Possíveis vazamentos de dados no Japão superam 165 milhões de registros, enquanto empresas revelam brechas mais amplas

Milhões de registros expostos em serviços do dia a dia

Informações pessoais potencialmente vazadas por acessos não autorizados no Japão em 2026 ultrapassaram 165 milhões de registros, segundo um levantamento da empresa de segurança Macnica. As divulgações abrangem transporte ferroviário, compras, karaokê, software, entrega de encomendas e compartilhamento de carros, incluindo informações de pessoas que já haviam encerrado suas contas.

A Sourcenext anunciou, em 15 de outubro, que 22.519.960 registros de clientes poderiam ter sido vazados. A Adventure, que opera o site de reservas de viagens Skyticket, revelou uma possível violação envolvendo cerca de 14,64 milhões de registros. Mais tarde, a Yamato Transport identificou 5,31 milhões de registros afetados ligados ao seu serviço de pagamento diferido.

O número de 165 milhões contabiliza cumulativamente as informações pessoais envolvidas nos incidentes. Portanto, uma pessoa cujas informações apareçam em vários serviços afetados pode ser contabilizada mais de uma vez. O total também inclui possíveis vazamentos, além de casos em que as empresas identificaram informações comprometidas.

Uma investigação mais detalhada da Macnica sobre um padrão específico de violações de sites identificou 119 divulgações públicas até 6 de outubro, número que já supera as 84 registradas ao longo de 2025. Das 119 divulgações, 81 ocorreram a partir de julho.

A Agência de Promoção da Tecnologia da Informação do Japão, conhecida como IPA, emitiu um alerta urgente em 9 de outubro, pedindo que líderes empresariais verificassem serviços, contas e dados armazenados na internet. As recomendações relacionam duas tarefas imediatas: encontrar invasores e reduzir a quantidade de informações pessoais que eles poderiam roubar.

Para os clientes, as consequências dependem dos dados armazenados por cada serviço. Algumas bases afetadas continham informações de contato. Outras poderiam incluir senhas, dados de cartão de crédito ou imagens de documentos de identidade. As divulgações também mostram como um ataque a um prestador de serviços pode atingir de uma só vez os clientes de várias empresas.

O que a Macnica contabilizou e por que o aumento importa

A análise da Macnica sobre violações de sites examinou 265 incidentes divulgados publicamente envolvendo organizações nacionais entre janeiro de 2024 e 6 de outubro de 2026. Os totais anuais subiram de 62 em 2024 para 84 em 2025 e 119 no período incompleto de 2026.

O número de 2026 já era 35 incidentes, ou cerca de 42%, superior ao do ano completo anterior. As 81 divulgações a partir de julho representaram aproximadamente 68% do total do ano e cerca de 31% dos 265 incidentes analisados.

Yutaka Sejiyama, do Centro de Pesquisa de Segurança da Macnica, preparou a análise das divulgações públicas, com contribuições de Motohiko Sato, da Itochu Cyber & Intelligence, e Yosuke Hasegawa, diretor de tecnologia da Secure Sky Technology, para a análise dos ataques.

Os pesquisadores selecionaram incidentes que, em sua avaliação, compartilhavam características semelhantes. A base de dados exclui ataques de ransomware e alguns outros padrões, entre eles tentativas de acessar contas de clientes usando senhas roubadas de serviços sem relação com os casos. Quando vários clientes divulgaram danos causados por um único incidente em um prestador de serviços compartilhado, os pesquisadores contabilizaram o incidente do prestador uma única vez.

As divulgações mais amplas das empresas descritas abaixo também incluem incidentes de ransomware. Por isso, é preciso acompanhar duas medidas: a quantidade de informações de clientes potencialmente expostas e o número de incidentes selecionados envolvendo sites, monitorados na investigação técnica da Macnica.

Quais empresas relataram as maiores exposições?

A Sourcenext informou que as informações potencialmente afetadas incluíam nomes, endereços, números de telefone, locais de trabalho, endereços de e-mail e senhas. A empresa de software identificou acesso não autorizado ao seu sistema de informações de associados em 13 de outubro e anunciou a possível exposição dois dias depois.

A Adventure relatou ataques a seus servidores e ao sistema de gestão empresarial do Skyticket, com possível impacto sobre cerca de 14,64 milhões de registros de informações pessoais. A empresa afirmou que números de cartões de crédito e passaportes não foram vazados.

