Diário de desenvolvimento do KuroCMS Vol.6: Reforço de segurança contra vazamentos de dados
Ataques com IA causam vazamentos massivos. Como a Rússia ou Israel tirando terras e dignidade, é preciso se defender. O KuroCMS segue open source e com segurança fortemente reforçada.
A onda de ciberataques e invasões massivas que teve início por volta de setembro de 2026 continua a se alastrar sem trégua. Embora a urgência de respostas imediatas seja amplamente reconhecida, o volume de danos segue aumentando dia após dia. Para servir de referência, consolidamos na tabela abaixo os principais incidentes ocorridos recentemente.
Lista dos principais vazamentos de dados de setembro de 2026 até o presente#
Empresas e entidades que divulgaram oficialmente vazamentos ou riscos iminentes de exposição de dados pessoais devido a acessos não autorizados (a data corresponde ao anúncio público). Total de 64 casos. *Listados em ordem cronológica inversa
| Data | Empresa / Organização | Conteúdo do vazamento | Escala | Causa |
|---|---|---|---|---|
| 17 out. (sáb.) | Skyticket (Reserva de viagens) | Vazamento de dados de cartão de crédito | Aprox. 6.000 pessoas | Acesso não autorizado |
| 16 out. (sex.) | Yamato Transport | Vazamento de dados pessoais | Aprox. 5,31M de registros | Acesso não autorizado |
| Nikkei | Vazamento de dados pessoais | 1,83M de registros | Acesso não autorizado | |
| Mitsubishi Gas Chemical | Vazamento de dados de ex-funcionários | 2.000 pessoas | Prestador terceirizado | |
| Studio (Ferramenta de criação web) | Suspeita de vazamento de dados de clientes | — | Acesso não autorizado | |
| Afiliada do Grupo FANCL | Vazamento de dados pessoais | 830.000 registros | Acesso não autorizado | |
| Comic Cmoa | Dados de membros vazados (e-mail, data de nasc.) | — | Acesso não autorizado | |
| Japan Post | Dados de clientes ficaram expostos a consulta | 600 registros | Acesso não autorizado | |
| Hitachi Astemo | Vazamento de dados de parceiros comerciais | 350 pessoas | Acesso não autorizado | |
| Times Car (Park24) | Plano de ação anunciado para 23 de outubro | — | Atualização | |
| IwaiCosmo Securities | Vazamento de dados de clientes | 4.600 pessoas | Prestador terceirizado | |
| Cidade de Hamamatsu | Suspeita de vazamento de dados de bombeiros (via Arcadia) | — | Prestador terceirizado | |
| Subsidiária da BASE | Vazamento de dados (incl. cartões de 2,09M de pessoas) | 23,35M de pessoas | Não especificado | |
| Keio Corporation | Reivindicação de ransomware confirmada pelo grupo 'Qilin' | — | Ataque de ransomware | |
| 15 out. (qui.) | M3, Inc. | Vazamento de dados em serviço farmacêutico | — | Acesso não autorizado |
| SOURCENEXT | Suspeita de vazamento de dados de clientes | 22,52M de registros | Acesso não autorizado | |
| Burger King | Vazamento de dados de usuários do aplicativo | 11,18M de registros | Acesso não autorizado | |
| Medley, Inc. | Suspeita de violação em sistema médico | Até 787 instituições | Acesso não autorizado | |
| 14 out. (qua.) | transcosmos | Vazamento de dados de candidatos a vagas contratuais | Aprox. 4.600 pessoas | Não especificado |
| Mazda | Suspeita de vazamento em portal comunitário | 4.103 pessoas | Prestador terceirizado | |
| Aena (Cosméticos) | Suspeita de vazamento de dados de membros | 810.000 pessoas | Acesso não autorizado | |
| Izumi Co., Ltd. | Risco de vazamento de dados | Até 400.000 registros | Afiliada SoftBank | |
| Subsidiária de restaurantes da JR Kyushu | Suspeita de vazamento de dados pessoais | 26.900 pessoas | Não especificado | |
| 13 out. (ter.) | Japan Post | Risco de vazamento de dados de clientes | Até 4.807 registros | Falha de sistema |
| Serviço de alerta de desastres para municípios | Possível vazamento de endereços de e-mail | 3,13M de registros | Acesso não autorizado | |
| Gin no Sara (Entrega de sushi) | Vazamento de dados de clientes via servidor externo | Até 6,5M de registros | Acesso não autorizado | |
| JR Central | Suspeita de vazamento de e-mails na loja virtual própria | — | Afiliada SoftBank | |
| Cidade de Omaezaki (Shizuoka) | Risco de vazamento via provedor de alertas de emergência | — | Prestador terceirizado | |
| SKY Perfect JSAT | Possível vazamento de endereços de e-mail | — | Afiliada SoftBank | |
| Yamaha / Yamaha Motor | Suspeita de vazamento de membros de redes sociais | Total de 3.200 pessoas | Não especificado | |
