Para: qualquer pessoa que tenha usado ou se cadastrado no Matsuben Net, no Mobile Order, no Matsuben Delivery ou no app oficial da Matsuya no Japão. Este artigo se baseia no aviso oficial da Matsuya Foods Holdings Co., Ltd. e não trata de técnicas de ataque.
Em andamento: este artigo será atualizado conforme a organização publicar mais informações
Em 31 de outubro de 2026Ainda não se sabe
- Causa e como a invasão aconteceu
- Quando e como os clientes afetados serão contatados
- Se os dados foram usados indevidamente
- Quando o app será restabelecido
- Detalhes da compensação
- Número final de membros do app (até 3.000)
A empresa diz que os detalhes da causa e de como o acesso foi possível estão sob investigação, e que os detalhes da compensação serão anunciados separadamente. Diz também que pretende contatar, em sequência, os clientes cujos dados vazaram. Reescreveremos este artigo quando uma atualização for publicada.
O que as pessoas que podem ter sido afetadas devem fazer hoje
Não siga links nem instruções de e-mails, mensagens ou ligações que digam ser da Matsuya
Os itens vazados incluem nome e número de telefone, mais um endereço de entrega (Matsuben Net e os demais) ou data de nascimento e e-mail (membros do app). Com tanta informação, uma mensagem pode ter o nome e o endereço corretos e parecer genuína.
Se uma mensagem disser que seus pontos vão expirar, que seu nível de membro será redefinido, ou oferecer um cupom de desculpas ou compensação, não abra o link; abra você mesmo o site oficial ou as contas oficiais de redes sociais e confira (como reconhecê-las: O que é phishing?).
Desconfie principalmente de mensagens sobre compensação e restabelecimento
Em um aviso à parte, a empresa diz que enviará por e-mail, até 1º de novembro de 2026, um código QR exclusivo, utilizável nas máquinas de tíquete, a quem comprou a versão em app do MATSUYA PASS entre 26 de setembro e 28 de outubro de 2026. Um e-mail que a empresa realmente deve enviar é justamente onde as falsificações se infiltram.
Não abra links desse e-mail; consulte primeiro o anúncio no site oficial da empresa. A empresa diz que nunca pede senhas nem dados de cartão de crédito por e-mail ou telefone.
Membros do app: pare de reutilizar sua senha
Para os membros do app, vazaram uma senha criptografada, o e-mail e a data de nascimento. O método de criptografia e sua robustez não foram divulgados; por isso, se você usa em outros serviços a mesma senha da sua conta Matsuya, troque-a primeiro lá.
Um gerenciador de senhas é a forma prática de fazer esse levantamento. Você pode verificar se uma senha reutilizada apareceu em vazamentos anteriores com Como verificar se sua senha vazou. O app da Matsuya está suspenso; portanto, troque a senha do app depois que ele for restabelecido, seguindo a orientação oficial da empresa.
Fique atento por um tempo a falsas mensagens de entrega e ligações desconhecidas
Os dados do Matsuben Net, Mobile Order e Matsuben Delivery incluem seu endereço de entrega e seu número de telefone. Uma mensagem que se passa por transportadora («não conseguimos entregar» ou «não foi possível confirmar seu endereço») pode parecer genuína se o nome e o endereço coincidirem, mesmo sem ter relação com a Matsuya.
Números de telefone e endereços são difíceis de trocar, então essas mensagens podem continuar chegando. Ativar os filtros de chamadas e mensagens de spam do celular as reduz (Noções básicas de segurança do smartphone).
Entre em contato com a empresa apenas pela central indicada em seu site oficial
A empresa indica uma central de atendimento sobre dados pessoais para este incidente (telefone 0422-38-1121, dias úteis das 10h00 às 16h00, fechada em fins de semana e feriados, digite 1 após a locução; o endereço de e-mail também consta no aviso). Use os contatos do site oficial da Matsuya, não os escritos em uma mensagem que você recebeu.
O que aconteceu (segundo o aviso da Matsuya Foods Holdings)
Tudo o que segue vem do aviso da empresa.
Quarta-feira, 28 de outubro de 2026
A empresa descobriu que um terceiro havia acessado sem autorização o sistema de gestão do app oficial da Matsuya que ela opera e que dados de membros cadastrados no app haviam vazado.29 de outubro
A empresa publicou um cupom para as máquinas de tíquete em sua conta oficial no X. Um aviso no site da empresa (verificado em 31 de outubro, sem data) diz que o cupom pode ser usado até as 15h00 de 11 de novembro.30 de outubro
Publicou seu pedido de desculpas e seu aviso. Disse que toma as medidas necessárias, como comunicar à Comissão de Proteção de Informações Pessoais do Japão.Verificado em 31 de outubro
O site da empresa exibe um aviso de suspensão do serviço. Um aviso à parte, sem data, descreve medidas de desculpas, como upgrades de nível. Nenhuma data de retomada é informada.
