Para: clientes em Hong Kong que compraram eletrodomésticos, registraram garantia ou agendaram instalação ou reparos com as empresas do Shun Hing Group, ou que eram membros do PanaClub; e funcionários, profissionais de serviços e de fornecedores que trabalharam com o grupo.
Este artigo se baseia na resposta pública do Escritório do Comissário para a Proteção de Dados Pessoais de Hong Kong (PCPD) e no comunicado oficial do Shun Hing Group. Ele não aborda como o ataque foi realizado.
O que os clientes devem fazer agora
Verifique se você foi afetado apenas por canais oficiais
O Shun Hing Group afirma que quem quiser verificar se suas informações foram afetadas pode enviar seu nome, número de telefone e endereço de e-mail para o endereço de e-mail dedicado ao incidente indicado no comunicado. Copie esse endereço do comunicado no site oficial do Shun Hing Group por conta própria; não responda a mensagens não solicitadas "em nome do Shun Hing" nem clique nos links delas. Você também pode ligar para a PCPD no número 2827 2827.
Confira as instruções mais recentes do PanaClub no site oficial
No comunicado de 9 de julho de 2026, o Shun Hing Group afirmou que o PanaClub estava suspenso e que os membros não precisavam redefinir suas credenciais de login nem tomar providências quanto ao acesso à conta naquele momento. Verifique a situação atual e qualquer ação necessária acessando você mesmo o site oficial e suas orientações mais recentes. Não use links de redefinição de senha ou de verificação de conta em e-mails ou mensagens. Para saber como identificar esses casos, veja o que é phishing?.
Em ligações sobre 'reparo em casa' ou 'garantia vencendo', desligue e ligue de volta por conta própria
Nome, endereço e número de telefone são exatamente o que alguém precisa para se passar por um agendamento de reparo, um acompanhamento de instalação ou uma oferta de garantia estendida. Ao receber uma ligação ou mensagem desse tipo, desligue e ligue de volta para um número que você mesmo encontrou, como a central de atendimento indicada no seu cartão de garantia ou no site oficial. Não pague, não faça login e não forneça dados por meio de um número ou link informado por quem ligou.
Siga a orientação da PCPD: senhas, autenticação multifator e histórico de login
A PCPD orienta que as pessoas potencialmente afetadas considerem trocar as senhas de contas online e ativar a autenticação multifator quando disponível, além de monitorar o e-mail pessoal e as contas em busca de acessos incomuns. Se você usou sua senha do PanaClub em outros sites, troque-a primeiro nesses sites. Um gerenciador de senhas mantém as senhas exclusivas; para escolher um segundo fator, veja como escolher a autenticação multifator.
Confira seus extratos bancários
A PCPD recomenda revisar os extratos bancários em busca de transações não autorizadas. Isso é mais importante para os funcionários, profissionais de serviços e de fornecedores cujos números de documentos de identidade e de contas bancárias podem ter vazado, pois esses dados podem ser usados para se passar por um banco ou por um empregador. Se notar algo suspeito, ligue para o seu banco no número do cartão ou do extrato.
Verifique números suspeitos com o Scameter ou o 18222
O site CyberDefender da Polícia de Hong Kong oferece o Scameter, que avalia o risco de golpe de números de telefone, endereços de e-mail e sites, e o Centro de Coordenação Anti-Fraude da polícia mantém a linha Anti-Scam Helpline 18222. Atenção: "nenhum registro" não significa segurança; ligar de volta para um número que você mesmo pesquisou continua sendo a verificação mais confiável.
Quer saber o que uma empresa tem sobre você? Faça uma solicitação de acesso a dados
Pela Ordenança de Dados Pessoais (Privacidade) de Hong Kong, você pode fazer uma solicitação de acesso a dados para descobrir quais dados pessoais uma organização mantém sobre você. A orientação de procedimentos da PCPD diz para usar o formulário prescrito. Uma organização geralmente tem 40 dias para atender. Se não puder concluir tudo ou parte dessa solicitação nesse prazo, deve notificar os motivos por escrito dentro do mesmo período, atender na medida do possível e concluir o restante assim que praticável. A recusa por motivos legais é uma questão separada e exige a notificação dos motivos. Para reclamações sobre como seus dados foram tratados, entre em contato com a PCPD (complaints@pcpd.org.hk, 2827 2827).
