Tóquio - Uma sequência de acessos não autorizados a sistemas no Japão está expondo informações pessoais, interrompendo serviços e ampliando a preocupação com a segurança digital de empresas e órgãos públicos. Os casos envolvem polícias provinciais, prefeituras, serviços de compra e venda de veículos, uma corretora de valores e empresas do varejo. Em algumas ocorrências, a invasão de sistemas também permitiu o envio de mensagens fraudulentas e a realização de operações sem autorização dos clientes.

Um ponto em comum em parte dos episódios é o envolvimento de empresas contratadas para operar sistemas de outras organizações. Os casos da Arcadia e da IDC Frontier mostram como um ataque a um fornecedor pode repercutir em diversos serviços que dependem da mesma infraestrutura.

Dados de policiais em 22 províncias

A Agência Nacional de Polícia informou na quarta-feira (21) que informações de cerca de 125 mil policiais e funcionários de 20 corporações provinciais podem ter sido expostas após um acesso não autorizado aos sistemas da Arcadia, empresa que fornece serviços de comunicação para situações de emergência.

Essas corporações utilizavam um sistema para verificar a segurança dos funcionários e a possibilidade de comparecimento ao trabalho em situações como desastres. Os cadastros incluíam nomes e endereços de e-mail. Em algumas províncias, também estavam registradas as unidades às quais os servidores pertenciam.

Quatro corporações utilizavam outro serviço da empresa, destinado ao envio de informações de segurança a moradores e organizações. Nesse caso, estavam cadastrados aproximadamente 16 mil registros de pessoas e 2.600 de empresas e outras entidades. Como Kyoto e Fukuoka utilizavam os dois sistemas, o total corresponde a 22 polícias provinciais distintas.

Segundo a Kyodo, a Agência Nacional de Polícia informou que não houve vazamento de informações de investigações.

Aichi está entre as províncias atingidas. De acordo com a emissora Me-Tele, o sistema utilizado pela polícia local reunia nomes, unidades de lotação e e-mails de aproximadamente 15 mil policiais e funcionários. A efetiva saída desses dados ainda não havia sido confirmada. O serviço foi restabelecido no dia 15, e a corporação informou que não houve impacto nas atividades policiais.

Vazamento confirmado em Shizuoka

Na cidade de Shizuoka, a prefeitura confirmou o vazamento de informações de usuários de serviços municipais operados pela Arcadia.

Foram atingidos os cadastros de 34.336 moradores e 6.915 servidores inscritos no serviço de alertas de desastres, além de 1.779 pessoas que recebiam avisos sobre desaparecimentos de pessoas com demência.

No caso dos moradores e dos receptores dos avisos de desaparecimento, foram expostos endereços de e-mail. Entre os servidores municipais, os dados incluíam também nomes, números funcionais e unidades de lotação, segundo documento apresentado pela prefeitura em 14 de outubro.

A prefeitura também identificou mensagens suspeitas que aparentavam ter sido enviadas por uma empresa de cartões de crédito, mas utilizavam o domínio empregado nos alertas municipais. O episódio mostra que até um endereço associado a um serviço conhecido pode ser utilizado para distribuir conteúdo fraudulento quando a infraestrutura é comprometida.

Em atualização divulgada na quarta-feira, a Arcadia confirmou que seus sistemas foram utilizados para disparar mais de 1,4 milhão de mensagens de phishing em 13 de outubro. Essa modalidade de fraude tenta induzir o destinatário a acessar páginas falsas e fornecer informações. Parte das mensagens foi enviada a endereços que não constavam das bases da empresa. O número de mensagens, portanto, não representa a quantidade de cadastros vazados.

Carsensor: até 3,7 milhões de registros

A Recruit, responsável pelo Carsensor, anunciou a possibilidade de exposição de até 3.709.551 registros com informações pessoais. O total reúne usuários do serviço de veículos usados, representantes de lojas cadastradas no sistema C-MATCH, funcionários e outros profissionais relacionados à operação.

O acesso suspeito foi detectado no sábado (17), quando a empresa suspendeu os serviços relacionados. A dimensão dos registros potencialmente atingidos foi identificada no dia 20 e divulgada no dia seguinte.

Dependendo do cadastro, os dados incluem nomes, endereços, contatos e informações de representantes das lojas. A empresa informou que senhas de acesso e dados de cartão de crédito não estão entre os registros afetados. Entretanto, para determinados comerciantes individuais, a relação de informações potencialmente expostas inclui dados da conta utilizada para débito.

Até a divulgação de quarta-feira, a Recruit afirmava não ter identificado danos decorrentes do uso indevido dessas informações.

O problema também repercutiu nos serviços de consulta de veículos usados de montadoras. Segundo a Kyodo, sites da Nissan e da Mitsubishi ficaram indisponíveis. A Mazda, por sua vez, informou em seu portal que a atualização das informações dos veículos estava interrompida, com a possibilidade de continuar exibindo carros já vendidos.

Ordens sem autorização em corretora

Na IwaiCosmo Securities, em Osaka, um ataque ocorrido em 14 de outubro atingiu o sistema operado e mantido pela prestadora de serviços Trade Works.

A corretora informou que foram lançadas ordens de compra e venda sem autorização em sete contas. As negociações chegaram a ser efetivamente concluídas em cinco delas. Segundo a empresa, os clientes foram contatados e as contas já foram restituídas à situação anterior às operações, sem ônus financeiro para os atingidos.

