Studio podem ter vazado. Sobre a comunicação à Comissão de Proteção de Informações Pessoais do Japão (PPC), a Studio Inc. pediu em 17 de outubro que os usuários de formulários suspendessem comunicações individuais e, em 20 de outubro, disse que, após conversas com a PPC, os clientes podem escolher comunicar individualmente ou em conjunto com a Studio (em qualquer caso, os clientes ainda decidem sobre notificar os indivíduos afetados). Em 19 de outubro, acrescentou à sua página de orientação que até respostas que sejam propaganda comercial, spam ou que gerem preocupação de segurança exigem, em princípio, notificação ao indivíduo se contiverem informações que identifiquem uma pessoa. Conclusão deste site: se você enviou um formulário em um site feito no Studio, verifique o comunicado do dono do site e não abra links em mensagens que mencionem o que você enviou. Donos de sites devem trocar a senha e renovar as chaves de integração na ordem indicada pela Studio Inc.
Vazamento no app do Burger King Japão (cerca de 11,18 milhões de registros): nomes, datas de nascimento e telefones expostos — o que os membros devem fazer
Em 15 de outubro de 2026, a BK Japan Co., Ltd., que opera o Burger King no Japão, anunciou que o app oficial do Burger King, operado por ela, havia sido acessado sem autorização por um terceiro, e que confirmou o vazamento das informações dos membros do app. O acesso ocorreu de 2 a 7 de outubro de 2026, e o vazamento foi constatado em 13 de outubro. Cerca de 11,18 milhões de registros de membros do app foram afetados. Os itens são: ID de membro, endereço de e-mail, tipo de cadastro, prefeitura, sexo, data de nascimento, nome (em kanji e katakana), número de telefone, se o membro tem histórico de pedidos pelo celular e se o e-mail foi verificado. A empresa afirma que não guarda números de cartão de crédito, por isso eles não vazaram, e que até agora não foi confirmado vazamento de informações de senha de login. A causa detalhada está sendo investigada com uma organização especializada externa, e nenhum dano secundário, como uso fraudulento, havia sido confirmado no momento do comunicado. Não houve atualização até 17 de outubro. A visão deste site: esperar mensagens convincentes que saibam seu nome, data de nascimento e telefone; não abra os links e verifique no app oficial que você abre por conta própria. Se você usa sua data de nascimento como PIN ou senha, troque-a.
Vazamento de dados de membros da SourceNext (22.519.960 registros): e-mails, senhas e endereços podem ter sido expostos — o que os membros devem fazer
Em 15 de outubro de 2026, a SOURCENEXT CORPORATION anunciou que um terceiro obteve acesso não autorizado aos dados de membros que ela gerencia e que dados pessoais de seus membros cadastrados vazaram para fora da empresa. Segundo a empresa, a partir de cerca das 10:00 do dia 9 de outubro, um terceiro usou indevidamente uma API de recuperação de dados de membros para obter informações de membros; a empresa confirmou o acesso não autorizado por volta das 9:00 do dia 13 de outubro e concluiu a contenção até as 13:36 do mesmo dia. Os dados que podem ter vazado somam 22.519.960 registros. Os itens são endereço de e-mail, senha, nome, nome em katakana, endereço, gênero, número de telefone, número de fax, data de nascimento, nome da empresa, cargo, departamento e identificadores do sistema (serviços contratados, data de cadastro, data de login e assim por diante); os itens variam conforme a forma como cada membro se cadastrou. Segundo a empresa, dados de cartão de crédito não são armazenados no sistema afetado e não estão incluídos. Em uma atualização de 16 de outubro, a empresa disse que a senha de todos os membros já foi desativada, que as senhas antigas não funcionam mais e pediu que os membros definam uma nova. Uma reportagem de 19 de outubro atribui à porta-voz da empresa a informação de armazenamento criptografado e exposição confirmada em forma descriptografada. O FAQ da empresa diz que ela pediu a um especialista independente em segurança que iniciasse uma investigação de terceiros em 16 de outubro, que seus produtos Super Security e Virus Security continuam podendo ser usados como antes e que os dados salvos no 1Password não são mantidos pela empresa e não fazem parte do vazamento. Separadamente, em 27 de outubro e 5 de novembro a empresa anunciou que um terceiro obteve acesso não autorizado ao provedor do serviço de envio de e-mails que ela usava (um terceirizado), de modo que e-mails e informações de pedidos usados nos envios podem ter vazado (142.669 registros, contados como endereços de e-mail distintos, no segundo comunicado de 5 de novembro; senhas, nomes, endereços, telefones e dados de cartão de crédito não estão incluídos). A empresa diz que é um incidente separado, sem relação com o de 15 de outubro. Visão deste site: quem já se cadastrou na SourceNext deve primeiro trocar a senha de qualquer outro serviço que use o mesmo e-mail e senha, depois definir uma nova senha da SourceNext pelo site oficial aberto pelo próprio usuário, e não usar links ou números em e-mails, mensagens de texto, ligações ou cartas que se apresentem como SourceNext.
Acesso não autorizado a alguns servidores web do ConoHa WING (GMO Internet) (426 contas): dados nas áreas de servidor web dos clientes afetados e o que os donos de sites devem fazer hoje
Em 20 de setembro de 2026, a GMO Internet, Inc. anunciou que, em alguns servidores de hospedagem (servidores web) do seu serviço de hospedagem de aluguel ConoHa WING, um terceiro obteve acesso não autorizado às áreas de servidor web de alguns clientes e instalou um programa malicioso. 426 contas foram afetadas, e os dados envolvidos são os 'dados armazenados nas áreas de servidor web dos clientes'. O acesso e a instalação começaram em 3 de setembro; a empresa detectou o caso em 16 de setembro e, em 18 de setembro, identificou a causa e a abrangência e removeu os programas. Ela diz ter identificado a causa, mas não a divulgou. Dados de membros, contratos e pagamentos são gerenciados em um ambiente separado e não vazaram, segundo a empresa. O comunicado não diz se os dados das áreas de servidor web foram copiados. Os clientes afetados foram contatados individualmente no endereço de e-mail cadastrado, e os clientes que não foram contatados não são afetados. Não houve comunicado de acompanhamento até 15 de outubro. A visão deste site: primeiro verifique se você recebeu um e-mail individual e, se recebeu, siga as instruções dele. Depois, trate as credenciais guardadas na sua área de servidor web (a senha do banco de dados em wp-config.php, chaves de API em .env etc.) como lidas e troque-as, e procure arquivos, administradores e tarefas agendadas adicionados desde 3 de setembro.
