Para: membros do Seicomart Club no Japão que já se cadastraram no app Seicomart (quem deixou o programa Club Card até 24 de setembro não é afetado), e qualquer pessoa que administre um app de programa de fidelidade. Este artigo se baseia nos comunicados oficiais da Seicomart Co., Ltd. e não trata de técnicas de ataque.
Em andamento: este artigo será atualizado conforme a empresa publicar novas informações
Em 7 de outubro de 2026Ainda não conhecido
- Causa (como o acesso ocorreu)
- Medidas para evitar recorrência
- Quando o login no app voltará
- Quando o login de membros para a loja online e os sites de reserva voltará
A empresa diz que ainda investiga com uma empresa externa e retém detalhes porque está trabalhando com a polícia e outras autoridades. Afirma que publicará a causa e as medidas de prevenção em seu site assim que forem conhecidas.
O que os membros devem fazer hoje
Verifique os avisos do app para saber se você foi afetado
A partir de 5 de outubro, a empresa informa a cada membro do app, por meio dos avisos do app, se seus dados estavam incluídos. Verifique dentro do app oficial que você abre por conta própria, não em um e-mail ou mensagem de texto que diga lhe informar.
Se não conseguir fazer login no app, a empresa pede que você use o Pecoma Card de plástico. Se não tiver um, aguarde o retorno do login ou solicite a emissão de um novo Pecoma Card em loja e entre em contato com o balcão do Club Card (0120-515-413, de segunda a sábado, das 9h às 17h). Se não conseguir verificar no app se você foi afetado, procure o atendimento ao cliente (0120-89-8551).
Não siga links nem instruções em e-mails, mensagens de texto ou ligações que se digam da empresa
Os dados expostos reúnem sobrenome e nome, endereço, data de nascimento, telefone e e-mail. Com tudo isso, um golpista pode enviar uma mensagem com o nome certo e o endereço certo.
Se você receber uma mensagem sobre "pontos como pedido de desculpas", "recadastramento dos seus dados de membro" ou "conferência do saldo do Peco Mama Money", não abra o link; abra o app oficial por conta própria ou pergunte em loja. Mensagens de texto falsas (smishing) e ligações que tentam obter dados pessoais devem ser tratadas da mesma forma (veja O que é phishing?).
Nunca informe a ninguém seu PIN, senhas ou dados de cartão
A empresa diz que nunca pedirá, por qualquer meio, dados de cartão de crédito, senhas ou PINs (números de identificação pessoal). Isso vale para ligações e mensagens de texto, não apenas para e-mails.
Uma pessoa que liga e sabe seu nome e sua data de nascimento não tem sua autenticidade comprovada por isso. Esses são exatamente os dados que foram visualizados.
Deixe de usar sua data de nascimento como PIN ou resposta de verificação de identidade
Datas de nascimento são frequentemente usadas como PIN de cartões, como respostas a perguntas de segurança e em verificações de identidade por telefone. Neste incidente, a data de nascimento foi visualizada junto com o endereço e o telefone.
Se seu Pecoma Card, cartão bancário ou qualquer outro PIN usa os dígitos da sua data de nascimento, troque-o por um número sem relação. Se um serviço permitir definir uma frase-senha ou uma verificação extra para o suporte por telefone, configure.
Se você reutiliza a mesma senha em outros lugares, separe-as
A empresa afirma que dados de senha não foram vazados e não está pedindo que os membros troquem suas senhas. Em 7 de outubro, a função de login do app ainda aguardava restabelecimento.
Se você usa a mesma senha em outros serviços, separe-as agora. Um gerenciador de senhas é a forma realista de fazer esse inventário.
Acompanhe o saldo do Peco Mama Money para quedas inesperadas
A empresa diz que não foi encontrado uso indevido do Peco Mama Money. Afirma que usar e recarregar o Peco Mama Money, acumular pontos e comprar com preços para membros continuam disponíveis.
