Operadora da Gin no Sara alerta que até 6,5 milhões de registos poderão ter sido expostos após ataque de ransomware

Registos de clientes em risco em três marcas de entrega

A Ride On Express Holdings anunciou, a 13 de outubro de 2026, que poderão ter sido expostos até cerca de 6,5 milhões de registos com informações pessoais registados através dos sites e aplicações oficiais da Gin no Sara, Kamatora e Sushi Joto, na sequência de um ciberataque a um servidor externo. As informações potencialmente afetadas incluem moradas, números de telefone, datas de nascimento, hashes de palavras-passe e histórico de encomendas.

A empresa não confirmou que os atacantes tenham obtido as informações. À data do anúncio, os investigadores não tinham encontrado provas claras de uma fuga de dados nem determinado se houve divulgação ou que quantidade de informação estaria envolvida. O valor de 6,5 milhões corresponde ao número máximo de registos potencialmente afetados, não a uma contagem confirmada de registos roubados ou a um número declarado de pessoas distintas.

No seu terceiro comunicado sobre o incidente, a Ride On Express Holdings afirmou que o operador do servidor comunicou um ataque de ransomware e advertiu posteriormente que seria difícil recuperar ou restaurar os dados que lhe tinham sido confiados. As encomendas através dos sites e aplicações oficiais das três marcas continuavam suspensas, sem data anunciada para a retoma.

O segundo comunicado sobre o incidente da empresa, publicado a 13 de outubro, revelou também a possível exposição, depois do primeiro comunicado, a 8 de outubro. A empresa pediu desculpa aos clientes, parceiros comerciais e outras pessoas afetadas e afirmou ter decidido notificar os clientes potencialmente afetados, apesar de a investigação não ter confirmado uma fuga nem o seu alcance.

A divulgação alargou o âmbito de um incidente inicialmente apresentado como uma interrupção do serviço, a 7 de outubro. Alargou também a potencial exposição para além dos titulares de contas: poderão estar em causa dados de familiares e de destinatários de entregas, caso os clientes os tenham introduzido. As informações de cartões de crédito estão excluídas, uma vez que a empresa afirma não as conservar.

Como se desenrolou o incidente

A cronologia da empresa começa antes de os sistemas de encomendas ficarem indisponíveis. A Ride On Express Holdings afirmou ter detetado, a partir de 5 de outubro, acessos não autorizados de terceiros a servidores que utilizava e ter começado a investigar o método do ataque e os possíveis danos.

Na madrugada de 7 de outubro, ocorreu uma falha em alguns servidores. Depois de o operador do servidor comunicar um ataque de ransomware, a Ride On Express Holdings suspendeu os seus sistemas e criou, nesse mesmo dia, uma equipa de resposta de emergência. A equipa começou a investigar uma possível divulgação de informações e a ponderar medidas para evitar mais danos para os clientes.

• A partir de 5 de outubro de 2026: Foi detetado um acesso não autorizado, dando início a uma investigação sobre o método do ataque e os possíveis danos.
• 7 de outubro: Alguns servidores falharam de madrugada. O operador comunicou um ataque de ransomware, a Ride On Express Holdings suspendeu os sistemas e foi criada uma equipa de resposta de emergência.
• A partir de 8 de outubro: Ficaram disponíveis encomendas por telefone, encomendas para levantamento nas lojas e encomendas através da Demae-can e da Uber Eats. Os menus e a pesquisa de lojas nos sites oficiais também continuaram a funcionar.
• 13 de outubro: A empresa revelou a possível exposição de até cerca de 6,5 milhões de registos, apesar de não ter confirmado uma fuga nem o seu alcance.

A empresa afirmou que a divulgação de 13 de outubro foi decidida após conversações no âmbito da equipa de resposta de emergência. Decidiu informar os clientes potencialmente afetados enquanto a investigação ainda decorria, em vez de aguardar pela confirmação de que as informações tinham sido roubadas.

Que informações poderão estar em causa?

A possível exposição abrange pessoas que tenham registado anteriormente informações nos sites ou aplicações oficiais de qualquer uma das três marcas. O comunicado não limita o alerta a encomendas recentes ou a clientes com contas atualmente ativas, nem especifica a data mais antiga de registo abrangida.

As informações enumeradas incluem nomes, moradas, números de telefone, endereços de correio eletrónico, género, datas de nascimento, hashes de palavras-passe, histórico de encomendas e identificadores de membro do Deli Point. O Deli Point é o programa de fidelização partilhado pelas três marcas.