Vazamento de dados da IDARE (129.659 pessoas): saldos, histórico de transações e alguns números de documentos de identidade vazados — o que os usuários devem fazer
Em 13 de outubro de 2026, a Fivot Inc. anunciou que seu aplicativo de pagamento sem dinheiro em espécie IDARE sofreu acesso não autorizado de terceiros que vazou dados pessoais. Uma vulnerabilidade em um software externo que a empresa usava para atendimento ao cliente e outras tarefas foi explorada, e dados do banco de dados da empresa foram obtidos em múltiplas ocasiões entre 10 de agosto e 27 de setembro. As pessoas afetadas são as 129.659 que haviam se cadastrado até 27 de setembro, incluindo quem havia encerrado suas contas. Para todos, os dados vazados incluem número de telefone, endereço de e-mail, data de nascimento, ID de usuário, nome de exibição, configurações e status da conta, saldo, histórico de transações e o nome e a data de validade no cartão IDARE. Para algumas pessoas, também incluem nome, endereço, gênero, finalidade de uso e número do documento de identidade enviado para verificação de identidade, os últimos 4 dígitos do número do cartão IDARE, os primeiros 6 e os últimos 4 dígitos de um cartão de crédito cadastrado para recargas, os últimos 3 dígitos de uma conta bancária cadastrada para recargas, o código de ativação do cartão físico e a renda anual e o empregador informados para o LADDER, um serviço de crédito que foi encerrado em outubro de 2021. Senhas de login, imagens de documentos de identidade e rostos, o Meu Número (My Number, número individual do Japão), números completos de cartões, códigos de segurança, PINs e números completos de contas não foram envolvidos. A empresa afirma que nenhuma transação fraudulenta foi confirmada e que a autenticação em múltiplos fatores é exigida para fazer login. Em seu segundo comunicado, em 21 de outubro, disse que nenhuma transação fraudulenta havia sido confirmada até aquela data e apresentou medidas de prevenção com prazos (30 de outubro e 30 de novembro). Uma investigação independente conduzida por uma organização especializada externa deve ser concluída entre o fim de novembro e o início de dezembro, e a empresa diz que publicará o relatório quando estiver pronto. Conclusão deste site: os dados vazados, sozinhos, não podem ser usados para fazer login ou pagar, mas uma mensagem que informe corretamente o seu saldo ou compras recentes não é prova de que é genuína. Não aja com base em mensagens que se dizem da IDARE, de uma operadora de cartão ou de um banco pelo mesmo canal por onde chegaram, e nunca forneça a ninguém sua senha, PIN, código de segurança ou código de autenticação.
Vazamento do SpeeCAN RAIDEN (2026): usuários de e-mail de alerta de desastres e riscos de golpes
Em 13 de outubro de 2026, a Arcadia Inc. anunciou que o SpeeCAN RAIDEN, seu serviço de notificação em massa por e-mail e outras mensagens, foi acessado sem autorização por um terceiro, e que podem ter vazado nomes de contato, endereços de e-mail, números de telefone e de fax, informações de funcionários e de contratos, e o texto das mensagens enviadas, guardado como histórico. Os números máximos são cerca de 3.136.000 endereços de e-mail, cerca de 105.000 números de telefone e cerca de 15.000 números de fax (todos estimativas, ainda sob investigação). A Arcadia viu atividade suspeita às 16h30 de 11 de outubro, aplicou um bloqueio provisório por volta das 3h00 de 12 de outubro e, às 11h00 de 13 de outubro, desligou os serviços que haviam sido a via de invasão (raiden3 e s2, do Raiden School). Em 14 de outubro, incluiu NET119 e 119RAIDEN no possível vazamento e, na 11ª atualização de 16 de outubro, informou números por serviço: no NET119, dados pessoais como nomes, datas de nascimento e endereços vinculados a 9.020 endereços de e-mail (a empresa confirmou que nenhum dado pessoal sensível vazou); no 119RAIDEN, cerca de 97.000 endereços de e-mail e outros dados. Os serviços suspensos foram restabelecidos por volta das 15h00 de 15 de outubro. Dados de pagamento não são tratados. Os municípios publicaram avisos próprios; a Cidade de Shizuoka diz ter estabelecido que vazaram endereços de e-mail de 34.336 moradores cadastrados e outros dados, e viu e-mails falsos que se passavam por uma empresa de cartão, enviados do mesmo domínio dos alertas verdadeiros, @raiden.ktaiwork.jp. Na 17ª atualização, de 21 de outubro, a Arcadia disse que um programa malicioso enviou 1.423.428 e-mails de phishing a partir do seu sistema entre 1h17 e 7h16 de 13 de outubro, que pelo menos 869.575 deles foram para endereços que a empresa não possui, e que uma organização externa fará uma pesquisa na dark web. A empresa também enviou e-mails a clientes e revendedores sobre o envio, em nome deles, das comunicações à Comissão de Proteção de Informações Pessoais e ao Ministério dos Assuntos Internos e Comunicações. Na 20ª atualização, de 22 de outubro, informou aos clientes que devem usar autenticação em duas etapas no login, para evitar recorrência, e na 22ª atualização, de 23 de outubro, pediu o mesmo aos clientes do Raiden School. No relatório publicado com a 21ª atualização, de 23 de outubro, diz que um arquivo de configuração foi obtido por uma vulnerabilidade no servidor de mídia que publica anexos, vazando uma chave secreta usada em logins entre serviços, entre outras causas; que todos os serviços estão dentro do escopo do possível vazamento; e que a contagem ainda está sob investigação (9.020 delas no NET119). A empresa pediu uma investigação detalhada a uma organização de segurança independente. Em sua 25ª atualização (17h00 de 2 de novembro), disse que, separadamente do envio de 13 de outubro, também foram enviados externamente a partir de seu sistema supostos e-mails de phishing em 22 e 23 de outubro. Aponta duas causas: a conta da API de envio de e-mails vazada durante a invasão de 11 a 13 de outubro teve a senha quebrada por força bruta e foi usada de fora, e, depois que a integração com a API foi interrompida, uma vulnerabilidade de confusão na análise de URL foi usada para abusar da API novamente. Diz que interrompeu a integração com a API por volta das 6h30 de 22 de outubro e corrigiu a vulnerabilidade por volta das 10h30 de 23 de outubro, e que os e-mails não autorizados cessaram. Na 26ª atualização, às 16h15 de 6 de novembro, informou que está retomando a função de integração por API com sistemas externos interrompida na 19ª atualização; os clientes precisam alterar configurações para voltar a usá-la, e os afetados estão sendo contatados individualmente. Nossa conclusão: o remetente não permite distinguir o verdadeiro do falso; por isso, não bloqueie o remetente dos alertas de desastres e não abra links em e-mails que pedem para confirmar dados de cartão ou pessoais.
Acesso não autorizado ao Commune (166.505 registros de membros, contados por comunidade): dados de membros de comunidades corporativas vazados — o que membros e operadores devem fazer
Em 9 de outubro de 2026, a Commune Inc. anunciou que seus serviços de comunidade para empresas, Commune e Commune for Work, foram acessados sem autorização por um terceiro externo, e que dados de membros de algumas comunidades vazaram. Os vazamentos ocorreram por volta das 18h00 de 5 de outubro até por volta das 21h00 de 6 de outubro, e das 13h17 às 14h36 de 7 de outubro (horário do Japão). O primeiro comunicado indicou cerca de 307.000 membros (estimativa de pessoas únicas) como o máximo possivelmente afetado. Em uma atualização de 21 de outubro, após uma investigação detalhada, confirmou que 166.505 membros foram afetados (o total de IDs de membros contados por comunidade, então pessoas em várias comunidades são contadas uma vez para cada uma; isso inclui comunidades administradas pela empresa e comunidades de teste/demonstração, e exclui contas criadas pelo atacante), e que 125.601 deles tiveram dados, incluindo endereços de e-mail, vazados. Para os demais, os dados vazados incluem nomes de exibição, perfis e participações em grupos privados. Para 144 membros, as senhas foram alteradas para senhas temporárias sem a ação deles. Não foi confirmado vazamento das próprias senhas nem de mensagens diretas, e a empresa não guarda dados de pagamento. Ela atribui o incidente a links de convite para comunidades privadas obtidos de forma ilegítima e à personificação de administradores. Empresas clientes que administram comunidades no serviço também publicaram comunicados; a JMAM informou que nomes, endereços, idades e telefones nos perfis de membros de sua comunidade Toki Labo também vazaram. Para impedir o uso indevido dos e-mails vazados, a Commune Inc. interrompeu todas as comunidades para manutenção emergencial a partir das 00h50 de 10 de outubro e adotou medidas como tornar obrigatória a autenticação em dois fatores para contas de administradores. Em 16 de outubro, anunciou que as comunidades seriam reabertas em etapas, começando por clientes que solicitarem, apenas na versão para navegador web e com alguns recursos restritos (o aplicativo, o novo cadastro com endereço de e-mail e a redefinição por “esqueci minha senha” continuam indisponíveis). Diz que nenhum novo acesso não autorizado ou vazamento foi encontrado durante a manutenção ou os testes. A atualização de 21 de outubro também informa que a empresa apresentou um relatório preliminar ao Ministério de Assuntos Internos e Comunicações (Gabinete Regional de Telecomunicações de Kanto) em 9 de outubro, começou a consultar a polícia, não encontrou programas, contas ou configurações deixados pelo atacante após analisar todos os registros, e está preparando uma investigação forense por uma organização terceirizada. Nossa avaliação: verifique o comunicado da empresa que administra sua comunidade para saber se você foi afetado e não abra links em e-mails que aleguem vir da comunidade.
