Para: pessoas com H2O ID (incluindo usuários do site de reservas dos department stores Hankyu e Hanshin, da HANKYU HANSHIN E-STORES e da Remo Order) e quem administra um ID de membro compartilhado por vários serviços. Este artigo se baseia em os comunicados oficiais da H2O Retailing Corporation e da Hankyu Hanshin Department Stores, Inc. e não aborda técnicas de ataque.
Em andamento: este artigo será atualizado conforme a organização publicar novas informações
Em 20 de outubro de 2026Ainda não se sabe
- A causa detalhada do acesso não autorizado (em análise e investigação)
- Se houve vazamento de dados da HANKYU HANSHIN E-STORES e da Remo Order (histórico de pedidos, parte das informações do cartão, parte das informações do cartão de pontos, lista de endereços)
- Quantas pessoas os 1,26 milhão de registros representam
- Quando o site de reservas e a Remo Order serão reabertos
- Os detalhes das medidas para evitar novas ocorrências
As empresas dizem que, se a investigação encontrar novos fatos que devam ser tornados públicos, os divulgarão prontamente em seu site. Planejam reabrir os serviços depois que a causa for identificada, a vulnerabilidade corrigida e a segurança confirmada, e anunciarão qualquer reabertura em seu site. Até 20 de outubro, não havia nenhuma atualização sobre este incidente na lista de notícias da H2O Retailing.
O que os membros com H2O ID devem fazer hoje
Não siga links nem instruções em e-mails, mensagens de texto ou ligações que aleguem ser da Hankyu, da Hanshin ou da H2O
Os itens vazados incluem nome (em kanji e katakana), endereço, CEP, telefones celular e fixo, endereço de e-mail, data de nascimento e idade. Somando-se os “serviços usados com o H2O ID”, um golpista pode enviar uma mensagem com seu nome e endereço corretos que também mencione um serviço que você realmente usa.
As empresas alertam que e-mails, mensagens de texto e ligações suspeitas que se passem por elas podem chegar aos endereços de e-mail e telefones cadastrados no H2O ID, e pedem que os clientes fiquem atentos a mensagens inesperadas e a URLs suspeitas. Se a mensagem oferecer, por exemplo, “pontos de desculpas”, uma “verificação de reserva” ou um “reembolso de pedido” (exemplos deste site), não abra o link; abra você mesmo o site oficial para conferir (veja O que é phishing?).
Não clique em links mesmo em e-mails de comunicado das empresas
As empresas dizem que estão enviando e-mails aos membros com H2O ID em sequência. Seus comunicados vêm de noreply@h2o-retailing.co.jp, e elas pedem que os clientes tenham cuidado com mensagens de qualquer outro remetente.
Nomes de remetentes podem ser falsificados, porém. Mesmo que uma mensagem pareça vir desse endereço, adote uma regra: não faça login nem informe nada por meio de um link no e-mail. Para verificar o que um comunicado diz, use o site oficial que você abrir por conta própria ou os contatos abaixo.
Tenha cuidado com correspondências e ligações que pedem para confirmar sua identidade
Segundo as empresas, endereços e telefones vazaram juntos. Contatos falsos podem chegar não só por e-mail ou mensagem de texto, mas também por telefone ou correio.
Quem liga citando corretamente seu nome, endereço e data de nascimento não está comprovado como legítimo apenas por isso. Se pedirem PIN, senha, número do cartão ou código de verificação por telefone, desligue e ligue de volta para um número oficial que você mesmo tenha consultado.
Se você usa sua data de nascimento como PIN ou senha, troque-a
Diferentemente de um e-mail ou número de telefone, a data de nascimento não pode ser alterada, e desta vez ela vazou junto com nomes e endereços.
Se o PIN do seu banco ou cartão, o bloqueio de tela do celular ou qualquer senha for baseado na sua data de nascimento (como “0815” ou “19900815”), troque-o agora. Esta é uma orientação geral deste site, não das empresas.
Se você reutiliza a mesma senha em outros serviços, separe-as
O comunicado diz que nenhum vazamento de senhas de login foi confirmado, e não pede que os membros troquem suas senhas. A redação reflete uma investigação ainda em andamento.
Em geral, quando uma senha vaza de um serviço, invasores testam a mesma combinação de e-mail e senha em outros serviços. Se você usa a senha do H2O ID em outros lugares, separe-as agora. Um gerenciador de senhas é a forma prática de fazer isso. Para verificar se uma senha reutilizada aparece em vazamentos anteriores, veja como verificar se sua senha vazou.