Se notar uma queda no saldo que não consiga explicar, por exemplo em um recibo, ligue para o atendimento ao cliente (0120-89-8551, de segunda a sábado, das 9h às 17h). Use o número do site oficial, não um número informado em mensagem recebida.
O que aconteceu (segundo os comunicados da Seicomart)
A Seicomart Co., Ltd. publicou seu primeiro e segundo comunicados em 29 de setembro de 2026, um terceiro em 30 de setembro e um quarto em 5 de outubro. Tudo o que está abaixo consta nos comunicados da empresa.
24 de setembro de 2026 (qui), 22h–23h
Uma conta teve sua adesão ao Club Card cancelada sem autorização. Não foram encontrados cancelamentos não autorizados em outras contas.28 de setembro (seg), pouco depois das 17h
A partir desse caso, a empresa verificou que o servidor de membros pode ter sido acessado sem autorização.28 de setembro, 20h
A conexão com o servidor foi interrompida. Novos cadastros, alterações de dados de membro, alterações de cartões registrados, cancelamentos e logins em Minha Página foram suspensos.29 de setembro
Primeiro comunicado (cerca de 570 mil contas) e segundo comunicado (histórico de compras não vazado; logins na loja online e nos sites de reserva suspensos).30 de setembro
Terceiro comunicado: a empresa confirmou que dados de 572.022 pessoas foram visualizados e comunicou o incidente às autoridades, nos termos da Lei de Proteção de Informações Pessoais do Japão.5 de outubro
Quarto comunicado: 574.647 pessoas são afetadas, sem incluir quem saiu até 24 de setembro. A empresa começou a informar cada membro do app, por meio dos avisos do aplicativo, se ele foi afetado, e encerrou as funções do app e da web para alteração de dados de membro e tarefas semelhantes.
- Quem
- 574.647 pessoas entre os membros do Club cadastrados no app Seicomart. Quem deixou o programa Club Card até 24 de setembro e quem nunca se cadastrou no app não são afetados
- Itens visualizados
- Sobrenome e nome, sexo, data de nascimento, endereço, telefone, e-mail, data de adesão ao Club Card, data de saída do Club Card
- Não vazados
- Dados de senha e histórico de compras. A empresa não guarda dados de cartão de crédito
- Como verificar se você foi afetado
- A partir de 5 de outubro, cada membro do app é informado por meio dos avisos do aplicativo
- Dinheiro eletrônico
- Nenhum uso indevido do Peco Mama Money encontrado
- Causa
- Não divulgada. Em investigação com uma empresa externa; detalhes retidos porque a empresa trabalha com a polícia e outras autoridades
- Funções encerradas
- Novos cadastros, visualização e alteração de dados de membro e troca de cartões registrados, no app e na web. As solicitações agora são aceitas em loja ou por formulário no app ou na web, e a empresa faz a alteração
- Suspensos
- Login no app (aguardando restabelecimento), a loja online oficial, o site de pedidos Pecoma Market, login de membro no site de reservas de produtos (datas de reinício a serem anunciadas)
- Se você não consegue fazer login
- Use o Pecoma Card de plástico. Se não tiver um, solicite a emissão de um novo em loja e entre em contato com o balcão do Club Card (0120-515-413, de segunda a sábado, das 9h às 17h)
- Contato
- Atendimento ao cliente da Seicomart, 0120-89-8551 (de segunda a sábado, das 9h às 17h, Japão)
Observações para os membros
Segundo o segundo comunicado, os pontos que venceriam no fim de setembro foram prorrogados por um mês. Pedidos na Pecoma Market ainda podem ser feitos nas copiadoras multifuncionais das lojas. O site de reserva de produtos aceita reservas como visitante, sem login de membro.