A Daiichikosho, operadora da rede de karaokê Big Echo, afirmou que aproximadamente 8,72 milhões de registros pessoais poderiam ter sido expostos por meio de um sistema administrado por um prestador de serviços externo. O incidente envolveu um malware na empresa terceirizada.

A JR East informou que cerca de 6,09 milhões de contas de clientes poderiam ter sido comprometidas, enquanto a JR Kyushu estimou a possível exposição em aproximadamente 1,3 milhão de contas. As duas empresas vincularam as violações a um ataque de ransomware contra a IDC Frontier, subsidiária da SoftBank que oferece serviços de nuvem. Juntas, as empresas divulgaram um total de aproximadamente 7,39 milhões de contas.

A Bookoff Group Holdings inicialmente informou que até 6,43 milhões de clientes poderiam ter sido afetados, após um acesso não autorizado à sua subsidiária responsável pelos dados de associados. Uma descrição posterior estimou as informações vazadas em cerca de 6,38 milhões de pessoas, incluindo aproximadamente 210 mil ex-associados.

A Lawson relatou acesso não autorizado a mais de 2,15 milhões de registros de clientes, que poderiam incluir nomes, endereços de e-mail e dados de cartões de crédito. A Uzabase, operadora do NewsPicks, afirmou que algumas informações de usuários poderiam ter sido expostas após acesso não autorizado a uma ferramenta de gestão.

Lawson, Daiichikosho e Uzabase disseram não ter confirmado nenhum uso ilegal até o momento de seus anúncios. As operadoras ferroviárias, a Bookoff e a Adventure também informaram não ter encontrado indícios de uso indevido por terceiros e recomendaram que os clientes fiquem atentos a e-mails e ligações suspeitos.

Dados de entregas, ferramentas de desenvolvimento e escolas foram afetados

A Yamato Transport informou em 16 de outubro que 5,31 milhões de registros de informações pessoais de alguns usuários de seu serviço de pagamento diferido haviam sido comprometidos. A empresa anunciou a violação pela primeira vez em 29 de setembro.

As informações afetadas incluíam nomes, endereços e números de telefone coletados a partir de 1º de outubro de 2018, ao longo de cerca de oito anos. O longo período de coleta mostra como uma única invasão pode expor informações acumuladas durante muitos anos de atividade dos clientes.

A Nikkei Inc. divulgou cerca de 1,83 milhão de registros comprometidos, incluindo nomes, endereços e endereços de e-mail, após acesso não autorizado a um serviço de nuvem usado no desenvolvimento de sistemas. Um serviço de desenvolvimento é usado para criar ou manter software, o que coloca outra parte do ambiente tecnológico de uma empresa ao alcance de invasores.

O Ministério da Educação do Japão também informou que oito escolas, em sua maioria universidades, haviam relatado violações entre o fim de setembro e a quinta-feira anterior às divulgações mais recentes. A investigação da Macnica identificou serviços afetados tão variados quanto buscas em catálogos de bibliotecas, reservas de trens turísticos, reservas de alojamento universitário e gestão de reembolsos de ingressos.

Como as divulgações ocorreram

Vários incidentes se tornaram públicos em um intervalo de poucas semanas, enquanto as investigações continuavam para determinar a quantidade de informações envolvidas. O relato da Sourcenext apresenta horários particularmente precisos para a invasão e a resposta da empresa.

• 29 de setembro: a Yamato Transport anunciou pela primeira vez sua violação. A Park24 divulgou, no fim de setembro, a violação de dados de seu serviço de compartilhamento de carros.
• 6 de outubro: o levantamento da Macnica registrou 119 divulgações selecionadas de violações de sites em 2026.
• 8 de outubro: a Macnica acrescentou uma referência a um alerta relacionado da JPCERT/CC, organização japonesa de resposta a incidentes de segurança informática.
• 9 de outubro: a IPA emitiu recomendações para uma inspeção urgente. A JR East, a Bookoff, a Daiichikosho e a Adventure estavam entre as empresas cujas divulgações se tornaram públicas naquele dia. Mais tarde, a Sourcenext concluiu que a invasão começou por volta das 10h de 9 de outubro.
• 13 de outubro: a Sourcenext detectou o acesso não autorizado por volta das 9h e tomou medidas emergenciais para bloqueá-lo até aquela tarde.
• 15 de outubro: a Sourcenext anunciou a possível exposição de 22.519.960 registros.
• 16 de outubro: a Yamato detalhou os 5,31 milhões de registros afetados, a Nikkei divulgou sua violação e a Park24 anunciou que pretendia concluir até o fim de outubro a exclusão de imagens de documentos de identidade.

