Vazamento de dados da Murauchi.com (7,7 milhões de registros): nomes, endereços e telefones expostos — ex-clientes devem ficar atentos a ligações e correspondências golpistas

A empresa alerta os clientes para terem cuidado com e-mails, mensagens de texto e ligações que aleguem ser da Murauchi.com, de um operador de shopping online ou de uma emissora de cartão. Ela também diz que nunca pedirá números de cartão ou senhas por e-mail ou telefone.

Mesmo que quem ligue diga que há "um reembolso por causa do vazamento de dados" ou "uma compensação a ser processada", não forneça números de cartão, dados bancários ou senhas PIN naquele momento. Desligue e entre em contato por um número oficial que você mesmo localizar.

Como os endereços residenciais também vazaram, avisos falsos podem chegar por cartão postal ou carta, não apenas por e-mail. Os telefones também vazaram, então mensagens de texto também são possíveis.

Não use o URL, o QR code ou o telefone do aviso; acesse você mesmo o site oficial e veja se o mesmo aviso está publicado lá. As atualizações oficiais da empresa estão reunidas na página intitulada (em tradução livre) "Pedido de desculpas e relatório sobre o vazamento de informações de clientes por acesso não autorizado" (como identificar falsificações: O que é phishing?).

Uma mensagem que mostra seu nome real, endereço, telefone e talvez até sua data de nascimento parece autêntica.

Mas, com esses dados vazados, uma mensagem falsa também pode conter dados pessoais corretos. Se algum familiar mais velho usou a loja no passado, avise-o disso.

Para verificar se um e-mail de notificação da empresa é autêntico, use a página de avisos do site da empresa que você mesmo acessa, e não os links do e-mail.

A empresa suspendeu suas contas em redes sociais para focar no atendimento de consultas e diz que não pode responder mensagens diretas durante a suspensão (planeja retomar em novembro de 2026). Desconfie de contas que aleguem ser da empresa e entrem em contato individualmente pelas redes sociais.

O FAQ da empresa diz que quem quiser a exclusão de seus dados pessoais cadastrados deve entrar em contato com o endereço dedicado (privacy@murauchi.com), e que responderá de acordo com a lei e com suas próprias regras.

Ao escrever, digite o endereço você mesmo ou copie-o da página oficial, em vez de responder a um e-mail recebido.

A empresa diz que IDs de login e senhas não foram alvo. Ainda assim, se uma conta antiga ali usava a mesma senha de outros serviços, agora é um bom momento para trocá-las (Como escolher um gerenciador de senhas).

Os comunicados da empresa não informam quantos anos de dados foram envolvidos. O ponto aqui é geral, não um julgamento sobre como a empresa armazenou seus dados.

Quanto mais tempo uma loja online está em atividade, mais dados ela guarda de clientes que não compram nada há anos. Se esses dados vazam, afetam pessoas que já não se lembram de usar a loja, e os avisos são mais difíceis de entregar. A Lei de Proteção de Informações Pessoais do Japão também pede que as empresas façam esforços para excluir dados pessoais sem demora quando deixam de ser necessários (Artigo 22, dever de esforço).

Defina o que acontece com os dados de clientes cuja última compra foi há um determinado número de anos (excluir, ou remover nomes e contatos e manter apenas números para estatísticas), e execute isso de forma programada, e não manualmente.

Segundo a empresa, os números de cartão e outros dados de pagamento, bem como os IDs de login e senhas, eram gerenciados em sistemas separados e não foram afetados.

Não guardar números de cartão (deixando-os com um processador de pagamentos) e manter as credenciais em um sistema separado limita o quanto pode vazar quando um invasor consegue entrar.

No relato da empresa, uma vulnerabilidade em um sistema web foi o ponto de partida, após o qual vários sistemas foram acessados.

Liste os caminhos de rede e as permissões que levam de servidores web voltados ao público até os bancos de dados de clientes e sistemas internos, e permita apenas as conexões necessárias. A revisão dos direitos de acesso e do gerenciamento de credenciais, que a empresa lista entre suas medidas de prevenção, se relaciona a esse ponto.