Para: pessoas que cadastraram um número de telefone e outros dados no app de membros de uma loja (cartões de carimbo, cupons etc.) quando esse app usa a Toypo. Este artigo se baseia nos comunicados oficiais da Toypo Inc. e das lojas que usam seu app e não trata de técnicas de ataque.
Em andamento: este artigo será atualizado conforme a organização publicar mais informações
Em 29 de outubro de 2026Ainda não se sabe
- Lista completa de lojas e empresas envolvidas
- Detalhes da causa
- Resultado da avaliação por terceiros
- Se os dados foram usados indevidamente
- Se haverá indenização
A Toypo diz que anunciará prontamente qualquer fato novo importante em sua página de comunicados e em outros meios. Não dá cronograma. Em 29 de outubro conferimos as duas páginas de comunicado da Toypo (a datada de 14 de outubro e a sem data) e os comunicados das lojas que usam o app (JR Kyushu Food Service, Nishitetsu Wellness e Mannoya) e não encontramos nenhum anúncio novo.
O que os usuários de apps de lojas devem fazer hoje
Verifique se você é abrangido, nos avisos do seu app
A Toypo fornece apps de membros (apps de gestão de clientes) para lojas e funciona por trás do app de cada loja. A aparência e o nome do app diferem de loja para loja, então o nome do app sozinho pode não indicar. Até onde este site encontrou, a Toypo não publicou uma lista das lojas que a usam.
O comunicado da Toypo de 14 de outubro explica como saber se você é abrangido:
- Ela identificou os abrangidos e, desde 13 de outubro, os contata um a um, inclusive por notificação push no app a partir da conta oficial da Toypo
- Se chegou à seção de avisos do seu app um aviso sobre este incidente, você é abrangido. Se não chegou nenhum, não é
- Para verificar individualmente, entre em contato com a Toypo
Uma loja pode não conseguir responder. A Nishitetsu Wellness diz que o incidente ocorreu no sistema da Toypo, por isso não pode responder aos detalhes e pede que se contate a Toypo.
Não use links nem números de telefone de mensagens que se apresentem como de uma loja ou da Toypo
Entre os itens que podem ter vazado estão telefone, e-mail e nome. A Toypo e a Nishitetsu Wellness alertam que e-mails, SMS, ligações e phishing suspeitos poderiam ser feitos com essas informações.
Se receber uma mensagem sobre "confirmação de dados de membro", "vencimento de cupom" ou "reembolso como pedido de desculpas", não use os links nem os números de telefone dela. Confirme pelo contato dentro do app ou pelo contato indicado no comunicado. A Toypo diz que não pede que você digite senhas, códigos de autenticação ou números de cartão de crédito.
Decida o que fazer com as senhas
A Toypo afirma que credenciais de login como senhas não estão incluídas, portanto não é preciso trocar a senha nem tomar outra providência no app por causa deste incidente, e o app, os pontos e os cupons podem ser usados como antes. O FAQ da empresa pede que considere trocar a senha se usa a mesma em outros serviços ou vê logins suspeitos.
Este site recomenda que, se você usa a mesma senha em vários serviços, aproveite a ocasião para separá-las (como verificar se sua senha vazou / como escolher um gerenciador de senhas).
Se receber uma mensagem inesperada, avise a Toypo
A Toypo diz que não consegue saber se uma determinada mensagem é consequência deste incidente, mas, para verificar a relação, pede que você, se puder, informe ao seu contato o número de telefone do remetente, a data e a hora do recebimento e o que dizia. Se você abriu uma URL ou digitou dados, troque a senha rapidamente e, se digitou um cartão, contate a operadora do cartão (o que é phishing?).
Exclua a conta de um app que você não usa mais
A Toypo diz que você pode excluir sua conta pelo app, na parte inferior da tela Minha Página. A exclusão apaga todos os dados, inclusive os dados cadastrados, e não pode ser restaurada. Leva cerca de uma semana para valer, e fazer login novamente nesse período a cancela. Não é possível com uma assinatura ativa ou um pedido ainda não recebido. Confira se não restam carimbos ou cupons que você queira antes de fazer isso.
