Para: qualquer pessoa que tenha usado o negócio de venda por correio da Rohto Pharmaceutical, inclusive pedindo ou consultando por telefone. Este artigo é uma explicação baseada nos avisos oficiais da Rohto Pharmaceutical; não aborda métodos de ataque.
Em andamento: este artigo será atualizado conforme a organização publicar novas informações
- Quem é afetado
qualquer pessoa que tenha usado o negócio de venda por correio da Rohto Pharmaceutical, inclusive pedindo ou consultando por telefone.
- Confirmado até agoraVer a tabela ↓
- Descoberta
- Causa
- Informações do sistema de gerenciamento de clientes
Mais 5
- Itens do sistema de gerenciamento de clientes
- Número do sistema de gerenciamento de clientes
- Gravações de ligações
- Número do cartão e data de validade
- Investigação externa
- Ainda não confirmado
- Como se sobrepõem o grupo do sistema de gerenciamento de clientes (2.797.545) e o das gravações de ligações (9.715)
- A via concreta do acesso (só foi revelado o uso não autorizado de credenciais de conta do sistema telefônico)
- A resposta se mais pessoas que precisem de providências forem identificadas
- O que fazer agoraVer os passos ↓
- Confira as faturas do seu cartão
- Se estiver preocupado, fale com a emissora do cartão
- Liste os pagamentos recorrentes desse cartão
Mais 5
- Confira o conteúdo do seu aviso
- Desconfie de ligações, e-mails, mensagens de texto e cartas em nome da Rohto ou do negócio de venda por correio
- Não abra links de mensagens suspeitas nem ligue de volta para o número que elas indicam
- Por precaução, lembre-se de se você disse o número do cartão em uma ligação
- Se estiver preocupado, pergunte ao ponto de contato oficial
- Onde verificar (fonte)Todas as fontes ↓
- Rohto Pharmaceutical Co., Ltd., “Pedido de desculpas e aviso sobre o vazamento de dados pessoais de clientes por acesso não autorizado” (6 de novembro de 2026; em japonês)
- Última verificação
- Em 9 de novembro de 2026
Próximos avisos e o que verificamos
A empresa diz que responderá de forma adequada se mais pessoas que precisem de providências forem identificadas. Ao consultar a lista de notícias do site oficial da empresa em 9 de novembro de 2026, não encontramos nenhuma novidade posterior ao aviso de 6 de novembro. Até o momento, nenhum dano secundário foi confirmado.
O que fazer hoje, conforme a forma como você pediu
Primeiro, descubra qual grupo se parece mais com o seu caso. Se você pediu por telefone ao negócio de venda por correio e disse o número do cartão, é um “cliente de pedidos por telefone”. Se pediu pela internet ou de outra forma e nunca informou o número do cartão por telefone, está em “todos os demais”. Se recebeu um aviso individual, siga primeiro o que ele diz.
Clientes de pedidos por telefone (você informou o número do cartão por telefone)
Confira as faturas do seu cartão
A empresa pede aos usuários de cartões afetados que confiram as faturas de setembro de 2026 em diante em busca de cobranças que não reconhecem e, se houver, que entrem em contato com a empresa indicada no verso do cartão.
As gravações de ligações em questão começam em 10 de setembro de 2025. Se você pediu por telefone nesse período, é prudente revisar também as faturas desde setembro de 2025, no site ou no aplicativo da sua administradora de cartão (opinião deste site).
Se estiver preocupado, fale com a emissora do cartão
Se o número do seu cartão e a data de validade podem ter sido obtidos, entre em contato com a emissora e explique a situação. A emissora pode oferecer a troca do número do cartão (reemissão) ou o monitoramento de usos incomuns.
A empresa diz que pediu às emissoras de cartões que os usuários não arquem com o custo de reemissão dos cartões afetados. O tratamento pode variar conforme a emissora, então confirme qualquer taxa antes de decidir reemitir.
Liste os pagamentos recorrentes desse cartão
Se o cartão for reemitido, assinaturas, entregas regulares e contas de serviços cobradas nele podem parar. Quando for informado da reemissão, faça uma lista do que precisa do novo número do cartão.
