Para: quem já solicitou o serviço de compra a domicílio da Treasure Factory (Trefac) ou o Trefac Moving no Japão, e quem administra um sistema que recebe pedidos de serviço. Este artigo se baseia nos comunicados oficiais da empresa e não trata de técnicas de ataque ou golpe.
Em andamento: este artigo será atualizado conforme a organização publicar mais informações
Em 24 de outubro de 2026Ainda não se sabe
- Causa detalhada
- Resultados da investigação externa
- Quando e como os avisos individuais serão enviados
- Central de atendimento dedicada
- Número de pessoas por trás da contagem de registros
No comunicado de 23 de outubro, a empresa disse que está investigando a causa detalhada e o alcance com uma empresa externa de segurança. Uma central de atendimento dedicada está sendo preparada, e a empresa diz que a anunciará em seu site assim que estiver pronta.
O que clientes da compra a domicílio e do Trefac Moving devem fazer hoje
Verifique se você é afetado: dados de lojas e do aplicativo ficam de fora
Segundo a empresa, o sistema acessado é o sistema de gestão de casos usado para receber e tratar os pedidos de compra a domicílio e do Trefac Moving. Os dados de clientes mantidos nas lojas e os dados de clientes gerenciados no aplicativo da empresa ficam em sistemas separados e não foram afetados.
Se você só vendeu itens no balcão de uma loja, ou só usa o aplicativo, está fora do alcance anunciado pela empresa. Se você já pediu a compra a domicílio ou o Trefac Moving pela internet ou por outro meio, considere que seu e-mail pode estar incluído e siga os passos abaixo.
Não abra links em e-mails ou SMS que dizem ser da Trefac
A empresa diz que os e-mails levados "podem ser usados em e-mails de phishing e outros contatos fraudulentos". Quem pediu a compra a domicílio ou uma mudança não estranharia receber mensagens sobre avaliação, orçamento, agendamento de visita ou retomada do serviço, o que dificulta identificar mensagens falsas sobre esses temas.
Para conferir qualquer coisa, use o site ou o aplicativo oficial que você mesmo abre, e não um link de e-mail (veja O que é phishing?).
Não digite números de cartão nem senhas
A empresa diz que os dados de clientes levados não incluíam números de cartão nem outras informações de pagamento. Nada no comunicado pede que os clientes recadastrem dados de cartão ou "verifiquem a identidade" por causa deste incidente. Se um e-mail pedir isso, não responda.
A própria empresa pede que as pessoas não digitem senhas ou dados de cartão em sites suspeitos.
Se alguém ligar, desligue e ligue para o número oficial
A empresa aconselha que, após uma ligação suspeita, você procure por conta própria os dados de contato oficiais da organização citada por quem ligou e entre em contato com ela. Não retorne para um número informado por telefone; use o que consta no site oficial.
Aguarde os avisos individuais e o anúncio da central de atendimento
A empresa diz que pretende contatar individualmente os clientes afetados sobre o incidente e as precauções a tomar. Uma central de atendimento dedicada está sendo preparada.
Em 24 de outubro, a empresa não havia informado como os avisos serão enviados (e-mail, correio ou outro meio). Se você receber algo que pareça um aviso, não siga nenhuma instrução por meio de links nele; compare com os anúncios do site oficial.
Sobre os 11 registros que incluem também nome e endereço
Segundo a empresa, 11 dos 746.277 registros de clientes incluem nome e endereço, além do e-mail. Ela não disse a quem pertencem. Correio ou e-mail que usa seu nome e endereço parece mais convincente; por isso, aguarde o aviso individual da empresa e confira o conteúdo no site oficial.
O que aconteceu (segundo os comunicados da Treasure Factory)
Em 23 de outubro de 2026, a Treasure Factory Co., Ltd. publicou um comunicado sobre um vazamento de dados pessoais causado por acesso não autorizado, tanto como divulgação oportuna (timely disclosure) na Bolsa de Tóquio quanto em seu site de reutilização voltado ao consumidor. Tudo o que segue vem dos comunicados da empresa.
20 de outubro de 2026, de madrugada até a manhã
Um terceiro explorou uma vulnerabilidade no sistema da empresa e levou dados de clientes e outros dados (confirmado pela empresa por meio da análise dos registros de acesso).20 de outubro, 10:30
A empresa bloqueou o acesso externo ao sistema de gestão de casos.20 de outubro, 11:05
Ela deixou de aceitar pedidos pelos formulários de compra a domicílio, Trefac Moving e outros.23 de outubro
A empresa anunciou o incidente em divulgação oportuna e em seu site, junto com um aviso de que alguns serviços foram suspensos para trabalho de segurança. Disse que está comunicando à Comissão de Proteção de Informações Pessoais do Japão e consultando e comunicando a polícia e outras autoridades.28 de outubro (previsto)
O sistema e os formulários de pedido devem ser reiniciados por volta desta data, após as medidas de segurança e as verificações necessárias.
