Para: pessoas que receberam uma entrega do 7NOW (como destinatárias) e operadores de serviços que terceirizam a entrega. Este artigo explica o comunicado oficial da Seven-Eleven Japan Co., Ltd. e não trata de métodos de ataque.
Em andamento: este artigo será atualizado conforme a organização publicar novas informações
- Quem é afetado
pessoas que receberam uma entrega do 7NOW (como destinatárias) e operadores de serviços que terceirizam a entrega.
- Confirmado até agoraVer a tabela ↓
- Acesso não autorizado de um terceiro na contratada de entregas
- Dados de solicitantes do 7NOW levados
- Só nome (katakana)
Mais 4
- Nome (katakana) e endereço
- Nome (katakana), endereço, número de telefone, CEP
- Data do pedido, nome e endereço da loja, nome do produto
- Contato individual
- Ainda não confirmado
- Detalhes da causa e da via da invasão
- Período do acesso não autorizado
- Se ocorre algum uso indevido ou dano secundário
Mais 2
- Quais pedidos estão abrangidos e como os três números se relacionam
- Situação das medidas preventivas
- O que fazer agoraVer os passos ↓
- Não siga links nem instruções de ligações, mensagens de texto ou e-mails que digam ser do 7NOW ou de uma entrega
- Se receber um SMS da empresa, compare com a página de comunicados oficial
- Senhas e cartões: o comunicado não instrui a trocá-los
Mais 2
- Não informe senha, número de cartão ou PIN a quem entrou em contato com você
- Fique atento por um tempo a ligações e mensagens desconhecidas
- Onde verificar (fonte)Todas as fontes ↓
- Seven-Eleven Japan (SEJ) Co., Ltd., comunicado sobre o vazamento de informações de clientes do 7NOW após o acesso não autorizado à sua contratada de entregas (em japonês, 3 de novembro de 2026)
- Última verificação
- Em 5 de novembro de 2026
Próximos avisos e o que verificamos
O comunicado da empresa de 3 de novembro não informa um cronograma de acompanhamentos. A contratada diz que anunciará em seu próprio site qualquer novidade que precise divulgar. Conferimos o comunicado da empresa e os comunicados da contratada em 5 de novembro e não encontramos nenhum acompanhamento deste incidente mais recente que o de 3 de novembro.
O que os usuários do 7NOW devem fazer hoje
Levado: nome (katakana) / em alguns, endereço, telefone, CEP
Pode alimentar ligações, mensagens e e-mails de aparência real dirigidos ao destinatário
Levado: em alguns, data do pedido, nome e endereço da loja, nome do produto
Pode alimentar mensagens que parecem conhecer seu pedido, como «sobre o seu pedido recente»
Não incluído: informações de cartão de crédito, IDs e senhas (empresa)
Também não foi encontrado vazamento nem alteração das credenciais ou das configurações de integração da empresa
Não siga links nem instruções de ligações, mensagens de texto ou e-mails que digam ser do 7NOW ou de uma entrega
Entre os itens levados estão o nome (katakana) e, em alguns registros, endereço, número de telefone, CEP, nome da loja e nome do produto. Com isso, uma mensagem dirigida a você pode parecer conhecer seu pedido. Em geral, contatos falsos montados em torno de uma encomenda ou de um pedido são muito usados.
Se receber uma mensagem sobre «confirmação de pedido», «reagendamento de entrega» ou «procedimento de reembolso», não abra o link. Abra você mesmo o navegador e confira no site oficial. Mensagens de texto falsas (smishing) funcionam da mesma forma (o que é phishing?).
Se receber um SMS da empresa, compare com a página de comunicados oficial
A empresa diz que contata em sequência os clientes afetados, por SMS no telefone cadastrado. O comunicado não diz se esse SMS contém uma URL nem como o remetente aparece, e não conseguimos confirmar isso.
