Para: pessoas que usaram serviços de medição de pele do grupo Shiseido (loja online da Shiseido, SHISEIDO, ELIXIR, IPSA). Este artigo é uma explicação baseada no comunicado oficial da Shiseido; não trata de métodos de ataque.
Em andamento: este artigo será atualizado conforme a organização publicar mais informações
- Quem é afetado
pessoas que usaram serviços de medição de pele do grupo Shiseido (loja online da Shiseido, SHISEIDO, ELIXIR, IPSA).
- Confirmado até agoraVer a tabela ↓
- Acesso não autorizado, suspensão de serviços
- Alteração e extração de dados
- Número
Mais 3
- Nome, e-mail, idade, gênero, ID de membro
- Dados de questionários, resultados de medições da pele (incluindo data e hora)
- Comunicação à Comissão de Proteção de Informações Pessoais e à polícia
- Ainda não confirmado
- Causa (como o acesso ocorreu)
- Detalhes do alcance (número final)
- Quais informações foram alteradas
Mais 2
- Quando os serviços suspensos serão retomados
- Se os dados foram usados indevidamente
- O que fazer agoraVer os passos ↓
- Não responda a e-mails em nome da Shiseido ou de suas marcas
- Verifique se você usou os serviços de medição de pele afetados
- Leve em conta que vazaram dados de questionários e resultados de medições da pele
Mais 3
- Verifique outros serviços que usem o mesmo ID de membro ou e-mail
- Se estiver preocupado, contate a linha oficial
- Se você digitou dados ou enviou dinheiro, peça ajuda imediatamente
- Onde verificar (fonte)Todas as fontes ↓
- Shiseido, «Apology and notice about the personal information leak due to unauthorized access to our skin analysis system» (6 de novembro de 2026, em japonês)
- Última verificação
- Em 13 de novembro de 2026
Próximos avisos e o que verificamos
A empresa diz que não confirmou e-mails suspeitos relacionados aos seus serviços de medição de pele. Quando verificamos o comunicado oficial da empresa em 13 de novembro de 2026, não encontramos nenhum acompanhamento nem atualização após o comunicado de 6 de novembro.
O que os usuários devem fazer hoje
Não responda a e-mails em nome da Shiseido ou de suas marcas
A empresa diz que nunca pede diretamente por e-mail ou telefone dados de cartão de crédito, PINs ou senhas. Não confirmou e-mails suspeitos relacionados aos seus serviços de medição de pele, mas, se você receber um, não abra a URL nem digite nenhuma informação.
Quem conhece seu e-mail, seu nome e os resultados da sua pele pode redigir com mais facilidade uma mensagem convincente como «os resultados da sua análise de pele estão prontos» ou «passos para retomar o serviço de medição de pele» (opinião deste site). Verifique um serviço abrindo você mesmo o site ou o aplicativo oficial, não seguindo um link de uma mensagem. Para saber reconhecer falsificações, veja O que é phishing?.
Verifique se você usou os serviços de medição de pele afetados
Confirmou-se vazamento no «Beauty Alive Circulation Check» da loja online da Shiseido e da SHISEIDO. «Hada Pasha», «Men's Skin Checker», «AI Skin Analyzer», «AI Recipist mico» e «CO-HADA Scan» não têm vazamento confirmado, mas estão suspensos por precaução.
A empresa diz que contatará individualmente os clientes que conseguir identificar. De alguns clientes não tem informações de identificação, então o contato individual é difícil e ela informa por meio do comunicado. Se você usou esses serviços, pode ter sido afetado mesmo sem ter sido contatado.
Leve em conta que vazaram dados de questionários e resultados de medições da pele
O comunicado não lista as perguntas do questionário. Em geral, informações sobre o estado da sua pele, suas preocupações, idade e gênero são algo que muitas pessoas preferem manter privado. Se alguém oferecer um produto ou serviço que se encaixe nas preocupações da sua pele e parecer conhecer seus resultados, não confie; verifique você mesmo com a linha oficial.
A empresa diz que algumas informações foram alteradas, mas não diz quais nem como. Ao ver seus resultados ou dados cadastrados depois que os serviços forem retomados, verifique se há algo que pareça errado.
Verifique outros serviços que usem o mesmo ID de membro ou e-mail
Entre os itens vazados estão o ID de membro e o e-mail. As senhas não estão listadas, então o comunicado não dá motivo para trocar a senha só por este incidente. Se você reutiliza a mesma combinação de e-mail e senha em vários serviços, este é um bom momento para revisar isso (opinião deste site). Para saber como verificar, veja Como verificar se sua senha vazou.
