Potenciais fugas de dados no Japão ultrapassam 165 milhões de registos, à medida que empresas revelam violações mais abrangentes

Milhões de registos expostos em serviços do quotidiano

As informações pessoais potencialmente divulgadas através de acessos não autorizados no Japão em 2026 ultrapassaram os 165 milhões de registos, segundo uma contagem da empresa de segurança Macnica. As divulgações abrangem viagens ferroviárias, compras, karaoke, software, entregas de encomendas e partilha de automóveis, incluindo informações de pessoas que já tinham encerrado as suas contas.

Só a Sourcenext anunciou, a 15 de outubro, que poderiam ter sido divulgados 22 519 960 registos de clientes. A Adventure, que opera o site de reservas de viagens Skyticket, revelou uma possível violação envolvendo cerca de 14,64 milhões de registos. Mais tarde, a Yamato Transport identificou 5,31 milhões de registos afetados associados ao seu serviço de pagamento diferido.

O número de 165 milhões contabiliza cumulativamente as informações pessoais abrangidas por vários incidentes. Assim, uma pessoa cujas informações constem de vários serviços afetados pode ser contabilizada mais do que uma vez. O total inclui também possíveis fugas, além dos casos em que as empresas identificaram informações comprometidas.

Uma investigação mais pormenorizada da Macnica sobre um padrão específico de violações de sites encontrou 119 divulgações públicas até 6 de outubro, já acima das 84 registadas ao longo de 2025. Destas 119 divulgações, 81 ocorreram a partir de julho.

A Agência de Promoção das Tecnologias da Informação do Japão, conhecida como IPA, emitiu um alerta urgente a 9 de outubro, apelando aos dirigentes das empresas para verificarem os serviços ligados à Internet, as contas e os dados armazenados. As recomendações relacionam duas tarefas imediatas: encontrar intrusos e reduzir a quantidade de informações pessoais que estes poderiam roubar.

Para os clientes, as consequências dependem dos dados que cada serviço guardava. Algumas bases de dados afetadas continham dados de contacto. Outras poderiam incluir palavras-passe, informações de cartões de crédito ou imagens de documentos de identificação. As divulgações mostram também como um ataque a um prestador de serviços pode afetar simultaneamente os clientes de várias empresas.

O que a Macnica contabilizou e por que motivo o aumento é relevante

A análise de violações de sites da Macnica examinou 265 incidentes divulgados publicamente envolvendo organizações nacionais, entre janeiro de 2024 e 6 de outubro de 2026. O número anual subiu de 62 em 2024 para 84 em 2025 e 119 no período de 2026 ainda incompleto.

O número de 2026 já era superior em 35 incidentes, ou cerca de 42%, ao do ano completo anterior. As 81 divulgações a partir de julho representavam cerca de 68% do total do ano e aproximadamente 31% dos 265 incidentes analisados.

Yutaka Sejiyama, do Centro de Investigação de Segurança da Macnica, preparou a análise das divulgações públicas. A análise dos ataques contou com contributos de Motohiko Sato, da Itochu Cyber & Intelligence, e de Yosuke Hasegawa, diretor de tecnologia da Secure Sky Technology.

Os investigadores selecionaram incidentes que, na sua avaliação, partilhavam características semelhantes. O conjunto de dados exclui ataques de ransomware e certos outros padrões de ataque, incluindo tentativas de aceder a contas de clientes com palavras-passe roubadas de serviços não relacionados. Quando vários clientes divulgaram danos causados por um único incidente num prestador de serviços comum, os investigadores contabilizaram esse incidente uma única vez.

As divulgações mais amplas das empresas descritas abaixo incluem também incidentes de ransomware. Por isso, importa distinguir duas medidas: a quantidade de informações de clientes potencialmente expostas e o número de incidentes selecionados em sites acompanhados pela investigação técnica da Macnica.

Que empresas comunicaram as maiores exposições?

A Sourcenext afirmou que as informações potencialmente afetadas incluíam nomes, moradas, números de telefone, locais de trabalho, endereços de correio eletrónico e palavras-passe. A empresa de software identificou, a 13 de outubro, um acesso não autorizado ao seu sistema de informações de membros e anunciou a possível exposição dois dias depois.

A Adventure comunicou ataques aos seus servidores e ao sistema de gestão empresarial do Skyticket, que poderiam ter afetado cerca de 14,64 milhões de registos de informações pessoais. A empresa afirmou que não foram divulgados números de cartões de crédito nem de passaportes.

