Para: quem se cadastrou como membro da Bookoff no Japão pelo app oficial, pela loja online oficial ou pela web (inclusive ex-membros) e quem opera um serviço que guarda dados de membros. Este artigo se baseia nos comunicados oficiais da BOOKOFF GROUP HOLDINGS LIMITED e não aborda técnicas de ataque.
Em andamento: este artigo será atualizado conforme a organização publicar mais informações
Em 24 de outubro de 2026Ainda não se sabe
- Como o atacante entrou (a empresa diz que não divulga detalhes)
O segundo relatório de 13 de outubro informou o número de pessoas, os serviços envolvidos, os dados que podem ter vazado e os dados que não foram envolvidos; a correção de 16 de outubro acrescentou "ocupação" e "apelido" aos itens de dados. O comunicado de 23 de outubro disse que os e-mails individuais a todos os endereços que a empresa conseguiu confirmar como entregáveis haviam sido enviados até 22 de outubro, que uma consulta na web para verificar se você foi afetado foi adicionada ao site de membros e que uma linha gratuita dedicada foi aberta em 22 de outubro. O comunicado de 23 de outubro não indica nenhuma mudança nos números. A empresa investiga a causa com especialistas externos e diz que anunciará prontamente quaisquer novos fatos.
O que os membros da Bookoff devem fazer hoje
Verifique se você foi afetado (membros do app, da loja online e da web)
Segundo o segundo relatório, os afetados são membros do app, membros da loja online e membros da web da Bookoff no Japão, inclusive ex-membros. Quem usa apenas o cartão de membro e nunca se cadastrou pelo app ou pela web não está incluído.
Os serviços afetados e não afetados aparecem na figura em "O que aconteceu", abaixo. Membros de BOOKOFF SUPER BAZAAR, BOOKOFF PLUS, BOOKOFF, da loja online oficial e de outros foram afetados; Booklog, Aoyama Book Center, Japan TCG Center e outros usam sistemas separados e não foram.
Em 23 de outubro a empresa acrescentou uma consulta na web, no site de membros da Bookoff, que informa se você foi afetado. Como usar (segundo o comunicado e o FAQ da empresa):
- Abra o site de membros da Bookoff (member.bookoff.co.jp) a partir do comunicado da empresa ou do site oficial da Bookoff que você mesmo abrir, não por um link de e-mail ou SMS
- Faça login com o endereço de e-mail e a senha cadastrados na Bookoff e siga as instruções na tela para verificar se foi afetado
- Se você cadastrou vários endereços de e-mail ou contas de membro, verifique cada conta
- Se não conseguir fazer login, por exemplo por ter saído do serviço, entre em contato com a central dedicada (último passo abaixo)
A empresa diz que não ter recebido um e-mail individual não significa que você não foi afetado. Membros que migraram os dados do cartão de membro para o app ou a web também podem ter sido afetados. Se você se cadastrou pelo app ou pela web, siga também os passos abaixo, sem esperar o resultado da consulta.
Troque a senha do app oficial e da loja online e de qualquer outro serviço que use a mesma
No segundo relatório, a empresa pede que os membros afetados troquem as senhas da loja online oficial BOOKOFF e do app oficial. Faça isso pelo app oficial ou por um site que você mesmo abrir. A empresa diz que seus e-mails de comunicação não conterão links para uma tela de troca de senha.
O que pode ter vazado é o hash da senha (um valor convertido de forma que não pode ser revertido na senha), que, segundo a empresa, não pode ser convertido de volta na senha tal como está. Em geral, porém, senhas curtas ou comuns às vezes podem ser descobertas a partir de um hash (como isso funciona: O que é hash de senha?). Uma senha recuperada, combinada com um e-mail, é testada em outros serviços.
A empresa também pede que os membros troquem qualquer senha idêntica ou parecida usada em outros serviços. Comece por e-mail, compras online e serviços financeiros. Um gerenciador de senhas é a forma prática de parar de reutilizar senhas, e adicionar a verificação em duas etapas torna os logins ainda mais seguros.
Não abra links em e-mails, mensagens de texto ou ligações que digam ser da Bookoff
A empresa alerta que podem chegar e-mails, mensagens de texto e ligações que se passem pelo grupo ou por seus parceiros. Pede que os membros não abram links ou anexos de mensagens inesperadas e não informem dados pessoais ou de login.
