Para: qualquer pessoa que já tenha comprado na loja online da Abahouse International no Japão (inclusive ex-membros), e quem administra uma loja online. Este artigo se baseia no comunicado oficial da empresa e não aborda técnicas de ataque ou golpe.
Em andamento: este artigo será atualizado conforme a organização publicar novas informações
Até 11 de outubro de 2026Ainda não se sabe
- Número de pessoas afetadas
- Extensão dos dados obtidos
- Detalhes da causa
- Resultados da investigação externa
Na atualização de 9 de outubro, a empresa disse que a via de invasão foi bloqueada e que nenhuma nova propagação foi confirmada. Não informou nenhum número nem disse quais dados foram obtidos. Afirma que publicará na mesma página se a investigação encontrar algo novo que os clientes devam saber.
O que os clientes devem fazer hoje
Verifique se você foi afetado — ex-membros também foram contatados
A empresa diz que não consegue identificar totalmente o que foi obtido; por isso, entrou em contato com clientes que julgou possivelmente afetados, com base no histórico de compras e em outros registros. Ela exclui os dados de membros um mês após o desligamento, mas mantém registros de pedidos anteriores por um período por motivos legais e contábeis; diz não poder descartar que esses pedidos tenham sido acessados, por isso ex-membros receberam o mesmo e-mail.
Os e-mails foram enviados em 2 de outubro, com um assunto em japonês que se traduz como "Importante: possível vazamento das informações de membro devido a acesso não autorizado". Se você recebeu esse e-mail, considere que seus dados podem ter vazado e siga os passos abaixo.
Se receber um e-mail de 'reembolso' ou de 'produto esgotado', confira Minha Página em vez de clicar no link
A empresa diz que foram vistos e-mails suspeitos que se passam pela Abahouse e citam "reembolso" ou "produto esgotado". Se você receber um deles, não use os links nem os telefones que ele contém; abra o site oficial por conta própria e verifique o histórico de pedidos em Minha Página, ou entre em contato com a central de atendimento.
Se houver mesmo um reembolso ou um item esgotado, o histórico de pedidos ou a central de atendimento vai mostrar. Nunca informe senha, número de cartão ou código de segurança em uma página aberta a partir de um link de e-mail (como identificar esses casos: O que é phishing?).
Não responda a convites para o LINE nem a prazos que pressionem você
A empresa destaca três sinais de alerta:
- O e-mail vem de um endereço sem relação com a empresa, como uma conta de webmail gratuita
- Pede que você entre em contato pelo LINE (um aplicativo de mensagens muito usado no Japão), por exemplo por meio de uma conta "oficial do LINE"
- Estabelece um prazo, como "até a próxima quarta-feira", para apressar você a pedir um reembolso
Se qualquer um desses sinais estiver presente, não responda e não adicione a conta do LINE.
Troque a senha do AMC e pare de reutilizá-la
Como medida preventiva, a empresa recomenda trocar a senha de login do AMC (Abahouse Members Club).
Se você usa a mesma senha em outros serviços, troque-a também. Um gerenciador de senhas é a forma prática de manter uma senha diferente para cada serviço.
Confira os extratos do seu cartão
Números de cartão não são armazenados nos sistemas da empresa, e nenhum vazamento deles foi confirmado. Ainda assim, a empresa pede que os clientes verifiquem os extratos em busca de cobranças que não reconhecem. Isso também vale para o caso de alguém ter sido enganado por um e-mail falso e informado dados do cartão.
Se você clicou, informou dados ou enviou dinheiro, peça ajuda imediatamente
A empresa diz que, se você abriu um link de um e-mail suspeito ou sofreu prejuízo, deve entrar em contato imediatamente com a operadora do seu cartão ou com o seu banco.
No Japão, você também pode ligar para a linha de orientação da polícia (#9110) ou para a central de defesa do consumidor (188). Quanto antes você fizer a denúncia, maior a chance de interromper um pagamento.
O que aconteceu (segundo o comunicado da Abahouse International)
Em 2 de outubro de 2026, a Abahouse International Co., Ltd. publicou, em seu site corporativo e em sua loja online, um comunicado de desculpas e relato sobre um possível vazamento de dados pessoais devido a acesso não autorizado, e divulgou uma atualização em 9 de outubro. Tudo o que está abaixo consta nos comunicados da empresa.