- Sistema
- O sistema de gestão de casos usado para receber e tratar os pedidos de compra a domicílio e do Trefac Moving
- Dados de clientes
- 746.277 registros. O item é o endereço de e-mail; 11 registros incluem também nome e endereço
- Parceiros e funcionários
- 750 registros com nomes e e-mails de parceiros comerciais, funcionários e outros
- Dados de dispositivos
- 1.000 registros com nomes e identificadores de dispositivos usados por parceiros comerciais, funcionários e outros
- Não incluídos
- Números de cartão de crédito, códigos de segurança e outras informações de pagamento (confirmado pela empresa). Dados de clientes mantidos nas lojas e no aplicativo da empresa (gerenciados em sistemas separados)
- Causa
- A empresa acredita que foi explorada uma vulnerabilidade relacionada ao acesso ao banco de dados. Diz ter confirmado que o incidente não tem relação com uma vulnerabilidade do PHP divulgada recentemente
- Dano secundário
- Nenhum confirmado até 23 de outubro
- Resposta
- Acesso externo interrompido e senhas de contas relacionadas trocadas, entre outras medidas. Trabalho em andamento para corrigir a vulnerabilidade explorada, reforçar a segurança de login e monitorar acessos suspeitos
- Comunicação às autoridades
- Comunicação à Comissão de Proteção de Informações Pessoais; consulta e comunicação à polícia e a outras autoridades
- Contato
- Uma central de atendimento dedicada está sendo preparada (será anunciada no site oficial)
Sistema de gestão de casos
Pedidos de compra a domicílio e do Trefac Moving. Acessado em 20 de outubro
Dados de clientes das lojas
Sistema separado. Não afetado (empresa)
Dados de clientes do aplicativo
Sistema separado. Não afetado (empresa)
↓ dados confirmados como levados
746.277 registros de e-mail de clientes
11 também com nome e endereço. Sem dados de pagamento (empresa)
↓ o que geralmente pode vir depois
E-mails e SMS que dizem ser da Trefac
Fingindo ser avaliações, orçamentos, datas de visita ou avisos de retomada
↓ não use os links
Abra você mesmo o site ou o aplicativo oficial para conferir
O que pode acontecer quando só o e-mail vaza
Um endereço de e-mail, sozinho, não permite que ninguém entre em uma conta nem tire dinheiro. O problema é que ele fica conhecido junto com o fato de que esta pessoa pediu o serviço de compra a domicílio ou de mudança da Trefac. Em geral, o seguinte pode acontecer (a empresa não relatou nada disso neste caso).
O que geralmente pode acontecer
- Falsos resultados de avaliação, orçamentos ou mudanças de agenda que dizem ser da Trefac
- E-mails que fingem ser um pedido de desculpas, uma compensação ou uma "campanha de retomada" e levam a outro site
- O endereço ser incluído em listas de spam, aumentando o spam em geral
O que você pode fazer
- Confira seus pedidos no site ou aplicativo oficial
- Ignore qualquer contato que peça dados de cartão ou de banco em nome de um pedido de desculpas ou compensação
- Use a denúncia de spam e os filtros, e não abra links de remetentes desconhecidos
Para outro caso de vazamento de e-mails, veja o vazamento de e-mails da JR East, View Card e JR Kyushu. No mesmo mês, a grande rede de reutilização Bookoff também anunciou um vazamento de dados de membros. Os dois incidentes não têm relação.
O que se sabe e o que não se sabe
Com base nos comunicados da empresa em 24 de outubro de 2026 (a divulgação oportuna de 23 de outubro e o aviso no site). A coluna de situação será atualizada conforme houver novidades.
| Item | O que a empresa disse | Situação |
|---|---|---|
| E-mails de clientes | 746.277 registros confirmados como levados | Vazamento confirmado (empresa) |
| Nomes e endereços de clientes | 11 desses registros incluem nome e endereço | Vazamento confirmado (empresa) |
| Dados de parceiros e funcionários | 750 nomes e e-mails; 1.000 nomes e identificadores de dispositivos | Vazamento confirmado (empresa) |
| Números de cartão e outros dados de pagamento | Confirmado que não estavam nos dados de clientes levados | Não incluídos (empresa) |
| Dados de clientes das lojas e do aplicativo | Gerenciados em sistemas separados; não afetados | Não incluídos (empresa) |
| Telefones e senhas | Não listados entre os dados levados | Não informado |
| Número de pessoas | Publicado como contagem de registros; número de pessoas não informado | Não informado |
| Data e hora do acesso | De madrugada até a manhã de 20 de outubro | Confirmado (empresa) |
| Causa | Acredita-se ser uma vulnerabilidade relacionada ao acesso ao banco de dados explorada; detalhes em investigação | Em investigação |
| Relação com a vulnerabilidade do PHP | Confirmado que não tem relação com uma vulnerabilidade do PHP divulgada recentemente | Confirmado (empresa) |
| Dano secundário | Nenhum confirmado (até 23 de outubro) | Não confirmado (empresa) |
| Avisos individuais | Previstos para os clientes afetados; prazo e método não informados | Previsto (empresa) |
| Central de atendimento dedicada | Em preparação | Em preparação (empresa) |
| Retomada do serviço | Prevista para por volta de 28 de outubro de 2026 | Previsto (empresa) |
| Impacto nos resultados | Em análise (divulgação oportuna) | Em investigação |
Diferença entre a divulgação oportuna e o aviso no site
O detalhamento dos dados de clientes (746.277 registros, 11 com nome e endereço, sem informações de pagamento) consta na divulgação oportuna de 23 de outubro. O aviso do site, do mesmo dia, lista os 750 e os 1.000 registros de parceiros e funcionários, mas não encontramos nele a contagem de registros de clientes (verificado em 24 de outubro). Os números deste artigo vêm da divulgação oportuna.