Use apenas os pontos de contato indicados no comunicado
As empresas listam os números gratuitos 0120-110-256 ou 0120-369-089 (todos os dias, das 10h às 20h, horário do Japão; os números gratuitos funcionam apenas dentro do Japão) e um formulário de contato (https://h2o-id.h2o-retailing.co.jp/web/contact ) para dúvidas sobre este incidente. O comunicado da Hankyu Hanshin Department Stores chama a linha telefônica de seu call center especial. Use os contatos do comunicado no site oficial, não os que estejam em uma mensagem que você recebeu.
O que aconteceu (segundo a H2O Retailing e a Hankyu Hanshin Department Stores)
A H2O Retailing Corporation e sua subsidiária Hankyu Hanshin Department Stores, Inc. publicaram um pedido de desculpas e um comunicado conjunto em 19 de outubro de 2026. No mesmo dia, a Hankyu Hanshin Department Stores publicou um comunicado aos clientes com o mesmo conteúdo. Tudo o que segue se baseia nesses comunicados.
16 de outubro (sex.), 2026
Foi confirmado o acesso não autorizado de um terceiro ao sistema de gestão de clientes por meio do site de reservas dos department stores Hankyu e Hanshin. No mesmo dia, as empresas tomaram medidas emergenciais, como bloquear a comunicação externa não autorizada, e interromperam todo o sistema desse site.17 de outubro (sáb.)
Foi confirmado o acesso não autorizado também à HANKYU HANSHIN E-STORES e à Remo Order, e os sistemas completos dos dois sites foram interrompidos no mesmo dia.19 de outubro (seg.)
A investigação constatou que parte dos dados pessoais de cerca de 1,26 milhão de H2O IDs gerenciados no sistema de gestão de clientes havia vazado. Pedido de desculpas e comunicado publicados. Às 14h do mesmo dia, a E-STORES foi reaberta (após a conclusão das medidas para evitar novas ocorrências e das verificações de segurança, segundo a Hankyu Hanshin Department Stores).Até 20 de outubro
Nenhuma atualização na lista de notícias da H2O Retailing. Nenhum aviso de reabertura do site de reservas ou da Remo Order na lista de avisos da loja principal Hankyu Umeda.
As empresas dizem que, após confirmar o incidente, comunicaram imediatamente a Comissão de Proteção de Informações Pessoais do Japão e registraram um boletim de ocorrência de dano na delegacia local.
- Serviços
- O site de reservas dos department stores Hankyu e Hanshin, a HANKYU HANSHIN E-STORES e a Remo Order, todos operados pela Hankyu Hanshin Department Stores
- Via site de reservas: abrangência
- Cerca de 1,26 milhão de H2O IDs (registros, não necessariamente pessoas). “Embora a investigação esteja em andamento, parte dos dados pessoais de quase todos os membros com H2O ID vazou”
- Via site de reservas: itens
- H2O ID, nome (em kanji e katakana), sexo, endereço de e-mail, CEP, endereço, número de celular, telefone, idade, data de nascimento, serviços usados com o H2O ID
- Via E-STORES e Remo Order
- Se houve vazamento de dados está sob investigação. Os dados que esses serviços guardam: histórico de pedidos, parte das informações do cartão de crédito (tipo de cartão, últimos quatro dígitos, nome do titular, data de validade), parte das informações do cartão de pontos (tipo de cartão de pontos, últimos quatro dígitos), informações da lista de endereços
- Não armazenados
- Números completos dos cartões de crédito e códigos de segurança (dados de pagamento não são retidos). As empresas dizem que não há risco de uso indevido. Para os cartões de pontos, apenas os últimos quatro dígitos são guardados, por isso as empresas dizem que não há risco de uso indevido dos pontos
- Não confirmado
- Vazamento de senhas de login
- Causa (versão das empresas)
- Acesso não autorizado de um terceiro ao sistema de gestão de clientes por meio do site de reservas. A causa detalhada e a vulnerabilidade de segurança estão em análise e investigação
- Dano
- Nenhum uso indevido nem dano secundário que se considere resultante do incidente foi confirmado até o momento
- Feito
- Medidas emergenciais como bloqueio da comunicação não autorizada, interrupção dos sistemas dos três sites, medidas para impedir novos danos pelo mesmo método, comunicação à Comissão de Proteção de Informações Pessoais, boletim de ocorrência de dano na delegacia local, envio de e-mails aos membros com H2O ID em sequência
- Remetente dos e-mails de comunicado
- noreply@h2o-retailing.co.jp
- Contato
- Gratuito 0120-110-256 ou 0120-369-089 (todos os dias, das 10h às 20h, horário do Japão), formulário de contato https://h2o-id.h2o-retailing.co.jp/web/contact
O que se sabe e o que não se sabe
Situação em 20 de outubro de 2026. Quando houver uma atualização, a coluna de situação será revisada.