Diz que o grupo nunca pedirá senhas, dados de cartão de crédito ou de conta bancária por e-mail, mensagem de texto ou telefone (o comunicado de 9 de outubro também listava códigos de verificação). Qualquer pedido desses é falso (como reconhecer: O que é phishing?).
Confira até o e-mail de comunicação verdadeiro por uma porta de entrada oficial
A empresa enviou e-mails aos membros afetados, no endereço cadastrado, em etapas a partir de 15 de outubro de 2026 (quinta-feira), e diz que o envio para todos os endereços que conseguiu confirmar como entregáveis terminou em 22 de outubro (quinta-feira). O assunto é "不正アクセスによる個人情報漏えいに関するお詫びとお知らせ" (pedido de desculpas e aviso sobre vazamento de dados pessoais causado por acesso não autorizado), e o FAQ (de 23 de outubro) indica como remetente "bookoff@2902.net". Os e-mails podem não chegar por mudança de endereço ou por configurações de e-mail, e não receber um não significa que você não foi afetado; por isso, use a consulta na web acima para verificar. Endereços de remetente podem ser falsificados, então um remetente igual não prova que o e-mail é verdadeiro.
A empresa diz que esses e-mails nunca pedirão que você digite ou responda com senha, dados de cartão de crédito ou de conta bancária e não conterão links para uma tela de troca de senha. Uma mensagem com o mesmo assunto que leve a uma tela de troca de senha ou peça que você digite ou responda com senha, dados de cartão ou dados bancários não corresponde a essa descrição oficial. Confira pelo contato oficial, sem usar os links do e-mail. Veja o conteúdo no app oficial ou no site oficial aberto a partir de um favorito seu ou de uma busca.
Procure uso de pontos ou outra atividade que você não reconheça
A empresa pede que os membros entrem em contato com a central de atendimento se notarem contatos suspeitos ou usos que não reconheçam. Se você consegue fazer login no app oficial ou na loja online, confira o saldo de pontos, o histórico de uso e os dados cadastrados em busca de alterações que você não fez. A empresa diz que, em 13 de outubro, não havia encontrado alteração de dados de membros nem uso indevido de pontos.
Use os canais de contato indicados no comunicado oficial
Em 22 de outubro (quinta-feira), a empresa abriu uma linha gratuita dedicada a este incidente, 0120-300-663 (10h00–18h30, todos os dias, em japonês). Antes disso, direcionava as pessoas à central de atendimento ao cliente do Grupo Bookoff. O outro canal é o formulário de consulta dedicado no site da Bookoff Group Holdings (ambos listados no comunicado de 23 de outubro). Encontre-os pelo comunicado no site oficial que você mesmo abrir, não por números ou links de uma mensagem que você recebeu.
O que aconteceu (segundo a Bookoff Group Holdings)
O texto a seguir se baseia no comunicado da empresa de 9 de outubro de 2026 (primeiro relatório, divulgação à bolsa), no segundo relatório de 13 de outubro (divulgação à bolsa), na correção do segundo relatório de 16 de outubro (divulgação à bolsa), no comunicado de 23 de outubro sobre a consulta na web e a linha gratuita e no FAQ (de 23 de outubro).
4–6 de outubro de 2026
Dados de membros gerenciados no sistema de gestão de membros da BOOKOFF CORPORATION foram retirados de fora (conclusão do segundo relatório).6 de outubro (ter)
Confirmado o acesso não autorizado de terceiro ao sistema de gestão de membros.Após a confirmação
Tráfego da origem do ataque e a rota usada foram bloqueados, e os controles de acesso e o monitoramento foram reforçados. A rota conhecida usada para retirar os dados foi contida.9 de outubro (sex)
Primeiro relatório publicado, informando até cerca de 6,43 milhões de registros (números de membro).13 de outubro (ter)
Segundo relatório e FAQ publicados. A contagem foi fixada em 6.383.279 pessoas (6.427.735 registros por número de membro), com os serviços envolvidos, os dados não envolvidos e um pedido de troca de senhas. A empresa diz que comunicou à Comissão de Proteção de Informações Pessoais e consultou a polícia.A partir de 15 de outubro (qui)
Começaram, em etapas, os e-mails aos endereços cadastrados dos membros afetados (concluídos em 22 de outubro). O FAQ foi revisado (de 15 de outubro) e informa o endereço do remetente.16 de outubro (sex)
Publicada a correção do segundo relatório. "Ocupação" e "apelido" haviam sido omitidos dos dados que podem ter vazado e foram acrescentados. A empresa diz que o número de registros, o número de pessoas e o restante do relatório não mudaram.22 de outubro (qui)
Concluído o envio de e-mails individuais a todos os endereços confirmados como entregáveis. Aberta a linha gratuita dedicada (0120-300-663).23 de outubro (sex)
Anunciada uma consulta na web, no site de membros da Bookoff, para verificar se você foi afetado. FAQ substituído por uma versão de 23 de outubro.
