comércio eletrônico
10 artigos com esta tag
Acesso não autorizado a uma empresa que cuida da logística de comércio eletrônico (armazenagem e envio) pode ter vazado dados de entrega de várias lojas online: nomes, endereços, telefones e mais, e o que os compradores devem fazer
Em 11 de novembro de 2026, uma empresa que cuida da logística (armazenagem e envio) de lojas de comércio eletrônico anunciou que um terceiro externo acessou sem autorização seus sistemas entre 8 e 9 de novembro e que parte de seus dados de envio foi levada. Os dados abrangem pedidos de envio feitos de 8 de abril a 8 de novembro de 2026, e as informações que podem ter vazado são o nome, o endereço e o telefone do destinatário, o e-mail (se cadastrado) e informações dos itens. A empresa diz que não guarda números de cartão de crédito, então eles não foram afetados. O número de pessoas está em investigação, e até 11 de novembro nenhum uso indevido ou dano secundário havia sido confirmado. Lojas online que terceirizam a logística a essa empresa publicaram em seus sites oficiais o efeito sobre seus próprios clientes (este artigo lista as seis cujos comunicados oficiais conseguimos ler; as contagens são as que cada loja informa e nenhum total é dado). Nossa conclusão: os compradores devem presumir que contatos que se passem por transportadora, pela loja em que compraram ou por um pedido podem parecer genuínos e não devem responder a cobranças ou confirmações de quem conhece seus dados de contato e o que compraram.
Vazamento de dados de cartão na página de pagamento da Fandango (outubro de 2026): possível acesso não autorizado; número do cartão, CVV, validade, CEP de cobrança e e-mail podem ter sido afetados. O que fazer
A Fandango Media, empresa de venda de ingressos de cinema, registrou um aviso na Procuradoria-Geral da Califórnia em 13 de novembro de 2026. O aviso diz que a empresa tomou conhecimento de um problema na página de pagamento de ingressos, investigou com especialistas externos em cibersegurança e o resolveu. Diz que a investigação encontrou evidência de que uma parte não autorizada podia acessar dados de cartão de pagamento associados a certas transações na página de pagamento de 8 a 11 de outubro de 2026 e que, em 30 de outubro, determinou que as informações de determinada pessoa podem ter sido afetadas. As informações que podem ter sido afetadas são o número do cartão de pagamento, o CVV, a data de validade, o CEP de cobrança e o endereço de e-mail. O aviso diz que nome e sobrenome, informações de documento de identidade governamental, números de Social Security e outras informações de conta não foram envolvidos. A Fandango diz que atualmente não tem conhecimento de uso fraudulento das informações e oferece 24 meses de monitoramento de crédito, monitoramento da dark web, um seguro contra roubo de identidade que reembolsa despesas de recuperação (até 1.000.000 de dólares, conforme os termos da apólice) e recuperação gerenciada de identidade roubada por meio de um provedor de monitoramento; o exemplo diz para ativar até 13 de fevereiro de 2027. O número de pessoas afetadas não é informado, e não encontramos um comunicado separado da empresa. Nossa avaliação: se você comprou ingressos na página de pagamento da Fandango por volta dessas datas, confira as faturas do cartão, avise a emissora do cartão sobre cobranças que você não reconhece e pergunte a ela se deve trocar o cartão.
Acesso não autorizado à loja online da Edion (dados de pedidos de até 9.554 clientes e mais): dados de cartão, PINs de vales-presente e credenciais de login podem ter vazado; o que os usuários devem fazer
Em 6 de novembro de 2026, a Edion Corporation anunciou que o acesso não autorizado ao servidor que hospeda sua loja online pode ter vazado informações pessoais de alguns clientes, e em 9 de novembro seu segundo comunicado corrigiu e ampliou esse aviso. O primeiro comunicado listava informações registradas em arquivos de log de até 4.131 clientes (nome, e-mail, telefone, data de nascimento, endereço, número de cliente e mais) e informações de pedidos de até 9.554 clientes (nome, número do pedido, valor do pedido, data de validade do cartão de crédito, número de vale-presente e mais), e dizia que números de cartão de crédito e senhas de login não estavam incluídos. O segundo comunicado corrige isso: dados de cartão de crédito registrados em logs de erro no momento do pedido (número, validade, nome do titular, código de segurança) em até 5 casos, informações de 5.360 Edion Gift Cards (número, PIN, histórico de uso) e IDs e senhas de login de até 1.141 clientes estavam incluídos. Acrescenta que um terceiro externo havia inserido um programa malicioso no processamento relacionado a pagamentos, em execução desde logo após as 19:00 de 4 de novembro. Quanto aos dados de cartão digitados novamente em um PC na tela de pagamento (até 556 entradas), a empresa não pode descartar que tenham vazado diretamente para um terceiro; smartphones não foram afetados. A empresa interrompeu a loja online e os serviços relacionados às 22:00 de 7 de novembro, e a loja online não tem data de retomada. Conclusão deste site: se você digitou um cartão novo na loja online da Edion a partir de um PC depois das 19:00 de 4 de novembro, confira sua fatura e pergunte à operadora do cartão sobre trocar o número.
