Para: qualquer pessoa que já comprou online no Japão (principalmente se recebeu um e-mail de aviso da E-store), quem opera uma loja no ShopServe e quem está cadastrado como afiliado. Este artigo se baseia nos comunicados oficiais da E-store (até o relatório final de 16 de outubro de 2026) e nos comunicados das lojas afetadas, e não trata de técnicas de ataque.
Corrigido no relatório final (o que difere do segundo relatório)
O segundo relatório dizia que os IDs e senhas do sistema de e-mail e do FTP das lojas, e os dados das contas bancárias para as quais a E-store transfere dinheiro (contas de repasse), também haviam vazado. No relatório final, a investigação confirmou que esses dados não vazaram, e eles foram removidos da lista. O número também mudou dos 8.853.839 registros do segundo relatório (possivelmente com duplicidades) para "cerca de 23.356.000 pessoas" após a remoção de duplicidades. As unidades são diferentes, então os dois números não podem ser comparados.
O que os compradores devem fazer hoje
Verifique se você foi afetado (comece pelos nomes das lojas)
Até onde este site pôde verificar, a E-store não publicou uma lista de lojas afetadas. Você pode verificar de três maneiras:
- Procure um aviso individual da E-store (a empresa diz que os avisos individuais estão concluídos)
- Consulte os sites oficiais das lojas online que você usou em busca de avisos sobre acesso não autorizado ou sobre a E-store
- Pergunte pelo formulário de consultas para compradores indicado no relatório final da E-store
Para quem teve os dados de contato não confirmados, a empresa diz que o aviso público e o canal de consultas servem como notificação. Pelo menos uma loja afetada disse que seus compradores afetados remontam a 2008. Uma compra feita há anos ainda pode estar incluída.
Desconfie de mensagens que citem dados reais de um pedido ou os quatro últimos dígitos do seu cartão
O vazamento inclui nomes, endereços, telefones, e-mails e locais de trabalho, além do nome do titular, dos 6 primeiros e 4 últimos dígitos do cartão e da data de validade. Isso significa que uma mensagem falsa pode dizer "seu cartão final 1234" e acertar os dados.
A E-store diz que nunca pede por e-mail ou SMS que dados de cartão sejam inseridos de novo, que se pague de novo ou senhas, e alerta para e-mails, SMS e ligações suspeitos que se passam pela empresa ou por instituições financeiras. Se receber uma mensagem assim, não use os links nem os telefones dela; abra você mesmo o site oficial da loja ou da operadora do cartão (veja O que é phishing?).
Confira as faturas do seu cartão
Segundo a empresa, ela não mantém números completos de cartão nem códigos de segurança, e eles não vazaram. Cerca de 2.096.900 pessoas tiveram parte dos dados do cartão incluída. Mesmo assim, caso uma mensagem falsa leve alguém a inserir dados do cartão, confira suas faturas neste mês e nos próximos meses.
Se vir uma cobrança que não reconhece, ligue para o número no verso do cartão. Você também pode perguntar à operadora se é preciso trocar o cartão.
Troque senhas reutilizadas
A empresa diz que as senhas dos membros são armazenadas criptografadas e considera improvável que possam ser identificadas, e diz que os dados vazados não permitem vincular um membro à loja que ele usa. Se você usa o mesmo e-mail e a mesma senha em outros serviços, troque-os. A empresa também recomenda uma senha diferente para cada serviço e a autenticação multifator.
Trocar sua senha de membro na loja que você usou também é sensato. Um gerenciador de senhas é a forma prática de manter o controle.
Se informou seu local de trabalho, fique atento a mensagens suspeitas também no trabalho
Os dados dos compradores incluem o local de trabalho. Se você recebeu pedidos no escritório, podem chegar mensagens que combinam seu nome e sua empresa por e-mail ou telefone do trabalho. Confirme qualquer assunto sobre entregas ou pagamentos pelo site oficial da loja.
O que donos de lojas e afiliados devem fazer hoje
Segundo o relatório final da E-store, vazaram os IDs e senhas do painel de administração das lojas, os dados da loja impressos nos boletos de pagamento em lojas de conveniência (nome do responsável de vendas, nome da loja, CEP, endereço, telefone e fax) e os e-mails e senhas dos afiliados. Os IDs e senhas do sistema de e-mail e do FTP das lojas, e os dados das contas bancárias para as quais a E-store transfere dinheiro (contas de repasse), listados como vazados no segundo relatório, foram corrigidos como não afetados.