- Sistema
- O sistema de gestão de membros da Bookoff no Japão, fornecido pela subsidiária consolidada BOOKOFF CORPORATION LIMITED
- Pessoas e registros
- 6.383.279 pessoas (6.170.908 membros ativos, 212.371 ex-membros). 6.427.735 registros por número de membro. O número de registros é a quantidade de números de membro cujos dados, segundo os logs do sistema, foram enviados para fora; o número de pessoas trata vários registros de membro cadastrados com o mesmo endereço de e-mail como uma só pessoa
- Membros afetados
- Membros do app, membros da loja online e membros da web. Quem usa apenas o cartão de membro e nunca se cadastrou pelo app ou pela web não está incluído
- Itens
- Nome, data de nascimento, gênero, ocupação, apelido, endereço de e-mail, telefone, código postal e endereço cadastrados como informações de membro, hash de senha, número do cartão de pontos, número de membro (ocupação e apelido acrescentados pela correção de 16 de outubro). Nem todos os itens vazaram para todos os membros
- Senhas
- Hashes, que, segundo a empresa, não podem ser convertidos de volta na senha tal como estão. Pede-se aos membros afetados que troquem as senhas da loja online oficial e do app
- Não incluídos
- Dados de pagamento, como detalhes de cartão de crédito; dados de conta bancária; o endereço informado e o texto lido de documentos de identidade em compras presenciais nas lojas; endereços de entrega informados separadamente do endereço de membro ao fazer pedidos; endereços de coleta e imagens de documentos de identidade de compras por correio
- Divulgação e uso indevido
- Em 13 de outubro, não havia sido encontrada divulgação dos dados, uso indevido de pontos nem alteração de dados de membros
- Próximas etapas
- Investigação da causa com especialistas externos, revisão de emergência de todos os sistemas do grupo, segurança adicional e medidas permanentes de prevenção. Comunicado à Comissão de Proteção de Informações Pessoais e consulta à polícia
Afetados (sistema de gestão de membros da Bookoff)
BOOKOFF SUPER BAZAAR, BOOKOFF PLUS, BOOKOFF, loja online oficial BOOKOFF, あそビバ (Asobiba), BOOKOFF FASHION, BINGO, B·SPORTS, B·STYLE, Rehello by BOOKOFF (lojas)
Não afetados (gerenciados em sistemas separados)
hugall, aidect, Rehello by BOOKOFF (online), Japan TCG Center, Booklog, Aoyama Book Center, ブックオフおかたづけサービス (Bookoff Okatazuke, serviço de organização de casas)
O que se sabe e o que não se sabe
Situação em 24 de outubro de 2026. Quando uma nova atualização for publicada, a coluna de situação será atualizada.
| Item | O que a empresa disse | Situação |
|---|---|---|
| Dados retirados de fora | Dados de membros foram retirados de fora entre 4 e 6 de outubro | Vazamento confirmado (empresa) |
| Pessoas e registros | 6.383.279 pessoas (6.427.735 registros por número de membro) | Vazamento confirmado (empresa) |
| Membros e serviços | Membros do app, da loja online e da web, nos serviços que usam o sistema de gestão de membros da Bookoff no Japão (usuários apenas do cartão de membro não incluídos) | Vazamento confirmado (empresa) |
| Itens de dados | Nome, data de nascimento, gênero, ocupação, apelido, e-mail, telefone, código postal e endereço, hash de senha, número do cartão de pontos, número de membro (varia por pessoa; ocupação e apelido acrescentados pela correção de 16 de outubro) | Possível (empresa) |
| Dados de pagamento e dados bancários | Não são gerenciados neste sistema | Não incluídos (empresa) |
| Documentos de identidade (texto lido em compras presenciais, imagens de compras por correio) | Não são gerenciados neste sistema | Não incluídos (empresa) |
| Divulgação, uso indevido de pontos ou alteração | Não encontrados em 13 de outubro | Não encontrados (empresa) |
| Causa e rota de entrada | Não divulgadas porque a publicação poderia atrair novos ataques | Em investigação |
| Pedido de troca de senha | Pede a troca das senhas da loja online oficial e do app | Solicitado |
| Avisos individuais | Enviados por e-mail aos endereços cadastrados, em etapas, a partir de 15 de outubro; envio a todos os endereços confirmados como entregáveis concluído em 22 de outubro (remetente bookoff@2902.net). Não receber um não significa que você não foi afetado | Confirmado (empresa) |
| Como verificar se você foi afetado | Consulta na web adicionada ao site de membros da Bookoff em 23 de outubro; quem não consegue fazer login usa a central dedicada | Confirmado (empresa) |
Como ler isto: 'nenhum uso indevido encontrado' não significa 'seguro'
O que a empresa diz é que, em 13 de outubro, não havia constatado que os dados vazados tivessem sido divulgados nem que pontos tivessem sido usados indevidamente. O vazamento em si está confirmado. Mensagens falsas podem chegar muito depois de um vazamento, então fique atento por pelo menos vários meses.