Acesso não autorizado à Nitori: dados pessoais de até 37,62 milhões de registros podem ter vazado (nomes, endereços, telefones, datas de nascimento): o que membros individuais e corporativos devem fazer
Em 9 de novembro de 2026, a Nitori Holdings Co., Ltd. anunciou que em 6 de novembro confirmou um acesso não autorizado de um terceiro a um sistema que ela gerencia, e que as informações pessoais mantidas em seus servidores, até 37,62 milhões de registros, podem ter vazado para fora. Os dados abrangem membros individuais e compradores do Grupo Nitori (número de membro, nome incluindo o furigana, e-mail, endereço, telefone, data de nascimento, sexo), membros corporativos (número de membro, nome da empresa, departamento, nome do representante, endereço e telefone da empresa, e nome, e-mail e telefone da pessoa de contato) e os dados de pedidos feitos pela Nitori Net e pela loja oficial da Nitori em shoppings online. A empresa diz que as senhas de login e os dados de cartão de crédito não estão incluídos. Também pode ter havido acesso de terceiros de meados a fins de outubro, a rota está em investigação e o número pode mudar. A empresa diz que contatará em ordem os clientes afetados por e-mail ou correio. Até 10 de novembro de 2026, nenhum comunicado posterior havia sido encontrado. Conclusão deste site: como endereço, telefone e nome estão nos dados, uma ligação, mensagem ou e-mail que use o nome da Nitori ou de uma empresa de entrega não é genuíno só porque conhece o seu endereço ou pedido corretos.
Acesso não autorizado à loja online akyrise da Euglena (até cerca de 900.000 registros): nomes, endereços e telefones podem ter vazado; o que os compradores devem fazer
Em 5 de novembro de 2026, a Euglena Co., Ltd. anunciou que um terceiro acessou sem autorização, em 4 de novembro, a loja online de sua marca de cosméticos akyrise e que informações de membros vazaram. A empresa fechou a loja no mesmo dia e apresentou um relatório preliminar à Comissão de Proteção de Informações Pessoais do Japão. As informações que podem ter vazado se dividem em dois grupos: dados de conta de login (ID do cliente, endereço de e-mail e a senha de login, armazenada em forma de hash), até cerca de 490.000 registros; e dados de cadastro e compra (nome, endereço, número de telefone, data de nascimento, gênero, endereço de e-mail e informações de compra e entrega), até cerca de 900.000 registros. As duas contagens ainda estão em verificação e, como a empresa não diz como se sobrepõem, os dois números não podem ser somados. Números de cartão de crédito não são guardados nos servidores da empresa e não estão incluídos. O mesmo comunicado trata também de acessos não autorizados distintos em um provedor de serviço de envio de e-mails e em uma empresa de entregas, que a empresa descreve como eventos independentes. Em 9 de novembro de 2026, nenhum comunicado posterior havia sido encontrado. Conclusão deste site: uma mensagem, um texto ou uma ligação que use o nome akyrise não é genuína só porque sabe seu nome ou endereço. Não abra links e, se você reutilizou sua senha da akyrise em outro lugar, troque-a primeiro lá.
Vazamento na loja oficial da Good Smile Company (dados completos de cartão de 2.800 pessoas possivelmente vazados, dados parciais de 402.466 cartões, até 202 pedidos possivelmente vistos): o que cada grupo deve fazer
A Good Smile Company Co., Ltd. anunciou em 23 de outubro de 2026 que um terceiro havia acessado sua loja oficial e, em seu quarto relatório de 30 de outubro, havia classificado os afetados em três grupos. No grupo B (2.800 pessoas), um programa malicioso presente das 13:55 de 21 de outubro às 7:00 de 23 de outubro pode ter capturado o nome do titular, o número do cartão, a data de validade e o código de segurança digitados na página de pagamento. O grupo A (quem já registrou um cartão alguma vez; 402.466 cartões, número de pessoas ainda em verificação) limita-se aos quatro últimos dígitos do número do cartão e à data de validade, e a empresa considera extremamente improvável o uso indevido apenas com isso. O grupo C (5.356 pessoas) diz respeito a dados de pedidos ainda não enviados (nome, endereço, telefone, e-mail, conteúdo do pedido e similares); no máximo 202 pedidos podem ter sido de fato vistos. A empresa diz que a causa não é a vulnerabilidade do PHP divulgada recentemente. Conclusão deste site: o grupo B deve contatar o emissor do cartão e perguntar sobre a troca do número. Quem não recebeu e-mail mas já registrou um cartão na loja continua no escopo e deve conferir as faturas. Não abra links de mensagens inesperadas que digam ser da empresa.