A cronologia da Sourcenext indica que o acesso não autorizado começou quase quatro dias antes de ser detectado. As instruções da IPA para examinar a atividade recente e, em seguida, ampliar a busca para um período anterior atendem justamente à necessidade de reconstruir o que aconteceu antes de o alerta ser emitido.

Invasores procuraram vulnerabilidades em serviços inteiros

A análise técnica da Macnica descreve invasores examinando sites individuais e suas interfaces de programação de aplicações, ou APIs. Uma API é um canal pelo qual um aplicativo ou site solicita informações a outro sistema ou pede que ele execute uma tarefa.

Os investigadores observaram vulnerabilidades como APIs que retornavam mais informações do que o necessário, funções com permissões excessivas e recursos destinados a associados que podiam ser acessados por visitantes anônimos. Outros problemas envolviam sessões de login, regras de processamento e configurações de acesso.

Alguns invasores examinaram aplicativos para dispositivos móveis a fim de extrair chaves de API, credenciais usadas na comunicação com um serviço. Em seguida, usaram essas chaves para fazer solicitações semelhantes ao tráfego normal. Os pesquisadores também observaram senhas fracas de administrador e a exploração de vulnerabilidades conhecidas em softwares.

O desafio prático vai além de instalar uma única atualização de software. Um serviço pode precisar de verificações próprias para garantir que o servidor confira quem está fazendo uma solicitação e quais registros essa pessoa tem permissão para receber. Ferramentas administrativas que exportam grandes volumes de informações também exigem atenção especial.

A maioria das divulgações trouxe poucos detalhes sobre a causa

Entre os 81 incidentes selecionados e divulgados a partir de julho, a Macnica classificou nove como relacionados a vulnerabilidades em produtos de software ou ferramentas associadas, quatro como envolvendo uso indevido de credenciais ou ataques a senhas e três como decorrentes de falhas nas configurações dos sites ou no controle de acesso.

As 65 divulgações restantes, cerca de 80,2%, continham explicações insuficientes para determinar a causa. Isso deixa outras organizações com poucas informações sobre quais vulnerabilidades devem procurar em seus próprios sistemas.

Alguns comunicados descreveram o que os invasores fizeram depois de obter acesso. Onze incidentes envolveram a instalação ou execução de programas não autorizados, nove envolveram a obtenção ou visualização de informações por meio de APIs ou bancos de dados e seis envolveram a criação de contas ou chaves de autenticação não autorizadas. Essas categorias se sobrepõem, pois um incidente pode incluir várias ações.

A Macnica também identificou pelo menos 25 divulgações a partir de julho envolvendo alterações em sites ou uso indevido sem uma preocupação específica com vazamento de informações pessoais. Entre os exemplos estavam o redirecionamento de visitantes para sites externos, a exibição de alertas falsos, a alteração de informações cadastrais e o uso indevido de serviços de nuvem.

Os pesquisadores discutiram a possibilidade de uso de inteligência artificial para repetir buscas em muitos sites. O envolvimento de IA e o objetivo final dos invasores ainda não foram confirmados. A atividade observada se concentrou em permissões de acesso, configurações, autenticação e vulnerabilidades conhecidas. Uma hipótese apresentada por eles é que nomes, detalhes de serviços e reservas coletados possam ajudar criminosos a tornar mais convincentes futuras mensagens de phishing ou ligações fraudulentas.

Ex-clientes também foram afetados pelas violações

A violação da Park24 envolveu cerca de 6,6 milhões de registros de associados, incluindo ex-associados, e aproximadamente 1,6 milhão de documentos de verificação de identidade, como imagens de carteiras de motorista. O serviço Times Car havia retido documentos de identidade por sete anos após o encerramento das associações dos clientes.

Em 16 de outubro, a Park24 informou que pretendia concluir até o fim daquele mês a exclusão das imagens dos documentos de identidade. A resposta estabelece um prazo concreto para uma questão também levantada pela IPA: as empresas precisam verificar se ainda necessitam dos dados que armazenam.

Os cerca de 210 mil ex-associados da Bookoff representavam aproximadamente 3,3% das 6,38 milhões de pessoas identificadas na descrição posterior do vazamento. A varejista de produtos para animais Charm também informou que a maioria dos cerca de 25 mil registros de ex-clientes havia sido vazada.