Se estiver preocupado, contate a linha oficial
A linha indicada no comunicado é a central de atendimento ao cliente da Shiseido 0120-81-4710 (das 10:00 às 17:00, horário do Japão, exceto fins de semana, feriados e recessos de verão e fim de ano), ou uma consulta por e-mail pelo formulário do site oficial da Shiseido. Para a IPSA, ela tem sua própria página oficial de contato. Use as linhas do comunicado oficial, não um número escrito em um e-mail.
Se você digitou dados ou enviou dinheiro, peça ajuda imediatamente
Se digitou dados pessoais ou de cartão em uma página a que chegou por uma mensagem suspeita, contate imediatamente a operadora do cartão. No Japão você também pode ligar para a linha de consultas da polícia (#9110) ou para a linha do consumidor (188). Para atividade suspeita em contas, veja Como verificar acessos não autorizados.
O que aconteceu (segundo o comunicado da Shiseido)
Em 6 de novembro de 2026, a empresa publicou «Pedido de desculpas e aviso sobre o vazamento de informações pessoais por acesso não autorizado ao nosso sistema de análise de pele» (em japonês). Tudo o que segue é uma declaração da empresa.
27 de outubro
A empresa confirmou o acesso não autorizado de um terceiro externo ao sistema online de análise de pele «FCA» que o grupo usa. Para evitar mais danos, suspendeu desde esse dia alguns serviços de medição de pele que usam o sistema e realizou uma resposta de emergência com o desenvolvedor do sistema.Durante a investigação
A empresa confirmou que algumas informações do sistema haviam sido alteradas e que dados haviam sido levados para fora (a data da confirmação não é informada). Comunicou o caso à Comissão de Proteção de Informações Pessoais e à polícia (a data não é informada).6 de novembro
O comunicado foi publicado. A empresa diz que trabalha com especialistas externos para identificar o alcance e a causa.
- Confirmado
- Acesso não autorizado de um terceiro externo ao sistema online de análise de pele «FCA», confirmado em 27 de outubro de 2026; alguns serviços suspensos desde esse dia
- Número
- Um total de 2.515 registros de informações pessoais confirmados como vazados (alcance sob investigação)
- Informações que vazaram
- Nome, e-mail, idade, gênero, ID de membro e outras informações de identificação; dados de questionários; resultados de medições da pele (incluindo data e hora)
- Não incluídos
- Imagens do rosto tiradas durante a medição (não estão entre as informações confirmadas como vazadas); dados de cartão de crédito (o sistema não os trata)
- Causa
- Acesso não autorizado de um terceiro externo. Algumas informações do sistema foram alteradas e dados foram levados para fora (causa sob investigação com o desenvolvedor do sistema e especialistas externos; via e método não divulgados)
- Comunicações
- Comunicado à Comissão de Proteção de Informações Pessoais e à polícia
- Contato
- Central de atendimento ao cliente da Shiseido 0120-81-4710 (das 10:00 às 17:00, horário do Japão, exceto fins de semana, feriados e recessos de verão e fim de ano)
Serviços suspensos
Estes são os serviços que a empresa lista como usuários do mesmo sistema de análise de pele «FCA». Não há data de retomada; a empresa pretende retomá-los depois de confirmar a segurança do sistema.
| Serviço | O que é | Situação |
|---|---|---|
| «Beauty Alive Circulation Check» da loja online da Shiseido | Serviço online de medição de pele | Vazamento confirmado, suspenso (empresa) |
| «Beauty Alive Circulation Check» da SHISEIDO | Serviço de medição de pele em loja e online | Vazamento confirmado, suspenso (empresa) |
| «Hada Pasha» e «Men's Skin Checker» da loja online da Shiseido | Serviços online de medição de pele | Sem vazamento confirmado, suspensos por precaução (empresa) |
| «AI Skin Analyzer» da ELIXIR | Serviço online de medição de pele | Sem vazamento confirmado, suspenso por precaução (empresa) |
| «AI Recipist mico» e «CO-HADA Scan» da IPSA | Serviços online de medição de pele | Sem vazamento confirmado, suspensos por precaução (empresa) |
O que se sabe e o que não se sabe
Esta tabela se baseia no comunicado da empresa de 6 de novembro, em 13 de novembro de 2026. Quando surgirem avisos de acompanhamento, atualizaremos a coluna de situação.
