Para: quem comprou ou inseriu informações na APORITO Online Store da RIZAP entre 1º de maio e 5 de agosto de 2026, e quem administra uma loja online. Este artigo se baseia nos comunicados oficiais da RIZAP Co., Ltd. e não trata de técnicas de ataque.
O que os clientes devem fazer hoje
Verifique se você foi afetado — quem não concluiu o pedido também entra
São afetadas as pessoas que fizeram um pedido ou inseriram informações na APORITO Online Store entre 1º de maio e 5 de agosto de 2026. Inserir dados sem concluir o pedido também conta.
Em 8 de agosto, a empresa enviou e-mails às pessoas cujos dados de cartão podem ter vazado. Primeiro, procure "APORITO" na sua caixa de entrada. Se não encontrar nada, mas se lembrar de ter usado a loja nesse período, siga mesmo assim os passos abaixo.
Confira o extrato do cartão e comunique imediatamente cobranças desconhecidas à operadora
A empresa pede que os clientes continuem conferindo o extrato em busca de cobranças que não reconheçam. Se encontrar alguma, ligue para o número da operadora no verso do cartão.
As operadoras de cartão geralmente cobrem o uso fraudulento, mas há um prazo para comunicação (a JCB, por exemplo, exige aviso em até 60 dias após o extrato que mostra a cobrança). Pequenas cobranças passam despercebidas, então verifique também as cobranças desconhecidas de apenas alguns reais.
Peça à operadora do cartão para substituir o número (reemissão)
A empresa descreve a suspensão ou reemissão do cartão (com troca do número) como uma forma eficaz de evitar danos secundários e deixa a decisão para cada cliente. Este site recomenda trocar o número para quem usou um cartão na loja durante o período.
O motivo está na próxima seção; em resumo, o código de segurança está entre os itens que podem ter vazado. A empresa diz que anunciará como serão tratadas as taxas de reemissão e custos semelhantes após a investigação.
Depois de trocar o cartão, atualize os serviços cobrados nele
Contas de serviços públicos, planos de telefonia, assinaturas e outros serviços que cobram automaticamente o número antigo vão falhar até que você os troque para o novo. Antes de pedir a reemissão, faça uma lista das cobranças recorrentes no seu extrato para não esquecer nenhuma.
Não responda a ligações ou mensagens que se apresentem como a empresa, a polícia ou a operadora do cartão
Com nome, endereço, número de telefone e e-mail potencialmente expostos, um golpista pode enviar mensagens falsas que parecem verdadeiras. A empresa alerta para ligações, e-mails e mensagens que se passem por ela, pela polícia ou por outros órgãos públicos, ou pelas operadoras de cartão, para obter senhas ou dados pessoais, e afirma que nunca pedirá a senha do cartão.
Não abra links sobre "procedimentos de reembolso" ou "recadastramento do cartão"; se precisar verificar, entre em contato por um número oficial que você mesmo tenha procurado (veja O que é phishing?).
Se você não pretende mais usar a loja, peça a exclusão dos seus dados
A empresa aceita pedidos de exclusão e responderá individualmente após verificar seu uso e seu status de cadastro. Os pedidos devem ser enviados ao endereço de e-mail dedicado no final do comunicado.
Alguns dados podem precisar ser mantidos por um período para a investigação ou por motivos legais, mas vale a pena obter uma resposta sobre o que permanece e até quando.
Por que este site recomenda substituir o número
Casos em que acompanhar o extrato geralmente basta
- Apenas parte do número do cartão vazou
- A data de validade e o código de segurança não foram incluídos
- Qualquer uso indevido seria de pequenas cobranças que você perceberia rapidamente
O que está em jogo aqui (segundo a empresa)
- Número do cartão, data de validade e código de segurança juntos
- Nome, endereço, número de telefone e e-mail também
- Enquanto o número não mudar, essa combinação continua utilizável
Ao pagar online, número do cartão, data de validade e código de segurança são os três dados básicos que uma página de pagamento solicita. No Japão, as diretrizes do setor exigem que os lojistas online adotem o EMV 3-D Secure (autenticação do portador do cartão), por isso etapas extras de verificação são mais comuns do que antes. Ainda assim, nem toda transação, nem todo site em todos os países, aciona essa verificação extra.
