Para: qualquer pessoa com um Lawson ID (a conta usada nos apps e serviços web da Lawson), qualquer pessoa que reservou produtos pelo Lawson App Reservation e qualquer pessoa que administre um app ou serviço web de membros. Este artigo se baseia no comunicado oficial da Lawson, Inc. e não trata de técnicas de ataque.
Em andamento: este artigo será atualizado conforme a organização publicar novas informações
- Quem é afetado
qualquer pessoa com um Lawson ID (a conta usada nos apps e serviços web da Lawson), qualquer pessoa que reservou produtos pelo Lawson App Reservation e qualquer pessoa que administre um app ou serviço web de membros.
- Confirmado até agoraVer a tabela ↓
- Período do acesso não autorizado
- Registros e dados do Lawson ID
- Registros e dados do App Reservation
Mais 1
- Reabertura do App Reservation
- Ainda não confirmado
- Detalhes do mecanismo que foi usado indevidamente
- Como a empresa percebeu o acesso
- Andamento dos e-mails de notificação individual
- O que fazer agoraVer os passos ↓
- Não abra links em e-mails ou mensagens que se apresentem como da Lawson
- Mesmo que chegue um e-mail de notificação, verifique pelo app oficial
- As senhas não estão entre os dados vazados, então atenção ao lugar onde você digita a sua
Mais 2
- Os 26 usuários do App Reservation devem conferir os extratos do cartão
- Envie dúvidas para o contato indicado no comunicado oficial
- Onde verificar (fonte)Todas as fontes ↓
- Lawson, Inc., comunicado de desculpas sobre vazamento de dados pessoais causado por acesso não autorizado de terceiro (8 de outubro de 2026, adendos de 13 e 19 de outubro, em japonês)
- Última verificação
- Em 20 de outubro de 2026
Próximos avisos e o que verificamos
O comunicado não diz que novos resultados da investigação serão divulgados. O Lawson App Reservation foi reaberto em 19 de outubro (adendo do mesmo dia); a partir de 19 de outubro, o app da Lawson precisa ser atualizado antes do uso. Em 13 de outubro, foi acrescentado um segundo endereço remetente para os e-mails individuais. A mesma página, consultada em 20 de outubro, não contém novos resultados da investigação.
O que os titulares do Lawson ID devem fazer hoje
Não abra links em e-mails ou mensagens que se apresentem como da Lawson
E-mails e nomes vazaram e, para algumas pessoas, também telefones e endereços. A empresa pede cuidado com e-mails, mensagens de texto e ligações suspeitos enviados para os dados de contato cadastrados no seu Lawson ID.
Mensagens falsas imitando a Lawson já existiam antes deste incidente. Em junho de 2026, a empresa alertou sobre sites falsos que se passavam por sorteios ou campanhas de vales gratuitos para coletar dados pessoais. Quer a mensagem diga "seus pontos estão expirando", "resgate seu cupom" ou "você ganhou", não abra o link e não informe seu ID, senha ou dados do cartão (como identificar: O que é phishing?).
Mesmo que chegue um e-mail de notificação, verifique pelo app oficial
A Lawson diz que está entrando em contato com as pessoas afetadas individualmente a partir de "Lawson ID Mail". O comunicado lista dois endereços remetentes: lawson_id@mailservice.lawson.jp e lawson_id@id.lawson.jp (o segundo foi acrescentado em um adendo de 13 de outubro, informando que o endereço remetente havia sido incluído conforme exibido). A empresa também publicou um aviso no app da Lawson.
Porém, o remetente exibido em um e-mail pode ser falsificado. Em um caso separado anunciado em 1º de outubro (sobre uso indevido do seu servidor de e-mail), a própria Lawson divulgou exemplos em que o endereço remetente havia sido disfarçado para parecer de terceiros. Mesmo que uma notificação pareça real, verifique pelo app oficial na sua tela inicial ou por um favorito, e não pelos links do e-mail.