Nome + endereço + telefone (clientes)
→ Falsas ligações de "agendamento de reparo", "garantia vencendo" ou "vistoria em casa"
Verifique: desligue e ligue para um número que você encontrou
E-mail + associação
→ Phishing de "redefina sua senha do PanaClub" ou "verifique sua conta"
Verifique: acesse o site oficial para as orientações mais recentes
Nº de documento + conta bancária (funcionários etc.)
→ Passar-se por banco ou empregador, uso indevido de identidade
Verifique: confira os extratos e ligue para o seu banco
Comunicado do Shun Hing de 9 de julho: sem evidência de uso indevido naquele momento
O que aconteceu (segundo a PCPD e o Shun Hing Group)
O que segue vem da resposta da PCPD de 2 de julho de 2026 a uma consulta da imprensa e do comunicado do Shun Hing Group de 9 de julho de 2026.
23 de março de 2026
A PCPD recebe uma notificação de violação de dados do Shun Hing Group e abre uma investigação de acordo com seu mecanismo estabelecido.2 de julho
Em resposta a uma consulta da imprensa, a PCPD cita as informações mais recentes da organização: os dados pessoais de mais de 921.000 pessoas podem ter vazado, e os de cerca de 1.050.000 pessoas podem ter sido criptografados de forma maliciosa. A PCPD diz que sua investigação está em andamento.9 de julho
O Shun Hing Group publica uma atualização: os dados potencialmente envolvidos incluem nomes, números de telefone, endereços de e-mail e endereços de cobrança ou de correspondência, sem evidência, até o momento, de uso indevido; o sistema PanaClub foi suspenso; o grupo está colaborando plenamente com as autoridades e reforçou suas defesas de cibersegurança.
- Clientes (~920.000)
- Nomes/títulos, endereços, números de telefone e endereços de e-mail podem ter vazado (o comunicado do Shun Hing também menciona endereços de cobrança ou de correspondência)
- Funcionários, profissionais de serviços/produtos/fornecedores (~1.000)
- Nomes/títulos, endereços, números de telefone, endereços de e-mail, números de documentos de identidade, números de contas bancárias, salários, entre outros, podem ter vazado
- Criptografia maliciosa
- Informações de cerca de 1.050.000 pessoas, das quais cerca de 1.045.000 são clientes, podem ter sido criptografadas de forma maliciosa (PCPD, citando as informações mais recentes da organização)
- Uso indevido
- No comunicado de 9 de julho, o Shun Hing afirmou que não havia evidência de uso indevido naquele momento
- PanaClub
- O comunicado de 9 de julho disse que o sistema foi suspenso e que não era necessária redefinição naquele momento. Verifique a situação atual e as instruções no site oficial
- Investigação
- Aberta pela PCPD de acordo com seu mecanismo estabelecido; em andamento em 2 de julho
- Contatos
- PCPD: 2827 2827 · communications@pcpd.org.hk (consultas) · complaints@pcpd.org.hk (reclamações)
Como ler: este é o incidente do distribuidor, não do fabricante da marca
Segundo o site da empresa, o Shun Hing Group atua desde 1953 como agente de uma grande marca japonesa de eletrodomésticos em Hong Kong e Macau, e oferece instalação e serviços pós-venda por meio de seus centros de atendimento. O incidente descrito aqui é o que a PCPD e o Shun Hing Group divulgaram sobre o Shun Hing Group; nenhum dos dois diz que os sistemas de algum fabricante da marca foram afetados. Se uma mensagem afirmar ser da "sede da marca" sobre este incidente, verifique da mesma forma: ligando para um número que você mesmo encontrou.
Por que um registro de garantia antigo se torna um risco atual
Quando compramos um ar-condicionado, uma geladeira ou uma máquina de lavar, entregamos nosso nome, endereço e número de telefone a um distribuidor ou centro de serviços para entrega, instalação, registro de garantia ou reparos posteriores.
Diferente de uma senha, esses dados não expiram e não podem ser redefinidos: o endereço de antes da mudança, o telefone cadastrado anos atrás, podem continuar no sistema. Os dados de clientes listados pela PCPD (nomes, endereços, telefones, e-mails) são exatamente esse tipo de registro pós-venda.
