Para: pessoas que usaram a loja online da Edion, principalmente quem digitou dados de cartão em um PC depois das 19:00 de 4 de novembro, quem tem Edion Gift Cards e quem recebeu um e-mail sobre o ID e a senha de login. Este artigo é uma explicação baseada nos comunicados oficiais da Edion (primeiro e segundo); não aborda métodos de ataque.
Em andamento: este artigo será atualizado conforme a organização publicar novas informações
- Quem é afetado
pessoas que usaram a loja online da Edion, principalmente quem digitou dados de cartão em um PC depois das 19:00 de 4 de novembro, quem tem Edion Gift Cards e quem recebeu um e-mail sobre o ID e a senha de login.
- Confirmado até agoraVer a tabela ↓
- Acesso não autorizado
- Programa malicioso no processamento relacionado a pagamentos
- Situação da loja online
Apontado como possivelmente afetado
- Nome, e-mail, telefone, data de nascimento, sexo, endereço, número de cliente
- Número do pedido, valor do pedido, CEP, código de endereço
- Validade do cartão de crédito
Mais 5
- Número do cartão, nome do titular, código de segurança (logs de erro no momento do pedido)
- Número do cartão, validade, nome do titular, código de segurança (novas entradas em PCs)
- Número de Edion Gift Card
- Número, PIN e histórico de uso de Edion Gift Card
- ID e senha de login
- Ainda não confirmado
- Rota e método da invasão
- Alcance do impacto (números e itens finais)
- Quantidade de informações nos logs não vinculadas a nomes
Mais 3
- Como os Edion Gift Cards serão tratados
- Quando a loja online será retomada
- Se os dados foram usados indevidamente
- O que fazer agoraVer os passos ↓
- Se digitou dados de cartão em um PC depois das 19:00 de 4 de novembro, confira sua fatura e fale com a operadora do cartão
- Não informe o número nem o PIN do Edion Gift Card quando pedirem
- Se receber um e-mail de troca de senha, troque pelo site oficial e corrija qualquer reutilização
Mais 2
- Não responda a contatos suspeitos em nome da Edion
- Se estiver preocupado, fale com o canal oficial
- Onde verificar (fonte)Todas as fontes ↓
- Edion, "Pedido de desculpas e comunicado sobre o possível vazamento de informações pessoais por acesso não autorizado à nossa loja online" (6 de novembro de 2026, em japonês)
- Última verificação
- Em 12 de novembro de 2026
Próximos avisos e o que verificamos
No segundo comunicado, a empresa diz que prepara relatórios adicionais à Comissão de Proteção de Informações Pessoais e à polícia local, e que informará novos fatos, como o alcance do impacto, à medida que forem confirmados. Ao consultarmos a lista de comunicados da empresa em 12 de novembro de 2026, não encontramos nenhuma atualização depois do segundo comunicado de 9 de novembro (corrigido em 10 de novembro quanto ao horário da interrupção do serviço).
O que os usuários devem fazer hoje
Se digitou dados de cartão em um PC depois das 19:00 de 4 de novembro, confira sua fatura e fale com a operadora do cartão
Segundo o segundo comunicado, o programa malicioso estava em execução desde logo após as 19:00 de 4 de novembro. Se você digitou dados de cartão novos na tela de pagamento em um PC (até 556 entradas), a empresa não pode descartar que o número do cartão, a validade, o nome do titular e o código de segurança tenham vazado diretamente para um terceiro. Os dados de cartão registrados em logs de erro no momento do pedido (até 5 casos) têm os mesmos itens. A empresa confirmou que o funcionamento e a digitação a partir de smartphones não foram afetados por esse programa.
A empresa pede que as pessoas afetadas confiram na fatura do cartão se há cobranças que não reconhecem e, se houver, entrem em contato com o canal impresso no verso do cartão. Como o código de segurança pode estar incluído, este site recomenda perguntar à operadora do cartão sobre trocar o número (reemissão) mesmo que ainda não tenha aparecido nenhuma cobrança indevida. Enquanto o número não for trocado, essa combinação continua utilizável (veja o vazamento de cartões na loja online APORITO para o raciocínio e o artigo sobre a PhotoGoods para um caso semelhante).
Depois que o número mudar, atualize os serviços que cobram automaticamente o número antigo, como contas de consumo e assinaturas. A empresa diz que pediu às administradoras de cartão de crédito que reforcem o monitoramento de uso indevido.
Não informe o número nem o PIN do Edion Gift Card quando pedirem
Segundo o segundo comunicado, o número, o PIN e o histórico de uso de 5.360 Edion Gift Cards podem ter vazado. O único lugar em que digitar o número e o PIN basta é a loja online da empresa; nas lojas físicas é preciso apresentar o cartão original. Enquanto a loja online estiver interrompida, a empresa diz que um terceiro não pode usar sozinho as informações vazadas.
