A JNSA, associação japonesa que reúne empresas de segurança digital, anunciou em 6 de novembro de 2026 que um serviço dela foi invadido. E não foi um serviço qualquer: foi o teste online que empresas usam para medir quanto os funcionários sabem de segurança da informação. Até 15.128 registros podem ter vazado.

O caso chegou ao noticiário japonês pela CNET Japan em 8 de novembro. Pois é, a ironia é difícil de ignorar. Mas vamos por partes.

Quem é a JNSA?

A 日本ネットワークセキュリティ協会 (Nihon Network Security Kyōkai, Associação Japonesa de Segurança de Redes) foi criada em 2000 por fornecedores de produtos de segurança, integradoras de sistemas e provedores de internet. Virou organização sem fins lucrativos em 2001. Entre outras coisas, publica relatórios sobre o prejuízo causado por incidentes e mantém uma lista de empresas que atendem emergências de ataques cibernéticos.

O serviço invadido se chama 情報セキュリティ理解度チェック (Jōhō Security Rikaido Check, teste de compreensão de segurança da informação). Funciona assim: o responsável na empresa cadastra os funcionários, eles respondem perguntas sobre segurança no site e a empresa analisa os resultados. Quem não é administrador pode ser cadastrado só com um ID, sem o nome.

O que vazou?

Segundo o comunicado, a JNSA confirmou a invasão em 4 de novembro, mas o acesso pode ter começado na noite de 30 de outubro. Os dados que podem ter vazado são:

• nome, empresa e e-mail do administrador (quem cadastrou a empresa);
• endereço da organização, número de funcionários e ramo de atividade;
• número de usuários;
• ID e senha de quem fez o teste, com a senha guardada em hash.

O serviço foi suspenso, e o site está fora do ar desde a noite de 4 de novembro. O caminho da invasão ainda não é conhecido, a investigação conta com empresas especializadas de fora, e os números podem mudar. Quem for identificado será avisado individualmente.

A JNSA disse que comunicaria o caso à Comissão de Proteção de Informações Pessoais (PPC) em 6 de novembro. Não é gentileza: desde abril de 2022, a lei japonesa obriga a informar a PPC e avisar os afetados, e vazamento por acesso não autorizado está entre os casos.

E a ironia?

A própria JNSA tocou no assunto. No comunicado, a associação pede desculpas por ter sido invadida "sendo uma associação que, por princípio, deveria elevar o nível de segurança do Japão" (tradução livre).

Na minha opinião, o caso não serve para rir da JNSA. Não existe sistema 100% seguro, e quem trabalha com segurança sabe disso melhor que ninguém. O que diferencia uma organização da outra é o que acontece depois. Parar o serviço logo e explicar publicamente o que já se sabe foi o certo, e guardar senha em hash é o básico bem-feito.

Só que "hash" sozinho não diz muito. Hash é uma conversão de mão única: não dá para "desfazer" e recuperar a senha. Com algoritmo moderno e senha forte, quebrar é praticamente impossível. Com algoritmo fraco, a força bruta com placas de vídeo (GPUs) sai barata. O comunicado não informa qual foi usado. É isso que eu quero ver no próximo comunicado, junto com o caminho da invasão.

Mas tem mais!

No site da JNSA há um segundo aviso. O Blastmail, sistema de envio de e-mails que a associação usa, também foi invadido, e a JNSA suspendeu as inscrições na newsletter e no programa de estágio. Segundo ela, só havia endereços de e-mail cadastrados lá, e os dados confirmados como vazados até agora não incluem os da associação. Na atualização de 6 de novembro, o Blastmail continuava fora do ar, parado desde 21 de outubro.

Ele não é o único. Invasões em serviços de envio de e-mail para empresas se acumulam no Japão: só no Arara Message, cerca de 77 milhões de endereços podem ter sido levados.

E se o meu dado estiver lá?

Se a sua empresa usava o teste, vale seguir o que a própria JNSA e o IPA, a agência japonesa de promoção de TI, recomendam:

• Desconfie de e-mails em nome da JNSA. A associação avisa que podem aparecer mensagens falsas em nome dela ou de órgãos ligados. Não abra links nem anexos e confira o remetente. A JNSA não pede, por link em e-mail, para digitar ou trocar ID e senha.
• Senha repetida? Se você usava a senha do teste em outros serviços, o IPA recomenda trocá-la nesses serviços também.
• Ative a verificação em duas etapas (ou autenticação de múltiplos fatores) e as chaves de acesso (passkeys) onde houver, como orienta o IPA.
• Dúvidas sobre o caso vão para o e-mail da JNSA, [email protected].

O IPA explica que dados vazados podem virar lista vendida e base para e-mails e SMS falsos, às vezes com o nome da vítima no texto. Aqui entra a minha preocupação: nome, empresa e e-mail de quem cuida do treinamento de segurança é um prato cheio para um golpe sob medida. Se você foi o administrador do teste na sua empresa, eu redobraria a atenção com qualquer mensagem "oficial" nas próximas semanas.

Sinceramente, se até a associação de segurança do país foi invadida, ninguém deveria se achar fora da lista. O próximo comunicado da JNSA vai dizer muito sobre o tamanho real do problema.

Fontes

• 不正アクセスによる「情報セキュリティ理解度チェックサービス」からの利用者個人情報漏えいの恐れに関するお知らせ（第一報） — JNSA, 06/11/2026 — Japonês
• 日本ネットワークセキュリティ協会に不正アクセス　最大1.5万件の個人情報漏えいの恐れ — CNET Japan (via Yahoo!ニュース), 08/11/2026 — Japonês
• Página inicial da JNSA — JNSA, acessada em 08/11/2026 — Japonês
• 設立の趣旨 — JNSA — Japonês
• JNSA 理解度チェックサイト (aviso de suspensão) — JNSA, acessada em 08/11/2026 — Japonês
• 漏えい等報告・本人通知の義務化について — Comissão de Proteção de Informações Pessoais (PPC) — Japonês
• 漏えい等の対応とお役立ち資料 — PPC — Japonês
• Password Storage Cheat Sheet — OWASP — Inglês
• ブラストメールの緊急停止および個人情報漏えいに関するお詫びとご報告 — Blastmail, atualizado em 06/11/2026 — Japonês
• ペイクラウドHD、「アララ メッセージ」への不正アクセスで約7700万件のメールアドレスが流出 — INTERNET Watch, 02/11/2026 — Japonês
• 自分の個人情報等が漏えいした際の「対処」と「日頃の対策」 — IPA, 26/10/2026 — Japonês