Por isso, mesmo que chegue um SMS, não abra o link. Primeiro confirme que ele coincide com o comunicado (veja Fontes). Você também pode usar a linha de consultas do 7NOW indicada no comunicado (0120-711-099, 9:00-21:00 JST). Pegue o número do comunicado oficial da empresa, não do SMS.
Senhas e cartões: o comunicado não instrui a trocá-los
A empresa diz que não vazaram informações de cartão de crédito nem IDs ou senhas, e que a investigação da contratada não encontrou vazamento nem alteração de suas próprias credenciais ou configurações de integração. O comunicado não pede troca de senha nem de cartão.
Nossa visão: como os itens levados não incluem senhas, não é preciso trocar agora a senha do 7NOW. Se você reutiliza senhas, revisá-las é uma boa prática independentemente deste incidente (como escolher um gerenciador de senhas).
Não informe senha, número de cartão ou PIN a quem entrou em contato com você
Se quem liga consegue dizer corretamente seu nome, endereço ou o que você pediu, isso não prova que o contato seja genuíno, porque é exatamente a informação que foi levada. Se pedirem uma senha, um número de cartão ou um código de verificação que chega por SMS, trate como falso.
Fique atento por um tempo a ligações e mensagens desconhecidas
Ao contrário de um endereço de e-mail, um número de telefone e um endereço são difíceis de mudar. Em geral, um número de telefone levado pode atrair ligações e mensagens de golpe, inclusive algumas sem relação com o 7NOW (visão deste site). Ativar os filtros de ligações e SMS de spam do telefone reduz quantos chegam até você (noções básicas de segurança do smartphone).
O que aconteceu (segundo a Seven-Eleven Japan)
A Seven-Eleven Japan Co., Ltd. publicou um comunicado em seu site oficial em 3 de novembro de 2026 (título em japonês: pedido de desculpas e comunicado sobre o vazamento de informações de clientes após o acesso não autorizado à contratada do seu serviço de entrega 7NOW). Salvo indicação em contrário, tudo o que segue se baseia nesse comunicado.
Domingo, 1º de novembro de 2026
A empresa escreve que a investigação da contratada constatou que um serviço operado por ela para parte das entregas do 7NOW havia sido acessado sem autorização por um terceiro.Terça-feira, 3 de novembro
A investigação da contratada constatou que parte dos dados de solicitantes do 7NOW também havia sido levada, e a empresa foi informada. A empresa publicou seu comunicado no mesmo dia e diz que já informou a Comissão de Proteção de Informações Pessoais.Resposta (sem data)
Segundo o comunicado da empresa, a contratada cortou a comunicação da origem do acesso, suspendeu as contas usadas indevidamente, corrigiu a falha explorada e restringiu algumas funções e o acesso de fora do Japão.Em 5 de novembro
Não encontramos nenhum acompanhamento. Os clientes afetados estão sendo contatados em sequência por SMS no telefone cadastrado.
- Dados cuja retirada foi confirmada
- Nome (katakana) do solicitante (destinatário) apenas, 164.180 registros / nome (katakana) e endereço, 4.762 / nome (katakana), endereço, número de telefone e CEP, 209. Em alguns registros, também data do pedido, nome e endereço da loja, nome do produto
- Não incluído
- Informações de cartão de crédito, IDs e senhas. A investigação da contratada também não encontrou vazamento nem alteração das credenciais ou das configurações de integração da empresa
- Situação do serviço
- O 7NOW funciona normalmente
- Dano
- Até agora, nenhum uso indevido causado por este incidente foi confirmado
- Contato com os clientes
- Os clientes afetados estão sendo contatados em sequência por SMS no telefone cadastrado
- Comunicação às autoridades
- Informada a Comissão de Proteção de Informações Pessoais
- Consultas
- Linha de consultas do 7NOW (0120-711-099, 9:00-21:00 JST). O comunicado indica também um contato da contratada
O que a contratada publicou em seu próprio site
A CBcloud Inc., a contratada de entregas, publicou em seu próprio site um primeiro e um segundo relatório sobre o seu serviço «PickGo» (veja Fontes). O que segue se baseia nesses dois comunicados.