O que se sabe e o que não se sabe
Situação em 7 de outubro de 2026. Quando um novo comunicado for publicado, atualizaremos a coluna de situação.
| Item | O que dizem os comunicados | Situação |
|---|---|---|
| Número de afetados | 574.647 membros do Club cadastrados no app | Confirmado (segundo a empresa) |
| Itens visualizados | Nome, sexo, data de nascimento, endereço, telefone, e-mail, data de adesão, data de saída | Confirmado |
| Pessoas que saíram até 24 de setembro | Não incluídas | Confirmado |
| Senhas e histórico de compras | Não vazados | Confirmado (segundo a empresa) |
| Dados de cartão de crédito | Nunca mantidos | Confirmado |
| Se você foi afetado | Todo membro do app informado pelos avisos do aplicativo a partir de 5 de outubro | Notificação iniciada |
| Uso indevido do Peco Mama Money | Nenhum encontrado | Nenhum encontrado |
| Causa e método de acesso | Em investigação com uma empresa externa; detalhes retidos enquanto se trabalha com a polícia | Em investigação |
| Medidas de prevenção | Serão publicadas no site quando conhecidas | Não divulgadas |
| Alteração de dados de membro e novos cadastros | Funções do app e da web encerradas; aceitas em loja ou por formulário | Confirmado |
| Login no app | Pede-se aos membros que aguardem o retorno; sem data informada | Indefinido |
| Login de membro na loja online e nos sites de reserva | Suspenso; datas de reinício a serem anunciadas | Indefinido |
Como os itens expostos podem ser usados em conjunto
Nenhum desses itens é raro isoladamente, mas juntos se tornam mais úteis para um golpista. Uma data de nascimento conhecida junto com endereço e telefone, em especial, facilita a aprovação em verificações de identidade em outras empresas.
Nome + endereço + telefone + e-mail
↓→
E-mails, mensagens de texto e ligações golpistas com seus dados corretos
→ Não abra links; confirme no app oficial ou em loja
Data de nascimento + endereço + telefone
↓→
Verificações de identidade por telefone em outras empresas; PINs com data de nascimento
→ Troque o PIN; configure uma frase-senha
Datas de adesão e de saída
↓→
Mensagens que citam seu histórico de associação
→ Conhecer seu histórico não torna quem liga autêntico
Não vazados, segundo a empresa
- Dados de senha
- Histórico de compras
- Dados de cartão de crédito (nunca mantidos)
Visualizados (difíceis de alterar por conta própria)
- Nome, sexo e data de nascimento
- Endereço e telefone (a menos que você mude de endereço ou de número)
- E-mail (pode ser alterado, mas dá trabalho)
Como interpretar: 'nenhum uso indevido encontrado' não significa 'seguro daqui em diante'
A empresa diz que não foi encontrado uso indevido do Peco Mama Money. Isso significa que nada foi encontrado até agora, não que os dados visualizados nunca serão usados.
Endereços e datas de nascimento não mudam com o tempo, então podem ser usados em mensagens golpistas meses ou anos depois. Fique atento a mensagens que usem este incidente como motivo para entrar em contato com você.
As pessoas afetadas são membros do Club que "se cadastraram" no app; quem deixou o programa Club Card até 24 de setembro não está incluído. Mesmo que você não use mais o app, vale verificar se foi afetado pelos avisos do aplicativo ou pelo atendimento ao cliente. Sobre as regras da lei japonesa de privacidade para solicitar que uma empresa pare de usar ou apague seus dados, veja o vazamento da Times Car.
Para quem administra apps de fidelidade
Segundo o comunicado, o acesso passou pelo servidor do app até o servidor que guarda os dados dos membros. O método específico não foi divulgado, por isso esta seção se limita a pontos que qualquer serviço com a mesma estrutura pode revisar.
Limite o que o servidor do app pode ler no banco de dados de membros
Uma tela do app normalmente precisa apenas dos dados do próprio membro autenticado. Verifique se o servidor do app tem permissão para ler o endereço e a data de nascimento de todos os membros de uma vez.
Defina limites tanto no app quanto no banco de dados: não retorne registros que não sejam do próprio membro e limite quantos registros uma única requisição pode retornar (contexto: Autenticação versus autorização).
