Nikkei admite 1,83 mi de registros; só 150 mil identificam

Correção ao nosso registro: a data de 2026-10-19 é a da matéria do BleepingComputer, não a do anúncio. A Nikkei divulgou o incidente em 16/10/2026. O campo 'organização afetada' trazia a manchete em vez do nome da vítima. O selo 'claimed' também não se aplica: não há alegação de ator, e quem fala é a própria vítima, que confirmou. O selo correto é confirmed, com veredito real.

O que a vítima afirma, no aviso oficial de 16/10: um cloud usado no desenvolvimento de sistemas sofreu acesso não autorizado; as credenciais de acesso foram roubadas por meio não esclarecido; o acesso ocorreu na madrugada e manhã de 7/10; a PPC foi notificada em 11/10; as credenciais foram invalidadas. Os números são 1,83 milhão de registros no total, 150 mil com ao menos um entre nome, email, endereço, telefone ou nascimento, 120 mil desses com email, e 1,68 milhão de identificadores sem identificação direta. Não há cartão de crédito. A empresa diz que não confirmou uso indevido nem queda de serviço ou adulteração de dados até 16/10, e que notificará individualmente os afetados.

O que o regulador afirma: nada que tenhamos encontrado. Só sabemos, pelo aviso da Nikkei, que a PPC foi notificada. Não localizei manifestação própria da PPC sobre o caso.

O que o ator alega: nada. Não encontrei reivindicação de grupo, venda ou publicação dos dados. A busca por reivindicação em sites de vazamento não pôde ser concluída nesta apuração, então 'ausência de alegação' significa que nada apareceu nas fontes lidas, não que a checagem esteja esgotada. A Nikkei também diz não ter evidência de que os dados tenham circulado online até 16/10. Sem ator e sem amostra, a evidência do vazamento é o aviso da vítima, que é fonte primária e suficiente para o selo 'confirmed'.

A distância entre alegado e confirmado, aqui, está dentro do próprio número oficial. Parte da cobertura (inclusive a manchete que usamos) destaca '1,8 milhão de registros expostos'. A Nikkei, porém, separa 150 mil registros com dado pessoal direto de 1,68 milhão que só trazem identificadores. A empresa os chama de 'informação pessoal', mas ela mesma diz que não identificam alguém isoladamente. Um veículo especializado lembra que a cifra conta registros, não pessoas. O dano a titulares é, portanto, medido pelos 150 mil (ou menos), não pelos 1,83 milhão. Não sabemos o que são esses identificadores (ID de cookie, de dispositivo, de assinante?) nem se podem ser cruzados com outras bases.

A expressão 'terceiro em um mês' é do BleepingComputer e é defensável como contagem de divulgações: duas em 4/10 e uma em 16/10. É enganosa como cronologia. O acesso ao Google Workspace começou em fins de julho e só foi divulgado dois meses depois, e o Slack é de

2025. O de 7/10 aconteceu três dias depois de a Nikkei tornar públicos os dois primeiros. A Nikkei não diz se detectou o acesso por conta própria ou por aviso externo, nem como a credencial foi obtida, e esse é o dado que decidiria se há ligação com os incidentes anteriores. Hoje a hipótese de uma só intrusão encadeada é possível, mas não tem sustentação pública.

O ângulo de governança é o mais sólido: um cloud de desenvolvimento guardava dados pessoais reais, e uma credencial roubada bastou para extraí-los. Não sabemos se havia MFA, se o acesso partiu de um IP incomum ou por quanto tempo a sessão ficou aberta. A divulgação em 16/10 veio cinco dias depois do reporte à PPC e nove dias depois do acesso. Cabe à PPC dizer se a notificação foi tempestiva, e não há nada público a respeito. O que desmentiria nossa leitura: a Nikkei revisar a contagem para cima de forma significativa, ou revelar que o vetor foi infraestrutura comprometida (e não credencial isolada), ou ligar este caso ao Google Workspace ou ao M365.

Segundo a Nikkei, cerca de 150 mil registros trazem ao menos um entre nome, email, endereço, telefone e data de nascimento, e cerca de 120 mil deles trazem email. Os outros cerca de 1,68 milhão são identificadores que, sozinhos, não identificam a pessoa. Não há dado de cartão. A empresa não confirmou uso indevido, queda de serviço ou adulteração de dados até 16/10. Nikkei BP e Nikkei CNBC avisaram que dados de seus usuários podem estar incluídos. Os afetados confirmados serão avisados individualmente. O risco prático para eles é phishing direcionado, que já tem precedente neste grupo: em 30/09, cerca de 9.000 emails foram enviados a partir de uma conta M365 sequestrada. Essa ligação, porém, não está estabelecida.