Conferir o extrato é importante, mas é uma forma de perceber depois que o cartão foi usado. Trocar o número torna inútil a combinação possivelmente vazada a partir desse momento. Trocar os pagamentos recorrentes dá trabalho, mas é mais seguro do que passar meses sem saber quando o cartão pode ser usado indevidamente.
Como interpretar: não haver uso indevido confirmado não significa que você está seguro
A empresa afirma não ter confirmado nenhum dos seguintes itens: uso indevido, dano secundário ou vazamento efetivo de dados pessoais. Isso significa que nada foi encontrado até agora, não que nada será usado depois. Dados de cartão às vezes são usados muito tempo após serem obtidos. Continue conferindo o extrato por pelo menos vários meses.
O que aconteceu (segundo os comunicados da RIZAP)
Tudo a seguir é apresentado conforme os comunicados oficiais da empresa.
1º de maio de 2026
Início do período em que os dados podem ter vazado.5 de ago.
A empresa identificou um programa suspeito de transmissão de dados para fora no sistema da APORITO Online Store e, para evitar mais danos, fechou temporariamente o site às 15h30 do mesmo dia. O período afetado termina nessa data.8 de ago.
As pessoas cujos dados de cartão podem ter vazado foram notificadas individualmente por e-mail.10 de ago.
Pedido público de desculpas e relatório. A empresa disse que havia apresentado um relatório preliminar à Personal Information Protection Commission e que estava tratando do assunto com a polícia e outros órgãos, conforme exigido por lei.18 de ago.
Segundo comunicado: a investigação com uma empresa terceirizada externa continua e a loja permanece fechada. A empresa disse que está reforçando a segurança e revisando o monitoramento antes da reabertura.
- Quem
- Pessoas que fizeram um pedido ou inseriram informações na APORITO Online Store entre 1º de maio e 5 de agosto de 2026
- Dados pessoais
- Nome, endereço, número de telefone, endereço de e-mail
- Dados do cartão
- Número do cartão, data de validade, código de segurança
- Número de afetados
- Não divulgado
- Causa informada
- Um terceiro instalou um script malicioso; um programa suspeito de transmissão de dados para fora foi encontrado no sistema. Como foi instalado e outros detalhes técnicos não foram divulgados
- Dano secundário
- A empresa afirma que não foi confirmado nenhum uso indevido, dano secundário ou vazamento efetivo de dados pessoais
- Ressarcimento e custos
- O tratamento das taxas de reemissão e a política de ressarcimento estão em análise; serão anunciados por e-mail e no site da empresa
- Pedidos em andamento
- A empresa diz que o fechamento não afeta o envio; os pedidos são enviados quando o estoque é confirmado. Pedidos de reembolso devem ser enviados ao endereço de e-mail dedicado
Sobre um comunicado separado publicado no mesmo dia
Também em 10 de agosto, a RIZAP publicou um comunicado separado informando que uma empresa à qual terceiriza parte das operações do negócio APORITO sofreu acesso não autorizado por ransomware, o que restringiu alguns serviços (um segundo comunicado foi publicado em 14 de agosto). Os comunicados da empresa não dizem se os dois casos estão relacionados. Este artigo trata do script malicioso na loja online.
Para operadores de e-commerce: não armazenar dados de cartão não impede que a página de entrada de dados seja adulterada
A empresa não divulgou quais salvaguardas tinha em vigor nem como o script foi instalado. Esta seção não avalia a resposta da empresa; ela explica como evitar o mesmo tipo de incidente no seu próprio site.