1. E-mail / SMS / ligação dizendo ser de uma loja ou da Toypo
Nome e telefone estão corretos → não decida aqui
↓
2. Não use seus links nem números: use você mesmo o contato dentro do app ou o contato indicado
Contato para clientes da Toypo 0120-546-030 (dias úteis, das 9:00 às 18:00, horário do Japão)
↓
3a. Um pedido que você não consegue confirmar
Senha, código de autenticação ou número de cartão, ou um pagamento → não responda
3b. O contato dá a mesma orientação
Siga a orientação oficial
O que aconteceu (segundo a Toypo e as lojas)
O que segue se baseia em duas páginas de comunicado da Toypo Inc. e nos comunicados das lojas. Uma é "Apology and notice regarding personal information leak caused by unauthorized access" (datada de 14 de outubro de 2026, com o número de pessoas; "o comunicado de 14 de outubro" abaixo). A outra é "Apology and notice regarding personal information leak caused by unauthorized access to the Toypo app" (sem data e sem número de pessoas; "a outra página de comunicado" abaixo). O comunicado de 14 de outubro diz que a informação "pode ter vazado"; a outra página afirma que "vazou". A Toypo fornece às lojas um app de gestão de clientes, o app Toypo.
4 de outubro de 2026 (dom.)
A Toypo confirmou um acesso não autorizado de terceiros ao seu sistema. Parte do seu sistema tinha uma falha de controle de acesso que permitia a um usuário autenticado obter informações de outros usuários às quais não tinha direito, e seus registros mostram que um terceiro a usou para obter informações de usuários.7 de out. (qua.)
A Toypo avisou uma das lojas que usam o app (JR Kyushu Food Service) (comunicado dessa loja).Até 13 de out.
A Toypo concluiu a suspensão da conta usada no acesso e a correção da falha, e comunicou à Comissão de Proteção de Informações Pessoais (ambos segundo a empresa; sem datas).13 de out. (ter.)
Um contato dedicado foi aberto às 13:00 e a Toypo começou a contatar os abrangidos um a um por notificações push no app (segundo a empresa). A JR Kyushu Food Service e a Nishitetsu Wellness também publicaram comunicados.14 de out. (qua.)
No comunicado datado de 14 de outubro, a Toypo informou que os usuários abrangidos são 697.209 (a informação pode ter vazado). A Mannoya também publicou seu comunicado.28 de out.
A ScanNetSecurity noticiou que os dados de cadastro de 697.209 usuários podem ter vazado.
- Informações que podem ter vazado
- Número de telefone e ID de usuário ou identificadores semelhantes. Quando cadastrados: nome, nome em kana, e-mail, data de nascimento, gênero e endereço (quais itens estão cadastrados difere por pessoa, e nem tudo vazou para todos)
- Não incluídos (segundo a empresa)
- Senhas e outras credenciais de login, números de cartão de crédito e outros dados de pagamento, pontos, histórico de visitas a lojas, histórico de compras e de uso (a outra página de comunicado também lista hashes de senha, tokens de autenticação e informações de sessão)
- Não mantidos (segundo a empresa)
- Imagens de documentos de identidade, My Number e semelhantes não são mantidos pelo seu serviço
- Pessoas que haviam saído
- Nenhum vazamento foi confirmado para quem já tinha se desligado quando o vazamento ocorreu (segundo a empresa)
- Resposta até agora (segundo a empresa)
- Corrigiu a falha. Verifica se há problemas semelhantes em outros pontos, revisa o controle de acesso e reforça o monitoramento e a detecção. Uma avaliação de segurança por terceiros está sendo organizada. Comunicou à Comissão de Proteção de Informações Pessoais. A outra página de comunicado também cita a suspensão da conta usada no acesso e a preservação de logs
- Contato
- Contato para clientes da Toypo Inc.: 0120-546-030, dias úteis, das 9:00 às 18:00, horário do Japão. O call center atende até as 18:00 de sexta-feira, 30 de outubro, e depois passa a valer o contato dentro do app (segundo a empresa)
Comunicados de lojas que usam o app
O app é usado como app de membros de cada loja, e cada loja publicou seu próprio número de pessoas abrangidas. O que segue vem dos comunicados oficiais que abrimos nós mesmos. Os números são separados por loja e não foram somados; nenhum anúncio diz se eles somam os 697.209 da Toypo.
| Loja / empresa | O que diz o comunicado | Situação |
|---|---|---|
| JR Kyushu Food Service (13 out.) | Informações de cerca de 26.900 dos cerca de 61.500 membros cadastrados em suas 24 lojas abrangidas podem ter vazado. Captação de novos membros suspensa | Possível (empresa) |
| Nishitetsu Wellness (Nishijin Palace Dome, 13 out.) | Parte das informações de usuários do app de membros "Toypo" vazou. Número de pessoas não informado | Vazamento confirmado (conforme notificado pela Toypo) |
| Mannoya (14 out.) | Os dados de cadastro de 12 dos 212 membros do app oficial "Kineya Mannoya", marca que ela ajuda a desenvolver, são abrangidos. Cadastro de novos membros suspenso temporariamente | Abrangidos (empresa) |
O comunicado da Toypo não diz quais outras lojas ou empresas usam o app.
