Para: membros da loja online japonesa da Lindt e do app oficial, e quem administra um site de membros em uma plataforma externa de e-commerce. Este artigo se baseia no comunicado oficial da Lindt & Sprüngli Japão e nos comunicados da própria terceirizada, e não trata de técnicas de ataque ou golpes.
Em andamento: este artigo será atualizado conforme a organização publicar mais informações
Em 26 de outubro de 2026Ainda não se sabe
- Detalhes do método de ataque (a empresa diz que não os divulgará)
- Resultados da investigação da empresa externa de segurança
- Qual método de hash foi usado nas senhas
- Quando a loja online será reaberta e como trocar as senhas
- Medidas específicas para evitar recorrência
No comunicado de 23 de outubro, a empresa disse que publicará prontamente na página de aviso qualquer novo fato. Quando este site consultou a página em 26 de outubro, nada havia sido acrescentado e nenhum acompanhamento havia sido publicado.
O que os membros da Lindt Japão devem fazer hoje
Verifique se você foi afetado: procure um e-mail a partir de 26 de outubro
Os dados afetados são os de membros cadastrados na loja online e no app oficial. Membros que já haviam cancelado a associação até 0h16 de 18 de outubro, quando os dados foram acessados, não estão incluídos.
A empresa diz que enviará e-mails aos membros afetados no endereço cadastrado a partir de segunda-feira, 26 de outubro, e que, para quem não receber o e-mail, a página de aviso serve como notificação. Se não tiver certeza de que um e-mail é verdadeiro, não use seus links; abra o aviso no site oficial por conta própria.
Se você usou a senha da Lindt em outros serviços, troque-a lá agora
Os itens vazados incluem a senha de login. A empresa diz que ela foi armazenada com hash (convertida em uma forma que não pode ser lida diretamente), mas o método de hash não foi divulgado. Senhas curtas ou comuns podem, às vezes, ser descobertas com o tempo (veja O que é hash de senha?).
A empresa também pede que os membros que usam a mesma senha em outros serviços a troquem lá. Use uma senha diferente para cada serviço e ative a verificação em duas etapas quando possível (veja como começar com a verificação em duas etapas).
Troque a própria senha da Lindt quando o aviso de reabertura for publicado
Enquanto a loja online estiver suspensa, a senha da Lindt não pode ser trocada. A empresa diz que pretende pedir aos membros que a troquem quando a loja for reaberta, e explicará como fazer isso na página de aviso.
Se um e-mail ou mensagem de texto pedir que você troque sua senha agora por meio de um link, não use o link. Confira o procedimento no site oficial que você abrir por conta própria.
Não siga instruções em e-mails, mensagens de texto, ligações ou cartas que se apresentem como da Lindt
A empresa alerta que os dados vazados podem ser usados em e-mails, mensagens de texto, ligações ou cartas suspeitos que se façam passar pela empresa ou por sua loja online. Ela diz que nunca pedirá senhas ou dados de cartão de crédito por e-mail ou telefone.
Como endereços e telefones também vazaram, contatos falsos podem não chegar apenas por e-mail. Se alguém pedir informações por telefone, desligue e ligue de volta para o número do aviso oficial (veja O que é phishing?). A empresa pede que os membros denunciem contatos suspeitos aos canais indicados na página de aviso.
Por que a data de nascimento, a loja cadastrada e o último login importam
Além de nome, endereço e telefone, o vazamento inclui a data de nascimento, a loja que o membro cadastrou como sua loja habitual, a data de cadastro e a data do último login. Juntos, esses dados permitem escrever mensagens que mencionam corretamente quando você se cadastrou e em qual loja você compra. Acertar esses detalhes não comprova que uma mensagem é verdadeira.
O que aconteceu (segundo o comunicado da Lindt Japão)
Em 23 de outubro de 2026, a Lindt & Sprüngli Japan K.K. publicou em seu site oficial "Pedido de desculpas e aviso sobre vazamento de dados pessoais causado por acesso não autorizado a uma terceirizada". Salvo indicação em contrário, tudo o que está abaixo vem desse comunicado. A empresa diz que os fatos se baseiam no relatório da terceirizada e podem mudar à medida que a investigação avançar.
17 de outubro de 2026, 23h02 a 18 de outubro, 0h16 (horário do Japão)
O servidor da terceirizada foi acessado de fora ao explorar uma vulnerabilidade em software usado nele, e os dados de contas de membros compartilhados pela loja online e pelo app oficial foram obtidos (relatório da terceirizada).19 de outubro (segunda-feira)
A terceirizada comunicou o incidente à empresa. A terceirizada identificou e bloqueou a rota de invasão e aplicou medidas contra a vulnerabilidade explorada (relatório da terceirizada). Segundo o próprio comunicado da terceirizada, ela identificou o acesso suspeito por volta das 15h30 durante o monitoramento do sistema.21 de outubro (quarta-feira), 16h00
A loja online foi suspensa para evitar novos danos.23 de outubro (sexta-feira)
A empresa anunciou o incidente em seu site oficial. A linha telefônica exclusiva para membros foi aberta às 11h. No momento do anúncio, a empresa disse que havia comunicado à Comissão de Proteção de Informações Pessoais do Japão, em conjunto com a terceirizada, e que a terceirizada estava consultando a polícia.26 de outubro (segunda-feira)
Os e-mails para os membros afetados no endereço cadastrado estão previstos para começar (empresa).