Confira o conteúdo do seu aviso
A empresa diz que está avisando individualmente os afetados, por correio, e-mail ou meios semelhantes, em sequência. Se você recebeu um e não o entendeu, pergunte na linha dedicada 0120-610-654 (das 9:00 às 18:00, horário do Japão, incluindo fins de semana e feriados) ou pelo formulário de consulta dedicado.
Use o número e a URL do formulário que constam nos avisos do site oficial da empresa, não os que aparecerem em um e-mail ou mensagem de texto.
Todos os demais (pessoas cujo nome, endereço e telefone podem estar incluídos)
Desconfie de ligações, e-mails, mensagens de texto e cartas em nome da Rohto ou do negócio de venda por correio
A empresa pede aos clientes que fiquem atentos a ligações, e-mails, mensagens de texto e cartas suspeitos e que não respondam a pedidos de informações pessoais, PINs ou senhas. Ela diz que, como parte da resposta a este incidente, não pedirá aos clientes que insiram ou informem novamente PINs ou senhas.
Com nome, endereço e telefone, é mais fácil montar um contato convincente citando-os. Quem conhece esses dados não provou nada (opinião deste site). Para saber como identificar falsificações, veja O que é phishing?.
Não abra links de mensagens suspeitas nem ligue de volta para o número que elas indicam
Não abra URLs de e-mails ou mensagens de texto, não abra anexos e não insira informações. Se for uma ligação, desligue e ligue de volta para um número que conste no site oficial.
Não informe números de cartão, PINs ou códigos de verificação por telefone ou mensagem de texto.
Por precaução, lembre-se de se você disse o número do cartão em uma ligação
Segundo o aviso, há números de cartão em parte das gravações de ligações, de 9.715 pessoas. Se você nunca informou o número do cartão por telefone, normalmente não se espera que esteja nesse grupo, mas compare com o seu aviso (opinião deste site). Se tiver qualquer dúvida, siga os passos de “clientes de pedidos por telefone” acima.
Se estiver preocupado, pergunte ao ponto de contato oficial
Há uma linha dedicada, 0120-610-654 (das 9:00 às 18:00, horário do Japão, incluindo fins de semana e feriados), e um formulário de consulta dedicado.
Os dois grupos: se você inseriu dados ou pagou dinheiro
Se você inseriu os dados do cartão em uma página aberta a partir de uma mensagem suspeita, entre em contato imediatamente com a emissora do cartão. Se inseriu uma senha, troque-a agora e troque-a também em qualquer outro serviço em que usava a mesma (Como escolher um gerenciador de senhas). No Japão, você também pode ligar para a linha de consultas da polícia (#9110) ou para a central do consumidor (188).
O que aconteceu (segundo os avisos da Rohto)
A Rohto divulgou este caso três vezes em seu site oficial: em 11 de setembro, 15 de setembro e 6 de novembro de 2026. Tudo o que segue vem dos avisos da empresa. O prestador de serviço do sistema telefônico é descrito aqui pela sua função.
10 de setembro de 2025 a 5 de setembro de 2026
O período coberto pelas gravações de ligações. Estão em questão as ligações de três períodos dentro dele: de 10 de setembro a 16 de novembro de 2025; de 9 de dezembro de 2025 a 22 de março de 2026; e de 21 de agosto a 5 de setembro de 2026.10 de setembro de 2026
O prestador de serviço do sistema telefônico usado para a venda por correio informou acessos suspeitos. A empresa suspendeu as contas envolvidas, trocou as senhas e iniciou uma investigação por um especialista externo.11 de setembro
Primeiro aviso: “Possível acesso não autorizado aos nossos sistemas”. Sem números, itens nem causa. Foram adotadas restrições de acesso e outras medidas.14 de setembro
Comunicou o dano à delegacia local.15 de setembro
Comunicou à Comissão de Proteção de Informações Pessoais. Publicou uma atualização, “Situação da investigação”, dizendo que gravações de ligações com informações associadas e informações do sistema de gerenciamento de clientes podem ter sido obtidas (números e itens em investigação). Anunciou a linha dedicada 0120-610-654.16 de outubro
A investigação do sistema telefônico por um especialista externo foi concluída.22 de outubro
O formulário de consulta dedicado foi aberto (acrescentado ao aviso de 15 de setembro).6 de novembro
Divulgou os resultados da investigação: 2.797.545 pessoas no sistema de gerenciamento de clientes, e números de cartão e datas de validade em gravações de ligações de 9.715 pessoas. Avisos individuais foram enviados aos afetados.