| 10 out. (sáb.) | DIP Corporation (Baitoru) | Vazamento de endereços de e-mail | Até 3,88M de registros | Não especificado |
| Temairazu (Gestão hoteleira) | Suspeita de vazamento de dados | 4,45M de pessoas | Acesso não autorizado | |
| 9 out. (sex.) | JR Kyushu | Possível vazamento de endereços de e-mail | Até 1,3M de registros | Afiliada SoftBank |
| LY Corporation | Vazamento de dados pessoais via ferramenta de busca | — | Prestador terceirizado | |
| Afiliada do Grupo Bandai Namco | Vazamento de dados de membros de jogos de fliperama | — | Acesso não autorizado | |
| Grupo Mizkan | Vazamento de endereços de e-mail e outros dados | — | Prestador terceirizado | |
| Resorttrust, Inc. | Vazamento de dados de membros através do site | 26.000 registros | Acesso não autorizado | |
| Sansan, Inc. | Suspeita de vazamento a partir de nuvem externa | 10.000 pessoas | Acesso não autorizado | |
| Suzuki | Possível vazamento de endereços de e-mail e outros dados | — | Prestador terceirizado | |
| JR East | Possível vazamento de endereços de e-mail | — | Afiliada SoftBank | |
| Subsidiária da BOOKOFF | Suspeita de vazamento de dados de clientes | Até 6,43M de registros | Acesso não autorizado | |
| 8 out. (qui.) | NewsPicks | Possibilidade de vazamento de dados pessoais | — | Acesso não autorizado |
| Lawson | Vazamento de dados pessoais (nomes, endereços, etc.) | Aprox. 2,15M de registros | Acesso não autorizado | |
| Daiichikosho | Risco de vazamento de dados pessoais | 8,72M de registros | Prestador terceirizado | |
| The Bank of Iwate | Suspeita de vazamento de clientes (via prestador da Daiwa Securities) | — | Prestador terceirizado | |
| 7 out. (qua.) | Subsidiária da HIS | Possível vazamento de dados de passaportes | Até 627 pessoas | Acesso não autorizado |
| Sompo Japan Insurance | Possibilidade de vazamento de dados de clientes | 60.000 registros | Acesso não autorizado | |
| 6 out. (ter.) | Afiliada do Grupo Asahi Kasei | Suspeita de vazamento em portal para profissionais de saúde | Até aprox. 560.000 pessoas | Não especificado |
| Citizen | Suspeita de vazamento de dados de clientes | 100.000 pessoas | Prestador terceirizado | |
| Nimoca (Grupo Nishitetsu) | Vazamento de registros de clientes | Aprox. 500 registros | Acesso não autorizado | |
| Afiliada do Grupo GMO | Vazamento de dados pessoais e uso fraudulento de pontos | 950.000 pessoas | Acesso não autorizado | |
| MrMax | Vazamento de registros de clientes | Até 1,73M de pessoas | Acesso não autorizado | |
| 5 out. (seg.) | Daiki Suisan | Suspeita de vazamento de dados | 170.000 pessoas | Acesso não autorizado |
| Universidade Metropolitana de Osaka | Risco de vazamento de dados pessoais | 130.000 pessoas | Ataque de ransomware | |
| Yakiniku King | Vazamento de dados de clientes | Mais de 10 milhões de registros | Acesso não autorizado | |
| Daiwa Securities | Suspeita de vazamento de números de conta e dados de clientes | 220.000 registros | Prestador terceirizado | |
| 4 out. (dom.) | Nikkei | Vazamento de dados e disparo de 9.000 e-mails suspeitos | — | Acesso não autorizado |
| Nikkei | Login fraudulento resultou em suspeita de vazamento | 1.646 pessoas | Acesso não autorizado | |
| 3 out. (sáb.) | ABAHOUSE | Possível vazamento de todos os clientes (detectado após denúncias de e-mails suspeitos) | Todos os clientes | Não especificado |
| 2 out. (sex.) | Grupo Dai-ichi Life | Vazamento de dados de colaboradores (incluindo aposentados) | 120.000 pessoas | Não especificado |
| Sagawa Express | Suspeita de vazamento de dados pessoais (nomes, endereços) | — | Acesso não autorizado | |
| 30 set. (qua.) | 2 afiliadas da Osaka Gas | Possibilidade de vazamento de dados de clientes | Aprox. 8.260 registros | Acesso não autorizado |
| 29 set. (ter.) | Secoma (Seicomart) | Suspeita de vazamento a partir do servidor do aplicativo | 570.000 registros | Acesso não autorizado |
| 28 set. (seg.) | Times Car | Vazamento de dados pessoais (incluindo imagens da CNH) | Até 6,6M de registros | Acesso não autorizado |
| Total (44 casos com escala declarada; soma de registros e pessoas, incluindo duplicidades) | Aprox. 124 milhões | |||
Um panorama estarrecedor: aproximadamente 124 milhões de registros ou indivíduos. Mesmo considerando margens de imprecisão e eventuais duplicidades, essa escala equivale praticamente à totalidade da população do Japão.