- Sistema afetado
- O sistema de gestão do app oficial da Matsuya (Matsuben Net, Mobile Order e Matsuben Delivery)
- Usuários do Matsuben Net, Mobile Order e Matsuben Delivery
- ID de membro, endereço de entrega, nome, número de telefone, pontos Matsuya. 2.377.127 registros
- Membros do app da Matsuya
- ID de membro, prefeitura, nome, número de telefone, data de nascimento, e-mail, senha criptografada, pontos Matsuya. 2.000 registros (possivelmente até 3.000)
- Dados de cartão
- A empresa não guarda dados de cartão de crédito
- Causa (explicação da empresa)
- Confirmado como acesso não autorizado de um terceiro. Os detalhes da causa e de como foi possível estão sob investigação
- Resposta
- Trabalha com empresas relacionadas para recuperar o sistema o quanto antes e toma as medidas necessárias, como comunicar à Comissão de Proteção de Informações Pessoais. Pretende contatar, em sequência, os clientes cujos dados vazaram. Pretende compensar os membros do app pelo período de suspensão, com os detalhes anunciados separadamente
- Pedido da empresa
- Os dados vazados podem ser usados para falsificação de identidade. Fique atento a e-mails, mensagens e ligações suspeitos. A empresa não pede senhas nem dados de cartão de crédito por e-mail ou telefone
Como ler: não some os dois números
O aviso lista os itens vazados separadamente para os usuários do Matsuben Net, Mobile Order e Matsuben Delivery (2.377.127 registros) e para os membros do app da Matsuya (2.000 registros, possivelmente até 3.000). A empresa não dá um total combinado nem diz se a mesma pessoa aparece nos dois grupos. Este artigo não soma os números.
O que se sabe e o que não se sabe
Situação em 31 de outubro de 2026. Quando um aviso posterior for publicado, atualizaremos a coluna de situação.
| Item | O que o aviso diz | Situação |
|---|---|---|
| Itens dos usuários do Matsuben Net etc. | ID de membro, endereço de entrega, nome, número de telefone, pontos Matsuya | Vazamento confirmado (empresa) |
| Número de usuários do Matsuben Net etc. | 2.377.127 registros | Número informado (empresa) |
| Itens dos membros do app | ID de membro, prefeitura, nome, número de telefone, data de nascimento, e-mail, senha criptografada, pontos Matsuya | Vazamento confirmado (empresa) |
| Número de membros do app | 2.000 (possivelmente até 3.000) | Em investigação |
| E-mail (usuários do Matsuben Net etc.) | Não consta na lista de itens | Não informado |
| Senha (usuários do Matsuben Net etc.) | Não consta na lista de itens | Não informado |
| Dados de cartão de crédito | A empresa não os guarda | Não incluídos (empresa) |
| Causa e como aconteceu | Acesso não autorizado de um terceiro; detalhes em investigação | Em investigação |
| Uso indevido dos dados vazados | Não mencionado no aviso; a empresa alerta que podem ser usados indevidamente | Não anunciado |
| Notificação individual | Pretende contatar, em sequência, os clientes cujos dados vazaram | Em investigação |
| Compensação | Pretende compensar os membros do app pelo período de suspensão; detalhes depois | Em investigação |
| Restabelecimento do app | Trabalha para recuperá-lo o quanto antes | Em investigação |
Para que os itens vazados podem servir combinados
Itens que isoladamente são comuns podem, juntos, fazer uma mensagem fraudulenta parecer real. O que segue é o que, em geral, pode acontecer com esses itens, não uma afirmação de que tenha acontecido aqui.
Nome + telefone + endereço de entrega
↓→
Falsos avisos de entrega e falsas consultas com o nome e o endereço corretos
→ Não abra links / confira o status da entrega no app oficial
Nome + ID de membro + pontos Matsuya
↓→
Falsas mensagens sobre pontos prestes a expirar ou mudanças de nível
→ Leia apenas os anúncios do site oficial
E-mail + data de nascimento + senha criptografada (membros do app)
↓→
Falsas mensagens de verificação de identidade, tentativas de login em outros serviços
→ Pare de reutilizar senhas
Indicado como não incluído ou não guardado
- Dados de cartão de crédito (a empresa não os guarda)
Vazamento confirmado (varia conforme o grupo)
- ID de membro, nome, número de telefone, pontos Matsuya (ambos os grupos)
- Endereço de entrega (usuários do Matsuben Net etc.)