Os nomes e as datas de nascimento de familiares também poderão estar em causa, caso tenham sido introduzidos pelos clientes. O mesmo se aplica a nomes, moradas e números de telefone indicados como destinos de entrega. Assim, a possível exposição abrange pessoas cujas informações tenham sido introduzidas por um titular de conta, mesmo que não tenham criado uma conta pessoalmente.

Os clientes que tenham encomendado apenas através da Demae-can, da Uber Eats ou por telefone estão fora do âmbito indicado. A palavra apenas é importante: ter utilizado um desses canais não exclui quem também tenha registado informações anteriormente através de um site ou aplicação oficial.

O que significa o alerta sobre as palavras-passe

A Ride On Express Holdings inclui os hashes de palavras-passe entre os dados potencialmente afetados. A empresa descreve essas informações como encriptadas e ilegíveis no formato em que estão armazenadas. Um hash de palavra-passe é uma representação transformada de uma palavra-passe, e não a palavra-passe escrita em texto simples.

A formulação exata do segundo comunicado sobre o incidente é: “パスワードは暗号化されており、そのままでは読み取りできない情報です。” Em português: “As palavras-passe estão encriptadas e não podem ser lidas tal como estão.”

Esta distinção reduz a utilidade imediata de um valor armazenado para um atacante, mas não significa que todas as palavras-passe sejam seguras. Consoante o método de hashing e a própria palavra-passe, os atacantes poderão tentar encontrar uma correspondência testando várias hipóteses. O comunicado não revela o método de hashing nem outras proteções técnicas, pelo que não permite avaliar especificamente a resistência desses valores a tais tentativas.

A exclusão das informações de cartões de crédito é uma questão distinta. A empresa afirma não conservar esses dados, pelo que não estão incluídos na potencial exposição decorrente deste incidente. Isso não elimina os riscos associados aos dados de contacto, às moradas de entrega ou ao histórico de encomendas, que poderão tornar mais convincentes mensagens fraudulentas.

Que opções continuam disponíveis para os clientes

A interrupção do serviço não significa que todas as encomendas tenham sido suspensas. A Ride On Express Holdings afirmou que, a partir de 8 de outubro, os clientes podiam encomendar por telefone, fazer encomendas para levantamento nas lojas ou encomendar através da Demae-can e da Uber Eats.

Os menus e a pesquisa de lojas nos sites oficiais também continuavam a funcionar. Estas funcionalidades permitem consultar os produtos e localizar estabelecimentos, embora as funções de encomenda dos sites permanecessem suspensas.

As encomendas através das aplicações oficiais para smartphone também estavam indisponíveis. À data do comunicado de 13 de outubro, a empresa não previa quando seriam retomados os dois canais oficiais de encomenda e afirmou que anunciaria novidades quando estivessem disponíveis. Na prática, é possível consultar um menu ou encontrar uma loja, mas para concluir uma encomenda é necessário recorrer a um dos canais ainda em funcionamento.

Alertas e linha telefónica dedicada

A Ride On Express Holdings afirmou não ter confirmado qualquer dano secundário causado pela utilização indevida de informações pessoais. Ainda assim, aconselhou os clientes a estarem atentos a chamadas telefónicas e mensagens de correio eletrónico suspeitas, em particular mensagens que peçam uma palavra-passe ou tenham um assunto desconhecido ou conteúdo inesperado.

A empresa recomenda que os clientes não respondam a mensagens suspeitas nem cliquem nas respetivas ligações e que as apaguem. O alerta refere-se a uma possível consequência da exposição, não sendo prova de que uma campanha concreta de mensagens fraudulentas já tenha sido associada a este incidente.

A empresa criou uma linha de apoio ao cliente para questões relacionadas com informações pessoais, através do número 0120-782-272. O horário divulgado é das 10h00 às 20h00, todos os dias, até 15 de novembro; a partir de 16 de novembro, será das 10h00 às 20h00, nos dias úteis.

O segundo comunicado sobre o incidente indica um contacto separado para questões empresariais: Kazumasa Watanabe (渡邊一正), administrador e vice-presidente executivo, telefone 03-5444-3625. Este contacto é distinto da linha de apoio ao cliente.

A Ride On Express Holdings afirmou também que enviaria, por fases, pedidos de desculpa e orientações aos clientes potencialmente afetados. Não indicou uma data para concluir essas notificações. Quem tiver dúvidas sobre se um registo feito anteriormente está abrangido pelo alerta pode contactar a linha dedicada.

Uma falha distinta na cloud afetou 495 organizações

Um incidente de ransomware no serviço IDCF Cloud da IDC Frontier ocorreu durante o mesmo período. A IDC Frontier, subsidiária da SoftBank, opera a plataforma. A interrupção afetou 495 empresas e organizações, mostrando como uma falha num serviço de cloud partilhado pode interromper operações de muitas entidades sem relação entre si.