- Escopo
- Dados de membros cadastrados na loja online e no app oficial (uma conta de membro compartilhada). Membros que cancelaram até 0h16 de 18 de outubro não estão incluídos
- Registros
- 3.147.469
- Itens
- ID de membro, nome, e-mail, endereço postal, telefone, data de nascimento, gênero, configurações de newsletter, loja cadastrada
- Senha
- Senha de login (armazenada com hash)
- Outros dados de membros
- Leitura do nome (furigana), data e hora do cadastro, data e hora do último login, e assim por diante
- Não incluídos
- Dados de pagamento, como dados de cartão de crédito. A loja online não armazena dados de cartão
- Uso indevido
- Nenhum uso indevido dos dados vazados confirmado (até as 11h de 23 de outubro)
- Causa
- Exploração de uma vulnerabilidade em software usado no servidor da terceirizada. Os detalhes do ataque não estão sendo divulgados
- Contato
- Linha exclusiva para membros 0120-713-065 (9h às 21h, inclusive fins de semana e feriados), e-mail privacy-incident-jp@lindt.jp. O formulário de contato do site oficial também pode ser usado. A empresa diz que as respostas às consultas podem vir de um endereço de remetente listado em seu aviso que não está no domínio lindt.jp
Como isso se relaciona com os comunicados da terceirizada
A terceirizada que fornece o sistema da loja online (uma provedora de plataforma de e-commerce) também anunciou em seu site, em 23 de outubro, que os dados de membros de uma de suas lojas clientes, 3.147.469 registros, haviam vazado (a loja não é identificada). A terceirizada diz que não encontrou qualquer indício de que o mesmo método tenha sido usado para acessar dados de outras lojas. Em comunicado de 25 de outubro, ela explicou que um acesso não autorizado separado, detectado em 21 de outubro, e uma longa manutenção de toda a plataforma em 21 e 22 de outubro não estavam relacionados a este incidente.
Dados de contato
E-mail, endereço postal, telefone
Atributos pessoais
Nome, leitura do nome, data de nascimento, gênero, ID de membro
Dados de login e uso
Senha com hash, loja cadastrada, data de cadastro, último login
↓ O que geralmente pode acontecer
Mensagens falsas que conhecem seus dados
Fingindo ser redefinições de senha, pedidos de desculpas ou pontos
Logins em outros serviços com senha reutilizada
Se a senha for descoberta
↓ Para prevenir
Ignore instruções, confira o site oficial e troque as senhas reutilizadas
O que se sabe e o que não se sabe
Com base no comunicado da empresa de 23 de outubro e nos comunicados da terceirizada, até 26 de outubro de 2026. A coluna de status será atualizada conforme novos comunicados forem publicados.
| Item | O que foi anunciado | Situação |
|---|---|---|
| ID de membro, nome, e-mail, endereço, telefone, data de nascimento, gênero | Vazados como dados de membros | Vazamento confirmado (empresa) |
| Configurações de newsletter, loja cadastrada | Vazados como dados de membros | Vazamento confirmado (empresa) |
| Leitura do nome, data de cadastro, último login, etc. | Vazados como "outras informações gerenciadas como dados de membros" | Vazamento confirmado (empresa) |
| Senha de login | Vazada; armazenada com hash | Vazamento confirmado (empresa) |
| Método de hash | Não informado | Não informado |
| Dados de pagamento, como cartões de crédito | Não incluídos; dados de cartão não são armazenados | Não incluídos (empresa) |
| Número de registros | 3.147.469; membros que cancelaram até 0h16 de 18 de outubro não incluídos | Confirmado (empresa) |
| Período do acesso não autorizado | 23h02 de 17 de outubro às 0h16 de 18 de outubro | Confirmado (empresa, segundo o relatório da terceirizada) |
| Causa | Acesso não autorizado explorando uma vulnerabilidade em software usado no servidor da terceirizada | Confirmado (empresa, segundo o relatório da terceirizada) |
| Detalhes como o método de ataque | Retidos para evitar recorrência e novos danos | Não divulgados (empresa) |
| Nome do software explorado | Não citado no aviso | Não informado |
| Uso indevido ou danos secundários | Nenhum confirmado (até as 11h de 23 de outubro) | Não confirmado (empresa) |
| Impacto em outras lojas | Nenhum indício de que o mesmo método tenha sido usado nos dados de outras lojas | Não confirmado (terceirizada) |
| Investigação de segurança externa | Planejada pela terceirizada | Em investigação |
| Comunicados individuais aos membros | Por e-mail, no endereço cadastrado, a partir de 26 de outubro | Confirmado (empresa) |
| Reabertura da loja e troca de senha | Data a ser anunciada na página de aviso; troca de senha a ser solicitada na reabertura | Não informado (data não definida) |
O que pode acontecer quando nomes, endereços, datas de nascimento e senhas com hash vazam juntos
De modo geral, quando dados de contato e atributos pessoais vazam juntos, fica fácil criar mensagens que os destinatários acreditam ser verdadeiras. Senhas com hash não podem ser usadas diretamente para entrar em uma conta, mas senhas curtas ou comuns podem, às vezes, ser descobertas (não houve qualquer anúncio de que isso tenha acontecido neste incidente).
