Violação de dados da Kyushu Electric TD em 2026

A presença do SSD no armário foi confirmada após o backup de 27 de abril, e seu desaparecimento foi constatado durante a preparação para o próximo backup, em 26 de maio. O acesso à sala de servidores era restrito por controles de identidade, cartão e biometria, mas o armário dentro dela não estava trancado. A mídia externa não era criptografada nem protegida por senha. A empresa registrou um boletim de ocorrência em 4 de junho e informou que a investigação continuava em andamento.

No relatório de 8 de julho, a empresa afirmou que seu monitoramento não havia encontrado anúncios do SSD em plataformas de revenda nem informações publicadas online, e que não havia identificado vazamento de dados até aquele momento. Essa declaração não muda o fato de que a mídia está desaparecida, mas o desaparecimento, por si só, também não prova que seu conteúdo tenha sido copiado ou publicado.

O comunicado inicial de 8 de junho mencionava um máximo de 10,9 milhões de registros de pontos de fornecimento. O anexo de 8 de julho revisou a contagem levando em conta mudanças de endereço, alterações de nome e duplicatas com nome e endereço coincidentes. A tabela final apresenta 8,99 milhões de registros de clientes individuais e 3,17 milhões de registros de organizações/outros na categoria do sistema de transmissão, 530.000 registros de clientes individuais e 260.000 de organizações/outros na categoria de suporte à troca de fornecedor, e 510.000 registros de clientes individuais e 80.000 de organizações/outros na categoria de registros presentes em ambos os sistemas. A tabela informa 10,03 milhões de registros de informações de clientes individuais, 3,51 milhões de organizações/outros e 13,54 milhões no total.

A categoria de organizações/outros inclui vários contratos de uma mesma entidade e cerca de 1,46 milhão de contratos vinculados a equipamentos como postes de iluminação pública e semáforos. Por isso, o total não é apresentado como uma contagem de clientes ou pessoas. O catálogo ativo não tem nenhuma rotina local de importação nem dados pesquisáveis em nível individual associados a esse evento.

O relatório oficial lista nomes de clientes, endereços dos locais de fornecimento, dados de consumo de energia elétrica, nomes dos fornecedores varejistas de energia elétrica, números de identificação dos pontos de fornecimento e informações de contratos ou solicitações. Números de telefone estavam presentes apenas em determinados registros de suporte à troca de fornecedor. O SSD não continha informações de contas bancárias, cartões de crédito ou endereços de e-mail.

A empresa informou que enviaria correspondência aos clientes afetados a partir do início de agosto e que não pediria que realizassem um procedimento adicional. Mensagens inesperadas sobre o serviço de energia elétrica, pedidos de pagamento ou links que usem detalhes de endereço, consumo ou contrato devem ser verificados por um canal de contato independente, acessado a partir do domínio atual kyuden.co.jp. O fato de os dados coincidirem, por si só, não demonstra que um terceiro tenha lido a mídia ou usado indevidamente um registro específico.