Fim de 27 de setembro – 28 de setembro de 2026
Período em que acesso não autorizado por um terceiro no exterior é considerado como tendo ocorrido (segundo a empresa).28 de setembro
Vários clientes relataram ter recebido e-mails suspeitos de reembolso que correspondiam aos detalhes de seus pedidos. A empresa iniciou uma investigação interna.Investigação
Foram encontrados vestígios de acesso não autorizado a parte dos dados de membros e de pedidos. A empresa diz que a via identificada foi bloqueada.2 de outubro
A empresa enviou e-mails para pessoas que julgou possivelmente afetadas (inclusive ex-membros), publicou o comunicado e informou a Comissão de Proteção de Informações Pessoais.4 de outubro
A seção "quem está afetado" do primeiro comunicado foi revisada: de uma redação original, segundo a qual todos os clientes podiam ser afetados, para a informação de que a empresa entrou em contato com clientes que julgou possivelmente afetados com base no histórico de compras e em outros registros, com uma explicação adicional sobre ex-membros.9 de outubro
A empresa publicou uma atualização: a via de invasão foi bloqueada, sem nova propagação confirmada; ela registrou um boletim de ocorrência na polícia; e não recebeu relatos de prejuízo financeiro.
- Quem
- Clientes que a empresa julgou possivelmente afetados com base no histórico de compras e em outros registros (e-mail enviado em 2 de outubro). Para ex-membros, os dados de membro são excluídos um mês após o desligamento, mas a empresa diz não poder descartar que os registros de pedidos anteriores, mantidos por um período, tenham sido acessados
- Itens
- Número de identificação de membro, nome, endereço, telefone, e-mail, data de nascimento, gênero, informações de pedidos (data e hora do pedido, nomes dos produtos, valores, endereços de entrega etc.)
- Quantidade
- Não divulgada (a extensão dos dados obtidos não foi identificada)
- Cartões de crédito
- Números de cartão e códigos de segurança são gerenciados por um processador de pagamentos (empresa que processa pagamentos de cartão em nome da loja). Nenhum vazamento confirmado
- Causa
- Acredita-se que seja acesso não autorizado por um terceiro no exterior. Um login não autorizado em um sistema interno, seguido da exploração de falhas do sistema para instalar e executar um programa malicioso que acessou o banco de dados
- Dano secundário
- Foram vistos e-mails suspeitos que se passam pela empresa e citam "reembolso" ou "produto esgotado"
- Medidas
- Contas em que foi encontrado acesso não autorizado foram suspensas, senhas de sistemas relacionados foram trocadas e a via de invasão foi bloqueada; foram adotadas restrições de acesso e autenticação mais forte para os sistemas administrativos da loja online; e o registro e o monitoramento de logins foram reforçados (atualização de 9 de outubro)
- Prejuízo financeiro
- Até 9 de outubro, nenhum relato recebido
- Comunicado a
- Comissão de Proteção de Informações Pessoais (autoridade de proteção de dados do Japão); boletim de ocorrência registrado na polícia (atualização de 9 de outubro)
- Contato
- Central de atendimento ao cliente da empresa: número gratuito 0120-597-537 (dias úteis, das 10h às 17h, horário do Japão) ou o formulário em abahouse.jp/contact (indicados na atualização de 9 de outubro; use estes, não os dados de contato de um e-mail)
Banco de dados da empresa (dados de membros e pedidos da loja online)
Acesso não autorizado considerado como tendo ocorrido entre o fim de 27 de setembro e 28 de setembro. Registros de pedidos anteriores de ex-membros foram mantidos por um período
↓ Dados que podem ter vazado
Dados de membro
Número de identificação de membro, nome, endereço, telefone, e-mail, data de nascimento, gênero
Dados de pedidos
Data e hora do pedido, nomes dos produtos, valores, endereços de entrega
↓ Chegam e-mails falsos que citam pedidos reais
E-mails que citam "reembolso" ou "produto esgotado"
Enviados de um endereço sem relação, levam você a uma conta "oficial do LINE" e estabelecem um prazo para pressionar
↓ Não use os links nem os telefones
Abra o site oficial por conta própria e verifique o histórico de pedidos em Minha Página
Um reembolso ou item esgotado real aparecerá ali ou na central de atendimento
O que há de incomum aqui: os e-mails falsos chegaram antes de o incidente ser conhecido
Em muitos incidentes, as mensagens de golpe que exploram o caso aumentam depois que a empresa faz o anúncio. Aqui a ordem foi inversa: clientes que receberam e-mails falsos de reembolso foi como o incidente foi descoberto.