Vazamento da Baitoru (até cerca de 3,89 milhões de endereços de e-mail): apenas e-mails vazados — como os membros podem identificar mensagens falsas de entrevista e golpes de emprego
Em 9 de outubro de 2026, a dip Corporation anunciou que, em 6 de outubro, confirmou acesso não autorizado de terceiros à Baitoru e à Baitoru NEXT, sites de emprego que ela opera no Japão, e que alguns endereços de e-mail de membros vazaram. O número de endereços que podem ter vazado é de até 3.885.771. A empresa diz que apenas endereços de e-mail vazaram e que nomes, números de telefone, senhas e dados de cartão de crédito não foram incluídos. Ela atribui a causa a acesso não autorizado do exterior que explorou uma falha na especificação de parte de seu sistema. Bloqueou todo o acesso do exterior e modificou o programa. Não confirmou nenhuma publicação dos dados na internet nem qualquer uso indevido. Os membros afetados foram avisados nos serviços em 6 de outubro e estão sendo contatados individualmente por e-mail e por outros meios. Não houve comunicado de acompanhamento até 10 de outubro. A visão deste site: mesmo que apenas endereços de e-mail tenham vazado, sabe-se que eles pertencem a membros de sites de emprego. Não abra links em mensagens sobre horários de entrevista ou confirmações de candidatura; verifique no aplicativo oficial que você mesmo abre. Não migre para outros aplicativos de mensagens nem responda a ofertas de 'pagamento alto, pago no mesmo dia'.
Vazamento de dados de membros da Bookoff (6.383.279 pessoas): nomes, endereços, e-mails e hashes de senha podem ter sido expostos — o que os membros devem fazer
Em 9 de outubro de 2026, a BOOKOFF GROUP HOLDINGS LIMITED anunciou que um terceiro obteve acesso não autorizado ao sistema de gestão de membros da Bookoff no Japão, fornecido por sua subsidiária BOOKOFF CORPORATION LIMITED, e que dados de membros vazaram para fora da empresa. Segundo o segundo relatório, de 13 de outubro, os dados de membros foram retirados por acesso externo entre 4 e 6 de outubro. A contagem é de 6.427.735 registros por número de membro, ou 6.383.279 pessoas quando os registros de membros cadastrados com o mesmo endereço de e-mail são contados como uma única pessoa (212.371 delas são ex-membros). Os afetados são membros do app, membros da loja online e membros da web; quem usa apenas o cartão de membro e nunca se cadastrou pelo app ou pela web não está incluído. Os dados que podem ter vazado são nome, data de nascimento, gênero, ocupação, apelido, endereço de e-mail, telefone, código postal e endereço, hash de senha, número do cartão de pontos e número de membro (ocupação e apelido foram acrescentados por uma correção de 16 de outubro), embora nem todos os itens tenham vazado para todos os membros. Dados de pagamento, como detalhes de cartão de crédito, dados de conta bancária, texto lido de documentos de identidade em compras presenciais nas lojas e imagens de documentos de identidade de compras por correio não estão incluídos. A empresa enviou e-mails aos membros afetados em etapas a partir de 15 de outubro (o envio para todos os endereços que ela conseguiu confirmar como entregáveis terminou em 22 de outubro) e pede que troquem as senhas da loja online oficial e do app. Em 23 de outubro anunciou uma consulta na web, no site de membros da Bookoff, em que o membro faz login e verifica se foi afetado, e informou que abriu uma linha gratuita dedicada em 22 de outubro. No terceiro relatório, de 6 de novembro, informou que uma investigação com especialistas externos constatou que um terceiro explorou um problema de controle de acesso em parte do sistema que trata dados de membros; não divulga detalhes técnicos como a configuração do sistema ou os ajustes. Segundo o terceiro relatório, o alcance (serviços, pessoas e itens) não mudou em relação ao segundo relatório, e de 26 a 29 de outubro a empresa também avisou individualmente os membros afetados por notificações no app oficial. Não foram confirmados divulgação de dados de membros, uso indevido de pontos nem alteração de dados de membros, e a empresa diz que compensará integralmente os pontos se for confirmado uso indevido decorrente do incidente. Ela prevê apresentar o relatório final à Comissão de Proteção de Informações Pessoais no início de dezembro. Avaliação deste site: quem se cadastrou pelo app ou pela loja online deve trocar a senha pelo app oficial ou por um site que abra por conta própria, trocá-la em qualquer outro serviço que use a mesma senha e não abrir links de e-mails ou mensagens de texto que digam ser da Bookoff.
Malware em computador de um terceirizado da Daiichikosho (cerca de 8,72 milhões de registros): nomes, datas de nascimento e telefones de membros do Big Echo e de outros podem ter vazado — o que fazer
Em 8 de outubro de 2026, a Daiichikosho Co., Ltd. anunciou que uma empresa à qual terceiriza o tratamento de dados pessoais informou que um computador usado por um de seus funcionários estava infectado com malware, e que as informações de clientes da Daiichikosho podem ter vazado. Dados pessoais relacionados ao trabalho terceirizado haviam sido armazenados temporariamente nesse computador. Os registros se referem a cerca de 8.631.000 clientes que se cadastraram como membros ou fizeram reservas nas lojas da empresa (Big Echo, Mega Big, Karaoke CLUB DAM, Banana Club, B-GARAGE e DK Dining, após a remoção de duplicidades) e a cerca de 93.000 funcionários, totalizando cerca de 8.724.000. Os itens são nome (nome cadastrado), sexo, data de nascimento, e-mail e telefone. Senhas não foram incluídas, e a empresa diz que os pontos não podem ser usados apenas com essas informações. Não foi confirmado nenhum vazamento externo real, uso indevido ou impacto nos sistemas próprios da empresa. Uma linha de atendimento gratuita foi aberta em 9 de outubro. Em um acréscimo datado de 26 de outubro, a empresa disse que está contatando individualmente, aos poucos, por SMS e outros meios, os clientes que podem ter sido afetados, e divulgou os números remetentes (NTT Docomo, au e Rakuten Mobile: 05036052572, que pode aparecer como +815036052572; SoftBank: 247473). Ela diz que esse contato não significa que um novo vazamento tenha sido descoberto, e que nenhum vazamento externo real ou uso indevido decorrente do incidente foi confirmado. Também diz que o número remetente, sozinho, não garante que um SMS seja legítimo. Em 6 de novembro, publicou os resultados de uma investigação forense feita por uma organização especializada externa: no dispositivo que a empresa contratada usava foram encontradas infecção por malware e comunicação não autorizada com um servidor externo, e o malware tinha uma função para enviar para fora informações do dispositivo, mas não foi possível identificar quais informações foram de fato enviadas nem em que volume. Nenhum vazamento ou uso indevido de dados pessoais decorrente do incidente foi confirmado. Não foram encontrados vestígios que indiquem controle remoto, e o malware já estava neutralizado quando a investigação começou. Os avisos individuais aos clientes que podem ter sido afetados continuam. Visão deste site: não abra links em mensagens que se apresentem como Big Echo ou DAM sobre cupons, renovação de associação ou pontos, nem em SMS que se apresentem como da Daiichikosho; confira no aplicativo oficial ou em um site que você mesmo abra, e deixe de usar sua data de nascimento como PIN ou senha.
