A Advantest, um dos maiores fabricantes mundiais de equipamentos de teste de semicondutores, confirmou a pessoas afetadas que invasores levaram dados pessoais de seus servidores no incidente de ransomware detectado em fevereiro. Empresas que compartilham dados com a fornecedora e equipes de resposta a incidentes devem tratar o caso como exfiltração confirmada, não como simples criptografia de arquivos. A ação prioritária é mapear quais dados pessoais e contratuais passavam pelos sistemas comprometidos e preparar comunicação e mitigação antes de o prazo regulatório apertar.
O que a empresa confirmou
No comunicado oficial publicado em Tóquio, a Advantest anunciou em 19 de fevereiro de 2026 um incidente de ransomware que poderia ter afetado sistemas internos. A empresa relatou ter detectado atividade incomum no ambiente de TI em 15 de fevereiro, horário do Japão, e reagido com ativação dos protocolos de resposta, isolamento dos sistemas afetados e contratação de especialistas externos. Naquela altura, a avaliação preliminar apenas levantava a hipótese de acesso não autorizado a porções da rede com implantação de ransomware; nada estava confirmado sobre cópia de dados.
Em carta individual datada de 6 de outubro de 2026 e registrada no portal do procurador-geral da Califórnia, o quadro mudou de patamar. O documento reconhece que um terceiro não autorizado acessou sistemas corporativos e extraiu dados de servidores da empresa, incluindo dados pessoais identificáveis dos destinatários. A carta lista, de forma personalizada por pessoa, categorias como informações de contato, data de nascimento, número de Seguro Social, número de identificação nacional, carteira de motorista, número de passaporte e informações médicas e financeiras — o conjunto mais sensível que uma organização pode perder de uma vez só.
A mesma carta traz uma ressalva: a empresa afirma não ter informação de que os dados tenham sido divulgados publicamente ou usados de forma indevida. Ausência de evidência de abuso não é garantia, e o risco de furto de identidade permanece. Como mitigação, a Advantest oferece dezoito meses de monitoramento de crédito e web pela Kroll, com ativação possível até 4 de janeiro de 2027.
Linha do tempo do incidente
O registro público da notificação no procurador-geral da Califórnia lista 23 de janeiro de 2026 como data conhecida do incidente. Se essa data marcar o início do acesso não autorizado, houve cerca de três semanas entre a intrusão registrada e a detecção divulgada — leitura própria a partir das duas fontes oficiais, não uma declaração da empresa.
| Data | Evento documentado |
|---|---|
| 23 de janeiro de 2026 | Data do incidente listada no registro público da Califórnia |
| 15 de fevereiro de 2026 | Detecção de atividade incomum no ambiente de TI, em horário do Japão |
| 19 de fevereiro de 2026 | Divulgação pública do incidente de ransomware |
| 6 de outubro de 2026 | Cartas individuais confirmam a extração de dados pessoais |
| 4 de janeiro de 2027 | Prazo final para ativar o monitoramento oferecido pela Kroll |
Entre a detecção e a notificação individual passaram quase oito meses, segundo conta própria sobre as datas oficiais. O intervalo separa dois eventos de natureza distinta: a contenção técnica, relatada como rápida, e a delimitação de quais dados pessoais saíram da rede, que consumiu a maior parte do período e só se tornou pública com as cartas.
Por que o atraso importa
A demora tem explicação operacional. Identificar, entre volumes corporativos, quais registros pessoais estavam nos servidores afetados, reconstituir a composição arquivo por arquivo e validar a lista por destinatário é trabalho forense moroso, ainda mais com dados de várias nacionalidades e reguladores diferentes. O caso, porém, expõe o custo dessa lentidão para quem está do lado de fora: fornecedores, clientes e empregados passam meses sem saber que dados próprios circulam em posse de criminosos, enquanto o relógio de risco de fraude corre desde a exfiltração, não desde a carta.
Para a cadeia de semicondutores, o episódio é um lembrete de due diligence: a Advantest fornece equipamentos de teste usados nas linhas de produção mais avançadas do setor, e o relacionamento técnico com esse tipo de fornecedor envolve troca de cadastros, contatos, dados de engenharia e informação de funcionários. O vazamento na ASOS seguiu padrão semelhante: confirmação tardia de exposição de dados de clientes depois de um incidente inicialmente comunicado em termos genéricos.
Para as equipes de segurança, a lição é dupla. Primeiro, ransomware sem confirmação de exfiltração não significa exfiltração inexistente; significa investigação incompleta. Segundo, o plano de comunicação precisa estar pronto para operar em dois estágios — comunicado operacional na contenção e notificação de dados quando o escopo pessoal fechar — sem que a diferença de ritmo vire opacidade para os afetados. No Brasil, incidentes com dados pessoais relevantes exigem comunicação à autoridade de proteção de dados em prazo curto, o que torna esse desenho de duas fases ainda mais delicado.
Sinais de comprometimento a verificar
Quem responde a um caso parecido deve procurar evidência de movimentação de dados antes da criptografia, porque a cópia antecede a extorsão. Uma sequência mínima de verificação:
- Transferências de saída anômalas: volume elevado para destinos raros, uploads longos fora do horário comercial e uso incomum de serviços de nuvem legítimos.
- Preparação de dados: processos de compactação e arquivamento em estações de trabalho, servidores de arquivos acessados por contas de serviço fora do padrão e crescimento súbito de espaço em pastas temporárias.
- Abaixamento de defesas: tentativas de desinstalar ou parar agentes de segurança, uso indevido de drivers assinados e alteração de políticas de log.
- Identidade: autenticações de contas privilegiadas de origens incomuns, criação de contas novas e tokens de acesso reutilizados depois da contenção.
- Backups: integridade e isolamento das cópias, incluindo teste de restauração — a decisão entre pagar e recuperar muda quando existe exfiltração no ransomware.
Ações prioritárias para a defesa
O caso sugere uma ordem de trabalho para quem tem fornecedores críticos ou responde a incidentes semelhantes:
| Prioridade | Ação |
|---|---|
| P1 | Tratar todo ransomware como exfiltração provável: preservar logs de rede e proxy desde a primeira suspeita e investigar o tráfego de saída antes de restaurar |
| P1 | Inventariar dados pessoais e contratuais nos sistemas afetados, com localização por servidor, para encurtar a fase de delimitação que atrasou a notificação |
| P1 | Verificar com fornecedores afetados se dados próprios estavam no perímetro do incidente e exigir escopo formal por categoria de dado |
| P2 | Preparar notificação em dois estágios, com texto jurídico aprovado e canal de atendimento prontos antes de o escopo fechar |
| P2 | Medir o próprio tempo médio de detecção contra o intervalo observado aqui e priorizar monitoramento de tráfego de saída e de contas de serviço |
Nenhuma dessas medidas depende de pagar resgate ou esperar confirmação de abuso. O custo de presumir exfiltração é horas de investigação; o custo de presumir ausência de cópia é descobrir meses depois, em carta, que dados sensíveis saíram da rede.