Sony confirma vazamento na So-net; a porta de entrada segue oculta

O registro herdado trata isto como alegação não verificada com data de 28/10. Está errado em duas frentes. Não há ator alegando coisa alguma: quem divulgou foi a própria vítima, em 27/10, por aviso na página da So-net e no site corporativo da Sony Network Communications. E 28/10 é a data da reportagem da BleepingComputer, não do anúncio. Corrigimos para confidence confirmed e verdict real. A organização afetada é a Sony Network Communications, empresa do grupo Sony que opera a So-net, e não a Sony em geral.

O que a empresa admite: acesso externo em 19/10, descoberta em 23/10, confirmação do vazamento em 24/10, 2.141.986 registros da So-net (1.869.771 clientes atuais e 272.215 que cancelaram de março de 2026 em diante) e 443.495 da plala S Course (422.365 atuais e 21.130 antigos). Campos: nome, telefone, e-mail, ID de usuário, data de nascimento, sexo e ID de conexão. A empresa diz que não vazaram as senhas dessas contas nem cartão de crédito. Além disso, vazaram 54.401 endereços de e-mail com senha em quatro serviços (24.655 no E-mail Service (G), 17.672 no A-Box, 7.005 no So-net VAIO Mail e 5.069 no PostPet; a soma fecha), 16 registros bancários (banco, número e titular, sem PIN, que a empresa diz não guardar) e 7 notificações de redefinição de senha. A empresa diz não ter identificado vazamento no NURO. A causa consta apenas como acesso não autorizado de terceiro, em apuração.

O que o Docomo afirma é compatível com o da Sony: 443.495 clientes da plala S Course em uso ou cancelados nos últimos seis meses. Segundo a cobertura que li, o Docomo delimita o escopo a esse curso e diz que outros planos não foram afetados. A BleepingComputer, repetida por agregadores, escreve que o incidente afeta todos os clientes atuais do Hikari, o que parece generalização indevida. O Docomo também alertou para phishing que imita o d POINT Club e uma campanha da USJ. Não encontrei fonte que ligue essas mensagens ao dado vazado, e a Sony disse em 27/10 não ter confirmado dano secundário. Trate o alerta como precaução, não como prova de uso do dado.

A distância entre alegação e confirmação, nesse caso, é nula: não há número de ator para comparar. A distância que importa é a da cobertura. A BleepingComputer fala em 2,5 milhões, a contagem real é 2,585 milhões, e os 54.401 pares de e-mail, que são o dado mais perigoso, ficam em segundo plano nas manchetes. Também há erros pontuais: o TechNadu diz que o ataque foi observado em 27/10, quando o aviso da empresa fixa 23/10. Registros não são pessoas: quem tinha So-net e outro serviço no mesmo banco pode ser contado mais de uma vez, e a empresa não publicou quantas pessoas distintas foram afetadas.

O detalhe que a cobertura passou por cima é a retenção. O banco guardava dados de quem cancelou desde março de 2026, sete meses de ex-clientes na plala S Course e na So-net. O Docomo fala em seis meses para a plala. A empresa não explica o motivo do recorte nem se ex-clientes mais antigos existem em outro lugar (fontes secundárias sugerem que quem saiu antes não foi afetado, mas não li o texto integral). Também não está dito como as senhas de e-mail estavam armazenadas. Se eram recuperáveis (texto puro ou reversível), é falha de controle relevante. Se eram hash, a empresa não deveria ter conseguido reconstruir pares utilizáveis, e hoje a informação não permite escolher entre as duas hipóteses.

O que a evidência não sustenta: qualquer afirmação sobre autoria, motivação, vetor, volume em GB, venda ou publicação do conjunto. Também não sustenta a leitura de que dados de PlayStation Network ou do restante da Sony foram atingidos. A Sony diz que o escopo é a So-net e a plala S Course, e não encontrei evidência contrária. Os avisos citam comunicação à PPC, mas não achei manifestação pública do regulador. A PPC é o órgão de proteção de dados do Japão, e uma resposta dele seria o segundo canal de confirmação, hoje ausente.

Clientes atuais e antigos da So-net e da plala S Course (Docomo Hikari), todos no Japão, afetados no total de 2.585.481 registros. Os dados expostos permitem phishing e golpes por telefone ou SMS bem dirigidos (nome, telefone, e-mail, data de nascimento, sexo, IDs). Para os 54.401 e-mails com senha, havia credencial de caixa postal em mãos do invasor até a redefinição de 27/10, e há risco de reuso dessa senha em outros serviços. Para 16 clientes, vazaram banco, número da conta e titular, o que serve a fraude de identidade, mas não a movimentação (a empresa diz não guardar o PIN). A Sony diz que não há dano secundário confirmado até 27/10, e o acesso à internet seguiu normal.