Troque a senha de administração e ative a verificação em duas etapas
Os IDs e senhas do painel de administração das lojas estão entre os itens vazados. Troque a senha. A empresa diz que reforçou a autenticação de administração como medida preventiva (incluindo a autenticação de dois fatores), então ative qualquer recurso desse tipo que estiver disponível. Se usou a mesma senha em outros serviços, troque-a também neles.
Se estava cadastrado como afiliado, troque sua senha
Os e-mails e senhas dos afiliados também estão incluídos. Troque a senha, e troque-a em qualquer outro serviço que use o mesmo e-mail e a mesma senha. Se uma mensagem sobre recompensas ou verificação de conta chegar ao seu e-mail cadastrado, não abra os links dela; confirme pelo site oficial.
Verifique no painel de administração alterações que você não fez
A empresa diz que nenhum dano secundário específico causado pelo incidente havia sido relatado. Por precaução, procure no painel de administração, no histórico de logins e nas alterações recentes de configuração, algo que sua equipe não tenha feito. Se encontrar algo, entre em contato com o atendimento a lojas da E-store (telefone 03-6434-0946, dias úteis das 10:00 às 18:00, horário do Japão).
Fique atento a contatos que usem os dados da sua loja nos boletos de pagamento
O nome do seu responsável de vendas, o nome da loja, o CEP, o endereço e os números de telefone e fax que aparecem nos boletos de pagamento em lojas de conveniência estão incluídos. Se uma ligação, um fax ou um e-mail suspeito dirigido à sua loja disser ser de um parceiro comercial ou tratar de um pagamento, não use os dados de contato informados; confirme por um canal oficial (para proteger seu próprio domínio, veja SPF, DKIM e DMARC).
Publique um aviso para os seus próprios clientes
A maioria dos compradores não conhece o nome ShopServe, então o aviso da E-store sozinho não diz a eles de qual loja se trata. Um aviso no seu próprio site, informando o período afetado, os itens vazados (incluindo se houve dados de cartão) e um ponto de contato, permite que os compradores avaliem a própria situação.
O que aconteceu (segundo os comunicados da E-store)
A E-store Co., Ltd. publicou um primeiro aviso em 1º de agosto de 2026, um segundo aviso em 2 de agosto e um relatório final em 16 de outubro. O que segue vem dos comunicados oficiais da empresa; onde diferem do segundo relatório, prevalece o relatório final.
21 de maio – 1º de agosto de 2026
O período em que um terceiro externo explorou uma vulnerabilidade em uma aplicação no servidor e usou um programa malicioso para enviar ao exterior o conteúdo do banco de dados (relatório final).1º de agosto
A empresa confirmou um vazamento de dados de compradores por acesso não autorizado aos seus servidores e publicou o primeiro aviso. Disse que cortou a comunicação com a origem do ataque e confirmou que não era mais possível acessar.2 de agosto
Segundo aviso. Definiu o início do período em 21 de maio e acrescentou aos itens vazados dados parciais de cartões e as credenciais e os dados das contas de repasse dos lojistas (e-mail, FTP e os dados das contas de repasse foram corrigidos no relatório final).A partir de agosto
As lojas afetadas começaram a anunciar o impacto em seus próprios sites. Comunicados de lojas dizendo que a E-store as havia informado continuaram em setembro.16 de outubro
Relatório final. A investigação forense de um especialista externo não encontrou outra via de invasão nem backdoors. Definiu o número de afetados em cerca de 23.356.000 pessoas e corrigiu que as credenciais de e-mail e FTP das lojas e os dados das contas de repasse da E-store não vazaram.