O que se sabe e o que não se sabe
Situação em 29 de outubro de 2026. Atualizaremos esta tabela conforme mais for publicado.
| Item | O que diz o comunicado | Situação |
|---|---|---|
| Ocorreu acesso não autorizado | Confirmado em 4 de outubro. Os registros mostram que um terceiro usou a falha para obter informações de usuários | Confirmado (empresa) |
| Número de telefone, ID de usuário ou identificadores semelhantes | Vazaram | Possível (Toypo, comunicado de 14 de outubro). A outra página de comunicado diz "vazaram" |
| Nome, nome em kana, e-mail, data de nascimento, gênero, endereço | Vazaram quando cadastrados | Possível (Toypo, comunicado de 14 de outubro). A outra página de comunicado diz "vazaram" |
| Senhas e outras credenciais de login | Não incluídas (a outra página de comunicado também lista hashes de senha, tokens de autenticação e informações de sessão) | Não incluídas (empresa) |
| Números de cartão de crédito e outros dados de pagamento | Não incluídos | Não incluídos (empresa) |
| Pontos, histórico de visitas a lojas, histórico de compras e de uso | Não incluídos | Não incluídos (empresa) |
| Número de pessoas abrangidas | 697.209 pessoas (comunicado de 14 de outubro). A ScanNetSecurity noticia o mesmo número. Não consta na outra página de comunicado | Anunciado (empresa) |
| Como saber se você é abrangido | Um aviso sobre este incidente nos avisos do seu app significa que você é abrangido; sem aviso, não é (comunicado de 14 de outubro) | Confirmado (empresa) |
| Lojas e empresas envolvidas | Não há lista geral. JR Kyushu Food Service, Nishitetsu Wellness e Mannoya publicaram seus próprios comunicados | Não informado |
| Causa | Falha de controle de acesso (um usuário autenticado pode obter informações de outros usuários). Sem mais detalhes | Confirmado (empresa, apenas em linhas gerais) |
| Correção da falha | Concluída. Não é mais possível obter informações dessa forma | Confirmado (empresa) |
| Se há problemas semelhantes em outros pontos | Verificações adicionais em andamento | Em investigação |
| Avaliação por terceiros | Uma avaliação de segurança por terceiros está sendo organizada (comunicado de 14 de outubro) | Em organização (empresa) |
| Uso indevido ou dano secundário | Nenhum dano secundário específico confirmado. Alerta que contatos suspeitos podem ocorrer | Não confirmado (empresa) |
| Indenização | Não informada | Não informada |
Atenção: 697.209 conta pessoas, não registros, e são pessoas cujas informações podem ter vazado
O comunicado da Toypo de 14 de outubro diz que "o número de usuários abrangidos por este acesso não autorizado é de 697.209" e que a informação "pode ter vazado". A unidade é pessoas, não registros. A outra página de comunicado (sem data) não informa número e afirma que a informação "vazou". Este site escreve "pode ter vazado" à luz dessa diferença. Nenhum anúncio diz se os números por loja (como os cerca de 26.900 da JR Kyushu Food Service) somam os 697.209 totais.
Para que a combinação dos itens vazados poderia ser usada
O que segue é o que, em geral, pode acontecer com essa combinação de itens. Não foi anunciado que nada disso tenha ocorrido neste incidente. A Toypo diz que nenhum dano secundário específico foi confirmado.
- Telefone + nome: SMS ou ligações que dizem ser de uma loja ou serviço e usam seu nome para se passar por alguém que o conhece
- E-mail + nome e endereço: e-mails falsos de "atualize seus dados de membro" ou "seus pontos estão vencendo" que parecem genuínos
- Data de nascimento + nome + endereço: poderiam ser usados para responder a perguntas de verificação de identidade em outros serviços. A Toypo também pede atenção às verificações de identidade em outros serviços
- ID de usuário + telefone: a Toypo diz que senhas e itens semelhantes não estão incluídos, portanto essa informação sozinha não permite entrar de imediato no serviço
Em geral, a maioria das mensagens falsas baseadas em telefone e e-mail é frustrada ao não usar seus links nem números e conferir por conta própria.