A Daiichikosho, operadora da cadeia de karaoke Big Echo, afirmou que cerca de 8,72 milhões de registos pessoais poderiam ter sido expostos através de um sistema gerido por um prestador externo. O incidente envolveu software malicioso na empresa subcontratada.

A JR East afirmou que cerca de 6,09 milhões de contas de clientes poderiam ter sido comprometidas, enquanto a JR Kyushu estimou a possível exposição em cerca de 1,3 milhões de contas. Ambas as empresas associaram as violações a um ataque de ransomware contra a IDC Frontier, uma subsidiária da SoftBank que presta serviços na nuvem. No conjunto, os números divulgados pelas duas empresas correspondem a cerca de 7,39 milhões de contas.

A Bookoff Group Holdings divulgou inicialmente uma possível exposição que poderia afetar até 6,43 milhões de clientes, após um acesso não autorizado à sua subsidiária responsável pela gestão dos dados de membros. Uma descrição posterior indicou que as informações divulgadas diziam respeito a cerca de 6,38 milhões de pessoas, incluindo aproximadamente 210 000 antigos membros.

A Lawson comunicou um acesso não autorizado a mais de 2,15 milhões de registos de clientes, que poderiam incluir nomes, endereços de correio eletrónico e informações de cartões de crédito. A Uzabase, operadora do NewsPicks, afirmou que algumas informações de utilizadores poderiam ter sido expostas através de um acesso não autorizado a uma ferramenta de gestão.

A Lawson, a Daiichikosho e a Uzabase afirmaram que, à data dos respetivos comunicados, não tinham confirmado qualquer utilização ilegal dos dados. Os operadores ferroviários, a Bookoff e a Adventure também disseram não ter encontrado provas de utilização indevida por terceiros e aconselharam os clientes a estarem atentos a mensagens de correio eletrónico e chamadas telefónicas suspeitas.

Foram afetados registos de entregas, ferramentas de desenvolvimento e escolas

A Yamato Transport afirmou, a 16 de outubro, que tinham sido comprometidos 5,31 milhões de registos de informações pessoais de alguns utilizadores do seu serviço de pagamento diferido. A empresa anunciou pela primeira vez a violação a 29 de setembro.

As informações afetadas incluíam nomes, moradas e números de telefone recolhidos desde 1 de outubro de 2018, ao longo de cerca de oito anos. O longo período de recolha mostra como uma única intrusão pode expor informações acumuladas durante muitos anos de atividade dos clientes.

A Nikkei Inc. divulgou cerca de 1,83 milhões de registos comprometidos, incluindo nomes, moradas e endereços de correio eletrónico, na sequência de um acesso não autorizado a um serviço na nuvem utilizado para o desenvolvimento de sistemas. Um serviço de desenvolvimento é utilizado para criar ou manter software, colocando assim outra parte do ambiente tecnológico de uma empresa ao alcance de atacantes.

O Ministério da Educação do Japão afirmou também que oito escolas, na sua maioria universidades, tinham comunicado violações desde o final de setembro até à quinta-feira anterior às divulgações mais recentes. A investigação da Macnica identificou serviços afetados tão diversos como pesquisas em catálogos de bibliotecas, reservas em comboios turísticos, reservas de alojamento universitário e gestão de reembolsos de bilhetes.

Como foram sendo divulgadas as violações

Vários incidentes tornaram-se públicos num espaço de poucas semanas, enquanto prosseguiam as investigações para determinar a quantidade de informações envolvidas. O relato da Sourcenext apresenta datas e horas particularmente precisas sobre a intrusão e a resposta da empresa.

• 29 de setembro: A Yamato Transport anunciou pela primeira vez a violação. A Park24 divulgou, no final de setembro, uma violação de dados do seu serviço de partilha de automóveis.
• 6 de outubro: A data-limite da investigação da Macnica registava 119 divulgações selecionadas de violações de sites em 2026.
• 8 de outubro: A Macnica acrescentou uma referência a um alerta relacionado da JPCERT/CC, a organização japonesa de resposta a incidentes de segurança informática.
• 9 de outubro: A IPA emitiu as suas recomendações urgentes de inspeção. A JR East, a Bookoff, a Daiichikosho e a Adventure estiveram entre as empresas cujas divulgações se tornaram públicas nesse dia. Mais tarde, a Sourcenext situou o início da sua intrusão por volta das 10h00 de 9 de outubro.
• 13 de outubro: A Sourcenext detetou um acesso não autorizado por volta das 9h00 e tomou medidas de emergência para o bloquear até à tarde desse dia.
• 15 de outubro: A Sourcenext anunciou a possível exposição de 22 519 960 registos.
• 16 de outubro: A Yamato detalhou os seus 5,31 milhões de registos afetados, a Nikkei divulgou a sua violação e a Park24 anunciou que tencionava concluir a eliminação das imagens de documentos de identificação até ao final de outubro.