O que geralmente pode acontecer
- E-mails ou mensagens de texto dizendo "você precisa trocar sua senha" que levam a uma página de login falsa
- Mensagens fingindo ser pedidos de desculpas ou recompensas em pontos que pedem dados de cartão
- Tentativas de entrar em outros serviços com uma senha descoberta, quando a mesma senha foi reutilizada
O que você pode fazer
- Confira qualquer aviso no site oficial que você abrir por conta própria
- Troque agora a senha nos outros serviços em que você a reutilizou
- Nunca forneça senha ou número de cartão a quem pedir
Outro vazamento do mesmo período, em que nomes, endereços e senhas com hash foram expostos, é o vazamento da Furusato Choice. Para verificar se uma senha reutilizada vazou, veja como verificar se sua senha vazou.
Para quem administra um site de membros em uma plataforma externa de e-commerce
O software e o método envolvidos não foram divulgados, então esta seção se limita ao que a sequência publicada de eventos mostra. Não é uma avaliação de como a terceirizada reagiu.
Planeje uma forma de os membros trocarem senhas mesmo com a loja fora do ar
Neste caso, a loja online e o app oficial compartilham uma única conta de membro, e a suspensão da loja também bloqueou a troca de senhas. A empresa pretende pedir a troca de senhas na reabertura. Verifique antecipadamente se sua plataforma permite manter a redefinição de senhas, ou o encerramento de sessões existentes, funcionando separadamente mesmo quando as vendas estiverem paradas. Isso permite proteger os membros logo após um vazamento.
Combine o que acontece após uma terceirizada comunicar um incidente, já na fase do contrato
Neste caso, a terceirizada comunicou o incidente no dia em que identificou o acesso (19 de outubro), e a empresa então suspendeu a loja (21 de outubro), anunciou e abriu uma linha exclusiva (23 de outubro) e começou a enviar e-mails aos membros (a partir de 26 de outubro). Para incidentes em terceirizadas, definir no contrato ou no manual de resposta quem decide suspender a loja, quem redige o anúncio e quem comunica o órgão regulador (feito em conjunto aqui) reduz o tempo gasto em decisões.
Não mantenha dados de membros que saíram
Segundo a empresa, membros que já haviam cancelado quando os dados foram acessados não estão incluídos. Excluir os dados de quem saiu torna qualquer vazamento bem menor. Defina quando excluir dados de membros que cancelaram ou ficaram inativos por muito tempo, e confirme que eles são realmente excluídos no sistema da terceirizada.
Armazene senhas de um modo difícil de descobrir caso haja vazamento
A empresa diz que as senhas foram armazenadas com hash. A regra básica é nunca guardar senhas de membros em texto simples ou em forma reversível, e usar um hash lento com sal, como bcrypt ou Argon2. Se você usa uma plataforma externa, descubra qual método ela utiliza. Veja armazenamento de senhas com hash e sal.
Fontes (registros públicos)
Os fatos deste artigo se baseiam nas informações públicas abaixo. Detalhes de ataque e causas que não foram divulgados não são especulados.
- Lindt & Sprüngli Japan K.K., "Pedido de desculpas e aviso sobre vazamento de dados pessoais causado por acesso não autorizado a uma terceirizada" (23 de outubro de 2026, em japonês, consultado em 26 de outubro) — lindt.jp
- A terceirizada (provedora de plataforma de e-commerce), "Importante: Pedido de desculpas e aviso sobre vazamento de dados pessoais causado por acesso não autorizado (primeiro relatório)" (23 de outubro de 2026, em japonês) — comunicado da terceirizada
- A mesma terceirizada, "Pedido de desculpas e explicação sobre a longa manutenção para medidas contra a vulnerabilidade do PHP e os incidentes de acesso não autorizado" (25 de outubro de 2026, em japonês) — comunicado da terceirizada
Histórico de atualizações
2026-10-26: Primeira versão, com base no comunicado da Lindt & Sprüngli Japan de 23 de outubro e nos comunicados da terceirizada de 23 e 25 de outubro. Será atualizada quando forem publicados novos acompanhamentos da investigação ou da reabertura da loja.
Leia em seguida
- Vazamentos de dados de membros do mesmo período: o incidente nas lojas online FANCL e Attenir / o vazamento da Furusato Choice
- Um incidente de marca de alimentos da mesma semana: dados de inscrição em campanha da Fujicco possivelmente vazados
- Preparando-se para e-mails falsos: O que é phishing?
- Senhas: Como verificar se sua senha vazou / Como escolher um gerenciador de senhas
- Outros incidentes de 2026: lista de vazamentos e ciberataques (Japão e no mundo)