Possível vazamento de e-mails da JR East, VIEW Card e JR Kyushu (2026): o que fazer
Em 9 de outubro de 2026, a East Japan Railway Company (JR East), a VIEW Card Co., Ltd. e a Kyushu Railway Company (JR Kyushu) anunciaram cada uma que o serviço externo que usam para enviar e-mails a seus membros foi afetado por acesso não autorizado em um provedor de serviços em nuvem, e que não podem descartar que endereços de e-mail e outros dados dos membros tenham sido visualizados ou obtidos. Os números são, no máximo, cerca de 1,67 milhão de membros do eki-net e cerca de 390 mil membros do Otona no Kyujitsu Club (JR East); cerca de 4,03 milhões de endereços de e-mail de usuários do VIEW's NET (VIEW Card); e, no máximo, cerca de 1,3 milhão de membros do JR Kyushu Web (JR Kyushu). Para eki-net, VIEW's NET e membros do JR Kyushu Web, apenas endereços de e-mail estão envolvidos; para membros do Otona no Kyujitsu Club, também estão envolvidos o número de membro, a data de validade do cartão de crédito e a data de nascimento. Nomes, endereços, telefones e números de cartão estão excluídos. O provedor de serviços em nuvem afirmou que a interrupção iniciada no começo de 7 de outubro foi causada por um ataque de ransomware de terceiros. Em seu quinto relatório, em 14 de outubro, o provedor disse não ter encontrado nenhum rastro de dados nos servidores virtuais da área afetada sendo visualizados ou retirados, e concluiu que não houve vazamento externo de dados. Em 15 de outubro, após receber essas conclusões, a JR Kyushu anunciou que não foi confirmado nenhum vazamento de endereços de e-mail dos membros do JR Kyushu Web. O site do eki-net da JR East também informa que, em 15 de outubro, a empresa de serviço de envio de e-mails comunicou ter concluído que nenhum dado pessoal dos membros do eki-net vazou (verificado em 19 de outubro). Para membros do Otona no Kyujitsu Club e para a VIEW Card, este site não encontrou novidades até 19 de outubro (verificado no site de cada empresa). Em seu sétimo relatório, em 27 de outubro, o provedor de serviços em nuvem disse que sua investigação foi concluída e apontou como causa uma vulnerabilidade em um software de código aberto usado no sistema de autenticação de seu portal de gestão de clientes. Sua conclusão de que nenhum dado dos servidores virtuais vazou para o exterior não mudou. A visão deste site: a JR Kyushu disse que nenhum vazamento foi confirmado, e o eki-net afirma ter sido informado de que nenhum dado pessoal de seus membros vazou. Mesmo assim, e-mails falsos que usam este incidente como pretexto ainda podem chegar. Não faça login a partir de links em e-mails; verifique pelo aplicativo oficial ou por um favorito salvo por você mesmo.
Vazamento de dados da NewsPicks (nomes de titulares de cartão e últimos dígitos, até 362.000 registros): o que vazou por meio de uma ferramenta administrativa interna e o que os usuários devem fazer
Em 8 de outubro de 2026, a Uzabase, Inc. anunciou que uma ferramenta administrativa usada na operação de seu serviço de notícias NewsPicks foi acessada sem autorização por um terceiro, e que alguns dados pessoais de usuários podem ter vazado. Seu segundo comunicado, de 9 de outubro, disse que a invasão explorou uma vulnerabilidade nessa ferramenta administrativa e informou as quantidades máximas estimadas por item: parte dos dados de cartão usados em pagamentos na web (nome do titular e os últimos 3 ou 4 dígitos do número do cartão, entre outros) 362.000; endereços de e-mail 323.000; categoria de cargo 273.000; vínculo institucional 65.000; nomes 59.000; e outros. A empresa afirma que números completos de cartão e códigos de segurança nunca foram armazenados em seus sistemas e não vazaram, e que nenhum vazamento de senhas foi confirmado. Nenhum dano secundário foi confirmado. Visão deste site: uma mensagem que cita os últimos dígitos do seu cartão ou o seu empregador não é prova de que é verdadeira. Não abra links, verifique pelo aplicativo oficial ou por um site oficial que você mesmo abrir, e acompanhe as faturas do seu cartão.
Vazamento de dados da skyticket (Adventure Inc.) (cerca de 14,64 milhões de registros): senhas, dados bancários de reembolso e dados de cartão de alguns usuários expostos. O que os usuários devem fazer hoje
Em 9 de outubro de 2026, a Adventure Inc. anunciou três incidentes separados de acesso não autorizado, cada um por uma rota diferente, que afetaram seu site de comparação e reserva de viagens skyticket. No primeiro, uma função administrativa foi usada indevidamente e serviu de ponto de partida para acessar outros servidores e dados armazenados na nuvem; cerca de 14,64 milhões de registros vazaram, incluindo nomes (também como escritos no passaporte), datas de nascimento, endereços de e-mail, números de telefone, endereços e o nome do remetente usado em transferências bancárias. Cerca de 4,13 milhões deles incluíam senhas de membros em hash. No segundo, uma vulnerabilidade em um sistema de gestão empresarial foi explorada, e 17.780 registros (incluindo duplicatas, com mais ainda sendo contados) contendo dados de contas bancárias para reembolso vazaram ou podem ter vazado. No terceiro, a página de conclusão de reservas de ônibus podia ser exibida sem login, e cerca de 12.000 reservas foram ou podem ter sido visualizadas. A empresa afirmou inicialmente que números de cartão não estavam entre os dados vazados, mas corrigiu isso em um segundo comunicado, em 16 de outubro: o número do cartão, o nome do titular e a data de validade (para alguns, apenas o número; sem códigos de segurança) de até 6.140 pessoas que cadastraram ou usaram um cartão de crédito para pagar a taxa de associação “skyticket Premium” entre fevereiro de 2017 e junho de 2018 vazaram no primeiro incidente, junto com IDs de membro, nomes e senhas de um serviço de benefícios sociais oferecido como vantagem do Premium. Imagens de passaportes não foram expostas e, até o comunicado de 9 de outubro, o único dano secundário confirmado foi um login não autorizado em uma conta de membro (o segundo comunicado não informa se os dados de cartão vazados foram usados indevidamente). A visão deste site: os membros devem trocar a senha pelo site ou aplicativo oficial hoje, trocá-la em qualquer outro serviço em que a tenham reutilizado, verificar as faturas do cartão a partir de outubro caso tenham cadastrado ou usado um cartão para a taxa Premium nesse período, ignorar mensagens sobre reembolsos, indenizações ou alterações de reserva e nunca informar a ninguém a senha do cartão bancário nem um código de uso único.
