Introdução
Em 9 de outubro de 2026, a Commune Inc. (コミューン株式会社), empresa japonesa que fornece a plataforma de comunidades online Commune e a versão para uso interno Commune for Work, confirmou que sofreu um acesso não autorizado. Segundo o comunicado da empresa, resumido pelo INTERNET Watch, dados de cerca de 307 mil membros de comunidades mantidas por clientes da plataforma vazaram.
O caso chama atenção porque não atingiu uma empresa só. A Commune é usada por marcas conhecidas para fóruns de usuários, clubes de fãs e comunidades de clientes. Nos dias seguintes, empresas como Sansan, Yamaha, Suzuki, Koikeya, Morinaga Milk, Bandai Namco Experience e até a província de Aomori publicaram avisos próprios sobre os seus membros afetados.
Neste artigo resumimos o que foi confirmado, quem foi afetado e, principalmente, o que uma pequena ou média empresa no Japão pode aprender com isso: seja ela dona de uma comunidade online, seja apenas usuária de serviços em nuvem que guardam dados de clientes. Todas as informações vêm das fontes listadas no final.
O que aconteceu, segundo a Commune
A linha do tempo divulgada pela empresa e reproduzida pelo INTERNET Watch é a seguinte:
- 5 de outubro, por volta das 18h (JST): começa o acesso não autorizado aos serviços.
- 6 de outubro: a Commune detecta o ataque, bloqueia as comunicações suspeitas e inicia a investigação. Por volta das 21h, todas as comunidades entram em modo de manutenção e a empresa começa a restaurar os dados.
- 7 de outubro, a partir das 13h17: o atacante aproveita uma via de comunicação que ainda estava aberta durante a manutenção para fazer cadastros e consultas indevidas. Essa via foi bloqueada às 14h58 do mesmo dia.
- A partir de 8 de outubro: depois de aplicar medidas de proteção, a Commune começa a reabrir, aos poucos, as comunidades cujos clientes pediram a volta.
Sobre a causa, a empresa diz que um terceiro explorou falhas no próprio sistema da Commune. Na prática, o atacante:
- obteve indevidamente links de convite de comunidades privadas e se cadastrou como membro comum;
- se passou por administrador para consultar e extrair dados de membros e também sobrescrever dados.
A Morinaga Milk reforçou no seu aviso que o incidente foi causado por várias falhas do sistema da Commune, e não por configuração ou operação da própria Morinaga.
Quantas pessoas e quais dados
Pelos números da Commune, em estimativa:
- Cerca de 307 mil membros tiveram algum dado vazado.
- Cerca de 126 mil tiveram vazados dados incluindo o e-mail. Esse grupo inclui cerca de 42 mil contas de funcionários da própria Commune e contas de demonstração usadas em testes.
- Cerca de 181 mil tiveram vazados dados sem o e-mail, como nome de exibição, texto de apresentação e participação em grupos privados.
Outros serviços da empresa, o Commune CRM e o Commune Engage, sofreram tentativas de acesso, mas sem vazamento confirmado. Para o Commune Voice, o Commune Navigator e o Commune DataHub, não havia acesso indevido confirmado na data do comunicado.
Quem foi afetado
Os avisos dos clientes dão uma ideia do alcance. Alguns exemplos:
- Sansan ("Sansan User Forum"): vazamento confirmado de 1.325 membros (e-mail, nome de exibição, apresentação, foto de perfil e grupos) e possível vazamento de mais 8.687 membros (os mesmos dados, sem o e-mail). A Sansan informou que senhas não estão incluídas, que comunicou a Comissão de Proteção de Informações Pessoais (PPC) em 9 de outubro e que os serviços Sansan, Bill One, Contract One e Eight não foram afetados.
- Suzuki ("Suzuki Village"): cerca de 3.000 membros. Os dados possivelmente acessados incluem e-mail, apelido, data de cadastro, gênero, faixa etária, província e modelo do carro.
- Yamaha (comunidade de engenheiros de rede / Yamaha Corporation): cerca de 1.600 membros.
- Yamaha Motor ("YAMAHA PAS Life"): cerca de 1.600 membros. Aviso de 12 de outubro: possível visualização de nome, data de nascimento, gênero, endereço, e-mail, ID de membro, apelido, apresentação e grupos. Cartão e pagamento não foram incluídos. Incidente distinto da comunidade de rede da Yamaha Corporation.
- Koikeya: até 1.800 membros.
- Morinaga Milk ("Mount Cafe-bu"): 291 membros, com e-mail, nome de usuário, apresentação, campos de perfil, grupos, pontos e data do último acesso.
- Província de Aomori ("Aomori Biiki"): 2.950 membros de um total de 15.847, com dados como e-mail, apelido, faixa etária, gênero, província de residência e respostas sobre viagens.