Como os cartões serão tratados quando a loja online voltar está em análise, e a empresa diz que informará os clientes afetados quando for decidido. Até lá, trate como falso qualquer e-mail, mensagem de texto ou ligação que peça o número ou o PIN, por exemplo para "consultar o saldo" ou "trocar o cartão". Mantenha o cartão físico com você.
Se receber um e-mail de troca de senha, troque pelo site oficial e corrija qualquer reutilização
A empresa diz que enviará e-mails individuais, em sequência, aos até 1.141 clientes cujo ID e senha de login estão incluídos, pedindo a troca da senha. Diz que, como o login novo na loja online exige autenticação em duas etapas, não se trata de uma situação em que esteja ocorrendo uso indevido imediato.
E-mails falsos imitando esse também podem circular (opinião deste site). Troque a senha em uma tela que você mesmo abriu a partir de um favorito ou do aplicativo oficial, não por um link do e-mail. Se usa a mesma senha da Edion em outros serviços, troque-a também neles. Para verificar, veja Como verificar se sua senha vazou; para reduzir a reutilização, ajudam um gerenciador de senhas e a autenticação multifator.
Não responda a contatos suspeitos em nome da Edion
As informações que podem ter vazado incluem nome, e-mail, telefone, endereço, data de nascimento, número do pedido e valor do pedido. Isso permite montar contatos realistas que parecem conhecer o seu pedido, e a empresa pede cuidado com e-mails, mensagens de texto e ligações suspeitos que se passem pela Edion.
Trate como falso o contato que leve você a um link para digitar dados de cartão ou uma senha, por exemplo sobre um "cancelamento de pedido", um "reembolso" ou um "novo cadastro do cartão". Confira em um site ou aplicativo oficial aberto por você mesmo. Para reconhecer golpes, veja O que é phishing?.
Se estiver preocupado, fale com o canal oficial
O contato indicado nos comunicados é o Centro de Atendimento ao Cliente (telefone 0120-77-0095, das 9:00 às 18:00, horário do Japão). Use o contato do comunicado oficial, não um número de e-mail ou mensagem de texto. Se vir uma cobrança que não reconhece, também pode consultar o canal no verso do cartão, a linha de consultas da polícia (#9110) ou o Disque Consumidor (188), todos no Japão.
O que aconteceu (segundo os comunicados da Edion)
A Edion publicou um primeiro comunicado em 6 de novembro de 2026 e um segundo em 9 de novembro como notícias em seu site. Em 10 de novembro, corrigiu a data e a hora da interrupção emergencial do serviço no segundo comunicado (errado: domingo, 8 de novembro; correto: sábado, 7 de novembro, às 22:00). Tudo o que segue vem dos comunicados da empresa.
4 de novembro, logo após as 19:00
O programa malicioso, encontrado depois, começou a ser executado no processamento relacionado a pagamentos (segundo comunicado).5 de novembro, por volta das 18:30
A empresa confirmou o acesso não autorizado externo ao servidor que hospeda a loja online e que parte das informações pessoais pode ter vazado (primeiro comunicado).6 de novembro
Publicação do primeiro comunicado. Quando saiu, a empresa já havia informado a Comissão de Proteção de Informações Pessoais. Naquele momento, disse que a loja online ainda podia ser usada normalmente.7 de novembro, 22:00
A loja online, o aplicativo oficial da Edion e o aplicativo Edion Smart foram interrompidos em caráter emergencial (horário corrigido em 10 de novembro).8 de novembro, 21:10
O aplicativo oficial e o aplicativo Smart foram reiniciados com funções limitadas ao cartão de membro digital, à exibição de cupons e similares.9 de novembro
Publicação do segundo comunicado. Corrige o primeiro e informa fatos recém-descobertos. A loja online está interrompida, sem data de retomada.