- Dados de compradores
- Nome, endereço, números de telefone e fax, e-mail, local de trabalho e outras informações que os clientes inseriram voluntariamente (incluindo dados de entrega)
- Dados de membros
- IDs de membro e senhas criptografadas. A empresa considera improvável que as senhas possam ser identificadas, e diz que os dados não permitem vincular um membro a uma loja
- Cartões de crédito
- Nome do titular, 6 primeiros e 4 últimos dígitos do cartão, data de validade (cerca de 2.096.900 pessoas). Números completos de cartão e códigos de segurança não são mantidos e não foram afetados
- Dados de lojas
- IDs e senhas do painel de administração; dados da loja nos boletos de pagamento em lojas de conveniência (nome do responsável de vendas, nome da loja, CEP, endereço, telefone e fax)
- Afiliados
- E-mails e senhas
- Correção (removido do segundo relatório)
- Foi confirmado que não vazaram os IDs e senhas do sistema de e-mail e do FTP das lojas nem os dados das contas bancárias da E-store
- Número
- Cerca de 23.356.000 pessoas (compradores e membros, operadores de lojas e afiliados somados) e 7.858 lojas (incluindo as atuais e as antigas do ShopServe). Valor aproximado após cruzar vários campos para remover duplicidades; podem permanecer algumas duplicidades que não atenderam aos critérios
- Causa
- Um terceiro externo explorou uma vulnerabilidade em uma aplicação no servidor, executou um programa malicioso e enviou ao exterior o conteúdo do banco de dados, de 21 de maio a 1º de agosto
- Investigação
- Origem do ataque bloqueada em 1º de agosto; a correção da vulnerabilidade foi feita. Um especialista externo não encontrou outra via de invasão nem backdoors, nem sinais dos dados na dark web
- Danos secundários
- No momento do relatório final, nenhum dano secundário específico causado pelo incidente havia sido relatado
- Notificação e medidas
- Comunicado à Comissão de Proteção de Informações Pessoais e ao Escritório de Telecomunicações de Kanto; polícia consultada. Avisos individuais concluídos (o aviso público e o canal de consultas fazem as vezes onde os dados de contato são desconhecidos). Avaliações de vulnerabilidades e autenticação de administração reforçada, incluindo a autenticação de dois fatores
- Contato
- Compradores, membros e afiliados: o formulário de consultas da empresa / Lojas: telefone 03-6434-0946 (dias úteis das 10:00 às 18:00, horário do Japão)
Nota de leitura: os itens vazados diferem conforme a loja
O aviso da E-store lista tudo o que vazou no serviço como um todo. Os comunicados das lojas afetadas mostram que algumas incluíram dados de cartão e outras não, e que o período de compras afetado também difere conforme a loja.
A forma confiável de saber a sua própria situação é o aviso da loja que você usou. Se não encontrar nenhum, pergunte à loja ou ao contato da E-store.
Por que um único serviço vazou dados de compradores de muitas lojas
Em um serviço como o ShopServe, muitas lojas compartilham os mesmos servidores e o mesmo software. Para o comprador parecem lojas separadas, mas o local onde os dados dos pedidos ficam e os programas que os tratam são compartilhados.
Loja online da empresa A
Loja online da empresa B
Loja online da empresa C
↓ os compradores veem apenas o nome de cada loja ↓
Servidores compartilhados (ShopServe)
dados de compradores de todas as lojas, números de cartão parciais, senhas de administração das lojas
↓ 21 de maio – 1º de agosto de 2026: um programa malicioso envia os dados ao exterior ↓
Cerca de 23.356.000 pessoas
Essa estrutura tem vantagens. Cada loja não precisa de um servidor próprio, e as atualizações de segurança podem ser aplicadas em um só lugar. Mas quando os servidores compartilhados são invadidos, não é o problema de uma loja só: os compradores de todas as lojas são afetados.
O que dificulta para os compradores é que eles se lembram de qual loja compraram, mas não de qual serviço essa loja usa. Por isso é difícil saber se você foi afetado neste incidente.
Não é prova de que uma mensagem é autêntica
- Mostra seu nome, endereço e telefone
- Os quatro últimos dígitos ou a validade do seu cartão estão corretos
- Cita uma loja em que você já comprou
O que você mesmo pode verificar
- Se Minha Conta ou um ponto de contato aberto a partir do site oficial da loja informa a mesma coisa
- Se a cobrança aparece no app oficial ou na fatura online da operadora do cartão
- Se a mensagem pede que você insira um número de cartão ou uma senha
Para quem opera um serviço que guarda dados de muitas lojas
A empresa aponta como causa uma vulnerabilidade em uma aplicação, mas não disse qual era a falha. Esta seção se limita a pontos gerais que serviços do mesmo formato (um sistema que guarda dados de muitas empresas clientes) podem verificar.
Trate "um processo leu dados de muitas lojas" como sinal de alerta
O processamento normal de pedidos lida com os dados de uma loja por operação. Um único processo ou conexão de banco de dados lendo dados de muitas lojas em pouco tempo é incomum fora de tarefas em lote agendadas.
Um primeiro passo: a partir dos logs de auditoria do banco de dados, conte as "lojas acessadas por hora" para cada origem de conexão, e gere um alerta quando algo que não seja uma tarefa em lote conhecida passar de um limite (por exemplo, 10 lojas).
Limite o tráfego de saída dos servidores por destino
Neste caso, o conteúdo do banco de dados foi enviado ao exterior a partir dos servidores. Servidores que processam pedidos só precisam alcançar poucos destinos, como processadores de pagamento e transportadoras.
Permita o tráfego de saída apenas para os destinos de que precisa, e registre e alerte sobre o tráfego para qualquer outro lugar e sobre transferências anormalmente grandes. Firewalls e configurações de rede na nuvem podem fazer isso.