Características marcantes dos incidentes recentes e vetores de invasão#
Para além da magnitude assustadora, a anomalia mais chocante reside na sua frequência avassaladora: há relatos de novos vazamentos praticamente todos os dias. Não há dúvidas de que os criminosos estão operando com ferramentas avançadas de IA. Embora muitas empresas não revelem os canais de intrusão, os casos divulgados mostram que a esmagadora maioria decorreu de «falhas em sites, aplicativos móveis e APIs».
O segundo vetor mais recorrente envolve «e-mails fraudulentos e redirecionamentos para páginas falsas (phishing)». Com a IA generativa produzindo redações perfeitamente naturais e convincentes, os usuários clicam desatentos em links que reproduzem com exatidão o visual de portais oficiais, inserindo suas credenciais que são imediatamente capturadas.
Embora vulnerabilidades em roteadores e gateways VPN costumem dominar as notícias, apenas um incidente (Agência Digital) apontou expressamente uma falha de VPN nesse período. A quase totalidade ocorreu pelos dois vetores citados, potencializada por controles administrativos frágeis após a invasão inicial — sistemas desprovidos de segmentação onde o invasor obtém ampla liberdade interna.
Como o KuroCMS responde a essas graves ameaças de segurança?#
Para começar, o sequestro de contas por e-mails de phishing ou páginas clonadas é fisicamente impossível no KuroCMS, pois a plataforma opera exclusivamente por meio de Passkeys (chaves de acesso). Além da aversão do próprio desenvolvedor a memorizar senhas, exigir que usuários guardem senhas na memória faz com que optem inevitavelmente por combinações fáceis e repetitivas, criando uma vulnerabilidade estrutural crônica que o passkey extingue de vez.
Veja a seguir as salvaguardas essenciais de segurança que já estavam ativas na versão v1 do KuroCMS:
| Versão | Medida de proteção | Mecanismo detalhado |
|---|---|---|
| v1 | Autenticação exclusiva via Passkey | Nenhuma senha é armazenada em servidores, não havendo credenciais que possam ser vazadas ou reutilizadas. O login é validado por biometria (impressão digital ou reconhecimento facial), com chaves criptográficas que nunca saem do chip de segurança do dispositivo. Os estados de sessão ficam isolados e inacessíveis a scripts ou sites de terceiros. |
| v1 | Reversão completa de versões em edições com IA | Antes de sobrescrever ou excluir o texto de qualquer artigo, o estado integral daquele instante é preservado como uma versão imutável. A autoria (humano, IA ou API) é atestada pela camada de autenticação e não pode ser forjada. Em caso de adulteração indevida, o conteúdo original pode ser restaurado no mesmo instante. |
| v1 | Armazenamento exclusivo de hashes de chaves API | Os tokens de acesso pessoal (PAT) utilizados para comandos de IA são mantidos no banco de dados exclusivamente sob a forma de hashes criptográficos irreversíveis. O token em texto simples não permanece nos servidores, tornando inútil qualquer vazamento da base de dados. |
| v1 | Armazenamento zero de chaves mestras Cloudflare | Durante a implantação no ambiente Cloudflare pessoal do cliente, os tokens de API inseridos no instalador permanecem temporariamente em memória apenas para a configuração inicial e não são salvos em lugar nenhum. Atualizações automáticas posteriores são gerenciadas por um token restrito apenas a Workers. |
| v1 | Entrega pública em HTML estático pré-compilado | Os visitantes acessam exclusivamente páginas HTML estáticas pré-compiladas, sem executar consultas em tempo real ao banco de dados durante a leitura, reduzindo a superfície externa de ataque ao mínimo absoluto. Requisições a URLs externas passam por rigorosa validação (prevenção contra SSRF), usufruindo da CDN para carregamentos ultrarrápidos. |
