O que aconteceu
Em 9 de outubro de 2026, a Resorttrust, operadora japonesa de hotéis e resorts por associação (com marcas como Baycourt Club e XIV) e também de serviços de saúde para membros, divulgou que um acesso não autorizado ao seu site levou ao vazamento de dados pessoais:
- cerca de 26 mil registros de membros do grupo;
- cerca de 36 mil registros de reservas do The Kahala Hotel & Resort Yokohama.
O que não vazou
Segundo o comunicado, os dados não incluem histórico de uso, informações médicas, dados de cartão de crédito, contas bancárias, endereços de e-mail nem documentos de identificação. Isso é relevante porque o grupo também atua em check-ups e saúde, área em que um vazamento seria bem mais grave.
A empresa não detalhou publicamente, na divulgação a investidores, quais campos exatos foram expostos nem como os invasores entraram. A investigação continua.
Resposta da empresa
- Trabalho com especialistas externos de segurança para identificar a causa.
- Correção da vulnerabilidade nos sistemas afetados, monitoramento reforçado e revisão de privilégios de acesso.
- Contato individual com os afetados, com pedido de desculpas e explicação.
- Reconstrução da estrutura de segurança da informação em todo o grupo.
- O impacto financeiro ainda é desconhecido e será divulgado se surgir.
Contexto: uma semana difícil no Japão
O caso entra numa sequência de vazamentos anunciados no Japão no início de outubro, que inclui Lawson, Bookoff, skyticket e o ransomware na nuvem da IDC Frontier. Um padrão comum: sites e apps voltados ao cliente, expostos à internet, com falhas que permitem extrair dados em volume.
O que os clientes devem fazer
- Desconfie de e-mails, SMS e ligações que citem sua reserva ou associação, mesmo com dados corretos. Dados vazados são usados para golpes convincentes.
- Confirme qualquer contato pelos canais oficiais da empresa.
- Nunca informe senha ou dados de cartão por telefone ou link recebido.
Lição para empresas
- Inventarie tudo que está exposto na internet: sites de reserva, áreas de membros, sistemas antigos.
- Faça testes de invasão periódicos em aplicações web, não só na rede.
- Aplique o princípio do menor privilégio: o site não deveria conseguir ler bases inteiras de clientes.
- Tenha registros de acesso suficientes para responder rápido "o que saiu e de quem".
Fontes
- Japan IR, divulgação da Resorttrust (9/10/2026): https://japanir.jp/en/company/company-4681/ir/4681-20261009-01_wp_disclosure_update/
Precisa revisar a segurança dos seus sites e sistemas de clientes? A KGA IT oferece uma consulta gratuita: kga-it.com.