- Causa
- Primeiro comunicado: acesso não autorizado externo, explorando uma vulnerabilidade do sistema, a parte da área do servidor que guarda arquivos de log. Segundo comunicado: um programa malicioso inserido por um terceiro externo no processamento relacionado a pagamentos (rota e método não divulgados)
- Informações de log (primeiro comunicado)
- Nome (kanji e kana), e-mail, telefone, data de nascimento, sexo, endereço, número de cliente (até 4.131 clientes). Os itens registrados diferem um pouco conforme o cliente
- Informações de pedidos (primeiro comunicado)
- Registrados: nome, número de cliente, número do pedido, valor do pedido. O máximo ao cruzar vários logs acrescenta e-mail, telefone, CEP, código de endereço (até província e cidade), validade do cartão de crédito e número de Edion Gift Card (até 9.554 clientes)
- Acrescentado no segundo comunicado
- Dados de cartão em logs de erro no momento do pedido (número, validade, nome do titular, código de segurança; até 5 casos) / Edion Gift Card, 5.360 cartões (número, PIN, histórico de uso) / ID e senha de login (até 1.141 clientes) / dados de cartão digitados novamente em PCs (os mesmos quatro itens; até 556 entradas)
- Não incluído
- Primeiro comunicado: não se confirmou o acesso não autorizado ao próprio banco de dados de clientes nem vazamento dele. Segundo comunicado: o funcionamento e a digitação de pagamento a partir de smartphones não foram afetados pelo programa malicioso
- Emissor e contato
- Edion Corporation / Centro de Atendimento ao Cliente 0120-77-0095 (das 9:00 às 18:00, horário do Japão)
O que se sabe e o que não se sabe
Esta tabela se baseia no primeiro e no segundo comunicado da empresa, em 12 de novembro de 2026. A empresa dá muitos dos números como máximos (o número de Edion Gift Cards é de 5.360 cartões). Quando houver novos comunicados, atualizaremos a coluna de status.
| Item | O que o comunicado diz | Status |
|---|---|---|
| Acesso não autorizado | Acesso não autorizado externo ao servidor que hospeda a loja online. Confirmado por volta das 18:30 de 5 de nov. | Confirmado (empresa) |
| Programa malicioso no processamento relacionado a pagamentos | Inserido por um terceiro (adulteração). Em execução desde logo após as 19:00 de 4 de nov. | Confirmado (empresa) |
| Nome, e-mail, telefone, data de nascimento, sexo, endereço, número de cliente | Informações registradas em arquivos de log. Até 4.131 clientes (os itens registrados diferem conforme o cliente) | Possível (empresa) |
| Número do pedido, valor do pedido, CEP, código de endereço | Máximo ao cruzar vários logs. Até 9.554 clientes. Não combináveis para todos os clientes | Possível (empresa) |
| Validade do cartão de crédito | Entre os itens ao cruzar com informações de pedidos. Também registrada de forma não vinculada a nomes | Possível (empresa) |
| Número do cartão, nome do titular, código de segurança (logs de erro no momento do pedido) | Até 5 casos em que a digitação foi excepcionalmente registrada de forma temporária no log do sistema quando ocorreu um erro na tela de pedido. Corrige a afirmação do primeiro comunicado de que números de cartão não estavam incluídos | Possível (empresa) |
| Número do cartão, validade, nome do titular, código de segurança (novas entradas em PCs) | A partir das 19:00 de 4 de nov. A empresa não pode descartar vazamento direto para um terceiro. Até 556 entradas | Possível (empresa) |
| Funcionamento e digitação a partir de smartphones | Confirmado que não foram afetados pelo programa malicioso | Não incluído (empresa) |
| Número de Edion Gift Card | Entre os itens ao cruzar com informações de pedidos | Possível (empresa) |
| Número, PIN e histórico de uso de Edion Gift Card | 5.360 cartões. Acrescentado no segundo comunicado. Não utilizável apenas com as informações vazadas enquanto a loja online estiver interrompida | Possível (empresa) |
| ID e senha de login | Até 1.141 clientes. Corrige a afirmação do primeiro comunicado de que senhas de login não estavam incluídas. O login novo exige autenticação em duas etapas | Possível (empresa) |
| Quantidade de e-mails, telefones etc. não vinculados a nomes | Primeiro comunicado: "em análise no momento". Não mencionada no segundo | Em investigação |
| Acesso não autorizado ao próprio banco de dados de clientes | Primeiro comunicado: não confirmado. Não mencionado no segundo | Não confirmado (empresa, primeiro comunicado) |
| Rota e método da invasão | O primeiro comunicado diz que uma "vulnerabilidade do sistema" foi explorada; sem detalhes | Não informado |
| Uso indevido | Os comunicados não registram uso indevido confirmado. A empresa alerta sobre contatos suspeitos | Não informado |
| Avisos individuais | Os 1.141 clientes das senhas são avisados por e-mail. Não informado para os outros itens | Informado em parte (empresa) |
| Situação da loja online | Interrompida desde as 22:00 de 7 de nov. Sem data de retomada | Confirmado (empresa) |
O que mudou entre o primeiro e o segundo comunicado
A explicação da empresa mudou da seguinte forma entre o primeiro comunicado (6 de novembro) e o segundo (9 de novembro).
