Para: clientes das lojas and ST ou da loja virtual and ST no Japão, funcionários de empresas que fazem negócios com o grupo e quem lida com dados de clientes. Este artigo se baseia no comunicado oficial da empresa e não trata de técnicas de ataque ou de golpe.
Caso em andamento: este artigo será atualizado conforme a organização publicar mais informações
Em 24 de outubro de 2026Ainda não se sabe
- Alcance dos dados de funcionários
- Método de acesso
- Como e quando as pessoas serão contatadas
- Canal de atendimento dedicado
- Quando os pontos de membro voltarão a poder ser usados
No comunicado de 23 de outubro, a empresa diz que começará a avisar em sequência os clientes e parceiros afetados e que criará um canal de atendimento. Diz também que informará prontamente se a investigação encontrar algo novo que deva ser comunicado. Quando consultamos a lista de comunicados da empresa em 24 de outubro, nenhuma atualização havia sido publicada.
O que os membros devem fazer hoje
Confira qualquer aviso da empresa no aplicativo oficial, e não pelos links dele
A empresa diz que começará a avisar em sequência os clientes afetados. Em 24 de outubro, o comunicado não informa se isso será por e-mail, aplicativo ou correio.
Se você receber algo que pareça vir da empresa, não abra os links. Veja se a mesma informação aparece no aplicativo oficial ou no site oficial, aberto a partir de um favorito ou de uma busca.
Não confie em uma mensagem só porque a marca, o endereço ou a data de nascimento estão corretos
Os dados que podem ter vazado incluem nome, endereço, número de telefone e endereço de e-mail, além de data de nascimento e ID de membro. Uma mensagem falsa pode mostrar seu endereço e sua data de nascimento reais.
Se uma mensagem sobre um "pedido de desculpas", um "reembolso" ou a "confirmação dos dados de membro" pedir números de cartão, dados bancários ou informações de login, pare por aí (como reconhecer esses casos: O que é phishing?).
Cuidado com mensagens sobre 'compensação' ou 'vencimento' de pontos
Segundo a empresa, os pontos de membro atualmente não podem ser usados nas lojas nem na loja virtual. Situações assim costumam servir de pretexto para mensagens falsas, como "vamos compensar seus pontos" ou "seus pontos vão vencer".
Confira seus pontos no aplicativo oficial ou na Minha Página do site oficial. A página de suporte da empresa diz que, durante a manutenção, a Minha Página pode não abrir e o saldo de pontos pode aparecer incorreto; mesmo que algo pareça errado, não tente conferir por um link de e-mail ou mensagem de texto.
Diz-se que as senhas não estão incluídas; apenas pare de reutilizá-las
A empresa diz que as senhas definidas pelos clientes não estão entre os dados que podem ter vazado e não pede que os clientes as troquem.
No entanto, IDs de membro e endereços de e-mail estão incluídos. Se você usa a mesma senha em outros lugares, dê agora a cada serviço uma senha própria, para que um vazamento em outro lugar não possa ser reaproveitado aqui. Um gerenciador de senhas é a forma prática de fazer isso.
Não responda a 'verificações de identidade' por telefone
Com data de nascimento, endereço e número de telefone, quem liga pode se passar pela empresa "confirmando sua identidade" e tentar obter o resto, como números de cartão ou PINs.
Mesmo que a pessoa diga ser da empresa, não responda na hora. Desligue e entre em contato por conta própria com o canal indicado no site oficial.
Se você informou dados ou pagou, busque ajuda imediatamente
Se uma mensagem falsa levou você a informar dados de cartão ou bancários, entre em contato imediatamente com a operadora do cartão ou o banco.
No Japão, você também pode ligar para a linha de consultas da polícia (#9110) ou para a linha de atendimento ao consumidor (188). Quanto mais cedo você avisar, maior a chance de interromper um pagamento.
O que os parceiros comerciais devem fazer
Cerca de 10.000 registros de parceiros comerciais podem ter vazado, com nome da empresa, endereços de pedidos e de devoluções, nome do contato, número de telefone e endereço de e-mail. Juntos, esses dados facilitam a redação de um e-mail que finge vir de um parceiro de negócios.