- Causa
- Como causa identificada até agora, segundo a empresa: credenciais de conta do sistema telefônico usado para a venda por correio foram usadas sem autorização por um terceiro, que acessou sem autorização esse sistema. Foi confirmado que as informações do sistema de gerenciamento de clientes foram obtidas por meio do sistema telefônico
- Sistema de gerenciamento de clientes
- Nome, endereço, número de telefone. 2.797.545 pessoas. Os itens variam conforme a pessoa e o dado, e em alguns casos apenas alguns itens estão incluídos
- Gravações de ligações
- Ligações de venda por correio (consultas sobre produtos, detalhes de pedidos etc.). Parte delas contém números de cartão de crédito e datas de validade, de 9.715 pessoas
- Não incluído
- Códigos de segurança de cartões, senhas e outras informações de autenticação (não obtidos nem armazenados)
- Medidas
- Trocou de uma vez as senhas das contas envolvidas. Deixou de receber números de cartão por voz nas ligações e passou a usar procedimentos de pagamento por escrito. Monitora, com as administradoras de cartões, as transações dos cartões afetados
- Contato
- Linha dedicada 0120-610-654 (das 9:00 às 18:00, horário do Japão, incluindo fins de semana e feriados) e um formulário de consulta dedicado
O que se sabe e o que não se sabe
Esta tabela se baseia nos avisos da empresa de 11 de setembro, 15 de setembro e 6 de novembro, em 9 de novembro de 2026. Quando houver novos avisos, atualizaremos a coluna de situação.
| Item | O que dizem os avisos | Situação |
|---|---|---|
| Descoberta | Informada em 10 de setembro de 2026 pelo prestador de serviço do sistema telefônico | Confirmado (empresa) |
| Causa | Credenciais de conta do sistema telefônico usadas por um terceiro sem autorização | Confirmado (empresa) |
| Informações do sistema de gerenciamento de clientes | Confirmado que foram obtidas por meio do sistema telefônico | Vazamento confirmado (empresa) |
| Itens do sistema de gerenciamento de clientes | Nome, endereço, número de telefone (varia conforme a pessoa) | Vazamento confirmado (empresa) |
| Número do sistema de gerenciamento de clientes | 2.797.545 pessoas | Confirmado (empresa) |
| Gravações de ligações | Ligações de venda por correio (consultas, detalhes de pedidos etc.); ligações de três períodos | Vazamento confirmado (empresa) |
| Número do cartão e data de validade | Contidos em parte das gravações de ligações; 9.715 pessoas | Vazamento confirmado (empresa) |
| Código de segurança | Não incluído (não obtido nem armazenado) | Não incluído (empresa) |
| Senhas e outras informações de autenticação | Não incluídas (não obtidas nem armazenadas) | Não incluídas (empresa) |
| Endereço de e-mail | Não consta entre os itens do aviso | Não informado |
| Sobreposição entre as 2.797.545 e as 9.715 | Não informado | Não informado |
| Via concreta do acesso | Apenas o uso não autorizado de credenciais de conta; nada além disso | Não informado |
| Investigação externa | A investigação do sistema telefônico foi concluída em 16 de outubro de 2026 | Confirmado (empresa) |
| Aviso aos afetados | Avisos individuais por correio, e-mail ou meios semelhantes, em sequência | Feito (empresa) |
| Dano secundário | Nenhum uso indevido que pareça decorrer deste incidente foi confirmado | Não confirmado (empresa) |
| Polícia e regulador | Comunicado à polícia em 14 de setembro e à Comissão de Proteção de Informações Pessoais em 15 de setembro | Feito (empresa) |
Por que importam números de cartão em gravações de ligações
Diferentemente do que se digita em uma tela, uma gravação de ligação guarda o número como foi falado. A empresa deixou de receber números de cartão por voz e passou a usar procedimentos de pagamento por escrito. Com um número de cartão e uma data de validade, poderiam ser usadas formas de pagamento que não exigem código de segurança, e por isso conferir as faturas é importante. O que segue é o que pode acontecer em geral; não significa que tenha acontecido neste incidente (opinião deste site).