Alguns servidores virtuais numa parte da Região 1 do Japão Oriental da plataforma deixaram de funcionar por volta das 3h40 de 7 de outubro. Os servidores virtuais são ambientes informáticos que funcionam em infraestrutura física partilhada. A IDC Frontier afirmou que seria difícil recuperar ou restaurar os dados armazenados na zona afetada.

A IDC Frontier confirmou ter detetado um ataque de terceiros e que se tratava de um ataque de ransomware. A Região 1 do Japão Oriental afetada situa-se em Shirakawa, na prefeitura de Fukushima. A empresa afirmou que, à data, o impacto confirmado estava limitado a essa região e que também estava a verificar a segurança das restantes zonas.

A interrupção não se limitou aos sites. Uma subsidiária logística da produtora alimentar Nissui afirmou que não conseguia receber nem expedir mercadorias em nenhum dos seus 17 centros de distribuição no Japão. Também ficaram inacessíveis sites de governos locais e da sede da polícia da prefeitura de Ibaraki.

A IDC Frontier afirmou ter encerrado o sistema afetado para evitar mais danos e estar a verificar se houve fuga de informações. No entanto, a Ride On Express Holdings não identificou o operador do seu servidor. A coincidência temporal e os alertas sobre a recuperação de dados não provam que o incidente da empresa de restauração tenha ocorrido na IDCF Cloud.

O que está confirmado e o que continua por esclarecer?

Os acontecimentos confirmados no relato da Ride On Express Holdings são a deteção de acessos não autorizados, as falhas dos servidores, a comunicação de um ataque de ransomware pelo operador, a suspensão dos sistemas e a dificuldade em recuperar ou restaurar os dados armazenados. Continua por esclarecer se houve efetivamente divulgação de informações pessoais.

A perda de acesso aos dados e o roubo de dados são situações diferentes. O ransomware pode impedir utilizadores legítimos de aceder a ficheiros ou sistemas; uma fuga de informação implica que os dados cheguem a terceiros não autorizados. A prova de uma situação não comprova, por si só, a outra. É por isso que a empresa pode comunicar uma interrupção grave do serviço e, ao mesmo tempo, considerar que os 6,5 milhões de registos poderão ter sido expostos.

A empresa afirmou ter comunicado o incidente à Comissão de Proteção de Informações Pessoais do Japão e à esquadra de polícia competente. Comprometeu-se também a reforçar as suas medidas de segurança da informação, mas o comunicado não especificou alterações técnicas, uma data para concluir a investigação ou um calendário de recuperação.

O segundo comunicado sobre o incidente indicou que a equipa de resposta de emergência estava a trabalhar para restaurar os sistemas e a tomar medidas para minimizar a perturbação das operações comerciais. Indicou também que a empresa tinha organizado o encaminhamento dos clientes para os canais de encomenda disponíveis e previa que o regresso à normalidade, tanto nas operações como nos serviços, demorasse mais algum tempo. Não descreveu medidas técnicas de segurança específicas.

As questões por resolver são, portanto, concretas: se as informações saíram do ambiente afetado, que registos estavam em causa, se os dados podem ser recuperados e quando serão retomadas as encomendas pelos canais oficiais. O comunicado indica as datas em que o horário da linha de apoio será alterado, mas não estabelece prazos para esclarecer estas questões.

Principais pontos

• Poderão estar em causa até cerca de 6,5 milhões de registos feitos nos sites e aplicações da Gin no Sara, Kamatora e Sushi Joto.
• À data de 13 de outubro de 2026, não tinham sido encontradas provas claras de uma fuga, cuja ocorrência e alcance continuavam por confirmar.
• Os dados potencialmente afetados incluem informações de contacto, datas de nascimento, hashes de palavras-passe, histórico de encomendas e algumas informações de familiares e destinatários de entregas.
• As informações de cartões de crédito estão excluídas. Os clientes que encomendaram apenas por telefone, através da Demae-can ou da Uber Eats estão fora do âmbito indicado.
• As encomendas pelos sites e aplicações oficiais continuavam suspensas, enquanto as encomendas por telefone, para levantamento nas lojas e através de plataformas externas de entrega estavam disponíveis.
• O número da linha de apoio ao cliente é 0120-782-272, com horário divulgado das 10h00 às 20h00.
• Um incidente separado na cloud da IDC Frontier afetou 495 organizações, mas a Ride On Express Holdings não identificou o operador do seu servidor.