Programa de roubo de cartões na página de pagamento do PhotoGoods (Daiko Printing): o que quem pagou entre 6 de agosto e 11 de setembro deve fazer
Em 16 de setembro de 2026, a Daiko Printing Co., Ltd. anunciou acesso não autorizado de terceiros ao PhotoGoods (photo-goods.com), serviço que ela opera, e disse que um programa capaz de capturar ilegalmente dados de cartão de crédito digitados na página de pagamento havia sido instalado. O programa esteve presente de 6 de agosto até ser removido em 11 de setembro. Pessoas que informaram um cartão na página de pagamento nesse período (inclusive as que não concluíram a compra) podem ter tido expostos o número do cartão, a data de validade e o código de segurança, além de nome, endereço, telefone, e-mail e informações derivadas da senha de membro (armazenadas em forma convertida). A empresa afirma ter confirmado acesso não autorizado por meio de vulnerabilidades do sistema e uso indevido de uma função de upload de arquivos. O número de pessoas afetadas e o alcance real estão em apuração, e não havia comunicado de acompanhamento até 7 de outubro. A opinião deste site: quem informou um cartão nesse período deve pedir à operadora do cartão a troca do número, trocar a senha em qualquer outro serviço que use a mesma senha do PhotoGoods e ignorar links em mensagens de 'desculpas' ou 'reembolso'.
Vazamento de dados da Daiwa Securities via fornecedor (cerca de 110.000 clientes, 220.000 registros): o que pode ter vazado e o que os clientes devem fazer
Em 5 de outubro de 2026, a Daiwa Securities Co. Ltd., uma das maiores corretoras do Japão, anunciou que o servidor de um fornecedor cujo serviço ela usa para gerenciar consultas online de clientes foi acessado sem autorização. Nomes, endereços de e-mail, números de conta e outras informações de 110.000 clientes, contidos em registros de consultas, podem ter vazado; incluindo consultas que não identificam ninguém, cerca de 220.000 registros estão envolvidos. O acesso ocorreu entre cerca de 20h33 de 2 de outubro e 8h01 de 3 de outubro, e não foi encontrado acesso não autorizado aos sistemas próprios da Daiwa. A empresa afirma que esses dados não podem ser usados para acessar contas ou negociar, inclusive por meio de negociação online, e que, até 5 de outubro, não foram encontradas negociações fraudulentas nem publicação ou disseminação dos dados. Em 6 de outubro, o lado do fornecedor publicou um aviso próprio: dados de consultas armazenados nos ambientes de até cinco empresas clientes no mesmo servidor, com até 713.126 registros contados por consulta, podem ter sido copiados. Citando o mesmo fornecedor, a Citizen Watch (cerca de 100.000 pessoas), a Sompo Japan (cerca de 60.000 registros contados por consulta) e a ORIX Life Insurance (cerca de 26.500 registros) também anunciaram que os dados de seus clientes podem ter vazado. A visão deste site: espere mensagens falsas que conheçam o número da sua conta e suas consultas anteriores. Nunca faça login a partir de links em e-mails ou mensagens de texto; acesse por um favorito ou pelo aplicativo oficial e verifique ali sua caixa de mensagens e seu histórico de operações.
Uso indevido do registro CPR da Dinamarca (cerca de 8,8 milhões de pessoas): o que foi acessado e o que residentes e organizações que concedem acesso de consulta devem fazer
Em 5 de outubro de 2026, o Ministério da Pesquisa, Educação e Digitalização da Dinamarca anunciou que pessoas não autorizadas usaram indevidamente o acesso legítimo de uma empresa privada dinamarquesa para consultar dados do sistema de registro civil (CPR) e obtiveram nomes, endereços, números CPR e outras informações de cerca de 8,8 milhões de pessoas cadastradas, incluindo pessoas vivas, emigradas e falecidas. O CPR tem cerca de 11 milhões de pessoas. A administração do CPR percebeu na noite de 2 de outubro que havia atividade irregular durante setembro e suspendeu o acesso da empresa. Nomes e endereços de pessoas com proteção de nome e endereço não foram incluídos. Segundo a mídia dinamarquesa, em 9 de outubro a administração do CPR lembrou as 1.039 empresas com acesso de consulta de suas regras de segurança, e a ministra reconheceu que a segurança não tinha sido suficiente. A mídia também relata que a senha 123456 foi usada em contas de consulta; isso não foi confirmado oficialmente. A visão deste site: quem sabe seu nome, endereço e número CPR ainda pode ser um golpista. Os residentes nunca devem compartilhar dados do MitID ou códigos de uso único, e as empresas devem parar de tratar esses três itens como prova de identidade.
Vazamento de dados do infoQ (894.082 registros): o que vazou e o que os membros devem fazer
Em 5 de outubro de 2026, a GMO Research & AI, Inc. anunciou que seu site de pesquisas infoQ havia sido acessado por terceiros sem autorização e que dados pessoais dos membros haviam sido retirados. No segundo comunicado, em 14 de outubro, confirmou que o número de registros retirados era 894.082 (o primeiro comunicado falava em até 948.498). Os itens são nome, nome em katakana (furigana), sexo, data de nascimento, e-mail, endereço residencial, telefone, senha criptografada, número de membro e outros dados de cadastro, como apelido e saldo de pontos. A empresa diz não ter dados de cartão de crédito nem o My Number (número japonês de identificação nacional). Além disso, 611 trocas de pontos, no valor de 2.869.500 ienes, foram convertidas em códigos de presente da Amazon sem o consentimento dos membros, e a empresa afirma que os compensará integralmente (creditados nas contas quando o serviço for retomado). A empresa invalidou todas as senhas dos membros em 7 de outubro. Segundo a empresa, o invasor explorou uma vulnerabilidade em um software usado em seu site. Análise deste site: com data de nascimento e endereço incluídos, é fácil criar mensagens falsas convincentes. Troque a senha de qualquer serviço que use a mesma senha do infoQ, ative a verificação em duas etapas na sua conta de e-mail e não abra links em mensagens que digam ser do infoQ.
Violação no app e na loja online MrMax (até cerca de 1,74 milhão de pessoas): nomes, e-mails e telefones vazados — o que os membros devem fazer
Em 6 de outubro de 2026, a MrMax Co., Ltd., rede de lojas de desconto japonesa, anunciou que os servidores do app e da loja online MrMax, que ela opera, foram acessados sem autorização por um terceiro, e que parte dos dados pessoais de seus membros vazou. Até 1.735.154 pessoas cadastradas como membros em 3 de outubro de 2026 são afetadas. Os itens são ID de membro, nome, e-mail e telefone (variam conforme o que cada membro cadastrou). A empresa diz ter confirmado que endereços, datas de nascimento, dados de cartão de crédito, senhas e histórico de compras não vazaram. Ela percebeu acessos suspeitos na noite de 3 de outubro, suspendeu o serviço imediatamente e bloqueou o acesso externo no mesmo dia. A empresa diz que um terceiro usou indevidamente uma função do software que compõe o serviço para entrar no servidor. Até o momento do comunicado, não havia dano confirmado com o uso indevido dos dados. A visão deste site: espere e-mails, mensagens de texto e ligações convincentes que usem o seu nome. Não abra os links deles; confira no app ou site oficial que você mesmo abrir e nunca informe senhas ou números de cartão.
