A Sony Network Communications informou um vazamento de dados que expôs 2.585.481 registros de clientes ligados aos seus serviços de internet So-net e Plala (S Course). O incidente, anunciado em 27 de outubro de 2026, comprometeu as senhas de 54.401 endereços de e-mail. No entanto, as senhas principais de associado e as informações de cartão de crédito não foram afetadas.
O banco de dados comprometido continha 2.141.986 registros do So-net e 443.495 registros do Plala. As informações expostas incluíram nomes, números de telefone, endereços de e-mail, identificadores de usuário, datas de nascimento, gênero e identificadores de conexão à internet. Esses dados pessoais podem ser usados para personificação direcionada.
Vazamento de dados da Sony
Segundo a comunicação da Sony, o acesso não autorizado ocorreu em 19 de outubro. A empresa identificou a invasão em 23 de outubro, interrompeu os servidores afetados e bloqueou as comunicações com a origem não autorizada. Até 24 de outubro, os investigadores confirmaram o vazamento de informações pessoais e detalharam as categorias de dados afetadas e a quantidade de registros.
Segundo o Yahoo, a Sony notificou prontamente a Comissão de Proteção de Informações Pessoais do Japão e publicou um comunicado aos clientes em 27 de outubro, oito dias após a invasão.
A empresa continua investigando a causa e a extensão total do incidente. No entanto, não identificou quaisquer vulnerabilidades exploradas, famílias de malware, técnicas de invasão ou atacantes responsáveis.
As credenciais de e-mail comprometidas afetaram quatro serviços: Mail Service (G), com 24.655 endereços; caixas postais adicionais do A-Box, com 17.672; So-net VAIO Mail, com 7.005; e PostPet Mail, com 5.069. Para evitar novos danos, a Sony redefiniu as senhas dos endereços de e-mail afetados em 27 de outubro.
As senhas dos serviços de e-mail são separadas das senhas principais de associado do So-net e do Plala, que, segundo a Sony, não foram vazadas. Ainda não está claro como os atacantes armazenaram as senhas comprometidas ou se acessaram caixas postais individuais.
Além disso, os investigadores confirmaram que 16 registros de contas bancárias foram expostos, incluindo dados das instituições financeiras, informações de agências, tipos de conta, números de conta e nomes dos titulares. A Sony confirmou que não armazena PINs (números de identificação pessoal) bancários. Sete registros relacionados a notificações de redefinição de senha também foram expostos, o que levou à redefinição de senhas desses clientes.
Os dados vazados não incluíram informações de cartão de crédito. A Sony afirmou não ter confirmado vazamento de informações envolvendo outros serviços, como o NURO.
O total inclui 272.215 ex-associados do So-net e 21.130 ex-associados do Plala que cancelaram suas assinaturas em março de 2026 ou depois. Clientes que cancelaram até o fim de fevereiro de 2026 não foram afetados pelo incidente.
Os usuários dos serviços de e-mail afetados devem redefinir suas senhas pelo portal oficial Minha Página, do So-net. A Sony alertou os clientes para não responderem a e-mails, mensagens de SMS (serviço de mensagens curtas) ou ligações suspeitas, nem clicarem em links incorporados ou baixarem anexos.
Até 27 de outubro, a Sony confirmou que o incidente não causou danos secundários. No entanto, alertou que as informações expostas podem ser usadas em comunicações suspeitas. A empresa se comprometeu a revisar seus controles de segurança e suas práticas de gestão de informações enquanto prossegue com a investigação.