Navegador do cliente
Dados do cartão digitados na página de checkout
↓→
Provedor de serviço de pagamento
O destino legítimo
↓→
Não armazenado nos seus servidores
= o que a não retenção protege
Se um script malicioso entrar na própria página de entrada de dados, o que o cliente digita também é enviado para outro lugar na hora
→ Há vazamento mesmo sem armazenar nada. Os operadores precisam monitorar se a página de pagamento foi alterada
No Japão, o Artigo 35-16 da Lei de Vendas a Prestação (Installment Sales Act) exige que os lojistas de cartão, inclusive as lojas online, adotem as medidas necessárias para a gestão adequada dos números de cartão, como a prevenção de vazamentos. O guia prático desse dever são as Diretrizes de Segurança de Cartões de Crédito do Council for Credit Transaction Security (secretaria: Japan Consumer Credit Association).
As diretrizes afirmam que adotar as medidas nelas listadas, ou medidas equivalentes ou mais rigorosas, é considerado tomar as "medidas necessárias e adequadas" exigidas pela lei.
A partir da versão 6.0, de março de 2025, as diretrizes passaram a incluir "medidas contra vulnerabilidades" para lojistas online, independentemente de armazenarem ou não dados de cartão. A justificativa declarada é que a maioria dos vazamentos agora ocorre em lojas online que já adotam a não retenção, por meio de vulnerabilidades de sites e causas semelhantes.
A versão 6.1 (março de 2026) mantém isso sem alterações. São exigidas cinco medidas, todas elas:
| # | Item da diretriz | O que diz (resumo) |
|---|---|---|
| 1 | Restringir o acesso à tela de administração; gerenciar IDs e senhas de administrador | Limitar o acesso administrativo por endereço IP (ou autenticação básica, se não for possível), usar autenticação em duas etapas ou multifator, bloquear contas após 10 ou menos tentativas de login com falha |
| 2 | Corrigir configurações incorretas que expõem diretórios de dados | Manter arquivos importantes fora de diretórios públicos; restringir os tipos e extensões de arquivo que podem ser enviados |
| 3 | Tratar vulnerabilidades de aplicações web | Realizar avaliações de vulnerabilidade ou testes de invasão regularmente e corrigir os problemas encontrados; manter plugins e softwares atualizados; revisar o código-fonte das partes personalizadas |
| 4 | Instalar e executar antivírus contra malware | Manter as assinaturas (os arquivos de definição usados para reconhecer malware) atualizadas e executar varreduras completas regulares |
| 5 | Combater verificações maliciosas de validade de cartões e ataques de "credit master" | Implementar pelo menos uma das medidas listadas no anexo (um ataque "credit master" gera números de cartão mecanicamente para encontrar os válidos) |
O anexo das diretrizes para lojas online afirma que muitos vazamentos têm como alvo configurações incorretas e vulnerabilidades em pacotes de e-commerce e CMS, e que foram confirmados casos de scripts alterados que vazam continuamente o que os membros digitam.
Também afirma que lojistas que terceirizam a construção ou a operação de seu site devem exigir que o contratado conheça essas medidas contra vulnerabilidades.
Visão deste site: as cinco medidas impedem a entrada de invasores; acrescente também uma forma de perceber quando eles entram
Todas as cinco medidas tratam de impedir a invasão ou a instalação de códigos. Mas, nesse tipo de incidente, todos que digitam os dados do cartão antes de alguém perceber são afetados. Assim, em geral, a rapidez com que você percebe uma falha na prevenção determina quantas pessoas acabam entrando no escopo (por isso a diretriz da IPA torna obrigatória a detecção de alterações em arquivos).
Outras normas públicas já cobrem o lado da "percepção". A diretriz de segurança para construção e operação de sites de e-commerce da IPA (Information-technology Promotion Agency, Japão) lista, como requisitos operacionais obrigatórios, verificações regulares de diferenças em arquivos importantes e monitoramento com ferramentas de detecção de adulteração de sites.
O padrão internacional do setor de cartões, o PCI DSS, exige desde 31 de março de 2025 autorização, verificações de integridade e um inventário dos scripts executados nas páginas de pagamento (requisito 6.4.3), além de um mecanismo para detectar alterações não autorizadas nas páginas de pagamento (requisito 11.6.1).
