Conta Microsoft 365 da Nikkei comprometida envia cerca de 9 000 e‑mails de phishing

A 4 de outubro de 2026, o grupo de media japonês Nikkei anunciou que a conta Microsoft 365 de um dos seus colaboradores tinha sido comprometida, provavelmente após um início de sessão não autorizado. A violação foi detectada depois de as ferramentas de monitorização de correio da empresa identificarem um súbito aumento de mensagens enviadas.

A conta comprometida foi utilizada para enviar aproximadamente 9 000 e‑mails em 30 de setembro. Cada mensagem imitava a marca Nikkei, era dirigida a uma mistura de colaboradores internos e parceiros externos, e continha ligações para um site malicioso concebido para recolher credenciais.

Âmbito da exposição de dados

Segundo a Nikkei, os atacantes podem ter acedido aos nomes, endereços de e‑mail e a parte do conteúdo de algumas das mensagens enviadas. A empresa não confirmou a extensão total dos dados que podem ter sido visualizados ou extraídos, mas reconhece que a informação ficou potencialmente exposta aos autores da ameaça.

Após detetar a atividade não autorizada, a Nikkei redefiniu imediatamente a palavra‑passe da conta comprometida. A empresa relata que não foram observados novos inícios de sessão não autorizados desde a alteração da palavra‑passe.

Medidas de resposta e comunicação

A Nikkei comunicou o incidente à Comissão Japonesa de Proteção de Dados Pessoais, cumprindo as exigências nacionais de notificação de violações. A organização continua a sua investigação interna para mapear todo o perímetro do ataque e determinar o número exacto de indivíduos cujos dados podem ter sido comprometidos.

Todos os destinatários identificados foram contactados individualmente. A Nikkei pediu a cada um que eliminasse os e‑mails de phishing e permanecesse vigilante para eventuais tentativas de imitação subsequentes, que a empresa alerta que ainda podem ocorrer.

Incidentes de segurança relacionados

Numa reportagem separada publicada a 6 de outubro de 2026, a iThome descreveu um incidente de julho que afetou contas Google Workspace de 1 646 colaboradores e parceiros de uma organização não identificada. Embora o artigo da iThome mencione a violação da Nikkei, não há evidências públicas que liguem os dois eventos.

• Comprometimento detectado a 30 de setembro de 2026
• Aproximadamente 9 000 e‑mails de phishing enviados
• Palavra‑passe redefinida imediatamente após a deteção
• Incidente comunicado à Comissão Japonesa de Proteção de Dados Pessoais
• Todos os destinatários identificados contactados e instruídos a eliminar as mensagens

Os e‑mails de phishing foram elaborados para parecer autênticos, usando a identidade visual da Nikkei e nomes de remetentes familiares. As ligações maliciosas incorporadas apontavam para um domínio que imitava a página de início de sessão de um serviço legítimo, uma tática comum para recolher credenciais de utilizadores desavisados.

Especialistas em segurança salientam que contas Microsoft 365 são alvos atrativos porque frequentemente dão acesso a uma vasta gama de recursos corporativos, incluindo SharePoint, Teams e Outlook. Uma vez que um atacante controla uma única conta, pode utilizá‑la para lançar campanhas de phishing em larga escala que parecem fidedignas para os destinatários.

Para organizações que dependem fortemente do Microsoft 365, o incidente da Nikkei sublinha a importância da autenticação multifactor (MFA), da monitorização contínua de anomalias de início de sessão e de procedimentos rápidos de resposta a incidentes. Mesmo uma única credencial comprometida pode ser transformada em uma arma para enviar milhares de mensagens maliciosas num curto espaço de tempo.

Concretamente, empresas em Portugal devem rever os seus controlos de segurança de e‑mail à luz desta violação. Isto inclui a imposição de MFA para todas as contas, a implementação de alertas automáticos para picos de envios externos e a realização regular de simulações de phishing para manter os colaboradores conscientes das táticas emergentes. Alterações rápidas de palavra‑passe, análises forenses aprofundadas e comunicação transparente com as partes afetadas continuam a ser passos essenciais para limitar os danos e restaurar a confiança após um comprometimento semelhante.