A cronologia da Sourcenext situa o início do acesso não autorizado quase quatro dias antes da sua deteção. As instruções da IPA para analisar a atividade recente e, em seguida, alargar a pesquisa a um período anterior respondem precisamente à necessidade de reconstruir o que aconteceu antes de ser dado o alerta.

Os atacantes procuraram vulnerabilidades em serviços inteiros

A análise técnica da Macnica descreve atacantes a examinar sites individuais e as respetivas interfaces de programação de aplicações, ou APIs. Uma API é um canal através do qual uma aplicação ou um site pede informações a outro sistema ou lhe solicita a realização de uma tarefa.

Os investigadores observaram vulnerabilidades como APIs que devolviam mais informações do que o necessário, funções com permissões excessivas e funcionalidades destinadas a membros acessíveis a visitantes anónimos. Outros problemas envolviam sessões de início de sessão, regras de processamento e definições de acesso.

Alguns atacantes examinaram aplicações móveis para extrair chaves de API, credenciais utilizadas na comunicação com um serviço. Depois, usaram essas chaves para fazer pedidos semelhantes ao tráfego normal. Os investigadores observaram também palavras-passe fracas de administradores e a exploração de vulnerabilidades conhecidas em software.

O desafio prático vai além de instalar uma única atualização de software. Um serviço pode precisar de verificações próprias para garantir que o servidor confirma quem está a fazer cada pedido e a que registos essa pessoa tem autorização para aceder. As ferramentas administrativas que exportam grandes quantidades de informação também exigem atenção especial.

A maioria das divulgações pouco esclareceu as causas

Entre os 81 incidentes selecionados divulgados a partir de julho, a Macnica classificou nove como envolvendo vulnerabilidades em produtos de software ou ferramentas relacionadas, quatro como envolvendo uso indevido de credenciais ou ataques a palavras-passe e três como envolvendo falhas nas definições dos sites ou no controlo de acesso.

Nas 65 divulgações restantes, cerca de 80,2% do total, foram apresentadas explicações insuficientes para determinar uma causa. Assim, outras organizações dispõem de poucos pormenores sobre as vulnerabilidades que devem procurar nos seus próprios sistemas.

Alguns comunicados descreveram o que os intrusos fizeram após obter acesso. Onze incidentes envolveram a instalação ou execução de programas não autorizados, nove envolveram a obtenção ou consulta de informações através de APIs ou bases de dados e seis envolveram a criação de contas ou chaves de autenticação não autorizadas. Estas categorias sobrepõem-se, uma vez que um incidente pode envolver várias ações.

A Macnica encontrou também pelo menos 25 divulgações a partir de julho que envolviam alterações a sites ou utilização indevida, sem uma preocupação específica com a fuga de informações pessoais. Entre os exemplos contavam-se redirecionamentos de visitantes para sites externos, apresentação de avisos falsos, alteração de informações de registo e utilização indevida de serviços na nuvem.

Os investigadores abordaram a possível utilização de inteligência artificial para repetir pesquisas em muitos sites. A utilização de IA e o objetivo final dos atacantes não foram confirmados. A atividade observada centrou-se em permissões de acesso, definições, autenticação e vulnerabilidades conhecidas. Uma hipótese apresentada pelos investigadores é que os nomes, detalhes dos serviços e reservas recolhidos possam ajudar criminosos a tornar mais convincentes mensagens de phishing ou chamadas fraudulentas posteriores.

Antigos clientes também foram afetados pelas violações

A violação da Park24 envolveu cerca de 6,6 milhões de registos de membros, incluindo antigos membros, e cerca de 1,6 milhões de documentos de verificação de identidade, como imagens de cartas de condução. A Times Car conservou documentos de identificação durante sete anos após os clientes terminarem as suas adesões.

A Park24 afirmou, a 16 de outubro, que tencionava concluir a eliminação das imagens de documentos de identificação até ao final desse mês. A resposta estabelece um prazo concreto para uma questão também levantada pela IPA: as empresas precisam de verificar se ainda necessitam dos dados que guardam.

Os cerca de 210 000 antigos membros da Bookoff representavam aproximadamente 3,3% das 6,38 milhões de pessoas identificadas na descrição posterior da fuga. A retalhista de produtos para animais Charm afirmou também que a maioria de cerca de 25 000 registos de antigos clientes tinha sido divulgada.

