Programa de roubo de cartões na página de pagamento do PhotoGoods (Daiko Printing): o que quem pagou entre 6 de agosto e 11 de setembro deve fazer

Segundo a empresa, pessoas que informaram dados de cartão na página de pagamento do PhotoGoods entre 6 de agosto e 11 de setembro de 2026 podem ter sido afetadas. Mesmo que você não tenha concluído a compra, pode ter sido afetado se informou seu cartão na página de pagamento.

A empresa pretende entrar em contato com as pessoas afetadas uma a uma após confirmar o alcance. Até 7 de outubro, não havia anunciado que tivesse começado a fazê-lo. Se você se lembra de ter usado o site nesse período, siga os passos abaixo sem esperar.

A empresa pede que as pessoas verifiquem seus extratos e entrem em contato com a operadora indicada no verso do cartão sobre qualquer cobrança que não reconheçam. Este site recomenda que quem informou um cartão nesse período peça à operadora a troca do número, mesmo que nenhuma cobrança desconhecida tenha aparecido ainda.

O motivo é que o código de segurança está entre os itens que podem ter vazado. Essa combinação continua utilizável até que o número mude. Verificar os extratos é importante, mas só informa depois que o cartão já foi usado (o raciocínio é explicado com mais detalhes em nosso artigo sobre o vazamento de cartões da APORITO Online Store).

Verifique até cobranças pequenas, de poucas centenas de ienes. A proteção contra fraudes tem um prazo para comunicação definido nos termos de cada operadora. Depois da troca do número, atualize qualquer serviço que cobre automaticamente o cartão antigo, como contas de serviços públicos e assinaturas.

A empresa diz que as informações de senha que podem ter vazado não são a senha em si, mas uma forma convertida da qual a original não pode ser lida diretamente. Mesmo assim, senhas curtas ou comuns podem, às vezes, ser descobertas a partir do valor convertido (como isso funciona: O que é hash de senha?).

A empresa também pede que quem usa a mesma senha em outros lugares considere trocá-la no site oficial de cada serviço. Diz que o procedimento para trocar a própria senha do PhotoGoods será anunciado assim que for definido. Um gerenciador de senhas é a forma prática de parar de reutilizar senhas.

Nomes, endereços, telefones e e-mails também podem ter vazado, o que torna possíveis mensagens falsas convincentes. A empresa alerta sobre e-mails, mensagens de texto e ligações suspeitas que se passem por ela ou pelo PhotoGoods, e pede que as pessoas não abram links ou anexos nem informem dados pessoais, dados de cartão ou senhas.

Como a empresa pretende entrar em contato com as pessoas afetadas por e-mail, são possíveis mensagens falsas de "desculpas", "reembolso" ou "recadastre seu cartão" imitando-a. Trate como falsa qualquer mensagem que peça para informar dados de cartão e confira pelo site oficial que você abrir por conta própria (como identificá-las: O que é phishing?).

O comunicado indica a central de atendimento do PhotoGoods: telefone 078-303-7383 (dias úteis, das 10h às 18h, horário do Japão) e e-mail support@photo-goods.com (24 horas). A empresa pede que as pessoas não enviem por e-mail números de cartão, PINs, códigos de segurança ou senhas ao entrar em contato. Para dúvidas sobre um pedido já realizado, pede que você informe o número do pedido.

Em sites nos quais uploads de clientes são centrais para o serviço, como produtos fotográficos ou impressão personalizada, a função de upload é uma entrada aberta a todos os membros, às vezes a toda a internet. Telas administrativas também costumam ter funções de upload, e ambas precisam ser verificadas.

O que verificar é se os arquivos enviados são armazenados em local onde não podem ser executados: fora da pasta servida publicamente, ou em um local onde scripts não são executados. O desenho completo está em Vulnerabilidades de upload de arquivos.

Mesmo com as configurações corretas, uma falha de configuração ou outra rota pode deixar um arquivo que nunca deveria existir. Liste os arquivos da pasta de upload uma vez por dia e alerte alguém se houver qualquer tipo de arquivo diferente dos permitidos (por exemplo, jpg e png).

Uma tarefa agendada no servidor (como o cron) que verifique extensões e formatos reais dos arquivos já basta para começar. Se você usa hospedagem compartilhada ou uma plataforma de e-commerce, pergunte ao provedor se ele oferece a mesma verificação.

Este comunicado incluiu "desativação de uma conta de administrador não autorizada". Em geral, invasores às vezes criam uma conta de administrador para voltar a entrar depois que a entrada original é fechada (um tipo de backdoor).

Exporte a lista de contas de administrador da tela administrativa ou do banco de dados uma vez por dia, compare com a do dia anterior e envie um alerta ao celular do responsável se ela tiver crescido. Uma conta que ninguém criou é, por si só, um sinal de invasão. Se uma empresa externa desenvolve ou opera sua loja, pergunte se ela pode fazer essa verificação para você.