Ataque de ransomware na Universidade Metropolitana de Osaka (vazamento de dados pessoais confirmado a partir do armazenamento em nuvem de um terceirizado): o que alunos, ex-alunos, pais e funcionários devem fazer
A Universidade Metropolitana de Osaka, no Japão, afirma que uma falha em larga escala atingiu sua plataforma de virtualização nas primeiras horas de 2 de outubro de 2026, derrubando a rede do campus, o OMU Mail, seus sites e os sistemas acadêmico, financeiro, de folha de pagamento e da biblioteca. Em entrevista coletiva em 5 de outubro, afirmou ter concluído que a causa foi um ataque de ransomware. As aulas foram suspensas de 2 a 8 de outubro e, em seu quarto comunicado, em 8 de outubro, a universidade anunciou que as aulas presenciais seriam retomadas em todos os campi em 9 de outubro. No quinto comunicado, em 21 de outubro, a universidade disse que a contratada que mantém e opera seus sistemas principais informou que uma empresa para a qual subcontrata foi alvo de um ataque cibernético no fim de setembro de 2026, e que os sistemas da universidade foram acessados sem autorização usando a conta legítima da subcontratada. A contratada também informou que dados pessoais relacionados à universidade e informações de sistema armazenados em nuvem usada pela contratada foram confirmados como vazados; o conteúdo e os números ainda estão sendo verificados com a contratada. Os dados que a universidade citou na entrevista como possivelmente vazados (cerca de 130.000 registros relacionados ao sistema de assuntos acadêmicos, entre outros) estão na própria plataforma de virtualização da universidade e são separados; se vazaram, ainda está sob investigação. Em 23 de outubro, a universidade abriu uma central de atendimento para ex-alunos e pais. Reportagens indicam que cerca de 500 servidores pararam e grande parte dos dados de backup também foi criptografada. A visão deste site: verifique qualquer mensagem que se diga da universidade na página OMU Entrance, e não por links em e-mails ou mensagens de texto, e comunique contatos suspeitos à central de atendimento da universidade. As organizações devem listar as contas que suas contratadas e subcontratadas usam e manter ao menos um backup que as contas administrativas de produção não possam apagar.
Vazamento do Rakuten Drive (dados armazenados de 15.382 contas): o que foi acessado e o que os usuários devem fazer
Em 6 de outubro de 2026, o serviço de armazenamento em nuvem Rakuten Drive anunciou que um terceiro obteve de forma ilegítima as credenciais de uma conta de gerenciamento de parte dos sistemas usados pelo serviço, acessou os sistemas e obteve e visualizou informações. Foram afetados os dados armazenados (incluindo fotos e documentos) de 15.382 contas entre 29 de janeiro e 17 de setembro de 2026; o nome da conta, o nome de exibição e a URL da imagem de perfil de 687 contas em 27 de agosto; e, no mesmo dia, o nome da conta, o nome de exibição, a senha criptografada, a string acrescentada durante a criptografia da senha e a URL da imagem de perfil de 313 contas. O serviço diz que não foi confirmado nenhum dano secundário e que notificará os usuários afetados individualmente por e-mail ou por outros meios. Em uma atualização de 13 de agosto sobre notificações push suspeitas vistas em 30 de julho, o serviço havia afirmado que o acesso não autorizado de terceiros aos dados armazenados não havia sido confirmado naquele momento. A visão deste site: ao contrário de uma senha, a exposição dos arquivos armazenados não pode ser desfeita. Verifique se há um aviso, considere como vistos quaisquer documentos de identidade ou contratos que você tenha armazenado, troque sua senha e não responda a mensagens, cobranças ou ameaças que aleguem ser do Rakuten Drive.
Vazamento de dados da Abahouse: detalhes de pedidos podem ter vazado — como lidar com e-mails falsos de reembolso
Em 2 de outubro de 2026, a Abahouse International Co., Ltd. anunciou que um acesso não autorizado a seus sistemas internos, considerado feito por um terceiro no exterior, pode ter vazado números de identificação de membros, nomes, endereços, telefones, e-mails, datas de nascimento, gênero e detalhes de pedidos (data e hora do pedido, nomes dos produtos, valores e endereços de entrega). Como não consegue identificar totalmente a extensão dos dados obtidos, a empresa enviou e-mails em 2 de outubro aos clientes que julgou possivelmente afetados, com base no histórico de compras e em outros registros. Ela exclui os dados de membros um mês após o desligamento, mas mantém registros de pedidos anteriores por um período por motivos legais e contábeis, e diz não poder descartar que esses pedidos tenham sido acessados; ex-membros receberam o mesmo e-mail. Nenhum número foi divulgado. Números de cartão e códigos de segurança são tratados por um processador de pagamentos, e nenhum vazamento deles foi confirmado. O incidente veio à tona quando vários clientes relataram e-mails suspeitos de reembolso que correspondiam aos seus pedidos reais. Em uma atualização em 9 de outubro, a empresa disse que a via de invasão foi bloqueada, sem nova propagação confirmada, que registrou um boletim de ocorrência na polícia e que não recebeu relatos de prejuízo financeiro. A extensão dos dados obtidos e os detalhes da causa seguem em investigação com especialistas externos. Opinião deste site: uma mensagem que acerta os detalhes do seu pedido não é prova de que é verdadeira. Não siga links nem migre para o LINE a partir de e-mails de 'reembolso' ou 'produto esgotado'; verifique o histórico de pedidos em Minha Página.
Vazamento de dados da Lashinbang: números de documentos de identidade e dados bancários para repasse podem ter vazado (sem imagens de documentos) — o que os vendedores devem fazer
Em 1º de outubro de 2026, a Lashinbang Co., Ltd. anunciou que um acesso não autorizado a um serviço que opera, entre 14 e 16 de setembro de 2026, pode ter vazado nomes, endereços, números de telefone, endereços de e-mail, datas de nascimento e profissões, além do tipo e do número de documentos de identidade, o nome do banco, a agência, o número da conta e o titular informados ao solicitar uma recompra (quando os clientes vendem itens à loja), imagens dos termos de consentimento da recompra e detalhes de recompras e pedidos. A empresa diz que não vazaram informações de cartão de crédito nem senhas e que não coleta o My Number (número individual do Japão). Em um adendo de 9 de outubro, acrescentou que imagens de documentos de identidade, incluindo carteiras de habilitação, não vazaram. O aviso também ganhou uma seção dizendo que as pessoas afetadas são as que receberam um e-mail individual da empresa. Até 10 de outubro de 2026, a quantidade de afetados e a causa não foram divulgadas. Visão deste site: um número de conta e o nome do titular, sozinhos, não permitem sacar dinheiro, mas não responda a contatos que usem seus dados bancários, número de identidade ou detalhes reais da recompra para parecer legítimos. Nunca informe a ninguém um PIN, login ou código de autenticação, e, se o número do seu documento de identidade vazou, considere uma autodeclaração nos bureaus de crédito do Japão.
Vazamento de dados no app Seicomart (cerca de 575 mil membros): nomes, endereços e datas de nascimento visualizados — o que os membros devem fazer
Em 29 de setembro de 2026, a Seicomart Co., Ltd., que administra a rede de lojas de conveniência Seicomart no Japão, anunciou que um terceiro obteve acesso não autorizado ao servidor que guarda os dados dos membros, por meio do servidor por trás do seu app para smartphones Seicomart. Seu quarto comunicado, em 5 de outubro, afirmou que as contas afetadas são 574.647 membros do Club que se cadastraram no app, e que as pessoas que deixaram o programa Club Card até 24 de setembro não estão incluídas. Os itens visualizados são sobrenome e nome, sexo, data de nascimento, endereço, telefone, e-mail e as datas de adesão e saída do programa Club Card. Dados de senha e histórico de compras não foram vazados, e a empresa não guarda dados de cartão de crédito. A partir de 5 de outubro, a empresa informa a cada membro do app, por meio dos avisos do aplicativo, se ele foi afetado. Ela encerrou as funções do app e da web para novos cadastros, visualização e alteração de dados cadastrais e troca de cartões registrados; as solicitações agora são feitas em lojas ou por formulário. A causa não foi divulgada. A visão deste site: o que foi exposto é um conjunto de dados pessoais que não podem ser alterados, e o próximo passo mais provável são e-mails, mensagens de texto e ligações convincentes que se passam pela empresa. Verifique os avisos do app para saber se você foi afetado, não siga links ou instruções em tais mensagens e deixe de usar sua data de nascimento como PIN ou como resposta em verificações de identidade.