- Se um e-mail em nome da empresa ou do grupo pedir que você altere dados bancários ou pague com urgência, confirme com a pessoa por um número de telefone que você já conhece
- Não use o número de telefone nem o endereço de resposta do e-mail para conferir
- Antes de abrir anexos ou links desconhecidos sobre pedidos ou devoluções, consulte o seu próprio contato de TI
O que aconteceu (segundo o comunicado da and ST HD)
Em 23 de outubro de 2026, a and ST HD Co., Ltd. (uma holding cujo grupo inclui a Adastria) publicou em seu site corporativo um comunicado de desculpas sobre o acesso não autorizado a seus servidores de negócios e o possível vazamento de dados pessoais e outros. Tudo o que segue é conforme o comunicado da empresa. Os horários são do Japão.
22 de out. de 2026, por volta das 7h30
Acesso não autorizado vindo de fora: tentativas de login, invasão e extração de dados foram realizadas em sequência contra vários servidores da empresa.Por volta das 10h
A empresa detectou a atividade não autorizada e isolou os servidores envolvidos.Até as 17h
A rota de acesso foi cortada e os sistemas internos de negócios foram interrompidos, entre outras medidas. A empresa confirmou que a rota não podia mais ser usada depois de cortada.23 de out.
A empresa consultou a polícia, comunicou a Comissão de Proteção de Informações Pessoais, publicou o comunicado e disse que começaria a contatar em sequência as pessoas afetadas.
- Clientes
- Cerca de 2,5 milhões de registros. Nome, data de nascimento, gênero, endereço, número de telefone, endereço de e-mail, ID de membro
- Parceiros comerciais
- Cerca de 10.000 registros. Nome da empresa, endereços de pedidos e de devoluções, nome do contato, número de telefone, endereço de e-mail
- Funcionários
- Alcance ainda em confirmação
- Não incluídos
- Dados de pagamento, como os do cartão de crédito, e senhas definidas pelos próprios clientes
- Sequência
- A partir de cerca das 7h30 de 22 de outubro, tentativas de login, invasão e extração de dados contra vários servidores em sequência. Detectado e isolado por volta das 10h; rota cortada até as 17h
- Loja virtual
- A loja virtual and ST não foi afetada pelo acesso não autorizado. Os pontos de membro, porém, atualmente não podem ser usados nas lojas nem na loja virtual
- Resposta
- Medidas de emergência adotadas; método de acesso identificado e tratado. Os clientes e parceiros afetados serão contatados em sequência; um canal de atendimento será criado
- Comunicado a
- Polícia consultada; Comissão de Proteção de Informações Pessoais (autoridade de proteção de dados do Japão) notificada (23 de outubro)
- Contato
- O formulário de atendimento ao cliente indicado no comunicado: support.dot-st.com (use este ou o site oficial, e não contatos de um e-mail ou mensagem de texto)
O site de suporte da and ST diz que a "manutenção do sistema" está em andamento desde cerca das 17h de 22 de outubro e lista efeitos como: pedidos com uso de pontos não podem ser feitos, o saldo de pontos pode não aparecer corretamente, a Minha Página pode não abrir, os serviços de retirada na loja e de experimentação estão suspensos, e a vinculação com d Account ou Rakuten ID pode não funcionar (conferido em 24 de outubro). A própria página não menciona o acesso não autorizado.
Servidores de negócios da empresa
Acesso não autorizado a partir de cerca das 7h30 de 22 de out.; detectado e isolado por volta das 10h
↓ Dados que podem ter vazado
Clientes: ~2,5 milhões de registros
Nome, data de nascimento, gênero, endereço, telefone, e-mail, ID de membro
Parceiros comerciais: ~10.000 registros
Nome da empresa, endereços de pedidos/devoluções, nome do contato, telefone, e-mail
↓ O que costuma vir depois
E-mails, mensagens de texto, ligações ou cartas em nome da empresa ou de uma marca
Usam um pedido de desculpas, compensação de pontos ou uma verificação de identidade para pedir dados de cartão ou de login
↓ Não use os links nem os números
Confira no aplicativo oficial ou em um site que você mesmo abrir
Um aviso legítimo também aparecerá lá
O que se sabe e o que não se sabe
Com base no comunicado da empresa de 23 de outubro, em 24 de outubro de 2026. Atualizaremos a coluna de situação conforme surgirem novas informações.