Em outras palavras, mensagens que usavam os dados de pedidos vazados já estavam sendo enviadas antes do anúncio de 2 de outubro. Tenha cuidado também com e-mails recebidos antes dessa data.
Por que um e-mail que corresponde ao seu pedido ainda pode ser falso
Muitas pessoas acreditavam que, se um e-mail mostrasse o nome e o valor corretos do produto, ele só poderia ter vindo da loja. O raciocínio era que só a loja sabe o que você pediu.
Esse raciocínio não se sustenta neste caso. Datas de pedidos, nomes de produtos, valores e endereços de entrega podem ter vazado, então um e-mail falso pode citar o seu pedido real. A própria empresa alerta que um e-mail pode ser falso mesmo quando contém informações que correspondem ao seu pedido real.
Não é prova de que o e-mail é verdadeiro
- A data do pedido, o nome do produto e o valor estão corretos
- Seu nome, endereço e telefone aparecem nele
- Traz o nome e o logotipo da loja
O que você pode verificar sozinho
- Se o seu histórico de pedidos em Minha Página mostra um reembolso ou item esgotado
- Se a central de atendimento, acessada pelo site oficial, confirma a mesma informação
- Se o endereço do remetente pertence de fato à empresa
Golpes que usam reembolso ou item esgotado para levar as pessoas ao LINE já eram conhecidos antes deste incidente. Em julho de 2024, o Centro Nacional de Assuntos do Consumidor do Japão alertou sobre mensagens que começam com "seu item está esgotado, então vamos reembolsar você", passam a conversa para o LINE e, sob o nome de um procedimento de reembolso, levam o cliente a enviar dinheiro de fato.
Receber um reembolso normalmente não exige que você use um aplicativo ou sua conta bancária. Se um "reembolso" levar a pedidos de dados bancários ou a instruções para usar um aplicativo de pagamento, encerre a conversa ali.
O que se sabe e o que não se sabe
Com base nos comunicados da empresa até 11 de outubro de 2026 (o primeiro comunicado, revisado em 4 de outubro, e a atualização de 9 de outubro). Atualizaremos a coluna de situação conforme novas atualizações forem publicadas.
| Item | O que a empresa diz | Situação |
|---|---|---|
| Acesso não autorizado | Foram encontrados vestígios de acesso a parte dos dados de membros e de pedidos | Confirmado |
| Quando ocorreu | Considera-se que foi entre o fim de 27 de setembro e 28 de setembro, por um terceiro no exterior | Estimado |
| Dados envolvidos | Número de identificação de membro, nome, endereço, telefone, e-mail, data de nascimento, gênero, detalhes de pedidos | Possível |
| Quem está afetado | Clientes julgados possivelmente afetados com base no histórico de compras foram contatados individualmente; para ex-membros, a empresa não pode descartar que registros de pedidos anteriores tenham sido acessados | Possível |
| Mudança no primeiro comunicado | Em 4 de outubro, a seção "quem está afetado" foi revisada (originalmente: todos os clientes podiam ser afetados). Não há motivo informado para a mudança | Não informado |
| Números de cartão e códigos de segurança | Não armazenados nos sistemas da empresa; nenhum vazamento confirmado | Não confirmado |
| Quantidade e extensão dos dados obtidos | Não informadas; em investigação com especialistas externos | Em investigação |
| Causa | Um login não autorizado levou à instalação e execução de um programa malicioso; detalhes em investigação | Parcialmente divulgada |
| Propagação adicional | Via de invasão bloqueada; nenhuma nova propagação confirmada | Confirmado |
| Prejuízo financeiro | Nenhum relato recebido (até 9 de outubro) | Não confirmado |
| Polícia e órgão regulador | Comissão notificada; boletim de ocorrência registrado na polícia | Confirmado |
Para quem administra lojas online
A causa informada pela empresa foi um login não autorizado em um sistema interno e a exploração de falhas desse sistema. Na atualização de 9 de outubro, a empresa diz que restringiu o acesso e reforçou a autenticação dos sistemas administrativos da loja online, além de redefinir as senhas dos usuários administradores. Os detalhes da causa não foram publicados, então esta seção se limita a pontos que valem a pena verificar em qualquer loja que guarde o mesmo tipo de dado.
Defina por quanto tempo manter os dados de pedidos de ex-membros
Neste incidente, a empresa excluiu os dados de membros um mês após o desligamento, mas manteve registros de pedidos anteriores por um período, por motivos legais e contábeis, e diz não poder descartar que esses pedidos tenham sido acessados. Alguns registros precisam, de fato, ser mantidos por obrigações legais ou contábeis.
