Violação de dados da KDDI ISP em 2026

Segundo o relatório oficial, o acesso não autorizado começou em alguns provedores de serviços de internet em 16 de maio de 2026. A KDDI confirmou o incidente em 17 de junho, alterou o sistema no mesmo dia para isolar o ponto suspeito e aplicou medidas técnicas de defesa. Seu primeiro comunicado público foi divulgado em 23 de junho; o ministério das comunicações do Japão solicitou um relatório com base na Lei de Atividades de Telecomunicações em 24 de junho, e a KDDI apresentou seu relatório detalhado em 6 de julho.

O acesso explorou uma vulnerabilidade em um software de terceiros usado como parte da plataforma. O fornecedor do software não tinha conhecimento da falha quando a KDDI confirmou o incidente em 17 de junho e, posteriormente, iniciou o processo de notificação às autoridades públicas e de divulgação. A KDDI não divulgou o nome do software, um CVE, o responsável pelo acesso nem outros detalhes sobre o método exato de acesso.

As categorias de dados confirmadas são endereços de e-mail e senhas. O número de 12.231.954 corresponde ao total de pessoas cujos endereços de e-mail foram expostos, conforme o relatório oficial; não se trata de uma contagem de linhas únicas de dados brutos nem de registros locais. O número de 7.616.173 corresponde ao subconjunto desse grupo cujas senhas foram expostas. Nomes, números de telefone, endereços postais, dados de pagamento, documentos de identificação oficiais e conteúdo de e-mails não constam no relatório como campos cuja exposição foi confirmada.

Reportagens independentes identificam STNet, JCOM, Chubu Telecommunications, NIFTY e BIGLOBE como os cinco provedores que usavam a plataforma. Os serviços au Mail, UQ mobile Mail e au one net Mail da KDDI funcionavam em equipamentos separados e não foram afetados, segundo o relatório oficial. Um domínio ou uma marca da KDDI, por si só, não comprova que determinada caixa de e-mail esteja no escopo do incidente.

O ambiente de produção não tem nenhuma tarefa de importação nem dados locais individualizados para este incidente, e todas as coleções de e-mails, senhas e outros dados vinculados contêm zero registros. O alcance externo do incidente na empresa não é apresentado como um resultado de busca local, um conjunto de dados de e-mails únicos ou uma contagem de senhas armazenadas localmente.

Até 21 de junho, a KDDI havia implantado EDR nos servidores que controlam as comunicações externas e informou que uma análise forense conduzida por terceiros em 23 de junho não encontrou vestígios suspeitos além da falha divulgada. A empresa coordenou as alterações de senha com os provedores afetados e planejou redefinições obrigatórias para as contas restantes. Se você receber uma notificação, pode acessar diretamente o endereço do provedor e escolher uma nova senha exclusiva; se tiver reutilizado a senha antiga em outro serviço, também pode alterá-la nesse serviço. Mensagens inesperadas de redefinição de senha devem ser verificadas por um canal oficial conhecido, sem usar o link da mensagem.