O que os operadores devem revisar
O que a Toypo divulgou é uma falha de controle de acesso que permitia a um usuário autenticado obter informações de outros usuários. Os detalhes não foram publicados, então esta seção cobre apenas o curso dos fatos divulgado e o que se pode dizer em geral.
- Em geral, estar logado não basta: o servidor deve verificar em cada requisição não só "este usuário está logado" mas "esta pessoa tem direito de ver estes dados" (o que é IDOR?). É um ponto geral; não foi anunciado que a causa deste incidente seja a mesma.
- Usuários de muitas lojas numa mesma plataforma: uma falha em uma plataforma atinge de uma vez os usuários de muitas lojas e empresas. Neste incidente cada loja publicou seu próprio comunicado, enquanto as consultas foram centralizadas na Toypo. As lojas podem se ajudar decidindo de antemão se o provedor da plataforma as avisará assim que detectar algo, e quem notifica os usuários e por qual via.
- Dados que você não mantém não podem vazar: a Toypo diz que senhas e outras credenciais de login, números de cartão, histórico de visitas e documentos de identidade não estavam no conjunto vazado (ou não são mantidos). Coletar apenas os itens de que um recurso precisa reduz o alcance quando algo dá errado.
Fontes (registros públicos)
Os fatos deste artigo se baseiam nas informações públicas abaixo. Não especulamos sobre detalhes da causa nem sobre o conjunto completo de lojas, que não foram anunciados.
- Toypo Inc., "Apology and notice regarding personal information leak caused by unauthorized access" (em japonês, datado de 14 de outubro de 2026, 697.209 usuários abrangidos; consultado em 29 de outubro) — toypo.notion.site
- Toypo Inc., "Apology and notice regarding personal information leak caused by unauthorized access to the Toypo app" (em japonês, sem data e sem número de pessoas; consultado em 29 de outubro) — toypo.notion.site
- Toypo Inc., "Questions and answers about unauthorized access to the Toypo app" (em japonês; linkado a partir da página acima)
- JR Kyushu Food Service Co., Ltd., "Leak of customer information in connection with unauthorized access at Toypo Inc." (em japonês, 13 de outubro de 2026) — jrfs.co.jp / texto do comunicado (PDF)
- Nishitetsu Wellness Co., Ltd., "Notice of possible personal information leak and a warning, regarding unauthorized access to the member app Toypo of Nishijin Palace Dome" (em japonês, 13 de outubro de 2026) — nishitetsu-wellness.com (lista de comunicados)
- Mannoya Co., Ltd., "Leak of member information of the 'Kineya Mannoya' official app, following unauthorized access to Toypo" (em japonês, 14 de outubro de 2026) — mannoya.com
- ScanNetSecurity, "Unauthorized access to the behavioral data platform Toypo app; registration information of 697,209 users may have leaked" (em japonês, 28 de outubro de 2026, reportagem; 697.209 pessoas) — scan.netsecurity.ne.jp
- Nishinippon Shimbun, reportagem sobre as informações de cerca de 697.000 pessoas possivelmente vazadas do app de gestão de clientes da operadora (em japonês; data de publicação não confirmada, conteúdo pago e só o início foi lido; informa cerca de 697.000 pessoas) — nishinippon.co.jp
Histórico de atualizações
2026-10-29: Primeira versão, com base nas duas páginas de comunicado da Toypo (uma datada de 14 de outubro e outra sem data; ambas consultadas em 29 de outubro), nos comunicados de três lojas que usam o app e em duas reportagens. Será atualizada quando forem anunciados detalhes da causa, o resultado da avaliação por terceiros ou indenização.
Leia em seguida
- Incidentes japoneses com os mesmos itens (nome, telefone, e-mail): MrMax / o incidente do sistema de reservas de hospedagem TEMAIRAZU
- Um caso japonês do mesmo período: Acesso não autorizado à Joshin (antiga Joshin Denki)
- Preparando-se para mensagens falsas: O que é phishing? / Noções básicas de segurança do smartphone
- O tipo de falha de controle de acesso: O que é IDOR?
- Proteja suas contas: Como escolher um gerenciador de senhas / Como escolher a autenticação multifator
- Outros incidentes de 2026: Vazamentos de dados e ciberataques em 2026 (Japão e mundo)