Para: membros (membros completos) do app de e-commerce da Aena Co., Ltd. Este artigo se baseia nos comunicados oficiais da Aena e não trata de técnicas de ataque. A Aena se descreve em seu site como uma das maiores redes de lojas de descontos do Japão.
Em andamento: este artigo será atualizado conforme a organização publicar mais informações
Em 30 de outubro de 2026Ainda não se sabe
- Detalhes da causa e da rota
- Se os dados foram de fato levados
- Lista final de pessoas afetadas
- Se ocorrerá algum dano secundário
- Se haverá compensação
No comunicado de 20 de outubro a empresa diz que está reforçando sua segurança da informação e revisando seus sistemas de monitoramento. Não dá cronograma para novos anúncios. Verificamos a lista de notícias em 30 de outubro e não encontramos nenhum anúncio sobre este incidente mais recente que o comunicado de "retomada do serviço" de 20 de outubro.
O que os membros devem fazer hoje
Descubra se você pode estar incluído
As pessoas cujos dados podem ter sido visualizados são membros completos do app de e-commerce, até 817.215. Membros do LINE e clientes que usaram a Amazon, Rakuten e sites semelhantes não são afetados. A empresa diz que avisa os membros que podem ter sido afetados por e-mail individual, em etapas.
Se você tinha uma associação no app de e-commerce, presuma que pode estar incluído, tenha ou não recebido um e-mail, e siga para as próximas etapas.
Redefina a senha do app
Segundo o comunicado da empresa de 20 de outubro, uma tela de redefinição de senha aparece na primeira abertura após a retomada do serviço; siga-a e defina uma nova senha. Você também pode alterá-la a qualquer momento: "Cartão de membro", depois "Verificar/alterar dados do membro", depois "Alterar dados do membro".
A empresa diz que nenhuma senha foi visualizada nem vazou. Mesmo assim, se você usou a mesma senha em outro serviço, troque-a lá também (como verificar se sua senha vazou / como escolher um gerenciador de senhas). Ative a verificação em duas etapas onde estiver disponível (recomendação deste site).
Não use links nem números de mensagens de entrega ou de pedido
A empresa diz que nunca pede senhas nem dados de cartão por e-mail, mensagem de texto ou telefone.
Desta vez, nome, endereço, telefone e e-mail podem estar combinados com dados de entrega e os últimos 4 dígitos de um cartão. Isso basta para montar uma mensagem convincente como "não conseguimos entregar sua encomenda", "confirme seu pedido" ou "recadastre seu cartão". Se você receber uma, não use os links nem os telefones dela; verifique no site oficial que você mesmo abrir ou no app (o que é phishing?).
Confira as faturas dos seus cartões
Quanto aos cartões, os últimos 4 dígitos, a data de validade e o nome do titular podem ter sido visualizados. A empresa diz que não guarda números completos nem códigos de segurança e que confirmou que nenhuma compra foi concluída. Como precaução geral, confira as faturas dos seus cartões em busca de cobranças que você não reconheça e contate a emissora se algo parecer errado. Pergunte à emissora se é necessário um cartão substituto.
Saiba que terceiros que você cadastrou podem estar incluídos
As informações que podem ter sido visualizadas incluem endereços de entrega, nomes e telefones, e o comunicado diz que isso inclui destinatários terceiros. Se você cadastrou um parente ou amigo, por exemplo para um presente, os dados dessa pessoa podem estar incluídos. Se necessário, avise-a para ter cuidado com mensagens inesperadas.
Linha de contato e cancelamento da associação
A empresa indica uma central de atendimento ao cliente (gratuita 0120-532-565, das 10h às 17h, horário do Japão, exceto fins de semana e feriados; comunicado de 14 de outubro). Em 16 de outubro a lista de notícias mostra também uma página exclusiva para cancelar a associação ao app de e-commerce. Siga o site oficial da empresa se quiser cancelar.
1. Mensagem de entrega, pedido ou cartão que diz ser da Aena
Nome, endereço e dados de entrega estão corretos → não decida aqui
↓
2. Não use os links nem os números dela: abra você mesmo o site oficial ou o app
Central de atendimento 0120-532-565 (dias úteis, das 10h às 17h)
↓
3a. Um pedido que você não consegue confirmar
Informar uma senha ou número de cartão, ou abrir um anexo → não responda
3b. O site oficial ou o app dão a mesma orientação
Siga a orientação oficial
O que aconteceu (segundo a Aena)
O texto a seguir se baseia em três comunicados da empresa: o de 14 de outubro ("Possible leak of customer information due to unauthorized external access"), o de 16 de outubro ("Notice about the planned resumption of the EC app service") e o de 20 de outubro ("Notice of EC app service resumption").