Conheça agora as grandes inovações de segurança incorporadas nesta nova versão v2:
| Versão | Aprimoramento de segurança | Mecanismo detalhado |
|---|---|---|
| v2 | Sanitização irrestrita de scripts nos conteúdos | Os textos dos artigos e do site passam por dupla filtragem rigorosa — no momento do salvamento e na renderização do navegador — eliminando tags script, manipuladores de eventos DOM, pseudoprotocolos javascript: e embeds não autorizados. Nenhum código nocivo será executado no navegador do leitor ou do administrador. |
| v2 | Atualizações validadas por assinatura e hash | Novos pacotes de atualização são obtidos estritamente do canal oficial do KuroCMS e conferidos contra assinatura digital e hash de integridade antes da instalação. Se a versão recém-instalada falhar nos testes operacionais pós-deploy, o WorkerOps reverte automaticamente para a versão estável anterior. |
| v2 | Isolamento absoluto de dados por cliente | Artigos e mídias permanecem confinados na própria conta Cloudflare do cliente. No modelo de hospedagem gerenciada, a infraestrutura e o CMS são isolados por conta com bancos de dados dedicados para cada site. Relatórios de erro transmitem apenas códigos numéricos, nunca o teor dos artigos. |
| v2 | Painel administrativo restrito a redes cadastradas | O painel de gerenciamento só pode ser acessado a partir da rede IP vinculada durante a autenticação por Passkey. O cadastro do IP é automático e silencioso, renovando-se durante o uso ativo. Qualquer tentativa de reaproveitar a sessão a partir de uma rede estranha é bloqueada de imediato com alerta ao proprietário. |
| v2 | Vínculo criptográfico entre rede e dispositivo físico | A sessão do navegador é amarrada à conexão IP de origem. Os tokens de atualização de sessão são vinculados criptograficamente à chave de segurança física do aparelho emissor (Device Binding). Mesmo se interceptado, um token de sessão não poderá ser executado a partir de outro computador ou rede. |
Quais foram os resultados? Rumos futuros e mudança de diretriz#
A inovação de maior impacto reside na restrição rígida por IP. Na era atual do IPv6, onde cada máquina pode ostentar um IP público global exclusivo, acessar o painel do KuroCMS exige correspondência estrita com o IP cadastrado. Forjar um endereço IPv6 é uma tarefa monumental até mesmo para engenheiros de operadoras de telecomunicações. Em conjunto com passkeys firmemente ancorados ao navegador e ao hardware seguro, as investidas convencionais de invasão tornam-se virtualmente impossíveis.
Em sintonia com isso, migramos a base de autenticação do KuroCMS para uma conceituada plataforma corporativa de gestão de identidades. Isso converge diretamente com o lançamento do nosso modelo de hospedagem gerenciada (Managed Hosting), criado para atender quem prefere não administrar contas Cloudflare nem criar tokens PAT. Essa plataforma monitora acessos anômalos em tempo real, notifica os usuários por alertas em tela e e-mails e aciona nossa equipe de segurança para neutralizar ameaças na hora.
Essa foi uma deliberação amplamente debatida: o código-fonte essencial do KuroCMS segue 100% aberto e sob licença open-source (OSS), mas para assegurar uma invulnerabilidade absoluta, o núcleo de autenticação passou a operar sobre uma infraestrutura corporativa fechada e blindada. Os usuários atuais não sofrem qualquer prejuízo: a implantação autônoma na própria conta Cloudflare (método único da v1) segue com suporte total. Pedimos sinceras desculpas pelo pequeno incômodo do cadastro obrigatório de e-mail.
Em comparação com a v1, o novo KuroCMS v2 representa um salto formidável em matéria de segurança defensiva. Agradecemos imensamente pela sua contínua confiança e preferência.
*O lançamento do KuroCMS v2 está previsto para o final desta semana.