Vazamento de dados do ShopServe da E-store (relatório final: cerca de 23,36 milhões de pessoas): o que compradores, donos de lojas e afiliados devem fazer
No relatório final de 16 de outubro de 2026, a E-store Co., Ltd. informou que um terceiro explorou uma vulnerabilidade em uma aplicação nos servidores do ShopServe, seu serviço para criar lojas online, e enviou ao exterior o conteúdo do banco de dados entre 21 de maio e 1º de agosto de 2026. Cerca de 23.356.000 pessoas são afetadas (compradores e membros, operadores de lojas e afiliados somados; valor aproximado após remover duplicidades), das quais cerca de 2.096.900 tiveram parte dos dados do cartão incluída. São afetadas 7.858 lojas (incluindo as atuais e as antigas do ShopServe). O vazamento inclui nomes, endereços, telefones, e-mails e locais de trabalho dos compradores; IDs de membro e senhas criptografadas; nomes dos titulares, os 6 primeiros e os 4 últimos dígitos do cartão e datas de validade; e as credenciais de lojas e afiliados. Números completos de cartão e códigos de segurança não eram mantidos e não foram afetados. O relatório final corrige o segundo relatório: foi confirmado que não vazaram os IDs e senhas do sistema de e-mail e do FTP das lojas nem os dados das contas bancárias para as quais a E-store transfere dinheiro (contas de repasse). Nenhum dano secundário havia sido relatado. Conclusão deste site: a maioria dos compradores comprou no site próprio de cada loja sem nunca ter ouvido o nome ShopServe. Mesmo que não saiba de qual loja se trata, desconfie de mensagens que citem os dados reais do seu pedido ou os quatro últimos dígitos do seu cartão, confira as faturas do cartão e troque senhas reutilizadas. Donos de lojas e afiliados devem trocar a senha de administração ou de afiliado e ativar a verificação em duas etapas.
Acesso não autorizado ao TEMAIRAZU (2026): orientações para hóspedes e hotéis
Em 28 de setembro de 2026, a Temairazu, Inc. anunciou acesso não autorizado à sua Série TEMAIRAZU, um sistema que hotéis e ryokans usam para gerenciar reservas de muitas fontes em um só lugar. A partir do fim da noite de 21 de setembro, hóspedes de propriedades que usam o sistema começaram a receber mensagens suspeitas por aplicativos de mensagem como o WhatsApp, por e-mail e por SMS. As mensagens pareciam conhecer os detalhes das reservas e, sob pretextos como check-in antecipado ou manutenção da reserva válida, levavam os destinatários a sites externos para inserir dados de cartão ou pagar. No seu segundo relatório, de 7 de outubro (versão em inglês em 8 de outubro), a empresa listou as informações que podem ter sido visualizadas ou obtidas por terceiros: nomes dos hóspedes, números de telefone, endereços de e-mail, nomes das propriedades de hospedagem, datas de check-in, datas de check-out e valores de hospedagem. Ela não armazena informações de cartão de crédito nem credenciais de login de sites de reserva. Em um comunicado de divulgação relevante a investidores, em 9 de outubro, informou que o número de pessoas com dados de reserva envolvidos é de até cerca de 4,45 milhões e que contratou uma empresa externa de segurança para investigar. Segundo avisos de hotéis que usam o sistema, a causa foi um problema de segurança em parte de um produto instalado que a empresa forneceu no passado, corrigido em 26 de setembro. Opinião deste site: pessoas que reservaram por sites de viagem também podem ser afetadas. Se uma mensagem em nome do seu hotel pedir que você insira novamente os dados do cartão ou pague, recuse mesmo que os dados estejam corretos, e confirme pelo aplicativo oficial do site de reservas ou pelo telefone no site oficial do hotel.
Vazamentos de dados da Yamato e da Sagawa (2026): usuários afetados e resposta
A Yamato Transport identificou acesso não autorizado ao seu serviço de pagamento postergado Kuroneko em 28 de setembro de 2026, e a Sagawa Express identificou acesso não autorizado ao seu serviço de rastreamento de encomendas em 30 de setembro. Em 1º e 2 de outubro, as duas empresas disseram que dados pessoais podem ter vazado. São incidentes separados, e nenhuma das empresas menciona uma ligação entre eles. No quarto comunicado, em 16 de outubro, a Yamato disse que dados foram obtidos: cerca de 5,26 milhões de registros de usuários do pagamento postergado (nome, endereço, telefone, e-mail, detalhes dos itens e outros, de 1º de outubro de 2018 a 28 de setembro de 2026), cerca de 50.000 registros de informações de endereço de entrega de alguns usuários e cerca de 4.100 registros de lojas participantes. Valores de cobrança, saldos em aberto e nomes de funcionários não foram encontrados como obtidos. No quinto comunicado, em 23 de outubro, a Sagawa disse que nomes, endereços e telefones de remetentes e destinatários de encomendas que tratou de 21 de junho a 30 de setembro de 2026 (cerca de 100 dias), entre outros dados, podem ter vazado, e informou que a contagem máxima é de cerca de 53,23 milhões de registros (com duplicatas; não é o número de pessoas). Encomendas enviadas com guias preenchidas à mão não estão incluídas. Nenhum dos incidentes inclui dados de cartão de crédito ou senhas. A Yamato reiniciou o serviço de pagamento postergado em 9 de outubro e estendeu os prazos de pagamento em 17 dias; a Sagawa reiniciou seu serviço de rastreamento de encomendas em 23 de outubro, enquanto outros oito serviços web, inclusive a reserva online, seguem suspensos. Opinião deste site: com a Sagawa, você pode ser afetado apenas por ter recebido uma encomenda, mesmo que nunca tenha usado a empresa. Considere que mensagens falsas de ausência na entrega e cobranças de pagamento podem agora conter seu nome e endereço reais, o fato de você ter recebido uma encomenda ou o que comprou. Não abra links dessas mensagens; confira no aplicativo oficial ou no histórico de pedidos da loja onde comprou.
Vazamento de dados de reservas da Booking.com: como identificar mensagens de golpe que se passam pela sua hospedagem
Em abril de 2026 a Booking.com notificou hóspedes de que terceiros não autorizados podem ter conseguido acessar certas informações de reservas, atualizou os PINs das reservas afetadas e disse que havia contido o problema. Segundo o aviso e o que um porta-voz da empresa disse à imprensa, as informações incluíam dados da reserva, nomes, endereços de e-mail, números de telefone e mensagens trocadas com as hospedagens; as informações financeiras não foram acessadas. O número de afetados e a causa não foram divulgados. A conclusão deste site: acertar o nome do hotel, a data e o preço já não prova nada. O teste é se o pedido bate com a política de pagamento da reserva que você mesmo abre no app oficial. Recuse qualquer pedido para digitar o cartão de novo, pagar por um link ou fazer uma transferência que não esteja na política.
Vazamento de dados do Canvas (Instructure): matrículas em cursos e mensagens vazaram — o que alunos, professores e instituições de ensino devem fazer
Segundo a Instructure, empresa por trás do sistema de gestão de aprendizagem (LMS) Canvas, uma atividade não autorizada foi detectada em 29 de abril de 2026, e nomes de usuário, endereços de e-mail, nomes de cursos, informações de matrícula e mensagens foram exfiltrados. A empresa diz que os campos envolvidos não foram projetados para armazenar senhas, datas de nascimento, informações de saúde, números do Seguro Social (EUA), informações financeiras, notas nem registros disciplinares. Em 7 de maio, o mesmo agente usou outra vulnerabilidade para alterar páginas exibidas após o login. A lista de campos parece banal, mas um e-mail mais as disciplinas que alguém cursa é exatamente o que um golpe convincente com tema escolar precisa, e as mensagens são texto livre, então qualquer coisa que as pessoas tenham escrito nelas pode estar incluída. Confirme qualquer contato só pelos canais oficiais da sua instituição; a TI da escola deve cadastrar contatos de segurança, revisar os logs, exigir MFA dos administradores e manter cópia dos dados dos cursos fora do LMS.