- Primeiro relatório: confirmou o acesso não autorizado de um terceiro em 1º de novembro de 2026. Cortou a comunicação da origem, suspendeu as contas usadas indevidamente, corrigiu a falha explorada e restringiu algumas funções e o acesso de fora do Japão. Diz que confirmou que não houve infecção por malware ou vírus
- Segundo relatório: diz que identificou o conjunto de informações que podem ter vazado: nome da empresa, nome do contato cadastrado, endereço cadastrado, número de telefone e endereço de e-mail, informações de pedidos (nomes e endereços dos pontos de coleta e entrega, etc.) e informações dos motoristas que atenderam os pedidos. Descreve isso como o conjunto mais amplo possível e diz que ele difere de uma empresa cliente para outra. Diz que informações de pagamento como contas bancárias e números de cartão não foram levadas, e que as senhas de login também não estão incluídas
- Os itens e números específicos confirmados para o 7NOW são os do comunicado da Seven-Eleven Japan. O comunicado da contratada não dá números por empresa cliente
Um anúncio separado de outro serviço por meio da mesma contratada
A Demae-can Co., Ltd. também publicou seu próprio comunicado em 3 de novembro de 2026 (veja Fontes). Segundo ele, um serviço da mesma contratada foi acessado sem autorização e parte dos dados de clientes dos casos de entrega da Demae-can foi levada. Os números confirmados são 799 nomes de solicitante (destinatário), 794 endereços e 33 números de telefone e CEPs, e diz que contatará por e-mail os clientes afetados. Esses números vêm de um anúncio separado e não são somados aos do 7NOW. Se você usou a Demae-can, consulte o comunicado da Demae-can.
O que se sabe e o que ainda não se sabe
Situação em 5 de novembro de 2026. Reescreveremos a coluna de situação quando houver acompanhamentos.
| Item | O que diz o comunicado | Situação |
|---|---|---|
| Acesso não autorizado de um terceiro na contratada de entregas | Constatado em 1º de nov. de 2026 (investigação da contratada) | Confirmado (empresa) |
| Dados de solicitantes do 7NOW levados | Constatado em 3 de nov. Retirada confirmada | Vazamento confirmado (empresa) |
| Só nome (katakana) | 164.180 registros | Vazamento confirmado (empresa) |
| Nome (katakana) e endereço | 4.762 registros | Vazamento confirmado (empresa) |
| Nome (katakana), endereço, número de telefone, CEP | 209 registros | Vazamento confirmado (empresa) |
| Data do pedido, nome e endereço da loja, nome do produto | Levados em alguns registros | Vazamento confirmado (empresa) |
| Informações de cartão de crédito, IDs e senhas | Não vazaram | Não incluídos (empresa) |
| Vazamento ou alteração das credenciais ou das configurações de integração da empresa | Não encontrado na investigação da contratada | Não incluídas (empresa) |
| Detalhes da via e da causa | A falha explorada foi corrigida (contratada). Sem detalhes da via | Não informado |
| Período do acesso não autorizado | Constatado em 1º de nov. Nenhum período anterior informado | Não informado |
| Uso indevido ou dano secundário | Nenhum confirmado até agora | Não confirmado até agora (empresa) |
| Quais pedidos estão abrangidos, sobreposição dos três grupos | Não informado no comunicado | Não informado |
| Contato individual | Em sequência, por SMS no telefone cadastrado | Confirmado (empresa) |
Nota: os números são registros, não pessoas, e os três números não são somados
O comunicado dá números por combinação de itens, em registros. Não diz pessoas, e não diz se os três grupos se sobrepõem ou são separados. Por isso este site não dá um total e não o converte em número de pessoas. O comunicado da empresa não dá um total.
Para que a combinação de itens pode servir
Em geral, essas combinações podem levar aos seguintes tipos de uso indevido. Isso não significa que tenha acontecido aqui.