- Província, data de nascimento, e-mail, senha criptografada (membros do app)
Como ler: «não informado» para o e-mail não é o mesmo que «não vazou»
Os itens listados para os usuários do Matsuben Net, Mobile Order e Matsuben Delivery não incluem e-mails nem senhas. Isso só significa que não estão na lista de itens do aviso; a empresa não disse que confirmou que não vazaram. Os itens podem mudar em uma atualização, então atualizamos esta tabela a cada vez.
Para quem opera serviços de associação
A empresa diz que a invasão atingiu o sistema de gestão do app, e que a causa e como aconteceu estão sob investigação. O método não foi divulgado, então não especulamos; estes são pontos que você pode revisar apenas com base nos fatos divulgados.
Verifique se o sistema de gestão tem algum ponto de entrada que permita ler dados de usuários em massa
O alvo aqui foi um sistema de gestão que guardava os dados dos usuários do app e dos serviços de pedido. Telas e APIs de administração têm mais autoridade do que as voltadas ao cliente; portanto, faça o inventário de quem pode abri-las e de onde.
Não as deixe abertas a qualquer pessoa na internet; restrinja os endereços de origem e exija autenticação multifator (veja o guia de autenticação multifator).
Verifique se vários serviços se conectam ao mesmo sistema de gestão
Aqui, foram afetados os membros do app e os usuários de serviços de pedido como Mobile Order e Delivery, ao que parece por meio de um sistema de gestão compartilhado. Quando serviços compartilham uma plataforma comum, uma única invasão pode atingir os usuários de vários serviços.
Verifique quais dados ficam na plataforma compartilhada e se o alcance que cada serviço pode ver é separado. Também tratamos de limites de volume de leitura e de notificação em o caso do app Yakiniku King.
O que não se guarda não pode vazar: decida de novo o que manter
A empresa diz que não guarda dados de cartão de crédito. Da mesma forma, revise regularmente se você guarda itens de que o pedido não precisa (data de nascimento, endereços antigos etc.).
Nunca guarde senhas em texto simples; armazene-as com um método robusto e com salt (armazenamento de senhas, hash e salt).
Fontes (registro público)
Os fatos deste artigo vêm das fontes públicas abaixo. Métodos ou causas da invasão que não foram divulgados não são objeto de especulação.
- Matsuya Foods Holdings Co., Ltd., pedido de desculpas e aviso sobre os dados pessoais vazados pelo acesso não autorizado ao sistema de gestão do app oficial da Matsuya (Matsuben Net, Mobile Order, Matsuben Delivery) (30 de outubro de 2026, em japonês; apresentado à Bolsa de Tóquio) — release.tdnet.info (PDF) / o mesmo aviso no site da empresa — matsuyafoods.co.jp (PDF)
- Matsuya Foods Co., Ltd. e Matsuya Foods Holdings Co., Ltd., «Aviso de suspensão do app da Matsuya e de outros serviços» (verificado em 31 de outubro de 2026; sem data) e «Pedido de desculpas e próximos passos sobre a suspensão do app oficial da Matsuya» (verificado no mesmo dia; sem data) — matsuyafoods.co.jp. O site da empresa responde com o aviso de suspensão exibido, então o texto do aviso foi tirado dessa página.
Histórico de atualizações
2026-10-31: Primeira versão, com base no aviso da empresa de 30 de outubro. A empresa diz que a causa e como aconteceu estão sob investigação e que os detalhes da compensação serão anunciados separadamente. Atualizaremos este artigo quando forem publicados.
Leia a seguir
- Golpes subsequentes: O que é phishing? / Noções básicas de segurança do smartphone
- Senhas: Como escolher um gerenciador de senhas / Como verificar se sua senha vazou
- Um caso semelhante (dados de membros de apps de restaurantes e varejo): O vazamento do app Yakiniku King / O vazamento do app do Burger King Japão (cerca de 11,18 milhões de registros) / O vazamento do app e da loja online da MrMax
- Um caso semelhante (dados de membros com ID e pontos): Acesso não autorizado ao Lawson ID (2.155.345 registros)
- Outros incidentes de 2026: lista de vazamentos e ciberataques (Japão e mundo)