Vazamento de dados da Times Car (6.628.007 registros com nomes e endereços, indícios de envio de cerca de 1,46 milhão de imagens de documentos de identidade): como verificar em Minha Página e o que membros e ex-membros devem fazer
Em seu quinto comunicado, em 23 de outubro de 2026, a Times Mobility Co., Ltd. informou que a investigação forense externa havia terminado e publicou os números finais. No sistema web da Times Car, foram encontrados indícios de acesso do invasor e de transmissão externa para 6.628.007 registros de nome, endereço, data de nascimento, telefone, e-mail e informações da carteira de motorista. Das imagens de documentos de identidade, armazenadas criptografadas, 1.464.800 apresentaram indícios de envio (a empresa havia dito antes que cerca de 1,6 milhão poderia ter vazado) e 891.602 foram acessadas sem indícios de envio. Senhas em hash foram enviadas em 4 casos. No sistema web relacionado Times Club, onde também foi constatado acesso não autorizado, 19.510 números de cartão Times Club, 135.436 IDs de serviços vinculados e 28 registros dos quatro últimos dígitos de cartões de crédito, entre outros, apresentaram indícios de envio (a empresa não possui os números completos dos cartões nem os códigos de segurança). A causa foi a exploração de uma vulnerabilidade no sistema web. A empresa pagará 3.000 ienes às pessoas cujas imagens foram enviadas (detalhes e forma ainda em definição) e, desde as 17h do dia 23 de outubro, mostra em Minha Página os itens vazados de cada pessoa. Visão deste site: primeiro verifique seus próprios itens em Minha Página. Se suas imagens de documentos foram enviadas, registre alertas de fraude nos bureaus de crédito e consulte seu histórico de crédito; todos devem ignorar contatos que se passem pela empresa. Ex-membros podem pedir informações por meio de um formulário específico.
Spam vindo do seu próprio endereço de e-mail: quase sempre é remetente falsificado, e como saber se você foi hackeado
A maior parte do spam que chega 'de' o seu próprio endereço tem o campo de remetente falsificado; a sua conta nunca foi tocada. O IPA e o JC3 do Japão já alertaram sobre e-mails de extorsão feitos para parecer assim, e o IPA diz que a sua central de atendimento não viu nenhum caso de vídeo realmente divulgado. A visão deste site: quem envia pode escrever qualquer coisa no campo De. Antes de entrar em pânico, gaste cinco minutos em três lugares — Enviados, histórico de login, regras de encaminhamento. E, se o e-mail citar uma senha que você ainda usa, troque-a hoje.
Subdomain takeover (DNS pendente): como um registro DNS esquecido deixa atacantes usarem o seu domínio
Apague um recurso na nuvem sem apagar o registro DNS e você tem uma entrada pendente: qualquer um pode assumir aquele subdomínio criando um recurso com o mesmo FQDN. Os seus servidores ficam intactos enquanto um subdomínio legítimo serve conteúdo do atacante. O dano não é só aparência — é comum os apps exporem cookies de sessão a subdomínios curinga, então o subdomínio sequestrado consegue lê-los. E a documentação rejeita explicitamente a crença de que um certificado protege você. A correção é colocar a ordem de exclusão nos seus procedimentos e ferramentas, em vez de depender da memória.
Ransomware na KADOKAWA / Niconico (2024) — por que se espalhou por toda a empresa, e segmentação de rede & BCP
A entrada foi descrita como phishing que roubou as credenciais de um funcionário; a partir daí a rede interna foi invadida e o ransomware rodou, derrubando muitos serviços do grupo (incluindo o Niconico) por meses e vazando dados de ~250.000 pessoas. Relatos e análises atribuem a propagação por toda a empresa a sistemas de criticidade muito diferente que dividiam a mesma rede, supostamente com pouca segmentação. Defenda-se segmentando a rede por criticidade, usando autenticação resistente a phishing e preparando continuidade de negócios (BCP) e recuperação.
Medidas de segurança na era da IA que funcionam e as que não funcionam: por que sites pequenos também são alvo
Quatro equívocos da era da IA corrigidos: (1) pequeno demais para ser alvo → ataques automatizados não precisam de um humano para escolher o alvo; (2) precisa de um novo controle especial → o básico ainda funciona melhor; (3) um produto te deixa seguro → design de prevenção antes da detecção; (4) código de IA é rápido então é seguro → ele pode vir com vulnerabilidades, então revise antes de publicar. O que funciona é o básico tedioso na ordem certa.
Spoofing de e-mail com o seu próprio domínio: como distinguir de uma invasão, e como SPF, DKIM e DMARC o impedem
Um e-mail suspeito que parece vir do seu próprio domínio geralmente não é uma invasão — é um From falsificado, porque o SMTP deixa qualquer um escrever a linha From. Ler os headers (Authentication-Results, Received, Reply-To) distingue invasão de falsificação. A principal razão de ele chegar à caixa de entrada é uma política DMARC ausente. Corrija com SPF → DKIM → DMARC (p=none → reject).
O que é phishing? Os tipos de ataque e defesas mais confiáveis do que identificar a olho
Phishing se passa por uma parte confiável para atraí-lo a uma página de login falsa e roubar credenciais ou dados (ou rodar malware). Mira no julgamento humano em vez de uma falha de software, e é a rota de entrada número um para ransomware e vazamentos. O phishing moderno com invasor no meio (AiTM) retransmite até códigos de uso único para o site real em tempo real, então o MFA por SMS/app pode ser derrotado. A defesa confiável não é 'identificar a olho', mas mecanismos: MFA resistente a phishing vinculado ao domínio (passkeys/chaves de segurança), ir direto ao site oficial em vez de clicar em links e autenticação de e-mail (SPF/DKIM/DMARC).
O que é ransomware? Como funciona, como entra e como evitar pagar
Ransomware é um malware que criptografa seus arquivos e exige pagamento para tê-los de volta. Ataques modernos adicionam a dupla extorsão — roubam os dados primeiro e ameaçam vazá-los, então só descriptografar não detém o vazamento. Principais rotas de entrada: phishing, VPN/RDP fracos ou sem MFA e falhas sem patch expostas à internet. A defesa mais importante são backups offline/imutáveis mais testes de restauração — conseguir se recuperar sem pagar. Também previna a invasão (MFA, patches) e limite o dano (privilégio mínimo, segmentação).
Escolhendo MFA do jeito certo: o que significa 'resistente a phishing' e por que o SMS é fraco
MFA combina categorias diferentes de fatores. Códigos digitados podem ser retransmitidos por phishing; SMS também depende do controle do número. Para contas importantes, prefira métodos resistentes a phishing, como passkeys ou chaves FIDO2, e confira a verificação do usuário e a recuperação.
Os perigos do Wi-Fi público: pontos de acesso falsos e avisos de certificado importam mais que o sniffing
O 'sniffing' em Wi-Fi público é em grande parte mitigado pelo HTTPS e hoje é de baixa prioridade. Os riscos reais são (1) você mesmo se conectar a um ponto de acesso falso gêmeo maligno, (2) ignorar avisos de certificado e (3) expor seu dispositivo na rede compartilhada. As medidas mais eficazes são simples: use o tethering do celular, confie no HTTPS e nos avisos de certificado, e não entre automaticamente em SSIDs desconhecidos. Uma VPN é a camada seguinte.