A Sony Network Communications confirmou a 27 de outubro que a base de dados de membros do serviço de internet So-net foi alvo de um acesso não autorizado, com 2.585.481 registos expostos. O total reparte-se entre 2.141.986 registos da So-net e 443.495 da plala, um serviço associado à Docomo Hikari. Ambos são serviços de acesso à internet no Japão, geridos pela subsidiária do grupo Sony, e o incidente não tem ligação direta à área dos videojogos.
O número, no entanto, não corresponde necessariamente a 2,58 milhões de pessoas distintas. Os dados incluem clientes atuais e também antigos membros que cancelaram o serviço a partir de março de 2026: 272.215 na So-net e 21.130 na plala. Os registos de quem sai continuam na base de dados para efeitos de faturação do último mês e de esclarecimento de dúvidas.
De acordo com a ITmedia, os registos de membros incluem nomes, números de telefone, endereços de email, datas de nascimento e outros elementos de identificação. As palavras-passe associadas a estes registos não foram expostas, e o mesmo se aplica aos dados de cartões de crédito.
Há, porém, um conjunto separado de contas de email afetadas. A Sony confirmou a exposição de 54.401 endereços de email com as respetivas palavras-passe, distribuídos por quatro serviços:
- Mail Service (G): 24655 endereços
- A-Box (caixa de correio adicional): 17672 endereços
- So-net VAIO Mail: 7005 endereços
- PostPet: 5069 endereços
A empresa repôs estas palavras-passe a 27 de outubro e pede aos utilizadores que definam novas credenciais na página pessoal da So-net.
Foram também expostos 16 registos de contas bancárias, com o nome da instituição financeira, o número da conta e o nome do titular, e sete registos de notificações usadas na reposição de palavras-passe. A Sony afirma que não guarda os códigos secretos das contas. Não houve exposição de números de cartões de crédito, e os utilizadores do serviço de fibra NURO, tal como os de outros serviços da empresa, não foram afetados.
O que aconteceu?
A cronologia divulgada pela empresa é a seguinte:
- 19 de outubro: acesso não autorizado à base de dados de membros da So-net
- 23 de outubro: confirmação da intrusão, com os servidores afetados desligados e as comunicações com a origem do ataque bloqueadas
- 24 de outubro: conclusão de que houve exposição de dados pessoais e apuramento dos tipos de informação e do número de registos
- 27 de outubro: divulgação pública do incidente
A Sony já comunicou o caso à Comissão de Proteção de Informações Pessoais do Japão e pediu desculpa aos clientes. As contas da PlayStation Network não foram afetadas.
Até 27 de outubro, a empresa ainda não tinha identificado danos secundários resultantes da exposição dos dados, mas recomenda atenção redobrada com emails, SMS e chamadas suspeitos que possam usar as informações expostas. A causa do ataque e o alcance exato do incidente continuam sob investigação.