13 de outubro de 2026 (terça-feira), 5h58
A análise de registros detectou que a Minha Página dos membros havia sido visualizada sem autorização14 de outubro (quarta-feira)
Anúncio. Até 817.215 membros podem ter tido dados visualizados. No momento do comunicado, o acesso ao site de e-commerce estava bloqueado e medidas para evitar recorrência estavam sendo montadas. Os membros que podem ter sido afetados eram avisados, em etapas, por e-mail individual16 de outubro (sexta-feira)
Anunciou uma retomada prevista para "segunda-feira, 19 de outubro de 2026, à tarde", com horário que poderia mudar conforme o andamento dos trabalhos19 de outubro (segunda-feira), meio-dia
O serviço do app de e-commerce foi retomado (segundo o comunicado de 20 de outubro). Uma tela de redefinição de senha aparece na primeira abertura após a retomada
- Dados do membro
- Nome, endereço, telefone, e-mail, data de nascimento, gênero, ocupação
- Dados de entrega
- Endereço de entrega cadastrado, nome e telefone (incluindo destinatários terceiros)
- Configurações
- Loja favorita, configurações de envio de e-mail
- Cartão de crédito (parcial)
- Últimos 4 dígitos, data de validade e nome do titular dos cartões de crédito cadastrados
- Não incluídos (empresa)
- Números completos de cartão e códigos de segurança (não os guarda); senhas não foram visualizadas nem vazaram. Confirmou que não houve alteração nos dados dos membros, desligamento nem compra concluída
- Não afetados (empresa)
- Membros do LINE; clientes que usaram a Amazon, Rakuten e sites semelhantes
- Contato
- Central de atendimento 0120-532-565 (das 10h às 17h, horário do Japão, exceto fins de semana e feriados)
O que se sabe e o que não se sabe
Situação em 30 de outubro de 2026. Atualizaremos esta tabela conforme a empresa publicar mais informações.
| Item | O que o comunicado diz | Situação |
|---|---|---|
| Ocorreu acesso não autorizado | Detectado por análise de registros às 5h58 de 13 de out. | Confirmado (empresa) |
| Membros cujos dados podem ter sido visualizados | Até 817.215 (membros completos) | Possível (empresa) |
| Nome, endereço, telefone, e-mail, data de nascimento, gênero, ocupação | Podem ter sido visualizados | Possível (empresa) |
| Endereço de entrega, nome e telefone | Incluindo destinatários terceiros; podem ter sido visualizados | Possível (empresa) |
| Loja favorita e configurações de e-mail | Podem ter sido visualizadas | Possível (empresa) |
| Últimos 4 dígitos do cartão, data de validade, nome do titular | Podem ter sido visualizados | Possível (empresa) |
| Número completo do cartão e código de segurança | Não os guarda; não foram visualizados nem vazaram | Não incluídos (empresa) |
| Senhas | Não foram visualizadas nem vazaram | Não incluídas (empresa) |
| Alterações nos dados dos membros, desligamento, compra concluída | Confirmado que não ocorreram | Não confirmados (empresa) |
| Membros do LINE; compradores da Amazon e Rakuten | Não afetados | Não incluídos (empresa) |
| Se os dados foram de fato levados | Apenas "podem ter sido visualizados" | Não informado |
| Uso indevido | A empresa diz que nenhum uso indevido de informações de membros nem dano secundário decorrente deste incidente havia sido confirmado (até 14 de outubro); alerta para phishing e falsidade ideológica | Não confirmado (empresa) |
| Causa | "Acesso contínuo de tipo mecânico feito por meio de acesso não autorizado"; detalhes em investigação | Em investigação |
| Compensação | Não informada | Não informado |
Nota: o número é um máximo de pessoas e é uma possibilidade de visualização, não um roubo confirmado
817.215 é o número máximo de membros cujos dados podem ter sido visualizados. O comunicado não diz quantos foram de fato visualizados nem se algum dado foi levado. O comunicado de 16 de outubro previa a retomada para "segunda-feira, 19 de outubro, à tarde", enquanto o de 20 de outubro a indica como "segunda-feira, 19 de outubro, ao meio-dia". (O comunicado diz também que o serviço foi retomado "hoje", então a redação da data e da hora não é totalmente coerente.) Este site segue o comunicado de 20 de outubro para o horário da retomada.