Em agosto de 2026, um vazamento de dados pessoais causado por acesso não autorizado também foi anunciado na Kindal, subsidiária consolidada do grupo (listado na lista deste site de vazamentos e ciberataques de 2026). A Treasure Factory diz que o caso anterior envolveu credenciais de contas de funcionários obtidas por phishing, enquanto este envolveu uma vulnerabilidade relacionada ao acesso ao banco de dados explorada; portanto, as causas e as vias de entrada são diferentes. A empresa diz que, desde agosto, vem revisando e reforçando a autenticação e os direitos de acesso em todo o grupo.
Para quem administra sistemas de recebimento de pedidos
A causa detalhada não foi divulgada; por isso, esta seção se limita ao que os fatos anunciados sustentam. Não especulamos sobre o tipo de vulnerabilidade nem afirmamos que fechar uma falha específica teria evitado o incidente.
Liste os sistemas internos por trás dos seus formulários de pedido que podem ser acessados de fora
O sistema envolvido era o sistema de gestão de casos usado para receber pedidos e tarefas relacionadas. Para evitar a repetição, a empresa cita o gerenciamento de vulnerabilidades e testes de sistemas expostos externamente, além de defesas como um WAF (web application firewall, que filtra ataques a aplicações web).
Liste quais dos seus sistemas de gestão de casos e de clientes por trás dos formulários de pedido podem ser alcançados pela internet e atribua a cada um um responsável e um procedimento de atualização. Para telas administrativas que não precisam de acesso externo, restringir de onde as conexões podem vir é o primeiro passo.
Separar sistemas limita o quanto pode vazar
A empresa diz que os dados de clientes mantidos nas lojas e no aplicativo são gerenciados em sistemas separados, por isso não foram afetados. Poder explicar que os dados de lojas e do aplicativo estão fora do alcance reduz consultas e preocupação.
Não concentrar em um só lugar os dados de clientes de todas as áreas de negócio é um dos fatores que definem o tamanho do dano quando uma invasão não é contida.
Decida por quanto tempo guardar dados de contato de casos encerrados
Mais de 740.000 registros de e-mail de clientes foram levados. Em geral, defina por quantos anos guardar os dados de contato coletados em pedidos e orçamentos após o fim da transação e, passado esse prazo, apague-os ou remova os dados de contato e mantenha apenas os números necessários para relatórios; isso limita o dano se algo der errado (por quanto tempo a empresa guardava esses dados não foi divulgado).
Guarde os registros de acesso de forma que possam ser lidos no mesmo dia
A empresa diz que confirmou o roubo de dados por meio da análise dos registros de acesso no dia do acesso e bloqueou o acesso externo até as 10:30. Ter registros que existam e possam ser lidos é o que permite delimitar o alcance e interromper rapidamente. Defina onde os registros ficam e quem os analisa e quando. Para reduzir e-mails falsos que usam seu próprio domínio, veja Falsificação de e-mail e SPF, DKIM e DMARC.
Fontes (registro público)
Os fatos deste artigo vêm das fontes públicas abaixo. Detalhes não divulgados da invasão e o número de pessoas afetadas não são objeto de especulação.
- Treasure Factory Co., Ltd., comunicado sobre vazamento de dados pessoais por acesso não autorizado ao seu sistema (23 de outubro de 2026, divulgação oportuna, em japonês) — nikkei.com (PDF da divulgação oportuna)
- Treasure Factory Co., Ltd., pedido de desculpas e comunicado sobre vazamento de dados pessoais por acesso não autorizado (23 de outubro de 2026, em japonês) — treasure-f.com
- Treasure Factory Co., Ltd., aviso de suspensão parcial de serviços para trabalho de segurança (23 de outubro de 2026, em japonês) — treasure-f.com
Histórico de atualizações
2026-10-24: Primeira versão, com base na divulgação oportuna da Treasure Factory de 23 de outubro e nos avisos do site. Será atualizada quando a causa detalhada, os avisos individuais ou a central de atendimento forem anunciados.
Leia a seguir
- Vazamento na and ST HD (cerca de 2,5 milhões de registros de clientes): o que pode ter vazado e o que os membros devem fazer
- Vazamentos de endereços de e-mail: O vazamento de e-mails da JR East, View Card e JR Kyushu
- Um caso do setor de reutilização no mesmo período: O vazamento de dados da Bookoff
- Preparação contra e-mails falsos: O que é phishing?
- Outro caso japonês no mesmo período: O vazamento de dados da Abahouse
- Outros incidentes de 2026: lista de vazamentos e ciberataques (Japão e mundo)