Esteja preparado para notar operações incomuns que alterem o status de um membro
O incidente veio à tona porque a adesão de uma conta foi cancelada sem autorização. Operações que alteram o status de um membro — cancelamento, troca de cartão registrado, alteração de dados de contato — são raras, então a atividade incomum se destaca.
Um primeiro passo é registrar quantas dessas operações ocorrem por hora e notificar alguém quando a contagem atingir várias vezes o nível habitual. Definir limites e emitir alertas ao atingi-los é tratado em Limitação de taxa e controle de abuso.
Defina por quanto tempo manter os dados pessoais de ex-membros
Liste quais itens devem ser mantidos, e por quanto tempo, por motivos legais ou contábeis, e programe a exclusão automática de todo o restante em um prazo definido após a saída do membro. A exclusão manual não se sustenta a longo prazo.
Para uma comparação com outros grandes vazamentos japoneses divulgados no mesmo ano, veja Os principais vazamentos de dados do Japão em 2026.
Fontes (registro público)
Os fatos deste artigo vêm das fontes públicas abaixo. Métodos ou causas não divulgados da invasão não são objeto de especulação.
- Seicomart Co., Ltd., pedido de desculpas e comunicado sobre o possível vazamento de dados pessoais por acesso não autorizado ao app Seicomart (primeiro comunicado, 29 de setembro de 2026, em japonês) — secoma.co.jp (PDF)
- Idem (segundo comunicado, 29 de setembro de 2026: histórico de compras não vazado; loja online e sites de reserva suspensos, em japonês) — secoma.co.jp (PDF)
- Idem (terceiro comunicado, 30 de setembro de 2026: visualização confirmada; comunicação às autoridades, em japonês) — secoma.co.jp (PDF)
- Seicomart Co., Ltd., pedido de desculpas e comunicado sobre a visualização de dados pessoais por acesso não autorizado ao app Seicomart (quarto comunicado, 5 de outubro de 2026: 574.647 pessoas afetadas; quem saiu até 24 de setembro não incluído; notificação no app; funções encerradas, em japonês) — secoma.co.jp (PDF)
- Site oficial da Secoma, página de comunicados com o primeiro ao quarto comunicados (em japonês) — secoma.co.jp
- INTERNET Watch, reportagem sobre o possível vazamento de dados de membros de cerca de 570 mil contas (29 de setembro de 2026, em japonês) — internet.watch.impress.co.jp
Histórico de atualizações
2026-10-03: Primeira versão, com base no primeiro e segundo comunicados da Seicomart (29 de setembro) e no terceiro comunicado (30 de setembro).
2026-10-07: Atualizado com o quarto comunicado de 5 de outubro. O número de afetados passou de 572.022 para 574.647; foi acrescentado que quem saiu até 24 de setembro não está incluído, que os membros são informados no app sobre serem ou não afetados, e que as funções do app e da web para alteração de dados de membro e tarefas semelhantes foram encerradas. Este artigo será atualizado quando forem publicadas a causa, as medidas de prevenção e as datas de reinício dos serviços suspensos.
Leia em seguida
- Um caso semelhante: Vazamento no app Yakiniku King (cerca de 10,79 milhões de registros) / Vazamento de dados de membros da Bookoff (até cerca de 6,43 milhões de registros)
- Golpes que seguem incidentes como este: O que é phishing? / Noções básicas de segurança para smartphones / Falsos alertas de vírus (golpes de suporte técnico)
- Senhas: Como escolher um gerenciador de senhas / Como escolher a autenticação multifator
- Outros incidentes japoneses na mesma época: O vazamento da Times Car / Os principais vazamentos de dados do Japão em 2026
- Outros incidentes de 2026: lista de vazamentos e ciberataques (Japão e no mundo)
- Para operadores: A base mínima de segurança para organizações
- Malware em computador de um terceirizado da Daiichikosho (cerca de 8,72 milhões de registros)