Para uma loja online pequena, comece por estas três:
Liste os scripts que sua página de checkout carrega
Anote cada arquivo JavaScript que a página de checkout carrega, agrupando-os em seus próprios, do provedor de pagamento, e de análise ou outras tags. Qualquer script que ninguém consegue explicar — quem o adicionou e por quê — é a primeira coisa a verificar. Somente com uma lista é possível perceber que um script foi adicionado ou alterado.
Compare os arquivos do site diariamente e emita alertas em caso de mudanças
Para os arquivos que compõem a página de checkout — temas, modelos, JavaScript —, registre um hash (um valor calculado a partir do conteúdo do arquivo) do estado conhecido como correto e compare uma vez por dia. Se algo mudou sem que ninguém tenha feito uma atualização, um alerta é enviado ao responsável.
Verifique também se sua hospedagem ou plataforma de e-commerce oferece algum recurso ou complemento de detecção de adulteração. Se você administra o servidor por conta própria, a lógica se sobrepõe à de vulnerabilidades de upload de arquivos.
Restrinja a tela de administração à sua rede e à autenticação em dois fatores
Esta é a própria medida 1. Se a tela de administração puder ser acessada de qualquer lugar apenas com senha, corrija isso primeiro. Se um terceiro administra o site, confirme que os logins administrativos dele atendem às mesmas condições. O mínimo para a organização está em O mínimo de segurança de referência para organizações.
Fontes (registro público)
Os fatos deste artigo vêm das fontes públicas abaixo. Rotas ou métodos de invasão não divulgados não são objeto de especulação.
- RIZAP Co., Ltd., pedido de desculpas e relatório sobre o acesso não autorizado à APORITO Online Store (10 de agosto de 2026, em japonês) — rizap.co.jp
- RIZAP Co., Ltd., segundo comunicado sobre o mesmo incidente (18 de agosto de 2026, em japonês) — rizap.co.jp
- RIZAP Co., Ltd., comunicados sobre a interrupção do sistema e a suspensão de serviços no negócio APORITO (10 e 14 de agosto de 2026, em japonês) — rizap.co.jp / rizap.co.jp
- Lei de Vendas a Prestação (Installment Sales Act), Artigo 35-16 (em japonês) — e-Gov Law Search
- Council for Credit Transaction Security, Diretrizes de Segurança de Cartões de Crédito, versão 6.1 (março de 2026), notas de revisão e guia de segurança para lojas online (Anexo 20) (em japonês) — Japan Consumer Credit Association
- IPA, Diretriz de segurança para construção e operação de sites de e-commerce (16 de março de 2023, em japonês) — ipa.go.jp
- PCI Security Standards Council, "New Information Supplement: Payment Page Security and Preventing E-Skimming" (10 de março de 2025) — blog.pcisecuritystandards.org / "Guidance for PCI DSS E-commerce Requirements Effective After 31 March 2025" — blog.pcisecuritystandards.org
- Exemplo de prazo para comunicação de fraude para ressarcimento: JCB (em japonês) — jcb.co.jp
Histórico de atualizações
2026-09-30: Primeira versão, com base no comunicado da RIZAP de 10 de agosto e no segundo comunicado de 18 de agosto. A empresa planeja publicar as conclusões técnicas, sua política de ressarcimento e uma data de reabertura; este artigo será atualizado quando isso acontecer.
Leia em seguida
- Um caso mais recente do mesmo tipo: acesso não autorizado à loja oficial da Good Smile Company (programa malicioso na página de pagamento)
- Incidente do mesmo tipo: Programa de roubo de cartões na página de pagamento da PhotoGoods (Daiko Printing) (abuso de uma função de upload de arquivos e verificação de contas administrativas não autorizadas)
- Golpes derivados: O que é phishing?
- Padrões para dados de cartão: O que é PCI DSS? / O que é XSS (cross-site scripting)?
- Para operadores de sites: Vulnerabilidades de upload de arquivos / O mínimo de segurança de referência para organizações
- Outros casos japoneses nesta temporada: Cariteco (Meitetsu Kyosho): ransomware e um possível vazamento de dados / A violação da Times Car
- Outros incidentes de 2026: lista de violações e ataques cibernéticos (Japão e no mundo)