Para: pessoas que receberam itens pelo Ichiban Kuji ONLINE e operadores de lojas on-line que entregam a expedição a uma empresa de logística externa. Este artigo se baseia no comunicado oficial da BANDAI NAMCO Holdings, da BANDAI SPIRITS e da Bandai Logipal e não trata de técnicas de ataque ou de golpe.
Em andamento: este artigo será atualizado conforme a organização publicar novas informações
Em 28 de outubro de 2026Ainda não se sabe
- Quantas pessoas foram afetadas, e quem (qual período de dados de entrega)
- Como o acesso não autorizado ocorreu, e sua causa
- Quando o sistema de expedição será reativado
- Como as pessoas afetadas foram alertadas
- Como os pedidos e as entregas do Ichiban Kuji ONLINE são afetados
Em seu primeiro comunicado, de 26 de outubro, as três empresas dizem que detalhes como o número de pessoas afetadas estão atualmente em investigação e serão anunciados quando conhecidos. Elas publicarão uma atualização quando a segurança do sistema de expedição for confirmada e ele voltar a ser usado, e quando surgirem novos fatos que devam ser anunciados, como o número. Quando este site verificou a lista de comunicados à imprensa da BANDAI NAMCO Holdings e a lista de notícias do Ichiban Kuji ONLINE em 28 de outubro, nenhuma atualização (segundo comunicado) havia sido publicada.
O que quem recebeu itens pelo Ichiban Kuji ONLINE deve fazer hoje
Não responda nada na hora quando receber uma ligação inesperada
As três empresas dizem que podem chegar ligações telefônicas suspeitas relacionadas ao incidente. Assuntos como "envio do seu prêmio do Ichiban Kuji", "confirmação do seu endereço de entrega" ou "um pedido de desculpas e uma compensação pelo vazamento de dados" soam naturais para quem já usou o Ichiban Kuji ONLINE.
Quem liga conhecer seu nome ou seu endereço não prova que a ligação é verdadeira, porque essas são exatamente as informações que podem ter vazado. Se pedirem um número de cartão, dados bancários, um código de verificação ou sua data de nascimento, não responda; desligue e verifique você mesmo com o canal de contato oficial.
Não entre em contato com números de telefone, URLs ou QR codes impressos em cartas
As empresas também mencionam que podem chegar correspondências suspeitas. Em geral, alguém que conhece seu endereço pode enviar cartas disfarçadas de cobranças, avisos de prêmios ou ofertas de reembolso e compensação. Não use os dados de contato da carta; verifique pelo site oficial do Ichiban Kuji ONLINE, aberto por você mesmo.
Para verificar qualquer coisa, use o formulário de contato do site oficial
O canal de contato para membros do Ichiban Kuji ONLINE indicado no comunicado é o formulário de contato do Ichiban Kuji ONLINE (on-line.1kuji.com). Nenhum número de telefone é informado no comunicado. Use esse formulário em vez de qualquer outro canal de contato passado a você por telefone, correio ou e-mail.
Se receber um alerta das empresas, confira o conteúdo no site oficial
As empresas dizem que em 26 de outubro alertaram as pessoas cujos dados se suspeita que vazaram, mas não dizem como (por exemplo, por e-mail ou pelo correio). Como mensagens falsas podem ser feitas para parecer um aviso verdadeiro, não use links nem números de telefone de um aviso que você receber; consulte as notícias e o formulário de contato do site oficial.
Os cartões estão excluídos, e as senhas não são mencionadas
As empresas dizem que dados de cartão de crédito não foram incluídos, e as senhas não estão na lista de dados que podem ter vazado. O comunicado não pede que os membros troquem suas senhas. Se você reutiliza a mesma senha em outros serviços, é um bom momento para mudar isso, o que também ajuda contra futuras mensagens falsas (veja Como escolher um gerenciador de senhas).
O que aconteceu (segundo o comunicado das três empresas)
Em 26 de outubro de 2026, a BANDAI NAMCO Holdings Inc., a BANDAI SPIRITS CO., LTD. e a Bandai Logipal Co., Ltd. publicaram o "Aviso sobre acesso não autorizado à Bandai Logipal Co., Ltd. (primeiro comunicado)". A Bandai Logipal é a subsidiária de logística da BANDAI NAMCO Holdings. O Ichiban Kuji ONLINE é um serviço da BANDAI SPIRITS, que terceiriza a entrega de seus produtos para a Bandai Logipal. Tudo o que está abaixo vem do comunicado das três empresas.
21 de outubro de 2026 (qua.)
Indícios de acesso não autorizado encontrados em um servidor do sistema de logística gerenciado pela Bandai Logipal. O servidor foi desligado imediatamente e uma investigação sobre a causa e o alcance começou. No mesmo dia, a empresa confirmou que operações foram realizadas por meio do uso indevido de uma conta da empresa, e tomou medidas de emergência.22 de outubro (qui.)