- Bandai Namco Experience (portal do arcade "Wangan Midnight"): número não divulgado.
Também houve comunidades que pararam por precaução e depois informaram que não tiveram vazamento, como a da DyDo.
O risco real para os membros
Nenhuma das fontes fala em dados de cartão. O perigo mais imediato é outro: phishing bem direcionado. Quem tem a lista de e-mails de membros de uma comunidade da Suzuki, por exemplo, sabe também o modelo do carro, a faixa etária e a província de cada pessoa. Isso permite mensagens falsas muito convincentes, em nome da marca.
Por isso a Suzuki e a Morinaga pedem que os membros desconfiem de e-mails e SMS que usem o nome da empresa, não abram links nem anexos suspeitos e não digitem senha ou dados pessoais. A Suzuki também recomenda trocar a senha de outros serviços que usem a mesma senha (ou parecida) da comunidade.
O que a sua empresa pode aprender com isso
Esse caso repete uma lição que já vimos no vazamento da Big Echo: terceirizar o sistema não terceiriza a responsabilidade. Quem coleta os dados continua respondendo pelos clientes, mesmo quando a falha é do fornecedor. Algumas ações práticas:
- Faça um inventário dos serviços em nuvem que guardam dados de clientes. Fórum, CRM, formulários, ferramenta de e-mail marketing, chat. Muitas PMEs não sabem quantos fornecedores têm listas de clientes.
- Revise como funcionam os convites. Se o seu serviço usa links de convite para áreas privadas, prefira links com validade curta, uso único ou aprovação manual. Um link que circula para sempre é uma porta aberta.
- Proteja as contas de administrador. Exija autenticação em dois fatores, limite quantas pessoas são administradoras e revise os logs de acesso de administrador com regularidade.
- Colete só o necessário. Se a comunidade não precisa de faixa etária ou do modelo do carro, não peça. O que não é guardado não vaza.
- Ponha o aviso de incidentes no contrato. Exija notificação rápida do fornecedor. Pela lei japonesa de proteção de dados (APPI), o relatório à PPC é obrigatório em vazamentos com mais de 1.000 pessoas ou com suspeita de má-fé, como acesso não autorizado. É feito em duas etapas: um relatório preliminar "sem demora" (em geral de 3 a 5 dias, segundo a PPC) e um definitivo em até 30 dias, ou 60 dias quando há suspeita de má-fé.
- Tenha um modelo de aviso pronto. As empresas que publicaram avisos claros no mesmo dia (o que aconteceu, quais dados, o que o cliente deve fazer, um canal de contato) passaram mais confiança.
- Avise os seus clientes sobre phishing antes que ele chegue. Uma mensagem simples, dizendo que a empresa nunca pede senha por e-mail, reduz muito o golpe.
Conclusão
O ataque à Commune durou poucos dias, mas mostrou como uma única falha em uma plataforma compartilhada pode expor clientes de várias marcas ao mesmo tempo. A investigação ainda está em andamento e os números podem mudar. Vamos atualizar este artigo se a Commune ou os clientes afetados divulgarem novos fatos.
Para a sua empresa, a pergunta prática é: se o seu fornecedor de nuvem fosse invadido amanhã, você saberia quais dados estão lá, quem avisar e o que dizer aos seus clientes?
Fontes
- コミューン株式会社: 「Commune」「Commune for Work」への不正アクセスによる個人情報の漏えいに関するお詫びとお知らせ
- INTERNET Watch: コミュニティサービス「Commune」「Commune for Work」に不正アクセス、推計約30万人の個人情報が漏えい
- Sansan: オンラインコミュニティー「Sansan User Forum」における会員情報漏えいに関するお詫びとお知らせ
- スズキ: 当社コミュニティサイト「スズキヴィレッジ」への不正アクセスに関するお知らせ (PDF)
- 森永乳業: 委託先システムへの不正アクセスによる「マウントカフェ部」会員情報漏洩に関するお詫びとお知らせ
- 青森県: 「青森びいき」会員情報の漏洩について (PDF)
- ヤマハ発動機: 外部委託先への不正アクセスによるお客様情報漏えいの可能性について（YAMAHA PAS Life）
- 個人情報保護委員会 (PPC): 漏えい等の対応とお役立ち資料
Quer levar isso para o seu negócio?
A KGA IT ajuda pequenas e médias empresas a implantar assistentes de IA, automações e sites. A consulta é gratuita e respondemos em até 24 horas. Planos a partir de ¥5.000/mês.
- Telefone: 080-9732-1062
- E-mail: kga-it@outlook.com
- Página de contato: kga-it.com/pt/contact