Para que essas combinações de dados podem ser usadas
Em geral, as combinações a seguir tornam possíveis os seguintes usos indevidos. Isso não significa que tenham ocorrido neste caso.
- Nome + endereço + telefone + e-mail: uma mensagem de "desculpas" ou de "confirme seus dados" convincente, com o nome e o endereço corretos. Ocupação ou apelido a tornam ainda mais pessoal
- E-mail + hash de senha: se a senha for fácil de adivinhar, ela pode ser recuperada e testada em outros serviços que usem a mesma
- Número de membro ou do cartão de pontos + data de nascimento: material para se passar pelo membro por telefone ou em um pedido de suporte. Conhecer esses números não prova quem a pessoa é
Em um caso anterior, o vazamento do app da Seicomart, anunciado em setembro de 2026, a contagem também foi fixada em relatórios posteriores, depois de um primeiro número de cerca de 570.000 contas. Aqui, o segundo relatório transformou o "até cerca de 6,43 milhões de registros (números de membro)" do primeiro relatório em 6.427.735 registros e 6.383.279 pessoas.
Abrir o link do e-mail ou da mensagem de texto
Você precisa julgar pelo texto se é verdadeiro
↓→
Risco de digitar a senha em uma página de login falsa
Entrar pelo app oficial ou por um site que você mesmo abrir
Trate o e-mail apenas como sinal de que existe um aviso
↓→
Você só vê o aviso verdadeiro. Não precisa julgar
Avaliação deste site: avisos verdadeiros e falsos chegarão na mesma semana
Neste caso, a empresa anunciou com antecedência a data de início (15 de outubro) e o assunto dos e-mails aos membros afetados. Saber quando esses e-mails vão chegar e como se chamam ajuda tanto quem envia falsificações quanto os membros. A forma mais confiável de distinguir não é o texto, mas escolher você mesmo a porta de entrada. Se você nunca usar links do e-mail e sempre entrar pelo app oficial ou por um site que abrir por conta própria, poderá comparar a mensagem com o aviso oficial sem depender dos links dela.
Para serviços que guardam dados de membros: faça os avisos de vazamento se distinguirem das falsificações
A empresa não divulga detalhes da causa, então esta seção não trata de como prevenir a invasão. Dois pontos podem ser tirados dos comunicados: hashes de senha estavam entre os dados, e a empresa está contatando os afetados por e-mail. Os passos abaixo se limitam ao que você pode decidir com antecedência para o seu próprio serviço. Esta seção não avalia a resposta da empresa.
Não coloque links de login em e-mails de aviso de vazamento
Um e-mail de aviso de vazamento vira o modelo para falsificações parecidas. Se o aviso diz "entre aqui para trocar sua senha", uma falsificação pode usar exatamente o mesmo layout.
Se o aviso não contém links e diz "confira o aviso no app oficial ou no site oficial", você pode orientar os usuários, de forma consistente, a nunca abrir links. Divulgar antes, no seu site, o endereço do remetente e o assunto também ajuda. O segundo relatório da Bookoff também publicou o assunto e disse que seus e-mails não teriam link para uma tela de troca de senha.
Verifique seu método de hash e decida com antecedência o que dirá aos usuários
A dificuldade de recuperar senhas a partir de hashes vazados depende muito do método. Verifique se você armazena senhas com um método lento, específico para senhas (como bcrypt ou Argon2), e com um salt.