O encerramento de uma conta pode, assim, deixar um cliente exposto durante anos, caso a empresa conserve os registos subjacentes. Os dados de contacto podem ajudar criminosos a fazerem-se passar por um serviço conhecido, enquanto as palavras-passe e as imagens de documentos de identificação criam riscos adicionais. A Macnica recomenda a revisão dos registos desnecessários, incluindo dados pessoais inesperados acumulados em campos de notas, e a revogação das chaves de API quando um serviço é encerrado.

O que a IPA quer que as organizações verifiquem agora

O alerta de 9 de outubro da IPA apela a inspeções urgentes das aplicações expostas à Internet, dos serviços externos e das contas, bem como das informações armazenadas. A responsabilidade cabe aos dirigentes das empresas, sobretudo quando estas tratam grandes quantidades de dados pessoais ou sensíveis.

Quanto às aplicações, a IPA recomenda a revisão dos registos recentes, que documentam a atividade dos sistemas, e a verificação de atualizações de segurança em falta. Os investigadores devem começar por analisar aproximadamente o último mês e, depois, alargar a revisão aos últimos três meses, procurando volumes invulgares de erros e alterações face à atividade normal.

Relativamente aos serviços externos, incluindo serviços na nuvem e VPN, as empresas devem fazer uma lista dos serviços utilizados pela organização e pelos departamentos individuais. Devem estabelecer por quanto tempo os registos são conservados, quem os pode consultar e se o prestador guarda registos que o cliente não consegue ver diretamente.

A verificação das contas deve procurar utilizadores desconhecidos e contas que tenham voltado a ficar ativas apesar de terem sido anteriormente desativadas ou eliminadas. Os horários e locais de início de sessão invulgares, bem como as tentativas falhadas repetidas, também merecem atenção. A IPA recomenda que registos ou contas anómalos sejam tratados como um incidente de segurança e que se solicite uma investigação especializada.

As recomendações relacionadas da Macnica incluem verificar se as APIs aplicam permissões no servidor, remover segredos incorporados nas aplicações, proteger as contas de administrador com várias etapas de autenticação e restringir o acesso às funções de gestão. A monitorização também precisa de uma resposta humana bem definida: alguém tem de analisar os alertas, contactar as pessoas certas e iniciar a investigação.

A IPA está a preparar um sistema de avaliação de segurança para cadeias de abastecimento, conhecido como sistema de avaliação SCS, com lançamento previsto para março de 2027. Os seus critérios comuns de avaliação destinam-se a ajudar clientes e prestadores a compreender as condições de segurança nas empresas que partilham informações.

Incidentes semelhantes também ocorreram fora do Japão

A Macnica identificou 99 incidentes semelhantes em 13 países e territórios, sobretudo entre julho e setembro de 2026. A Coreia do Sul registou 30, a França 11 e a Polónia oito.

Os casos sul-coreanos envolveram sites e APIs nos setores do comércio, das reservas, da educação e do apoio financeiro. Esta diversidade é semelhante à variedade de serviços mencionados nas divulgações japonesas.

As leis e práticas de divulgação influenciam o número de incidentes que se tornam públicos em cada país. A Macnica descreveu o Japão como um caso de destaque na sua investigação, mas deixou em aberto se os atacantes estavam a concentrar-se especificamente no país.

Nos casos japoneses, as prioridades imediatas são concretas: detetar atividade não autorizada, proteger o acesso às informações dos clientes e eliminar os registos que já não precisam de ser conservados. Os incidentes envolvendo prestadores de serviços e a exposição de antigos membros mostram por que motivo esse trabalho tem de ir além do site principal de uma empresa e da lista dos seus clientes atuais.

Pontos-chave

• A contagem da Macnica situa em mais de 165 milhões de registos as informações pessoais potencialmente divulgadas através de acessos não autorizados em 2026, sendo possível a contabilização repetida entre serviços.
• A sua investigação mais restrita sobre sites registou 119 divulgações até 6 de outubro, incluindo 81 a partir de julho.
• A Sourcenext divulgou 22 519 960 registos potencialmente afetados; a Adventure comunicou cerca de 14,64 milhões.
• Violações em prestadores de serviços afetaram clientes de grandes empresas, enquanto os registos conservados expuseram antigos membros da Park24, da Bookoff e da Charm.
• A IPA apelou a revisões urgentes dos registos de atividade, das atualizações, das contas, dos serviços externos e dos dados armazenados.
• A Park24 tencionava concluir a eliminação das imagens de documentos de identificação até ao final de outubro. O sistema de avaliação de segurança da cadeia de abastecimento da IPA deverá começar em março de 2027.