| Item | O que diz o comunicado | Situação |
|---|---|---|
| Vazamento de parte dos dados pessoais do H2O ID (via site de reservas) | Constatado que parte dos dados pessoais de cerca de 1,26 milhão de H2O IDs vazou; quase todos os membros | Vazamento confirmado (segundo as empresas) |
| Número de registros | Cerca de 1,26 milhão (contagem de H2O IDs; número de pessoas não informado), apresentado com “embora a investigação esteja em andamento” | Em investigação |
| Nome, sexo, idade, data de nascimento | Listados entre os itens via site de reservas | Vazamento confirmado (segundo as empresas) |
| Endereço, CEP, telefones e celular, endereço de e-mail | Listados entre os itens via site de reservas | Vazamento confirmado (segundo as empresas) |
| H2O ID; serviços usados com o H2O ID | Listados entre os itens via site de reservas | Vazamento confirmado (segundo as empresas) |
| Histórico de pedidos da E-STORES e da Remo Order | Listado como dado que os serviços guardam | Em investigação |
| Informações parciais do cartão de crédito na E-STORES e na Remo Order (tipo, últimos quatro dígitos, nome, validade) | Listadas como dados que os serviços guardam | Em investigação |
| Informações parciais do cartão de pontos na E-STORES e na Remo Order; informações da lista de endereços | Listadas como dados que os serviços guardam | Em investigação |
| Números completos dos cartões de crédito e códigos de segurança | Não armazenados de forma alguma | Não incluídos (segundo as empresas) |
| Senhas de login | Nenhum vazamento confirmado | Não confirmado (segundo as empresas) |
| Causa e como ocorreu | Acesso não autorizado via site de reservas; causa detalhada e vulnerabilidade em investigação | Em investigação |
| Dano secundário | Nenhum uso indevido ou dano secundário confirmado | Não confirmado (segundo as empresas) |
| Contato com os membros | Por e-mail, em sequência, a partir de noreply@h2o-retailing.co.jp | Confirmado (segundo as empresas) |
| Reabertura dos serviços | A E-STORES reabriu às 14h de 19 de outubro. O site de reservas e a Remo Order, assim que a segurança for confirmada | Confirmado (segundo as empresas) (apenas E-STORES) |
| Prevenção de novas ocorrências | As empresas dizem que vão investigar e reforçar a segurança. Sem detalhes | Não informado |
Como ler: o título diz "podem ter vazado", o texto diz "vazaram"
O título da seção 2 do comunicado diz “informações de clientes que podem ter vazado”. Já o texto sobre o site de reservas diz que “embora a investigação esteja em andamento, parte dos dados pessoais de quase todos os membros com H2O ID vazou”, e a seção 1 também afirma que o vazamento “foi constatado”. Este site segue a redação do texto e marca os itens via site de reservas como “Vazamento confirmado (segundo as empresas)”.
Para a E-STORES e a Remo Order, o comunicado diz apenas que “a possibilidade de vazamento está sob investigação” e lista os dados que os serviços guardam. Não diz que o histórico de pedidos ou as informações parciais do cartão vazaram. E “não confirmado” significa que nada foi encontrado até agora, não que nunca vá acontecer.
O que a combinação de dados vazados possibilita
Cada item é comum isoladamente, mas juntos ajudam a tornar mensagens golpistas convincentes. O quadro a seguir mostra o que pode ocorrer em geral, não uma afirmação de que tenha ocorrido neste caso.
Nome + endereço + telefone + data de nascimento
↓→
Ligações ou cartas falsas que conhecem seu endereço e data de nascimento, passando-se por verificação de identidade
→ Não trate o que eles sabem como prova / não use sua data de nascimento como PIN
Nome + endereço de e-mail + serviços que você usa
↓→
E-mails falsos endereçados a você pelo nome, que mencionam um serviço que você realmente usa
→ Não abra links / verifique no site oficial que você abrir por conta própria
Número de celular + nome
↓→
Mensagens falsas sobre “pontos prestes a expirar” ou uma “verificação de reserva”
→ Não informe senhas ou números de cartão / use um filtro de mensagens de spam
Na E-STORES e na Remo Order, se houve vazamento de dados ainda está sob investigação. Se uma apuração confirmar que informações da lista de endereços vazaram, não só os membros, mas também as pessoas cadastradas como destinatárias de presentes podem receber mensagens que usem entregas ou encomendas como pretexto (o comunicado não diz o que a lista de endereços contém, então isso pressupõe uma lista de endereços típica de loja online). Por enquanto, o máximo que você pode fazer é orientar as pessoas para quem costuma enviar presentes a não abrir links em mensagens de entrega inesperadas.