Proteja os segredos de cada loja separadamente dos dados da loja
Se credenciais como as senhas de administração das lojas puderem ser lidas do mesmo lugar que os dados dos compradores, elas saem juntas. Armazene as credenciais de uma forma que não possa ser restaurada, e mantenha o que precisa ser restaurável em um armazenamento separado, com chave separada.
Veja armazenamento seguro de senhas (hash e salt) para o armazenamento, e a base mínima de segurança para organizações para o panorama geral.
Dê às empresas clientes o que elas precisam para explicar um vazamento aos seus compradores
Os compradores só conhecem o nome da loja que usaram. Um único aviso geral do operador do serviço não permite que eles saibam se foram afetados.
Garanta que consegue produzir rapidamente, por loja, o período afetado, os itens vazados e se houve dados de cartão, e inclua no seu procedimento de resposta a incidentes entregar isso a cada empresa cliente para que ela possa explicar aos próprios compradores.
Para outros casos de compras online, veja o vazamento da Abahouse (dados de pedidos e e-mails falsos de reembolso) e a loja online APORITO (RIZAP); para outros grandes vazamentos japoneses deste ano, veja os principais vazamentos de dados do Japão em 2026.
Fontes (registros públicos)
Os fatos deste artigo vêm das fontes públicas abaixo. Não se especula sobre métodos ou causas da invasão que não foram divulgados.
- E-store Co., Ltd., pedido de desculpas e aviso sobre vazamento de dados pessoais por acesso não autorizado (1º de agosto de 2026, em japonês) — estore.jp
- E-store Co., Ltd., aviso sobre vazamento de dados pessoais por acesso não autorizado (segundo aviso, 2 de agosto de 2026, em japonês) — estore.jp
- E-store Co., Ltd., aviso sobre vazamento de dados pessoais por acesso não autorizado (relatório final, 16 de outubro de 2026, em japonês) — estore.jp
- Exemplos de comunicados de lojas afetadas (em japonês): Harima Chemicals Group, Inc. (segundo aviso, 10 de agosto de 2026) — harima.co.jp / PFU Limited (18 de setembro de 2026) — pfu.ricoh.com
- Os comunicados de lojas e as reportagens abaixo podem refletir os itens e números até o segundo relatório; onde diferem do relatório final, prevalece o relatório final.
- Security NEXT (em japonês) — security-next.com
- INTERNET Watch (em japonês) — internet.watch.impress.co.jp
Histórico de atualizações
2026-10-03: Primeira versão, com base nos avisos da E-store de 1º de agosto (primeiro) e 2 de agosto (segundo) e em comunicados de lojas afetadas. O primeiro aviso situou o vazamento na manhã de 1º de agosto; o segundo definiu o período de 21 de maio a 1º de agosto e acrescentou aos itens vazados dados parciais de cartões e dados de lojistas.
2026-10-30: Reescrito com base no relatório final (16 de outubro). Correções: (1) Os IDs e senhas do sistema de e-mail e do FTP das lojas, e os dados das contas bancárias para as quais a E-store transfere dinheiro (contas de repasse), listados como vazados no segundo relatório, tiveram o não vazamento confirmado pela investigação e foram removidos. Os passos para donos de lojas relacionados a eles (trocar as senhas de e-mail e FTP, verificar adulteração das páginas e regras de encaminhamento, verificar a conta bancária) foram removidos e substituídos por passos sobre o painel de administração e os afiliados. (2) O número mudou dos 8.853.839 registros do segundo relatório (possivelmente com duplicidades) para cerca de 23.356.000 pessoas do relatório final (compradores e membros, operadores de lojas e afiliados somados; aproximado após remover duplicidades). As unidades são diferentes, então não podem ser comparados. Novos fatos: a causa é uma vulnerabilidade em uma aplicação, cerca de 2.096.900 pessoas tiveram parte dos dados do cartão incluída, 7.858 lojas são afetadas, dados de afiliados estão incluídos, e a análise forense não encontrou outra via nem backdoors. A empresa diz que a investigação foi concluída; atualizaremos este artigo se ela publicar mais informações.
Leia a seguir
- Golpes derivados: O que é phishing? / Abahouse (dados de pedidos e e-mails falsos de reembolso)
- Dados de cartão: O caso dos dados de cartão da loja online APORITO (RIZAP)
- Senhas: Como escolher um gerenciador de senhas / Como escolher a autenticação multifator
- Outros incidentes no Japão neste outono: Yamato Transport e Sagawa Express (remetentes e destinatários de encomendas) / Times Car
- Outros incidentes de 2026: lista de vazamentos e ciberataques (Japão e mundo)
- Para operadores: A base mínima de segurança para organizações