As senhas não estão entre os dados vazados, então atenção ao lugar onde você digita a sua
As senhas não estão entre os itens que a empresa diz terem vazado, e ela não pediu que as pessoas as troquem.
O mais provável é uma página de login falsa enviada para um endereço de e-mail vazado, na qual você digita sua senha. Fazer login apenas pelo app oficial reduz muito esse risco. Se você usa a senha do Lawson ID em outros serviços, torne-as diferentes independentemente deste incidente, para que um vazamento em outro lugar não se espalhe (um gerenciador de senhas facilita isso).
Os 26 usuários do App Reservation devem conferir os extratos do cartão
Para o Lawson App Reservation, os dados vazados são nome, telefone e parte do número do cartão de crédito. A empresa diz que nenhum uso indevido foi confirmado. Um número parcial geralmente não é suficiente para fazer compras online, mas confira seus extratos e entre em contato com a emissora do cartão sobre qualquer cobrança que você não reconheça. Se alguém que se apresente como sua "empresa de cartão" pedir o restante do número ou sua senha, não responda.
Envie dúvidas para o contato indicado no comunicado oficial
O contato indicado no comunicado é o formulário específico do Centro de Atendimento ao Cliente da Lawson (lawson-faq.lawson.co.jp). Não há número de telefone informado. Para quem já informou dados em uma mensagem falsa, o alerta de junho da empresa recomenda consultar a delegacia mais próxima ou o setor de orientação sobre crimes cibernéticos da sede da polícia estadual.
O que aconteceu (segundo a Lawson)
As informações a seguir se baseiam no comunicado da Lawson de 8 de outubro de 2026.
12–14 de setembro de 2026
O Lawson ID foi acessado sem autorização (segundo a investigação da empresa).17 de setembro
O Lawson App Reservation foi acessado sem autorização (segundo a investigação da empresa).7 de outubro
Uma investigação da empresa constatou o acesso não autorizado acima.8 de outubro
A empresa publicou um pedido de desculpas e um comunicado. Ela diz ter bloqueado as fontes de acesso suspeitas, suspendido o App Reservation, publicado um aviso no app, começado a entrar em contato individualmente com as pessoas afetadas e comunicado a Comissão de Proteção de Informações Pessoais e outros órgãos.13 de outubro
Adendo ao comunicado: "lawson_id@id.lawson.jp" foi acrescentado como endereço remetente dos e-mails individuais.19 de outubro
A função App Reservation suspensa foi reaberta. É necessário atualizar o app para usar o app da Lawson (adendo do mesmo dia).
- Lawson ID
- 2.155.345 registros. E-mail, nome
- Apenas para quem os informou
- Gênero, telefone, endereço, preferência de newsletter (se informados, por exemplo ao se inscrever em um sorteio com o Lawson ID)
- Lawson App Reservation
- 26 registros. Nome, telefone, parte do número do cartão de crédito
- Não listados
- Senhas, número completo do cartão, data de validade e código de segurança não estão listados entre os dados vazados
- Causa descrita
- Um sistema relacionado ao app da Lawson foi usado indevidamente. Um mecanismo de segurança destinado a mostrar ao próprio usuário suas informações no app foi acessado sem autorização por um terceiro
- Outros impactos
- A empresa confirmou que não houve outros acessos não autorizados nem infecção por malware
- Medidas de prevenção
- Segurança reforçada dos sistemas afetados, monitoramento mais rigoroso e uma estrutura de resposta a incidentes mais forte
O que se sabe e o que não se sabe
Conteúdo do comunicado oficial consultado em 20 de outubro de 2026. Quando surgirem novidades, a coluna de status será atualizada.