- Nome (katakana) + endereço: contato dirigido ao destinatário que se passa por aviso de encomenda não entregue ou de nova entrega. Acertar o nome basta para parecer genuíno
- Nome (katakana) + número de telefone: ligações ou mensagens de texto que fingem confirmar sua identidade para extrair informações
- Nome da loja, nome do produto, data do pedido: contato como «sobre o seu pedido recente» que parece conhecer um pedido real. Conhecer o pedido não é prova de que seja genuíno
- Senha, informações de cartão: a empresa diz que não vazaram, então não há instrução de trocá-las
Para operadores de serviços que usam uma contratada de entregas: o que os fatos publicados permitem verificar
Os detalhes da causa não foram publicados. Esta seção não avalia a empresa nem a contratada; limita-se ao que um operador pode verificar em seu próprio serviço, a partir de fatos publicados.
Faça um inventário do que você entrega à contratada
Segundo o comunicado, os itens levados foram o nome (katakana) do solicitante (destinatário), endereço, número de telefone, CEP, nome da loja, nome do produto e outros. O grupo com mais registros é o de só nome (katakana). Revise se o que você repassa à sua contratada se limita ao que a entrega precisa. Dados que você não entrega não podem vazar da contratada.
Decida quando interromper a integração e como conferir antes de reiniciá-la
Segundo o comunicado da Demae-can, ela foi informada em 2 de novembro, interrompeu sua integração com a contratada pouco depois das 14:00 do mesmo dia, confirmou que a correção estava completa e reiniciou por volta das 21:00. Se você decidir de antemano quando interromper e o que conferir antes de reiniciar, não vai hesitar no dia em que chegar uma mensagem dessas.
Decida quem recebe as conclusões da contratada e como você contatará os clientes
No caso do 7NOW, a investigação da contratada constatou em 3 de novembro que seus dados também haviam sido levados, e isso foi anunciado no mesmo dia. Você precisa decidir de antemano como contatará os clientes afetados (SMS, e-mail, app) no dia em que os números forem conhecidos, e preparar uma forma de os clientes verificarem que o contato é genuíno (o mesmo conteúdo em uma página oficial).
Fontes (registros públicos)
Os fatos deste artigo se baseiam nas informações públicas abaixo. Não conjecturamos sobre a causa, o período ou a via da invasão, que não foram publicados.
- Seven-Eleven Japan (SEJ) Co., Ltd., comunicado sobre o vazamento de informações de clientes do 7NOW após o acesso não autorizado à sua contratada de entregas (em japonês, 3 de novembro de 2026) — sej.co.jp
- [Contratada de entregas], «Acesso não autorizado ao PickGo e possível vazamento de informações pessoais (primeiro relatório)» (em japonês) — cb-cloud.com
- [Contratada de entregas], «Acesso não autorizado ao PickGo e possível vazamento de informações pessoais (segundo relatório)» (em japonês, atualizado em 3 de novembro de 2026) — cb-cloud.com
- Demae-can Co., Ltd., comunicado sobre o vazamento de informações de clientes após o acesso não autorizado à sua contratada (em japonês, 3 de novembro de 2026) — corporate.demae-can.co.jp
Histórico de atualizações
2026-11-05: Primeira versão, com base no comunicado da Seven-Eleven Japan de 3 de novembro, nos relatórios primeiro e segundo da contratada e no comunicado da Demae-can de 3 de novembro. Ao conferir em 5 de novembro, não encontramos nenhum acompanhamento mais recente que o de 3 de novembro. Atualizaremos quando forem publicados a causa, o período, se ocorre dano secundário e pontos semelhantes.
Leia a seguir
- Casos japoneses semelhantes: Acesso não autorizado à Yamato Transport e à Sagawa Express / Vazamento de dados de membros da MrMax / Acesso não autorizado à Nojima Online
- Telefones: Noções básicas de segurança do smartphone
- Golpes decorrentes: O que é phishing?
- Outros incidentes de 2026: Vazamentos de dados e ciberataques (Japão e exterior)