Mesmo assim, defina um prazo de retenção para cada tipo de dado e, quando ele vencer, exclua os dados automaticamente ou remova nomes e dados de contato, de modo que apenas os números para relatórios permaneçam. A exclusão manual não se sustenta a longo prazo.
Exija autenticação multifator para logins administrativos
Segundo o comunicado, a invasão começou com um login não autorizado em um sistema interno. Painéis administrativos, acesso remoto e contas administrativas na nuvem que possam alcançar o banco de dados de clientes devem exigir uma verificação além da senha (autenticação multifator). Veja Como escolher a autenticação multifator.
Trate relatos de 'recebi um e-mail suspeito' como um sinal para investigar
Este vazamento foi descoberto por meio de contatos de clientes. Se a sua equipe de atendimento receber vários relatos de e-mails suspeitos que citam detalhes reais de pedidos, não se limite a responder com um aviso de golpe; tenha um caminho definido para encaminhar esses casos a quem administra os sistemas.
Para reduzir e-mails falsos que usam o seu próprio domínio, veja Falsificação de e-mail e SPF, DKIM, DMARC.
Para outro caso de loja online, veja o incidente de dados de cartão na loja online APORITO (RIZAP); para um caso em que mensagens falsas de reembolso foram o principal risco, veja o vazamento da Trenitalia.
Fontes (registro público)
Os fatos deste artigo vêm das fontes públicas abaixo. Detalhes não divulgados sobre a invasão e o número de afetados não são especulados.
- Abahouse International Co., Ltd., comunicado de desculpas e relato sobre um possível vazamento de dados pessoais devido a acesso não autorizado (publicado em 2 de outubro de 2026, revisado em 4 de outubro; em japonês) — abahouse.co.jp (versão da loja online: abahouse.jp)
- Abahouse International Co., Ltd., relatório de acompanhamento sobre o vazamento de dados pessoais devido a acesso não autorizado (9 de outubro de 2026, em japonês) — abahouse.co.jp
- Centro Nacional de Assuntos do Consumidor do Japão, alerta sobre golpes de "reembolso via aplicativo de pagamento" (31 de julho de 2024, em japonês) — kokusen.go.jp
Histórico de atualizações
2026-10-11: Atualizada a informação sobre quem está afetado, para refletir o primeiro comunicado conforme a empresa o revisou em 4 de outubro. A redação original dizia que todos os clientes podiam ser afetados; o comunicado revisado diz que a empresa entrou em contato com clientes que julgou possivelmente afetados com base no histórico de compras e em outros registros. Para ex-membros, passamos a seguir a explicação da empresa de que não pode descartar que registros de pedidos anteriores tenham sido acessados (dados de membros são excluídos um mês após o desligamento). Incluído que o acesso é considerado feito por um terceiro no exterior, o telefone e o formulário da central de atendimento, e removido um link de fonte que não funciona mais.
2026-10-10: Incluída a atualização da empresa de 9 de outubro: via de invasão bloqueada, sem nova propagação, medidas adicionais, boletim de ocorrência registrado na polícia e nenhum relato de prejuízo financeiro. Adicionados o quadro de situação e a tabela "o que se sabe e o que não se sabe". O número de afetados e a extensão dos dados obtidos continuam não divulgados.
2026-10-03: Primeira versão, com base no comunicado da Abahouse International de 2 de outubro. Será atualizada quando o número de afetados ou os resultados da investigação forem publicados.
Leia a seguir
- Relacionado: Invasão da and ST HD (cerca de 2,5 milhões de registros de clientes)
- Caso semelhante: Invasão do aplicativo Yakiniku King (cerca de 10,79 milhões de registros) / Invasão das lojas online FANCL e Attenir
- Golpes derivados: O que é phishing? / Falsos alertas de vírus (golpes de suporte técnico)
- Mensagens falsas de reembolso e compensação: Trenitalia (Itália, reembolsos por atraso) / TVING (Coreia do Sul, compensação) / Booking.com (dados de reserva)
- Senhas: Como escolher um gerenciador de senhas / Como escolher a autenticação multifator
- Outros casos japoneses do mesmo período: Invasão da Times Car / APORITO, loja online (RIZAP)
- Outros incidentes de 2026: lista de vazamentos e ciberataques (Japão e mundo)