| Item | O que o comunicado diz | Situação |
|---|---|---|
| Período do acesso não autorizado | Lawson ID: 12–14 de setembro. App Reservation: 17 de setembro | Confirmado (segundo a investigação da empresa) |
| Registros e dados do Lawson ID | 2.155.345. E-mail, nome (mais gênero, telefone, endereço, preferência de newsletter, se informados) | Vazamento confirmado |
| Registros e dados do App Reservation | 26. Nome, telefone, parte do número do cartão | Vazamento confirmado |
| Senhas | Não listadas entre os dados vazados. Nenhum pedido de troca | Não listadas |
| Causa | Uso indevido de um sistema relacionado ao app. O mecanismo de segurança que mostra aos usuários suas próprias informações foi acessado sem autorização | Descrita (detalhes não divulgados) |
| Qual foi a falha e como foi usada indevidamente | Não tratado no comunicado | Não divulgado |
| Uso indevido ou dano secundário | Não confirmado até 8 de outubro | Nenhum confirmado |
| Contato com as pessoas afetadas | E-mails individuais do Lawson ID Mail (lawson_id@mailservice.lawson.jp ou lawson_id@id.lawson.jp), um após o outro | Em andamento |
| Reabertura do App Reservation | Reaberto em 19 de outubro; atualização do app necessária a partir de 19 de outubro | Confirmado (empresa) |
'Não confirmado' não significa 'não vai acontecer'
A afirmação da empresa de que nenhum uso indevido ou dano secundário foi confirmado descreve a situação em 8 de outubro. Mensagens falsas que usam os e-mails e nomes vazados podem chegar algum tempo após o vazamento. Pelo menos nos próximos meses, mantenha o hábito de não abrir mensagens da Lawson pelos links delas.
Para que podem ser usados e-mails, nomes e telefones
De forma geral, as combinações abaixo tornam possíveis os tipos de uso indevido indicados. Isso não significa que tenha acontecido neste caso.
- E-mail + nome: e-mails com "pontos expirando", "você ganhou" ou "pedido de desculpas" com seu nome correto, que parecem mais legítimos
- Telefone + nome: mensagens de texto ou ligações que se apresentam como da Lawson ou de uma transportadora
- Endereço + nome: cartas ou cartões postais falsos
- Nome + telefone + número parcial do cartão: uma ligação falsa de "empresa de cartão" que confirma "os últimos dígitos são …" para parecer genuína e depois pede o restante do número ou a senha
Um caso semelhante, em que nomes e e-mails vazaram de um app de membros, é o incidente do app e da loja online MrMax, anunciado em 6 de outubro de 2026. O que o leitor deve fazer é o mesmo para esta combinação de dados.
Para quem administra um app de membros: como verificar funções que mostram ao usuário os próprios dados
A Lawson diz que o mecanismo de segurança destinado a mostrar ao próprio usuário suas informações no app foi acessado sem autorização. Ela não divulgou qual foi a falha nem como foi usada indevidamente. Esta seção não avalia o sistema nem a resposta da Lawson; ela trata do que operadores com o mesmo tipo de função podem verificar em seu próprio serviço.
Muitos apps têm funções que devolvem os próprios dados do usuário logado: uma "minha página", dados de membro, histórico de reservas ou pedidos. Para esse tipo de função, o servidor precisa verificar, em cada requisição, que o dono dos dados devolvidos é a pessoa logada. Se o servidor confiar em um número de membro enviado na requisição e devolver os dados desse membro, trocar o número retorna os dados de outra pessoa. Esse tipo de falha é chamado de IDOR, e acontece quando se confunde verificar quem é alguém (autenticação) com verificar o que essa pessoa pode ver (autorização) — veja autenticação vs. autorização. A Lawson não afirmou que essa foi a causa.
App: "Mostrar meus dados de membro"
↓→
Servidor: quem está logado?
Definido pela sessão de login, não por um número de membro na requisição
↓→
Devolver apenas os dados desse membro
Monitoramento: número de membros diferentes exibidos por login ou por origem
Em uma função de "dados próprios" isso normalmente é um. Alertar a partir de dois
Liste cada função que devolve os dados do próprio usuário e verifique se a posse é validada no servidor
Anote cada função que devolve os dados do usuário logado: minha página, dados de membro, histórico de reservas e pedidos, saldo de pontos, lista de cupons. Inclua as APIs (os endpoints que o app usa para buscar dados no servidor) por trás do app.