Para que os dados vazados podem ser usados
- Cobranças que você não reconhece feitas com o número do cartão e a data de validade (para quem informou um número de cartão)
- Ligações, mensagens de texto ou cartas em nome de uma empresa ou emissora de cartões que citam seu nome, endereço e telefone para parecerem genuínas
- Mensagens que levam a páginas falsas que pedem um PIN ou uma senha
O que os dados vazados, por si sós, não conseguem fazer (opinião deste site)
- Pagamentos que exigem o código de segurança (o código de segurança não foi obtido)
- Substituir uma página que você mesmo abriu pelo site oficial ou por um favorito
- Entrar na conta de quem não digitou a senha em lugar nenhum (senhas e semelhantes não estão incluídas)
O que os operadores devem rever: números de cartão recebidos por telefone e contas de sistema
Os detalhes da causa não foram divulgados, então esta seção trata apenas do que decorre dos fatos publicados.
- Mantenha números de cartão fora das gravações de ligações. A empresa deixou de receber números de cartão por voz e passou a usar procedimentos de pagamento por escrito. Uma empresa que recebe pedidos por telefone pode reduzir o que vaza se uma gravação for roubada não recebendo números de cartão verbalmente (por exemplo, direcionando o cliente a uma página de pagamento).
- Não deixe uma conta do sistema telefônico ser a porta de entrada para outros sistemas. Segundo o aviso, uma conta do sistema telefônico foi usada sem autorização, e informações do sistema de gerenciamento de clientes também foram obtidas por meio do sistema telefônico. Mapeie as permissões entre contas de serviços externos, como o sistema telefônico, e os sistemas que guardam dados de clientes, e remova os acessos desnecessários; isso reduz o dano.
Fontes (registro público)
Os fatos deste artigo se baseiam nas informações públicas abaixo. Não especulamos sobre detalhes da causa que não foram divulgados nem sobre o nome do prestador de serviço.
- Rohto Pharmaceutical Co., Ltd., “Pedido de desculpas e aviso sobre o vazamento de dados pessoais de clientes por acesso não autorizado” (6 de novembro de 2026; em japonês) — rohto.co.jp
- Rohto Pharmaceutical Co., Ltd., “Situação da investigação do acesso não autorizado aos nossos sistemas” (15 de setembro de 2026, com um acréscimo em 22 de outubro; em japonês) — rohto.co.jp
- Rohto Pharmaceutical Co., Ltd., “Possível acesso não autorizado aos nossos sistemas” (11 de setembro de 2026; em japonês) — rohto.co.jp
Histórico de atualizações
2026-11-09: Primeira versão, com base no aviso da Rohto Pharmaceutical de 6 de novembro e em seus avisos de 11 e 15 de setembro. Consultamos a lista de notícias do site oficial da empresa no mesmo dia e não encontramos nenhuma novidade posterior a 6 de novembro.
Leia em seguida
- Outros incidentes de venda por correio e dados de cartão: Acesso não autorizado à loja oficial da Good Smile Company / RIZAP e o roubo de dados de cartão da Aporito
- Identificando contatos falsos: O que é phishing? / Noções básicas de segurança do smartphone
- Senhas: Como escolher um gerenciador de senhas
- Outros incidentes de 2026: Lista de vazamentos de dados e ataques cibernéticos (Japão e mundo)