Para que a combinação de itens poderia ser usada
O texto a seguir descreve o que pode acontecer em geral com esta combinação de itens. A empresa não anunciou que nada disso tenha acontecido neste incidente.
- Nome + endereço + telefone + e-mail: e-mails e mensagens de texto falsos com nome e dados de contato de aparência real. Um aviso de falha na entrega de encomenda ou uma confirmação de pedido é uma forma típica
- Dados de entrega (incluindo terceiros): as mensagens podem chegar não só ao membro, mas também às pessoas para quem ele enviou presentes. Essas pessoas não têm relação com a Aena, então têm menos motivo para desconfiar de uma mensagem, e um tom urgente pode pegá-las desprevenidas
- Últimos 4 dígitos do cartão, data de validade, nome do titular: material que faz uma mensagem de "confirme o número do seu cartão" parecer real. Só com isso não é possível fazer um pagamento, mas uma mensagem pode tentar obter o restante de você
- Data de nascimento: útil para uma mensagem de verificação de identidade que pareça que só você saberia a resposta
Boa parte disso pode ser evitada não usando os links nem os números de uma mensagem e verificando em um site oficial ou no app que você mesmo abrir. Acompanhe as notícias da empresa para atualizações.
O que os operadores devem revisar
Os detalhes da causa não foram divulgados, então esta seção trata apenas do que pode ser dito a partir do curso dos fatos publicado.
- Como foi detectado: a empresa diz que a análise de registros revelou a visualização. Funcionou porque os registros eram mantidos. Verifique por quanto tempo os registros são guardados e o que existe para revisá-los.
- Margem para o "acesso contínuo de tipo mecânico": a causa indicada é acesso contínuo de tipo mecânico. Em geral, um padrão que visualiza as telas de muitos membros em sucessão rápida às vezes pode ser contido com limites de frequência ou com a detecção de acessos incomuns. A rota aqui não foi divulgada, então isso não é afirmado como causa deste incidente.
- Guardar dados de terceiros: um desenho que mantém nomes, endereços e telefones de terceiros na Minha Página espalha o impacto de uma visualização para além dos membros. É possível considerar mostrar menos campos ou mascarar parte deles.
- Rapidez da resposta: a empresa anunciou no dia seguinte à detecção, e o acesso ao site de e-commerce estava bloqueado no momento do anúncio. Também convida os membros a definir uma nova senha na primeira abertura após a retomada. É o que o curso dos fatos publicado mostra.
Fontes (registros públicos)
Os fatos deste artigo se baseiam nas informações públicas abaixo. Não especulamos sobre os detalhes da causa, se dados foram levados nem sobre a compensação, que não foram anunciados.
- Aena Co., Ltd., "Possible leak of customer information due to unauthorized external access" (em japonês, 14 de outubro de 2026) — aena.co.jp
- Aena Co., Ltd., "Notice about the planned resumption of the EC app service" (em japonês, 16 de outubro) — aena.co.jp
- Aena Co., Ltd., "Notice of EC app service resumption" (em japonês, 20 de outubro) — aena.co.jp
- Aena Co., Ltd., lista de notícias (em japonês, consultada em 30 de outubro) — aena.co.jp/news
Histórico de atualizações
2026-10-30: Primeira versão, com base nos comunicados da Aena de 14, 16 e 20 de outubro e na sua lista de notícias (consultada em 30 de outubro; nada mais recente sobre este incidente que 20 de outubro foi encontrado). Atualizaremos quando os detalhes da causa, se dados foram levados ou a compensação forem anunciados.
Leia em seguida
- Um caso do varejo japonês do mesmo período: MrMax (nomes, e-mails e telefones de membros) / o vazamento do app Toypo
- Um caso semelhante (dados de membros de um provedor de internet): acesso não autorizado ao banco de dados de membros da So-net
- Golpes decorrentes: O que é phishing? / Noções básicas de segurança para smartphones
- Proteja suas contas: Como verificar se sua senha vazou / Como escolher um gerenciador de senhas / Como escolher a autenticação multifator
- Outros incidentes de 2026: Vazamentos de dados e ataques cibernéticos em 2026 (Japão e no mundo)