A empresa japonesa que vende softwares de segurança revelou uma invasão ao sistema de cadastro de clientes. O caso é um lembrete incômodo para quem usa a mesma senha em todo lugar.
O pior tipo de notificação é aquele que transforma uma conta esquecida em tarefa urgente. A Sourcenext, empresa japonesa de software, anunciou em 15 de outubro de 2026 que informações de clientes foram obtidas por terceiros após um acesso indevido. O universo potencialmente afetado chega a 22.519.960 registros, com senhas entre os dados envolvidos. O número descreve registros sob risco, e não uma contagem confirmada de pessoas únicas.
O comunicado oficial e a página de perguntas e respostas são as referências para clientes. A empresa informa que cartões de crédito não estão incluídos: esses dados não eram armazenados no sistema atingido.
O que aconteceu com a Sourcenext
Segundo a cronologia divulgada pela companhia, o acesso indevido começou por volta das 10h de 9 de outubro. A detecção ocorreu aproximadamente às 9h do dia 13, e a contenção foi concluída às 13h36 daquele dia. Os horários são os apresentados no comunicado japonês.
A empresa atribui a extração ao uso indevido de uma API de consulta de informações de membros. Os campos potencialmente expostos abrangem dados de contato, identificação e cadastro, incluindo endereço de e-mail, senha, nome, endereço residencial, telefone, nascimento e informações profissionais. Isso não significa que todos os campos tenham vazado para todos os cadastrados: o conteúdo dependia do que cada cliente havia informado.
A reportagem da ITmedia NEWS, publicada em 16 de outubro, confirma essa sequência e registra a repercussão do caso no Japão. A empresa passou a redefinir senhas e a solicitar uma nova configuração no login, além de avisar os clientes por e-mail. Para quem não havia registrado um endereço eletrônico, a previsão era contato por correspondência.
“Mas ela não vende antivírus?”
Sim. A Sourcenext comercializa a linha de proteção ZERO, além de outros softwares e serviços. Por isso, o episódio provoca uma pergunta compreensível: como uma empresa que vende segurança acabou nessa situação?
O contraste rende a reação imediata de quem vê uma empresa do setor sofrer uma invasão. Mas a distinção técnica importa: o incidente divulgado atingiu o sistema de informações dos clientes. Não há, nas fontes consultadas, evidência de que o ataque tenha explorado o antivírus vendido pela companhia. Confundir a loja e seu cadastro com os produtos comercializados cria um segundo problema, desta vez de informação.
Também não há base nesses documentos para afirmar que as senhas estavam em texto aberto. O formato de armazenamento e os detalhes completos da vulnerabilidade não foram estabelecidos nas fontes verificadas.
A senha repetida pode virar uma chave mestra
Para quem joga no PC, a relevância não exige uma ligação direta com um jogo. O ponto é o hábito de espalhar a mesma credencial entre lojas, fóruns e serviços. A OWASP descreve o credential stuffing como o teste de pares de usuário e senha obtidos no vazamento de outro site. Se a combinação funciona em vários lugares, um problema em uma conta pode alcançar outras.
É diferente de adivinhar uma senha do zero: o atacante já parte de uma combinação existente. Isso é uma explicação do risco geral, não a confirmação de que contas de jogos tenham sido invadidas neste episódio.
Autenticação multifator acrescenta uma barreira relevante contra ataques baseados em senhas, como explica a orientação da OWASP sobre MFA. Quando disponível, vale ativá-la. A camada adicional não apaga dados já expostos nem elimina todos os golpes, mas reduz a dependência de um único segredo.
O que um cliente deve fazer agora
A orientação da Sourcenext é redefinir a senha da conta e trocar também as senhas de outros serviços em que a mesma combinação tenha sido reutilizada. A companhia alerta para contatos falsos por e-mail, SMS, telefone ou correspondência. Para consultar as instruções, use o endereço oficial, em vez de confiar automaticamente em um link recebido.
O caso oferece uma regra prática bastante menos divertida que escolher um upgrade: cada conta precisa de sua própria senha. Deixar uma credencial repetida é transformar cadastros independentes em portas que aceitam a mesma chave. A conta menos importante pode acabar criando trabalho para proteger a mais valiosa.
Apuração consultada em 18 de outubro de 2026. O alcance individual da exposição e os detalhes técnicos continuam sujeitos a esclarecimentos da investigação.
