Vazamentos de dados da Yamato e da Sagawa (2026): usuários afetados e resposta

De acordo com o quinto comunicado da Sagawa Express, de 23 de outubro de 2026, três grupos são abrangidos: (1) dados de guias de encomendas tratadas pela empresa — nome, endereço e telefone de remetentes e destinatários, de 21 de junho a 30 de setembro de 2026 (cerca de 100 dias, com base no tempo que o sistema mantém os dados das guias); (2) dados de contrato de clientes com contratos de tarifa de frete — nome, endereço e telefone; e (3) dados de membros cadastrados no serviço web Smart Club — nome, endereço, telefone, e-mail e número de membro do Smart Club. Encomendas aceitas com guias preenchidas à mão não estão incluídas. O número de registros de dados pessoais que podem ter vazado é, no momento, de até cerca de 53,23 milhões, com duplicatas. Informações de cartão de crédito e senhas não estão incluídas. Ainda está sendo verificado se o conteúdo das encomendas (nomes dos itens) ou o histórico de entregas também estão incluídos, assim como outros detalhes dos dados (FAQ P3-4).

Não. No quinto comunicado, a Sagawa diz que este é o máximo atual, depois de uma unificação parcial de registros que duplicam o mesmo cliente, e que os dados das guias, em especial, ainda contêm muitas duplicatas; por isso, não mostram o número real de pessoas afetadas. Também não é a contagem de registros confirmados como efetivamente saídos da empresa. Para clientes corporativos, informações que identificam uma pessoa física, como o nome de um contato, são contadas, enquanto registros com apenas o nome da empresa não são. A Sagawa não publica contagens separadas para os grupos (1) a (3), afirmando que as muitas duplicatas dificultam mostrar o número real de pessoas.

De acordo com o quarto comunicado da Yamato Transport, de 16 de outubro de 2026, uma investigação com uma empresa externa de segurança constatou que foram obtidos os seguintes dados. (1) De alguns usuários do serviço de pagamento postergado Kuroneko (Kuroneko Daikin Atobarai): nome, endereço, telefone, e-mail, detalhes dos itens (nome do item, quantidade, preço unitário e assim por diante) e dados internos de gestão (número do pedido, data do pedido, número da análise de crédito e assim por diante), abrangendo de 1º de outubro de 2018 a 28 de setembro de 2026: cerca de 5,26 milhões de registros, dos quais cerca de 490.000 incluem um e-mail. (2) Das informações de endereço de entrega de alguns usuários: nome, endereço, telefone e número de rastreamento (guia) do destinatário, abrangendo de 5 de fevereiro de 2021 a 28 de setembro de 2026: cerca de 50.000 registros. (3) De algumas lojas participantes: nome do lojista e código do lojista: cerca de 4.100 registros. Informações de cartão de crédito e senhas não estão incluídas. Valores de cobrança, saldos em aberto e nomes de funcionários, que o segundo comunicado dizia que poderiam ter vazado, não foram encontrados como obtidos.

No quarto comunicado, a Yamato diz que vai entrar em contato, individualmente e em ordem, com as pessoas cujos dados foram obtidos. Para as pessoas que não consegue alcançar, por exemplo porque seus dados cadastrais mudaram, diz que o próprio quarto comunicado serve como notificação. Mesmo sem uma mensagem, se você usou o pagamento postergado Kuroneko em compras online desde outubro de 2018, considere que pode ter sido afetado e esteja preparado para mensagens falsas. Dúvidas devem ser enviadas ao contato de e-mail da página do comunicado (scmail2@kuronekoyamato.co.jp).

Sim. De acordo com o terceiro comunicado da Yamato Transport, de 9 de outubro de 2026, boletos de pagamento com vencimento em 28 de setembro de 2026 ou depois ganham 17 dias extras para compensar a interrupção do serviço. Por exemplo, um boleto com vencimento em 1º de outubro passa a vencer em 18 de outubro. Pagar dentro do prazo estendido é suficiente; se uma mensagem disser que seu pagamento está atrasado e precisa ser feito imediatamente, não use o link nem o telefone dela.

Sim. O comunicado da Sagawa abrange tanto os remetentes quanto os destinatários das encomendas que tratou. Se algo que você comprou online foi entregue pela Sagawa, seu nome, endereço e telefone podem estar incluídos como destinatário, mesmo que você nunca tenha se cadastrado em nenhum serviço da Sagawa. O período abrange as encomendas tratadas pela empresa de 21 de junho a 30 de setembro de 2026 (cerca de 100 dias). Encomendas aceitas com guias preenchidas à mão não estão incluídas.

