Vazamentos em série no Japão expõem dezenas de milhões de registros, e nenhuma empresa revelou por onde o invasor entrou

Uma sequência de vazamentos de dados atingiu grandes empresas japonesas em outubro de 2026, com a Burger King Japan, a Capcom, a Sony Network Communications, a rede de lojas de conveniência Lawson e a fabricante de karaokê Daiichi Kosho comunicando incidentes que, somados, passam de 36 milhões de registros de clientes, e em nenhum dos comunicados a empresa explicou como o invasor conseguiu o primeiro acesso aos sistemas, segundo a cobertura do BleepingComputer e do The Record.

Os casos, um a um

A Burger King Japan informou, em comunicado de quinta-feira, 15 de outubro de 2026, que uma investigação concluída em 13 de outubro confirmou acesso não autorizado ao sistema que gerencia os membros do aplicativo oficial entre 2 e 7 de outubro de 2026, com vazamento de 11,18 milhões de registros que incluem nome, data de nascimento, gênero, e-mail, telefone e histórico de pedidos, e a empresa diz que o servidor não guardava número de cartão e que não achou indício de acesso às senhas dos usuários.

A Daiichi Kosho, maior fabricante de karaokê do Japão e operadora da rede Big Echo, contou que a Nippon Columbia, grupo de entretenimento a quem terceiriza o tratamento dos dados de clientes, avisou em 5 de outubro de 2026 que havia encontrado um programa malicioso no computador de um funcionário e isolou a máquina no dia seguinte, o que expôs registros de 93.000 empregados e 8.631.000 clientes, com nome, gênero, data de nascimento, e-mail e telefone.

A Lawson anunciou em 8 de outubro de 2026 o vazamento de 2.155.345 registros por acessos não autorizados ao Lawson ID entre 12 e 14 de setembro e a um serviço de reservas pelo aplicativo em 17 de setembro, este último com 26 registros que incluíam parte do número do cartão, segundo o ASCII.jp.

A Capcom, dona de séries como Resident Evil e Street Fighter, confirmou em 22 de outubro de 2026 que invasores entraram no CAPCOM ID, o sistema de contas usado nos serviços on-line da empresa, e expuseram mais de 11,7 milhões de e-mails de clientes com a data de criação da conta, o último acesso, o número de acessos e o endereço IP usado no último login.

A Sony Network Communications, provedora de internet do grupo Sony, divulgou em 27 de outubro de 2026 que a base de membros do serviço So-net foi acessada em 19 de outubro e que a invasão só foi detectada quatro dias depois, quando a empresa desligou os servidores comprometidos, num total de 2.585.481 registros, dos quais 2.141.986 do So-net e 443.495 do plala, serviço que atende clientes da operadora NTT Docomo, além de 54.401 endereços de e-mail que vazaram junto com as senhas das contas.

O que os comunicados mostram e o que escondem

Os comunicados seguem um padrão parecido, com data de detecção, tipo de dado exposto, aviso à Comissão de Proteção de Informações Pessoais (Personal Information Protection Commission) e alerta contra golpes por e-mail, mensagem e telefone, mas nenhum diz qual foi o vetor de acesso inicial, que é o ponto de partida de qualquer perícia em incidente desse tipo.

A Capcom é o caso mais explícito, porque afirma ter identificado o método de intrusão durante a investigação e adotado medidas para evitar repetição, mas não compartilhou nenhum detalhe sobre como o acesso começou, e a data em que a invasão começou não foi esclarecida, já que a empresa só detectou a atividade suspeita e confirmou o acesso indevido em 19 de outubro de 2026 e, no dia seguinte, concluiu que dados de clientes tinham sido comprometidos.

O comunicado da Capcom mostra o que o invasor fez lá dentro: em 43 contas também ficaram expostos data de nascimento, gênero, apelido e país, e em outras 196 os invasores trocaram a senha de login para tirar o acesso dos donos, que a empresa depois redefiniu, e a ocorrência foi comunicada à polícia em 21 de outubro de 2026.

A Burger King Japan diz que ainda apura, com ajuda de especialistas externos em segurança, como o servidor foi acessado, e a Sony informou à comissão japonesa que investiga a causa e a extensão do incidente, enquanto a Daiichi Kosho afirma que os próprios sistemas não foram invadidos e que a Nippon Columbia redefiniu senhas e credenciais e apura a causa e o alcance do problema.

O fornecedor como porta de entrada

No caso da Daiichi Kosho, o dado saiu de um computador de outra empresa, a Nippon Columbia, contratada para tratar as informações dos clientes, e o BleepingComputer registrou que não encontrou comunicado público da Nippon Columbia sobre o incidente e que a Daiichi Kosho ainda não confirmou se os dados foram de fato copiados ou publicados.

A Japan Airlines entrou na lista em 28 de outubro de 2026 por um caminho parecido, ao informar que a Amadeus, empresa que opera os sistemas de reserva, emissão de bilhetes e check-in da companhia, foi invadida e que dados de reserva de 92.000 clientes foram acessados, com número de passaporte, número de passageiro frequente, e-mail e telefone de cerca de 2.000 deles, segundo o The Record.

O histórico da própria Capcom mostra por que o vetor importa para a investigação, porque em novembro de 2020 a empresa sofreu um ataque reivindicado pelo grupo de ransomware Ragnar Locker e só em abril de 2021 divulgou que os invasores tinham entrado por um equipamento de VPN antigo.

A contagem do ano e a reação do governo

O pesquisador Yutaka Sejiyama, da empresa de segurança Macnica, contou 119 incidentes com roubo ou exposição de dados pessoais no Japão neste ano e observou que os atacantes vasculham sites e APIs em busca de falhas de controle de acesso, de configuração e de autenticação, além de explorar vulnerabilidades já conhecidas, as chamadas n-day.

A primeira-ministra Sanae Takaichi reuniu o gabinete na segunda-feira, 26 de outubro de 2026, numa reunião centrada nos ataques cibernéticos, e prometeu um pacote de medidas de emergência, dizendo, segundo o Japan Times citado pelo The Record, que a situação é grave, que cresce a preocupação com danos causados pelo uso indevido das informações vazadas e que o país precisa reforçar as contramedidas com urgência.

Até as datas dos comunicados, nenhuma das empresas tinha confirmado uso indevido dos dados vazados, e todas pediram aos clientes atenção a e-mails, mensagens e ligações que imitem a marca para pedir senha, pagamento ou dados pessoais, como os e-mails falsos que, segundo a NTT Docomo, imitam o programa d POINT Club e uma campanha do parque Universal Studios Japan para dizer ao destinatário que ele ganhou ingressos e pedir os dados dele.