Decida também com antecedência o que pedirá aos usuários se hashes vazarem (uma redefinição para todos ou a recomendação de trocar senhas reutilizadas), para que o texto do anúncio não seja definido sob pressão. Mais em O que é hash de senha?
Fontes (registro público)
Os fatos deste artigo se baseiam nas seguintes informações públicas. O artigo não especula sobre a rota ou o método de invasão não divulgados.
- BOOKOFF GROUP HOLDINGS LIMITED, pedido de desculpas sobre vazamento de dados pessoais causado por acesso não autorizado (segundo relatório) (13 de outubro de 2026, divulgação à bolsa, em japonês) — PDF
- Mesma empresa, correção do segundo relatório (16 de outubro de 2026, divulgação à bolsa, inclui o segundo relatório corrigido na íntegra, em japonês) — PDF
- Mesma empresa, comunicado sobre a adição de uma função de consulta na web e a abertura de uma linha gratuita dedicada para o vazamento de dados pessoais causado por acesso não autorizado (23 de outubro de 2026, em japonês) — PDF
- Mesma empresa, perguntas frequentes sobre o vazamento de dados pessoais causado por acesso não autorizado (publicado em 13 de outubro de 2026, substituído por versões de 15 e 23 de outubro; verificado em 24 de outubro, em japonês) — PDF
- Mesma empresa, pedido de desculpas sobre vazamento de dados pessoais causado por acesso não autorizado (primeiro relatório, 9 de outubro de 2026, divulgação à bolsa, em japonês) — PDF
- Notícias do site oficial da Bookoff (primeiro relatório, mesmo dia, em japonês) — bookoff.co.jp
- Página de consultas da Bookoff Group Holdings sobre este incidente (verificada em 10 de outubro de 2026, em japonês) — bookoffgroup.co.jp
Histórico de atualizações
2026-10-24: Incorporado o comunicado de 23 de outubro. O site de membros da Bookoff agora tem uma consulta na web para verificar se você foi afetado, então o modo de uso foi adicionado ao primeiro passo. Também foram incorporados o envio de e-mails individuais a todos os endereços confirmados como entregáveis até 22 de outubro (não receber um não significa que você não foi afetado) e a abertura da linha gratuita dedicada (0120-300-663) em 22 de outubro, e os dados de contato foram substituídos. Os números não mudaram e a causa continua sem ser divulgada.
2026-10-17: Incorporada uma correção. Em 16 de outubro a empresa corrigiu seu segundo relatório, informando que "ocupação" e "apelido" haviam sido omitidos dos dados que podem ter vazado. Os dois itens foram adicionados às listas deste artigo (resumo, FAQ, lista de fatos e tabela). A empresa diz que os números e o restante do relatório não mudaram. Também foram adicionados às fontes o endereço do remetente indicado no FAQ substituído (de 15 de outubro) e o comunicado de correção.
2026-10-14: Incorporados o segundo relatório e o FAQ de 13 de outubro. A contagem foi atualizada para 6.383.279 pessoas (6.427.735 registros por número de membro, 212.371 deles de ex-membros), e foram adicionados os membros afetados (membros do app, da loja online e da web), os serviços afetados e não afetados, o período em que os dados foram retirados (4–6 de outubro), os dados não envolvidos (incluindo o texto lido de documentos de identidade), o pedido de troca de senhas e os e-mails individuais a partir de 15 de outubro (assunto, sem links para telas de troca de senha). A empresa diz que não divulga detalhes da causa.
2026-10-10: Primeira versão, com base no comunicado da empresa de 9 de outubro e no FAQ da sua página de consultas (verificado em 10 de outubro). A empresa diz que publicará o número de pessoas afetadas e os dados envolvidos em uma atualização posterior, e este artigo será atualizado quando isso ocorrer.
Leia a seguir
- Relacionado: Vazamento da Treasure Factory (746.277 registros)
- Outros casos de dados de membros do mesmo período: Vazamento do app da Seicomart / Vazamento do app da Yakiniku King / Vazamento do app e da loja online da MrMax / Vazamento de dados de membros da SourceNext (incluindo senhas)
- Senhas: Como verificar se sua senha vazou / Guia de gerenciador de senhas
- Acompanhamento de golpes: O que é phishing?
- Outros casos de 2026: Vazamentos de dados e ciberataques em 2026