Assim, o encerramento de uma conta pode deixar o cliente exposto por anos se a empresa mantiver os registros correspondentes. Informações de contato podem ajudar criminosos a se passar por um serviço conhecido, enquanto senhas e imagens de documentos de identidade criam riscos adicionais. A Macnica recomenda revisar registros desnecessários, inclusive dados pessoais inesperados acumulados em campos de anotações, e desativar chaves de API quando um serviço for encerrado.

O que a IPA quer que as organizações verifiquem agora

O alerta da IPA de 9 de outubro pede inspeções urgentes de aplicativos expostos à internet, serviços e contas externos e informações armazenadas. A responsabilidade recai sobre os líderes empresariais, sobretudo em organizações que lidam com grandes volumes de dados pessoais ou sensíveis.

Para os aplicativos, a IPA recomenda revisar os registros recentes, que documentam as atividades dos sistemas, e verificar se faltam atualizações de segurança. Os investigadores devem começar examinando aproximadamente o último mês e, em seguida, ampliar a análise para três meses, em busca de volumes incomuns de erros e mudanças em relação à atividade normal.

Para serviços externos, incluindo serviços de nuvem e VPN, as empresas devem listar o que é usado pela organização e por cada departamento. Também devem determinar por quanto tempo os registros são mantidos, quem pode inspecioná-los e se o provedor guarda registros que o cliente não consegue consultar diretamente.

A verificação das contas deve procurar usuários desconhecidos e contas que tenham sido ativadas apesar de terem sido desabilitadas ou excluídas anteriormente. Horários e locais de login incomuns e tentativas repetidas malsucedidas também merecem atenção. A IPA recomenda tratar registros ou contas anormais como um incidente de segurança e solicitar uma investigação especializada.

As recomendações relacionadas da Macnica incluem verificar se as APIs aplicam permissões no servidor, remover segredos incorporados em aplicativos, proteger contas de administrador com várias etapas de autenticação e restringir o acesso a funções de gestão. O monitoramento também precisa prever uma resposta humana clara: alguém deve analisar os alertas, contatar as pessoas certas e iniciar a investigação.

A IPA está preparando um programa de avaliação de segurança para cadeias de suprimentos, conhecido como programa de avaliação SCS, com lançamento previsto para março de 2027. Os critérios comuns de avaliação devem ajudar clientes e prestadores de serviços a compreender as condições de segurança entre as empresas que compartilham informações.

Incidentes semelhantes ocorreram também fora do Japão

A Macnica identificou 99 incidentes semelhantes em 13 países e territórios, principalmente entre julho e setembro de 2026. A Coreia do Sul respondeu por 30 casos, a França por 11 e a Polônia por oito.

Os casos sul-coreanos envolveram sites e APIs nos setores de compras, reservas, educação e assistência financeira. Essa variedade se assemelha à gama de serviços citados nas divulgações japonesas.

As leis e práticas de divulgação influenciam quantos incidentes se tornam públicos em cada país. A Macnica descreveu o Japão como um destaque em sua investigação, mas não descartou a possibilidade de os invasores estarem concentrando suas ações especificamente no país.

Nos casos japoneses, as prioridades imediatas são concretas: encontrar atividades não autorizadas, proteger o acesso às informações dos clientes e excluir registros que já não precisam ser mantidos. Os incidentes envolvendo prestadores de serviços e a exposição de ex-associados mostram por que esse trabalho precisa ir além do site principal de uma empresa e de sua lista atual de clientes.

Pontos principais

• O levantamento da Macnica estima que informações pessoais potencialmente vazadas por acessos não autorizados em 2026 ultrapassam 165 milhões de registros, com possibilidade de contabilização repetida entre serviços.
• Sua investigação mais restrita sobre sites registrou 119 divulgações até 6 de outubro, incluindo 81 a partir de julho.
• A Sourcenext divulgou 22.519.960 registros potencialmente afetados; a Adventure relatou cerca de 14,64 milhões.
• Violações em prestadores de serviços afetaram clientes de grandes empresas, enquanto registros mantidos expuseram ex-associados da Park24, da Bookoff e da Charm.
• A IPA pediu revisões urgentes de registros de atividade, atualizações, contas, serviços externos e dados armazenados.
• A Park24 pretendia concluir até o fim de outubro a exclusão de imagens de documentos de identidade. O início do programa de avaliação de segurança de cadeias de suprimentos da IPA está previsto para março de 2027.