A IwaiCosmo também confirmou o vazamento de informações de 4.975 clientes, incluindo nomes e e-mails. As senhas utilizadas para autorizar operações não estavam entre os dados expostos. A empresa afirmou que as negociações indevidas não foram realizadas a partir do uso das informações pessoais vazadas.

Uma informação inicialmente divulgada sobre o episódio foi posteriormente corrigida. A corretora chegou a mencionar o uso de inteligência artificial no ataque, mas retirou essa referência após a Trade Works informar que não era possível confirmar a hipótese, segundo atualização da Kyodo.

Aeon investiga possível exposição de dados

O grupo Aeon também anunciou na quarta-feira a detecção de acessos não autorizados a alguns de seus sites.

Segundo a Kyodo, páginas relacionadas a 13 empresas do grupo ficaram indisponíveis durante verificações de segurança. A companhia informou que os sistemas ligados às operações comerciais e os sites de comércio eletrônico não foram afetados. A ocorrência de vazamento de informações pessoais permanecia sob investigação.

Ataque a serviço de nuvem afetou 495 organizações

Outro episódio de grande alcance ocorreu em 7 de outubro, quando a IDC Frontier informou um ataque de ransomware a parte do serviço IDCF Cloud. Esse tipo de programa malicioso pode bloquear o acesso a dados para exigir pagamento de resgate. O incidente afetou 495 empresas e administrações públicas que utilizavam a infraestrutura.

Em comunicado de 14 de outubro, a empresa informou que não encontrou evidências de retirada de dados armazenados nos servidores virtuais afetados e concluiu que essas informações não haviam sido levadas para fora do sistema.

A investigação identificou, porém, consultas não autorizadas a informações cadastrais de 48 clientes no portal de gerenciamento do serviço. A empresa também informou que havia conseguido confirmar a possibilidade de extrair cópias de segurança de 194 dos 495 clientes atingidos, enquanto avaliava as condições de restauração.

O caso evidencia outra consequência dos ataques: além do risco de exposição de informações, a interrupção de uma infraestrutura compartilhada pode impedir que empresas e órgãos públicos acessem os sistemas necessários para trabalhar.

Por que os efeitos alcançam tantas organizações

Os episódios envolvendo a Arcadia, a Trade Works e a IDC Frontier ilustram um risco já destacado pela Agência de Promoção da Tecnologia da Informação do Japão (IPA). Na relação das dez principais ameaças às organizações para 2026, elaborada com base nos acontecimentos do ano anterior, ataques à cadeia de fornecedores e a empresas contratadas aparecem na segunda posição. Ataques de extorsão digital ocupam o primeiro lugar.

Na prática, uma organização pode depender de terceiros para armazenar informações, enviar alertas, manter páginas na internet ou processar operações. Uma falha em um desses prestadores pode atingir vários clientes, mesmo que cada um mantenha sistemas próprios.

Já em 9 de outubro, diante da sucessão de anúncios de vazamentos, a IPA havia solicitado uma revisão urgente das medidas de segurança. O órgão recomendou verificar registros de acesso, corrigir vulnerabilidades, revisar contas e permissões e identificar todos os serviços externos utilizados.

A agência também orientou reduzir a quantidade de informações pessoais armazenadas ao mínimo necessário. Em seu alerta, explicou que dados roubados podem ser vendidos, utilizados em novos crimes ou empregados para ameaçar as organizações com sua divulgação. Naquele momento, a IPA ressaltava que não era possível atribuir a sequência de ocorrências à exploração de uma única vulnerabilidade em determinado produto ou serviço.

Novo alerta levou a medidas preventivas

Na quarta-feira (21), a IPA publicou também um alerta sobre duas vulnerabilidades graves no PHP, tecnologia utilizada no funcionamento de sites e aplicações. As correções foram disponibilizadas pelo grupo responsável pelo desenvolvimento do PHP, que recomendou atualização imediata.

Em Aichi, a Universidade Meijo anunciou manutenção emergencial do portal utilizado por estudantes e funcionários a partir das 23h, para instalar a correção. A instituição advertiu sobre a possibilidade de interrupção temporária e lentidão durante os trabalhos.

O comunicado inicial da IPA esclarecia que o alerta era preventivo e que o órgão ainda não havia confirmado ataques explorando aquelas duas falhas. Os documentos consultados não estabelecem uma ligação entre elas e os incidentes envolvendo Arcadia, Recruit, Aeon ou IwaiCosmo.

Cuidados para quem utiliza os serviços

Para os usuários, um dos riscos posteriores aos vazamentos é receber mensagens que utilizem informações verdadeiras para dar credibilidade a falsas cobranças ou pedidos de confirmação de cadastro. A IwaiCosmo alertou seus clientes para possíveis e-mails suspeitos e reforçou a recomendação de utilizar autenticação multifator e chaves de acesso, conhecidas como passkeys.

Em Shizuoka, a prefeitura orientou os destinatários a apagar mensagens suspeitas sem abrir links ou anexos. Também fez uma ressalva específica: bloquear indiscriminadamente o domínio utilizado pelo serviço pode impedir o recebimento de alertas verdadeiros sobre desastres. As mensagens oficiais enviadas por esse canal tratam de informações de prevenção e emergência, não de cobranças de cartão de crédito.

Fontes: Kyodo, Nippon

Foto: Canva