A Bandai Logipal montou uma força-tarefa interna e investigou todo o sistema de logística. Foram confirmados indícios de acesso não autorizado no servidor que armazena os dados de entrega do Ichiban Kuji ONLINE, e verificou-se que havia suspeita de vazamento de parte dos dados de clientes cadastrados.23 de outubro (sex.)
Foi identificado até onde as operações não autorizadas podem ter chegado. A empresa decidiu parar o sistema até concluir a investigação completa e as contramedidas, e começou a desligá-lo.24 de outubro (sáb.)
O sistema de logística em questão foi parado.26 de outubro (seg.)
Informadas a polícia e a Comissão de Proteção de Informações Pessoais. As pessoas cujos dados se suspeita que vazaram foram alertadas, e os parceiros comerciais afetados pela parada do sistema foram notificados. O primeiro comunicado foi publicado.
BANDAI SPIRITS: Ichiban Kuji ONLINE
Terceiriza a entrega de produtos para a Bandai Logipal
Sistema de logística da Bandai Logipal
Indícios de acesso não autorizado no servidor que armazena os dados de entrega do Ichiban Kuji ONLINE
Nomes, endereços e telefones podem ter vazado. Dados de cartão não incluídos (as três empresas)
↓ O que pode acontecer (em geral)
Ligações ou cartas suspeitas que alegam ser do Ichiban Kuji ou da Bandai
Não responda na hora; verifique pelo formulário de contato do site oficial
- Sistema acessado
- Um sistema gerenciado pela Bandai Logipal (um servidor de seu sistema de logística). Foram confirmados indícios de acesso não autorizado no servidor que armazena os dados de entrega do Ichiban Kuji ONLINE
- Dados que podem ter vazado
- Dados de entrega do Ichiban Kuji ONLINE (nome, endereço, telefone)
- Não incluído
- Dados de cartão de crédito
- Número de afetados
- Em investigação (será anunciado quando conhecido)
- Uso indevido
- Nenhum confirmado até agora
- O que foi parado
- O sistema de logística em questão foi parado em 24 de outubro. O texto principal diz que o sistema de expedição em questão da Bandai Logipal está suspenso desde 26 de outubro até que sua segurança seja confirmada
- Comunicações às autoridades
- Informadas a polícia e a Comissão de Proteção de Informações Pessoais em 26 de outubro
- Contato
- Para membros do Ichiban Kuji ONLINE: o formulário de contato do Ichiban Kuji ONLINE (on-line.1kuji.com)
O que se sabe e o que não se sabe
Organizado a partir do primeiro comunicado das três empresas, de 26 de outubro, em 28 de outubro de 2026. Quando uma atualização for publicada, a coluna de situação será atualizada.
| Item | O que o comunicado diz | Situação |
|---|---|---|
| Nome (dados de entrega) | Listado entre os dados pessoais que podem ter vazado | Possível (as três empresas) |
| Endereço (dados de entrega) | Listado entre os dados pessoais que podem ter vazado | Possível (as três empresas) |
| Telefone (dados de entrega) | Listado entre os dados pessoais que podem ter vazado | Possível (as três empresas) |
| Dados de cartão de crédito | Não incluídos | Não incluído (as três empresas) |
| Endereço de e-mail | Não está na lista de dados que podem ter vazado | Não mencionado |
| Senha | Não está na lista de dados que podem ter vazado | Não mencionado |
| Conteúdo dos pedidos (nomes dos itens etc.) | Não está na lista de dados que podem ter vazado | Não mencionado |
| Número de pessoas afetadas, e quem | Atualmente em investigação; será anunciado quando conhecido | Em investigação |
| Uso indevido | Nenhum confirmado até agora | Não confirmado (as três empresas) |
| Uso indevido de conta | Em 21 de outubro, foram confirmadas operações por meio do uso indevido de uma conta da Bandai Logipal | Confirmado (as três empresas) |
| Como o acesso ocorreu, e sua causa | Não informado (as empresas dizem que começaram a identificar e responder ao método de ataque) | Não mencionado |
| Alertas às pessoas afetadas | Enviados em 26 de outubro; método não informado | Confirmado (as três empresas) |
| Suspensão e reativação do sistema de expedição | Suspenso desde 26 de outubro; uma atualização será publicada quando for reativado | Confirmado (as três empresas) |
| Efeito nos pedidos e entregas do Ichiban Kuji ONLINE | Não informado | Não mencionado |
Não mencionado não significa que não vazou
Endereços de e-mail, senhas e conteúdo dos pedidos simplesmente não constam da lista de dados que podem ter vazado; as empresas não dizem que foram excluídos (os dados de cartão de crédito são o único item que elas dizem expressamente que não foi incluído). Além disso, a cronologia do comunicado diz que "o sistema de logística em questão" foi parado em 24 de outubro, enquanto o texto principal diz que "o sistema de expedição em questão" está suspenso desde 26 de outubro. A relação entre os dois não é explicada, então este artigo usa a redação do comunicado como está.