| Item | O que diz o comunicado | Situação |
|---|---|---|
| Acesso não autorizado, suspensão de serviços | Confirmado em 27 de out.; alguns serviços suspensos desde esse dia | Confirmado (empresa) |
| Alteração e extração de dados | Algumas informações do sistema foram alteradas e dados foram levados para fora | Confirmado (empresa) |
| Número | Um total de 2.515 registros; alcance sob investigação | Confirmado (empresa; em investigação) |
| Nome, e-mail, idade, gênero, ID de membro | Vazamento confirmado | Confirmado (empresa) |
| Dados de questionários, resultados de medições da pele (incluindo data e hora) | Vazamento confirmado; as perguntas específicas não são descritas | Confirmado (empresa) |
| Imagens do rosto | Não estão entre as informações confirmadas como vazadas | Não incluídas (empresa) |
| Dados de cartão de crédito | O sistema não os trata; sem vazamento | Não incluídos (empresa) |
| Senhas | Não listadas entre os itens | Não informado |
| O que foi alterado | Algumas informações foram alteradas, mas não se descreve quais | Não informado |
| Causa | Acesso não autorizado de um terceiro externo; em investigação com o desenvolvedor do sistema e especialistas externos | Em investigação (empresa) |
| Via e método da intrusão | Não descritos | Não informado |
| Uso indevido | Nenhum e-mail suspeito relacionado aos serviços de medição de pele foi confirmado | Não confirmado (empresa) |
| Contato individual | Contato individual com os clientes que podem ser identificados; os demais são informados por meio do comunicado | Previsto (empresa) |
| Retomada dos serviços suspensos | Serão retomados após a confirmação da segurança do sistema; sem data | Não informado |
| Comunicação à Comissão de Proteção de Informações Pessoais e à polícia | Comunicado | Confirmado (empresa) |
O que pode acontecer com dados de questionários e resultados de medições da pele
A tabela abaixo mostra o que em geral pode acontecer com combinações desses itens. Não significa que isso tenha acontecido neste incidente.
| Informações que vazaram | O que em geral pode acontecer | O que os usuários devem fazer |
|---|---|---|
| Nome + e-mail + ID de membro | E-mails realistas em nome da Shiseido ou de suas marcas | Não abra links; verifique no site ou aplicativo oficial |
| Dados de questionários + resultados de medições da pele | Ofertas de produtos ou serviços que citam as preocupações ou os resultados da sua pele | Não confie mesmo que acertem; confirme com a linha oficial |
| Idade + gênero + e-mail | E-mails com redação convincente adaptada ao seu perfil | Confira o remetente e a URL, e não digite nada |
O que pode acontecer com as informações vazadas
- E-mails realistas em nome da Shiseido ou de suas marcas
- Ofertas que citam os resultados ou as preocupações da sua pele
- Contatos feitos para parecer um procedimento de retomada do serviço, pedindo que você digite informações
O que o comunicado deixa fora do vazamento
- Imagens do rosto tiradas durante a medição
- Dados de cartão de crédito (o sistema não os trata)
- E-mails suspeitos relacionados aos serviços de medição de pele (não confirmados em 6 de novembro)
O que as organizações devem revisar: gestão de serviços de medição construídos sobre um sistema externo
A causa não foi divulgada, então escrevemos apenas o que se pode dizer a partir dos fatos publicados.
- Alcance quando um sistema atende muitos serviços: além dos dois serviços com vazamento confirmado, outros cinco serviços que usam o mesmo sistema também foram suspensos. Em geral, quanto mais serviços compartilham um sistema, maior o efeito de uma suspensão. Decidir no projeto como um sistema compartilhado é gerenciado e como os serviços são separados ajuda a manter a suspensão restrita.
- Verificação de alterações: a empresa diz que algumas informações foram alteradas além de levadas. Uma alteração exige verificar se os dados estão corretos, além de confirmar o vazamento. Decidir com antecedência como comparar os registros com os dados armazenados ajuda a confirmar o alcance mais rápido.
Fontes (registros públicos)
Os fatos deste artigo se baseiam no comunicado oficial abaixo. Não especulamos sobre detalhes da causa que não foram divulgados.
- Shiseido, «Apology and notice about the personal information leak due to unauthorized access to our skin analysis system» (6 de novembro de 2026, em japonês) — corp.shiseido.com
Histórico de atualizações
2026-11-13: Primeira versão. Baseada no comunicado da Shiseido de 6 de novembro. Verificamos o comunicado oficial da empresa no mesmo dia e não encontramos nenhum acompanhamento nem atualização.
Leia em seguida
- Incidentes de cosméticos da mesma época: Acesso não autorizado ao @cosme da istyle (cerca de 3 milhões de pessoas) / O vazamento de dados da The Beauty Garage
- Como reconhecer contatos falsos: O que é phishing? / Noções básicas de segurança do smartphone
- Verificar senhas reutilizadas: Como verificar se sua senha vazou
- Atividade suspeita em uma conta: Como verificar acessos não autorizados
- Outros incidentes de 2026: Vazamentos de dados e ciberataques (Japão e mundo)