Primeiro comunicado (6 de novembro)
- As informações que podem ter vazado são parte dos dados dos arquivos de log
- Números de cartão de crédito e senhas de login não estão incluídos
- A loja online ainda pode ser usada normalmente (a empresa diz que um especialista externo em segurança avaliou que era seguro continuar operando)
Segundo comunicado (9 de novembro)
- Foram encontrados novos vestígios de acesso não autorizado e um programa malicioso inserido no processamento relacionado a pagamentos
- Corrigido: alguns dados de cartão, PINs de vales-presente e senhas de login estavam incluídos
- Loja online e outros serviços interrompidos em caráter emergencial às 22:00 de 7 de novembro. Sem data de retomada da loja online
Os itens e os números podem mudar novamente em comunicados posteriores. A empresa ainda descreve o alcance como em investigação, então consulte o comunicado mais recente para os números deste artigo.
Para que podem ser usados dados de cartão, vale-presente e login
A tabela abaixo descreve o que pode acontecer em geral com combinações como essas. Não significa que essas coisas aconteceram neste incidente.
| Informações que podem ter vazado | O que pode acontecer em geral | O que os usuários devem fazer |
|---|---|---|
| Número do cartão + validade + nome do titular + código de segurança | Uso indevido em lojas online, até que o número seja trocado | Confira a fatura e pergunte sobre trocar o número |
| Número do vale-presente + PIN | Uso indevido onde o número e o PIN bastam. Contatos falsos de "consulta de saldo" | Não informe o número e o PIN. Aguarde o comunicado da empresa |
| ID de login + senha | Tentativas de login em outros sites com a mesma combinação | Corrija a reutilização e use autenticação em duas etapas |
| Nome + telefone + e-mail + código de endereço + número e valor do pedido | Contatos falsos realistas que parecem conhecer o seu pedido | Não abra links; confira no site ou aplicativo oficial |
O que os operadores devem revisar: não guardar dados de cartão não impede a adulteração da tela de entrada
A causa não foi divulgada em detalhes, então esta seção trata apenas do que decorre dos fatos publicados.
- "Não há dados de cartão no nosso servidor" e "uma tela de entrada segura" são coisas diferentes: a empresa escreve que seu pagamento com cartão admite tokenização e não deixa informações no servidor, mas que neste incidente um programa malicioso foi inserido no processo de entrada de informações de pagamento para PCs. Em geral, são necessários controles que inventariem os scripts executados nas páginas de pagamento, permitam apenas os autorizados e detectem adulteração (os requisitos 6.4.3 e 11.6.1 do PCI DSS 4.0 tratam disso).
- Não deixe o que foi digitado nos logs de erro: a empresa escreve que, quando ocorreu um erro na tela de pedido, a digitação foi excepcionalmente registrada de forma temporária no log do sistema (até 5 casos que incluíam números de cartão e códigos de segurança). Em geral, projete o registro de logs para que números de cartão e códigos de segurança nunca sejam gravados, e pesquise os logs periodicamente para confirmar que nenhum permaneceu.
- Em um boletim provisório durante uma investigação, separe o que está confirmado do que ainda não foi examinado: aqui, itens que o primeiro comunicado descrevia como não incluídos foram corrigidos após análise detalhada. Em geral, as estimativas de alcance podem mudar durante uma investigação, e separar os dois reduz o impacto de uma correção.
Fontes (registro público)
Os fatos deste artigo se baseiam nos comunicados oficiais abaixo. Não especulamos sobre detalhes da causa que não foram divulgados.
- Edion, "Pedido de desculpas e comunicado sobre o possível vazamento de informações pessoais por acesso não autorizado à nossa loja online" (6 de novembro de 2026, em japonês) — edion.co.jp (PDF)
- Edion, "Pedido de desculpas e comunicado sobre os fatos recém-descobertos, o possível vazamento de informações pessoais e a interrupção do serviço da nossa loja online (segundo comunicado)" (9 de novembro de 2026, corrigido em 10 de novembro, em japonês) — edion.co.jp (PDF)
- Lista de comunicados da Edion — edion.co.jp
Histórico de atualizações
2026-11-12: Primeira versão. Com base no primeiro comunicado da Edion (6 de novembro) e no segundo (9 de novembro, com o horário de interrupção corrigido em 10 de novembro). Consultamos a lista de comunicados da empresa no mesmo dia e não encontramos atualização depois do segundo comunicado.
Leia em seguida
- Outro incidente em varejista de eletrônicos: Acesso não autorizado ao sistema de gestão de reformas da Yamada Denki
- Quando dados de cartão são roubados na tela de pagamento: O roubo de cartões na PhotoGoods / O vazamento de cartões na loja online APORITO
- Quando uma senha vaza: Como verificar se sua senha vazou / Como escolher um gerenciador de senhas
- Reconhecendo contatos falsos: O que é phishing?
- Outros incidentes de 2026: Vazamentos de dados e ciberataques (Japão e mundo)