A Sony Network Communications confirmou que atacantes acessaram seu banco de dados de clientes So-net, expondo mais de 2,58 milhões de registros pertencentes a assinantes atuais e antigos da internet no Japão. O incidente também comprometeu senhas de mais de 54.000 contas de e-mail e informações bancárias associadas a um pequeno número de clientes.
O acesso não autorizado ocorreu em 19 de outubro de 2026, mas só foi descoberto em 23 de outubro. Após identificar a invasão, a empresa desligou o servidor afetado e bloqueou conexões externas. Uma investigação confirmou a exposição de informações pessoais no dia seguinte.
A maior parte da violação envolveu 2.141.986 registros de clientes da So-net, incluindo 1.869.771 assinantes ativos e 272.215 ex-clientes que haviam cancelado seus serviços desde março de 2026. As informações comprometidas incluíam nomes, números de telefone, endereços de e-mail, datas de nascimento, gêneros, IDs de usuário e identificadores de conexão com a internet.
Outros 443.495 registros pertenciam a clientes do serviço de internet da plala S Course. Isso incluiu 422.365 membros ativos e 21.130 ex-assinantes. As informações expostas eram semelhantes às encontradas nos registros da So-net, mas a empresa confirmou que as senhas associadas a essas contas de clientes não foram comprometidas.
Uma exposição separada afetou 54.401 contas de e-mail em quatro serviços So-net mais antigos. O maior grupo envolveu 24.655 contas Mail Service G, seguidas por 17.672 contas A-Box, 7.005 contas So-net VAIO Mail e 5.069 contas PostPet Mail. Ambos os endereços de e-mail e suas senhas correspondentes foram expostos.
A Sony Network Communications redefiniu as senhas de e-mail afetadas em 27 de outubro. Os clientes que utilizam esses serviços devem estabelecer novas senhas antes de recuperar o acesso às suas caixas de correio. O serviço padrão de e-mail So-net da empresa não foi afetado pela exposição da senha.
Os investigadores também identificaram a divulgação de informações bancárias pertencentes a 16 clientes. Esses registros continham nomes de instituições financeiras, detalhes das agências, números de conta e nomes dos titulares de conta. Os PINs bancários não foram expostos porque a empresa não os armazena.
Além disso, sete registros de notificação de redefinição de senha foram comprometidos. As senhas associadas foram redefinidas e os clientes afetados estão sendo contatados individualmente.
A empresa confirmou que nenhuma informação de cartão de crédito foi exposta. Outros serviços, incluindo sua marca de internet NURO, não foram afetados.
A Sony Network Communications reportou o incidente à Comissão de Proteção de Informações Pessoais do Japão e continua investigando como os atacantes acessaram seus sistemas. Até 27 de outubro, a empresa não havia identificado nenhum dano secundário confirmado resultante da violação, mas alertou os clientes sobre e-mails, mensagens de texto e ligações telefônicas suspeitas que poderiam explorar as informações roubadas.