Em cada uma, verifique se o dono dos dados devolvidos é definido pela sessão de login. Quando for usado um número de membro enviado pelo app, altere para que ele seja conferido com o membro logado em cada requisição. Ao mesmo tempo, verifique se a resposta inclui campos que a tela nunca mostra.
Conte quantos membros diferentes cada login recebeu e alerte a partir de dois
Uma função que mostra ao usuário os próprios dados, usada corretamente, envolve exatamente um membro por login. Assim, a partir dos registros de acesso dessa função, conte quantos dados de membros diferentes foram devolvidos por login (ou por origem) por hora.
O uso normal resulta em um, então alerte o responsável quando houver dois ou mais. O monitoramento por volume deixa passar a extração lenta e em pequenos lotes; essa contagem sinaliza já o primeiro registro que não se encaixa. Se seus registros não mostram de quem são os dados devolvidos, comece registrando isso.
Torne as funções desligáveis uma a uma
Depois de identificar o problema, a Lawson suspendeu a função App Reservation. Em um serviço de membros, uma chave que desliga uma função enquanto as outras continuam funcionando reduz o tempo entre a descoberta e a contenção.
Visão deste site: funções que mostram os dados de apenas um usuário são as mais fáceis de monitorar
O monitoramento baseado em volume tem dificuldade para separar abuso de carga normal. Uma função que mostra ao usuário os próprios dados tem um formato normal claro — um membro por login —, então contar membros distintos basta para perceber algo errado. No caso do Lawson ID, passaram-se cerca de três semanas entre o acesso não autorizado (12–14 de setembro) e a descoberta (7 de outubro). Esse tipo de contagem é uma forma barata de os operadores perceberem o problema primeiro.
Fontes (registros públicos)
Os fatos deste artigo vêm dos registros públicos abaixo. Técnicas não divulgadas não são especuladas.
- Lawson, Inc., comunicado de desculpas sobre vazamento de dados pessoais causado por acesso não autorizado de terceiro (8 de outubro de 2026, adendos de 13 e 19 de outubro, em japonês) — lawson.co.jp
- Lawson, Inc., comunicado sobre e-mails suspeitos enviados pelo uso indevido do servidor de e-mail da empresa (1º de outubro de 2026, comunicado separado, em japonês) — lawson.co.jp
- Lawson, Inc., alerta sobre e-mails suspeitos e sites falsos que imitam a Lawson (5 de junho de 2026, em japonês) — lawson.co.jp
Histórico de atualizações
2026-10-20: Incluído o adendo de 19 de outubro: o Lawson App Reservation foi reaberto, e o app deve ser atualizado antes do uso.
2026-10-14: Incluído o adendo de 13 de outubro: "lawson_id@id.lawson.jp" foi acrescentado como endereço remetente dos e-mails individuais, passando a haver dois. Nenhum novo resultado da investigação foi publicado.
2026-10-11: Conferido com os comunicados oficiais; corrigida a descrição do caso separado de 1º de outubro (endereços remetentes disfarçados para parecer de terceiros) e a fonte do conselho de consulta à polícia (o alerta de 5 de junho).
2026-10-10: Primeira versão, com base no comunicado da Lawson de 8 de outubro (sem novidades até 10 de outubro). Será atualizado quando a reabertura do App Reservation ou novos resultados da investigação forem anunciados.
Leia a seguir
- Um caso de serviço de troca de pontos: Acesso não autorizado ao Netmile, operado pela Wills (até cerca de 5,49 milhões de pessoas)
- Casos semelhantes: Vazamento de dados pessoais do app e da loja online MrMax / Violação do CAPCOM ID da Capcom
- Para operadores: O que é IDOR? / Autenticação vs. autorização
- Mensagens falsas e senhas: O que é phishing? / Como verificar se sua senha vazou
- Outros incidentes de 2026: Vazamentos de dados e ciberataques de 2026