Não armazenados ou não confirmados, segundo o comunicado
- Números completos dos cartões e códigos de segurança (não armazenados)
- Senhas de login (nenhum vazamento confirmado)
- Uso indevido e dano secundário (nenhum confirmado até o momento)
Vazados (via site de reservas, segundo as empresas)
- Nome (em kanji e katakana), sexo, idade, data de nascimento (a data de nascimento não pode ser alterada)
- Endereço e CEP
- Telefones fixo e celular (difíceis de trocar)
- Endereço de e-mail e H2O ID
- Serviços usados com o H2O ID
Para quem administra um ID de membro compartilhado entre serviços
As empresas não divulgaram a causa detalhada, então esta seção não explica como evitar o problema e não é uma avaliação da resposta das empresas. Como acompanhar o número de registros de membros acessados é tratado no caso do app Yakiniku King. Aqui, focamos em um ponto que o próprio comunicado sustenta: um único ponto de entrada pode alcançar todos os membros de um ID compartilhado.
Liste o que cada serviço pode ver no sistema de gestão de clientes compartilhado
Segundo o comunicado, houve acesso não autorizado ao sistema de gestão de clientes via site de reservas, e parte dos dados de quase todos os membros com H2O ID gerenciados nesse sistema vazou. Em geral, com um ID de membro compartilhado, o ponto de entrada de um serviço pode alcançar dados de membros que nunca usaram esse serviço.
Na sua própria estrutura, faça uma tabela com os campos do sistema de gestão de clientes que cada serviço pode ler e gravar, e quantos registros por vez. Se um site de reservas só precisa dos dados da pessoa que faz a reserva, esse é um ponto de partida para não permitir que ele leia endereços ou datas de nascimento de outros membros.
Não armazenar números de cartão e divulgar com antecedência seu remetente
Segundo as empresas, os dados de pagamento não são retidos, e os números completos dos cartões e os códigos de segurança não são armazenados. É um exemplo de princípio geral: o que não está no sistema não pode vazar (sobre como dados de cartão ainda podem ser roubados por meio de uma página de pagamento adulterada, veja o caso PhotoGoods).
Este comunicado também informa o endereço remetente dos e-mails, o que ajuda os membros a identificar o verdadeiro. Antes que algo aconteça, defina o remetente que você usará para comunicados importantes aos membros, divulgue-o e configure a autenticação do remetente (como impedir e-mails falsificados com SPF, DKIM e DMARC).
Fontes (registros públicos)
Os fatos deste artigo se baseiam nas seguintes informações públicas. Não especulamos sobre rotas ou métodos de invasão não divulgados.
- H2O Retailing Corporation e Hankyu Hanshin Department Stores, Inc., “Pedido de desculpas e comunicado sobre acesso não autorizado por terceiro e vazamento de informações pessoais” (19 de outubro de 2026, em japonês) — h2o-retailing.co.jp (PDF)
- Hankyu Hanshin Department Stores, Inc., “Pedido de desculpas e comunicado sobre acesso não autorizado por terceiro e vazamento de informações pessoais” (19 de outubro de 2026, comunicado aos clientes, em japonês) — hankyu-dept.co.jp (PDF)
- Hankyu Hanshin Department Stores, Inc., “Aviso de reabertura da loja online oficial HANKYU HANSHIN E-STORES” (19 de outubro de 2026, em japonês) — hankyu-dept.co.jp (PDF)
- Lista “Comunicados à imprensa” da H2O Retailing (consultada em 20 de outubro de 2026; nenhuma atualização sobre este incidente) — h2o-retailing.co.jp
- Lista “Avisos” da loja principal Hankyu Umeda (consultada em 20 de outubro de 2026; nenhum aviso de reabertura do site de reservas ou da Remo Order) — hankyu-dept.co.jp
Histórico de atualizações
2026-10-20: Primeira versão, baseada no comunicado de 19 de outubro da H2O Retailing e da Hankyu Hanshin Department Stores, no aviso de reabertura da E-STORES da Hankyu Hanshin Department Stores (19 de outubro) e nas listas de avisos das duas empresas (consultadas em 20 de outubro). As empresas dizem que a investigação sobre a causa detalhada continua; este artigo será atualizado quando houver uma nova informação oficial.
Leia a seguir
- Outro comunicado de serviço para membros: o comunicado da Nifty sobre acesso não autorizado ao sistema de gestão de solicitações de conexão
- Proteção contra golpes derivados: O que é phishing? / Noções básicas de segurança do smartphone
- Senhas: Como escolher um gerenciador de senhas / Como verificar se sua senha vazou
- Casos semelhantes (nomes, datas de nascimento e telefones vazados): Vazamento no app do Burger King Japão / Vazamento no app e na loja online da MrMax
- Outros incidentes em 2026: Lista de vazamentos de dados e ciberataques (Japão e mundo)