O comunicado de cada empresa abrange apenas o seu próprio serviço, e nenhum dos dois menciona o outro incidente. As datas de descoberta (28 de setembro para a Yamato, 30 de setembro para a Sagawa) e os serviços afetados também são diferentes. Este artigo trata os casos como incidentes separados.

Não. De acordo com o FAQ da Sagawa Express (P1-4), o incidente de julho foi causado por um erro de configuração durante um trabalho de recuperação após uma falha no sistema, e não por acesso não autorizado de terceiros. Desta vez, acesso não autorizado de terceiros foi confirmado.

A Yamato Transport declara oficialmente que não envia avisos de ausência na entrega ou de entrega agendada por SMS, e não envia e-mails nem mensagens pedindo confirmação de endereço ou pagamento para reentrega. A Sagawa Express declara que não envia avisos por SMS sobre coleta e entrega. Se você receber um texto em nome de qualquer uma das empresas sobre uma ausência na entrega ou um endereço desconhecido, apague sem abrir o link.

Não use o link nem o telefone da mensagem. Abra o histórico de pedidos da loja onde comprou o item e confira se a forma de pagamento, o valor e a data do pedido correspondem. A Yamato descreve o serviço como pagamento posterior, por exemplo em uma loja de conveniência, a partir de um boleto ou de um aviso enviado ao seu smartphone após o recebimento da mercadoria. Leve qualquer cobrança que você não reconheça, ou com valor ou forma de pagamento diferentes, diretamente à loja.

As duas empresas dizem que senhas não estão entre os dados que podem ter vazado. Já os e-mails e os números de membro dos usuários do Smart Club estão incluídos. Assim, se você usa a mesma senha em outros serviços, este é um bom momento para deixar de fazer isso.

Até 24 de outubro de 2026, nenhuma das empresas divulgou como o acesso não autorizado aconteceu ou qual foi sua causa. O quarto comunicado da Yamato, de 16 de outubro, informa os dados obtidos e as contagens, mas descreve a causa apenas como acesso não autorizado de terceiros; diz que vai reforçar sua segurança com medidas de médio e longo prazo, com orientação de especialistas externos, além das medidas já adotadas. No quinto comunicado, de 23 de outubro, a Sagawa diz que, com base na investigação de um especialista terceirizado, está revisando sua segurança da informação, incluindo o reforço da gestão de acessos e do monitoramento, e continuará trabalhando para identificar a causa (o FAQ da empresa, P1-2, ainda diz que a causa está em investigação).

Sim. A Sagawa Express diz que reiniciou o serviço de rastreamento de encomendas (consulta de encomendas de frete pela internet) em 23 de outubro de 2026 (sexta-feira), depois de adotar as medidas de segurança necessárias e confirmar que estava seguro, e que pode ser usado pelo site como antes. Para mais detalhes, a agência mais próxima pode fazer a consulta. Oito serviços seguem suspensos, sem data de retorno: a API de rastreamento, a reserva online para entrega Hikyaku, a entrega de ida e volta e a entrega de ida e volta para golfe, o serviço de devolução e reembolso de produtos, dois serviços de alteração de endereço de entrega e o Kaishu-kun. Consulte uma encomenda digitando o número de rastreamento no site oficial que você abrir por conta própria, não por um link em mensagem de texto ou e-mail.

Em uma resposta do FAQ acrescentada em 8 de outubro e atualizada em 23 de outubro, a Sagawa Express diz que apresentou um relatório preliminar à Comissão de Proteção de Informações Pessoais do Japão (PPC) em 1º de outubro, e que está se preparando para apresentar o relatório final em conjunto, em seu próprio nome e no nome de seus remetentes (empresas que confiam à Sagawa a entrega). Remetentes que não concordarem com o relatório conjunto devem apresentar seus próprios relatórios preliminar e final. Um relatório conjunto não impede que um remetente também informe por conta própria, e remetentes que já informaram individualmente podem migrar para o relatório conjunto. A Sagawa diz que enviará aos remetentes afetados os detalhes do procedimento quando o número de registros afetados e outras informações necessárias forem confirmados, e que atualizará seu relatório conforme a investigação avançar.