| Item | O que a empresa diz | Situação |
|---|---|---|
| Acesso não autorizado | Um terceiro acessou os servidores de negócios da empresa sem autorização | Confirmado (empresa) |
| Horário e resposta | A partir de cerca das 7h30 de 22 de out.; detectado e isolado por volta das 10h; rota cortada até as 17h | Confirmado (empresa) |
| Dados de clientes | ~2,5 milhões de registros: nome, data de nascimento, gênero, endereço, telefone, e-mail, ID de membro | Possível (empresa) |
| Dados de parceiros comerciais | ~10.000 registros: nome da empresa, endereços de pedidos/devoluções, nome do contato, telefone, e-mail | Possível (empresa) |
| Dados de funcionários | Alcance ainda em confirmação | Em investigação |
| Dados de pagamento e senhas definidas pelos clientes | Não estão entre os dados que podem ter vazado | Não incluídos (empresa) |
| Qual serviço de membros | Não informado | Não informado |
| Método de acesso (causa) | Diz-se identificado e tratado; não divulgado | Não informado |
| Loja virtual and ST | Não afetada pelo acesso não autorizado | Confirmado (empresa) |
| Pontos de membro | Atualmente sem uso nas lojas e na loja virtual; sem data de restabelecimento | Não informado |
| Contato com as pessoas | Começará em sequência; método e prazo não informados | Não informado |
| Uso indevido | Não há anúncio de que mensagens com os dados vazados tenham sido recebidas | Não informado |
| Polícia e órgão regulador | Polícia consultada; Comissão notificada | Confirmado (empresa) |
Para que essa combinação de dados pode ser usada
O que segue é o que costuma acontecer quando essa combinação de dados vaza. Não é uma afirmação de que isso tenha acontecido neste incidente.
O que uma mensagem falsa pode incluir
- Nome, endereço e número de telefone: cartas ou mensagens de texto com o nome de uma marca
- Data de nascimento: uma "verificação de identidade" por telefone
- ID de membro: um link de "confirmar seu cadastro de membro" para uma página de login falsa
O que uma mensagem falsa não consegue fazer
- Alterar os avisos dentro do aplicativo oficial
- Alterar o que a Minha Página mostra em um site oficial que você mesmo abriu
- Fazer o canal indicado no site oficial contar a você a mesma história
Para um caso anterior em que dados de membros vazaram sem senhas, veja o vazamento do aplicativo e da loja virtual da MrMax. Para ver como a orientação muda quando há dados de senha envolvidos, compare com o vazamento de dados de membros da Bookoff.
O que é diferente aqui: os contatos de parceiros comerciais estão incluídos
Enquanto muitos vazamentos no varejo afetam apenas os membros, aqui nome da empresa, endereços de pedidos e de devoluções, nomes de contatos e dados de contato de cerca de 10.000 registros de parceiros comerciais também podem ter vazado.
Isso significa que é preciso se preparar não só para mensagens falsas dirigidas aos membros, mas também para e-mails que se passam por um parceiro comercial e pedem pagamento ou mudança de dados bancários.
Para quem lida com dados de clientes
O método de acesso não foi divulgado. Esta seção se limita ao que se pode tirar da sequência descrita pela empresa.
Crie alertas para tentativas de login repetidas em vários servidores
Segundo o comunicado, foram feitas tentativas de login contra vários servidores em sequência. Em vez de apenas contar falhas por servidor, inclua nas condições de alerta uma única origem tentando fazer login em vários servidores seguidos.
Os logins de administrador devem sempre exigir uma verificação além da senha (autenticação multifator).
Fontes (registro público)
Os fatos deste artigo vêm das fontes públicas abaixo. Não se especula sobre o método de acesso não divulgado nem sobre o serviço de membros envolvido.
- and ST HD Co., Ltd., comunicado de desculpas sobre o acesso não autorizado a seus servidores de negócios e o possível vazamento de dados pessoais e outros (23 de outubro de 2026, em japonês) — andst-hd.co.jp
- and ST support, aviso sobre os efeitos da manutenção do site (conferido em 24 de outubro de 2026, em japonês) — support.dot-st.com
Histórico de atualizações
2026-10-24: Primeira versão, com base no comunicado da and ST HD de 23 de outubro. Será atualizada quando forem anunciados o alcance dos dados de funcionários, a forma de contato com as pessoas ou a volta do uso dos pontos de membro.
Leia a seguir
- Casos semelhantes: Vazamento de dados da Abahouse (e-mails falsos de reembolso) / O vazamento da MrMax
- Golpes que se seguem: O que é phishing? / Falsificação de e-mail e SPF, DKIM, DMARC
- Senhas: Como verificar se sua senha vazou / Como escolher um gerenciador de senhas
- Outros incidentes de 2026: lista de vazamentos e ciberataques (Japão e mundo)