Contato 'pós-venda' suspeito
- Começa recitando seu nome, endereço e o aparelho que você comprou
- Diz que sua "garantia está prestes a vencer" e quer pagamento por um link
- Pede para "redefinir sua senha do PanaClub" ou "verificar sua conta"
- Oferece uma "vistoria em casa" de última hora e pressiona para decidir rápido
- Pede seu número de identidade ou dados bancários "para confirmar você"
Hábitos mais seguros
- Desligue e ligue para o número do cartão de garantia ou do site oficial
- Renove ou pague apenas por canais oficiais que você mesmo abrir
- Confira qualquer ação exigida no PanaClub com as orientações mais recentes do site oficial
- Confirme visitas domiciliares e o técnico pela central oficial
- Nunca forneça documento de identidade ou dados bancários em uma ligação recebida
O ponto não é ficar melhor em identificar golpistas. É mudar a forma como você verifica se um contato é genuíno. Antes, alguém saber seu endereço e o aparelho que você comprou era um sinal razoável de que o atendimento pós-venda era real. Depois deste vazamento, isso não comprova nada.
Não confie numa ligação com base no que quem liga diz; desligue e verifique ligando de volta para um número que você mesmo encontrou.
Visão deste site: anote a central oficial dos seus principais aparelhos
Anote a marca, o modelo, a data de compra e a central oficial de atendimento ao cliente dos seus principais aparelhos, em um cartão ou numa nota do celular. Quando alguém ligar dizendo que "a garantia do seu ar-condicionado está vencendo", você já terá um número para retornar e não precisará de nada do que quem liga informar. Também vale fazer uma solicitação de acesso a dados às organizações que guardam seus dados, para saber o que mantêm e por quanto tempo. Para organizações com grandes bases de clientes, a lição é manter apenas o que o atendimento pós-venda realmente precisa e excluir o restante em um cronograma; veja a base mínima de segurança para organizações.
Para mensagens e links suspeitos no celular, veja noções básicas de segurança do smartphone. Para outros vazamentos deste ano em que dados de contato expostos tornaram mensagens falsas mais convincentes, veja o vazamento da TVING na Coreia do Sul e a lista de vazamentos de 2026.
Fontes (registro público)
Os fatos deste artigo se baseiam nas fontes públicas abaixo. Alegações de atacantes e números não publicados não foram usados.
- PCPD, "公署回應有關信興集團資料外洩事故" (resposta a consulta da imprensa sobre o vazamento de dados do Shun Hing Group, 2 de julho de 2026, apenas em chinês) — pcpd.org.hk
- Shun Hing Group, "Latest update on Shun Hing Group cybersecurity incident" (9 de julho de 2026) — shunhinggroup.com
- Shun Hing Group, site oficial (perfil do grupo) — shunhinggroup.com
- PCPD, folheto de perguntas e respostas "Data Access Request" — pcpd.org.hk
- Polícia de Hong Kong, CyberDefender, Scameter — cyberdefender.hk
- Polícia de Hong Kong, Centro de Coordenação Anti-Fraude (Anti-Scam Helpline 18222) — adcc.gov.hk
Histórico de atualizações
2026-10-19: Correção limitada: a suspensão, a ausência de necessidade de redefinição e a falta de evidência de uso indevido são datadas do comunicado de 9 de julho; os dados de contato são descritos como potencialmente envolvidos. Verifique a situação atual acessando o site oficial para as orientações mais recentes. A orientação sobre a solicitação de acesso a dados de 40 dias agora distingue a impossibilidade de concluir da recusa por motivos legais. Não foi possível obter novamente a resposta de incidente da PCPD, por isso seus números e itens de dados, bem como a data da última verificação, foram mantidos.
2026-09-30: Primeira versão, com base na resposta da PCPD de 2 de julho de 2026 a uma consulta da imprensa e no comunicado do Shun Hing Group de 9 de julho de 2026 (conforme verificado em 30 de setembro de 2026).
Leia em seguida
- Ligações e mensagens falsas: O que é phishing? / Noções básicas de segurança do smartphone
- Proteção das suas contas: Como escolher um gerenciador de senhas / Como escolher a autenticação multifator
- Outros incidentes de 2026: O vazamento de dados da TVING / Lista de vazamentos e ciberataques (Japão e mundo)
- Para operadores: A base mínima de segurança para organizações