O que pode acontecer com um nome, um endereço e um telefone
Em geral, quando o nome, o endereço e o telefone de um destinatário estão ligados ao fato de ele ter usado o Ichiban Kuji ONLINE, pode acontecer o seguinte (não há anúncio de que algo disso tenha acontecido neste incidente, e as empresas dizem que nenhum uso indevido foi confirmado até agora).
O que pode acontecer em geral
- Ligações que alegam ser do Ichiban Kuji ou da Bandai, usando como pretexto "envio do seu prêmio" ou "confirmação do seu endereço de entrega"
- Ligações que se apresentam como "compensação pelo vazamento de dados" ou "reembolso" para obter dados bancários ou de cartão
- Cartas disfarçadas de cobranças, avisos de prêmios ou pedidos de desculpas que direcionam você para dados de contato falsos
- Mensagens de texto para o seu telefone que se passam por uma transportadora ou loja on-line
O que você pode fazer
- Ao telefone, não responda na hora; desligue primeiro
- Verifique pelo site oficial aberto por você mesmo, não pelos dados de contato de uma carta
- Nunca informe números de cartão, dados bancários ou códigos de verificação por telefone ou pelo correio
- Use o formulário de contato indicado no comunicado para tirar dúvidas
Ligações telefônicas e cartas não passam por um filtro de spam como o e-mail, e as pessoas tendem a confiar em quem liga ou escreve se essa pessoa conhece seu nome e endereço. Para um caso anterior em que vazaram dados de destinatários de entregas, o vazamento da Yamato Transport e da Sagawa Express também explica como se preparar para falsos avisos de entrega não realizada e cobranças.
Para operadores que entregam a expedição a uma empresa de logística externa
Como o acesso não autorizado ocorreu não foi divulgado. Esta seção se limita ao que pode ser dito a partir da cronologia publicada (são pontos gerais a revisar, não suposições sobre a causa).
Saiba onde os dados de entrega repassados à logística ficam guardados, e por quanto tempo
Neste caso, os dados que podem ter vazado são dados de entrega que o operador de um serviço on-line repassou a uma empresa de logística (no comunicado, ambas são empresas do grupo Bandai Namco). Em geral, nomes, endereços e telefones repassados para a entrega podem permanecer nos servidores da logística depois que o envio é concluído. Combinar com o contratado por quanto tempo os dados são mantidos, e que depois sejam excluídos, reduz o número de pessoas afetadas se ocorrer um incidente.
Torne visível e perceptível a atividade das contas de trabalho
Segundo o comunicado, no mesmo dia em que os indícios foram encontrados, a empresa confirmou que operações foram realizadas por meio do uso indevido de uma conta. Ele não diz como a conta foi usada indevidamente. Em geral, proteger as contas de sistemas de logística e outros sistemas de trabalho com autenticação multifator, e registrar a atividade para poder verificar horários ou operações incomuns, ajuda a perceber problemas mais cedo.
Defina com antecedência quem avisa quem, e o quê, quando um sistema é parado
Neste caso, o servidor foi desligado no dia em que os indícios foram encontrados; o sistema de logística em questão foi parado 3 dias depois, e o comunicado e os relatos às autoridades vieram 5 dias depois. O comunicado diz que os parceiros comerciais afetados pela parada também foram notificados. Em geral, parar um sistema de logística afeta o serviço on-line do cliente e as remessas dos parceiros. Defina com antecedência, no contrato e nos procedimentos, quem avisa os usuários do serviço do cliente e como.
Fontes (registros públicos)
Os fatos deste artigo se baseiam nas informações públicas abaixo. Números, causas e métodos de ataque que não foram divulgados não são objeto de suposições.
- BANDAI NAMCO Holdings Inc., BANDAI SPIRITS CO., LTD. e Bandai Logipal Co., Ltd., "Aviso sobre acesso não autorizado à Bandai Logipal Co., Ltd. (primeiro comunicado)" (em japonês, 26 de outubro de 2026, PDF; verificado em 28 de outubro) — bandainamco.co.jp
- Lista de notícias do Ichiban Kuji ONLINE (em japonês; verificada em 28 de outubro, sem aviso sobre este incidente) — on-line.1kuji.com
Histórico de atualizações
2026-10-28: Primeira versão, com base no primeiro comunicado das três empresas, de 26 de outubro. Este artigo será atualizado quando forem publicadas atualizações sobre o número, a reativação do sistema de expedição ou outros detalhes.
Leia em seguida
- Outro caso em que vazaram dados de destinatários de entregas: O vazamento da Yamato Transport e da Sagawa Express (remetentes e destinatários de encomendas)
- Outro caso em uma loja de anime e artigos de hobby: O vazamento da Lashinbang
- Como identificar mensagens falsas: O que é phishing? / Noções básicas de segurança do smartphone
- Outros incidentes de 2026: Lista de vazamentos de dados e ciberataques (Japão e mundo)