Vazamento de contas de clientes da Revolve: números de cartão salvos e datas de validade acessados (1.515.073 pessoas segundo a lista da Procuradoria de Indiana) e o que os clientes devem fazer
A varejista de moda americana Revolve divulgou em um documento apresentado ao regulador de valores mobiliários dos EUA em 29 de outubro de 2026, segundo o The Record, que uma parte não autorizada usou meios automatizados para acessar dados de contas de clientes, incluindo nomes, dados de contato e números de cartões de pagamento salvos com suas datas de validade. Os primeiros registros estaduais mostravam apenas números por estado, como 127.200 texanos. A lista de vazamentos de dados da Procuradoria-Geral de Indiana (edição de novembro de 2026) mostra agora a Revolve Group, Inc com data de notificação em 29 de outubro, data do vazamento em 11 de setembro, 10.534 moradores de Indiana e 1.515.073 pessoas no total. As notificações a outros cinco estados (Iowa, Massachusetts, Carolina do Sul, Texas e Vermont) somavam apenas cerca de 197.000, segundo a SecurityWeek. As fontes que lemos não informam se o código de segurança do cartão (CVV) esteve envolvido. Avaliação deste site: se você salvou um cartão na sua conta da Revolve, acompanhe suas faturas em busca de cobranças pequenas desconhecidas, pergunte ao emissor se deve reemitir o cartão e trate como suspeita qualquer mensagem que cite seu histórico de pedidos até conferir você mesmo.
Drupal Commerce Core CVE-2026-118539: desvio de acesso sem autenticação, explorado ativamente (atualize para 8.x-2.41 ou 3.3.13)
Em 28 de outubro de 2026, a Equipe de Segurança do Drupal publicou o SA-CONTRIB-2026-254 para o módulo Commerce Core (CVE-2026-118539). O módulo não protege o suficiente certas rotas e campos de entidade, o que permite um desvio de acesso que pode ter impacto financeiro para o dono da loja. O Drupal o classifica como Altamente crítico (21/25), sem exigir autenticação, e afirma que está sendo explorado ativamente na prática. As versões afetadas são as anteriores à 8.x-2.41 e da 3.0.0 até a 3.3.13, exclusive; as versões corrigidas são a 8.x-2.41 e a 3.3.13. O registro do NVD mostra uma pontuação CVSS v3.1 menor, de 6,5, adicionada pelo ADP da CISA, e ainda aguarda análise. Em 31 de outubro, não consta do catálogo KEV da CISA. Nossa conclusão: se você opera uma loja online no Drupal Commerce, atualize já e audite os pedidos e pagamentos recentes em busca de algo incoerente.
Vulnerabilidade CVE-2026-48356 do Adobe Commerce e do Magento: CISA confirma exploração (KEV), a correção de julho e como verificar se houve invasão
Em 27 de outubro de 2026, a CISA incluiu a CVE-2026-48356, uma vulnerabilidade de upload de arquivos no Adobe Commerce e no Magento Open Source, em seu catálogo de vulnerabilidades sabidamente exploradas (KEV). O prazo para as agências civis federais dos EUA é 10 de novembro. A Adobe corrigiu essa falha, junto com outras 13, no boletim de segurança APSB26-73 em 14 de julho de 2026. São afetados o Adobe Commerce 2.4.4 a 2.4.9, o Magento Open Source 2.4.6 a 2.4.9, o Adobe Commerce B2B e o Adobe Commerce Events. A correção é a correção de segurança 2026-jul de cada linha de versões (1.21.0 para o Events). A tabela do boletim da Adobe atribui CVSS 9,6, enquanto o registro CVE da Adobe e o NVD atribuem 9,3; a única diferença é o impacto na disponibilidade. O boletim da Adobe (atualizado em 11 de agosto) ainda diz que a Adobe não tem conhecimento de exploração. Em 24 de outubro, uma empresa de segurança de e-commerce relatou que web shells instalados por meio dessa falha (que ela chama de PolyShell) e de outras falhas foram usados para injetar JavaScript em páginas de lojas, em uma campanha que atingiu 953 lojas, a maioria Magento, desde julho de 2025, e que encontrou o código injetado também em lojas corrigidas. Em 28 de outubro, nenhum órgão público japonês havia emitido alerta e nenhuma loja japonesa havia divulgado ter sido afetada. Conclusão deste site: lojas com Adobe Commerce e Magento devem confirmar hoje que a correção de julho está aplicada e, mesmo que esteja, verificar as pastas de upload, os blocos CMS e as contas de administrador em busca de sinais de invasão.
Programa de roubo de cartões na página de pagamento do PhotoGoods (Daiko Printing): o que quem pagou entre 6 de agosto e 11 de setembro deve fazer
Em 16 de setembro de 2026, a Daiko Printing Co., Ltd. anunciou acesso não autorizado de terceiros ao PhotoGoods (photo-goods.com), serviço que ela opera, e disse que um programa capaz de capturar ilegalmente dados de cartão de crédito digitados na página de pagamento havia sido instalado. O programa esteve presente de 6 de agosto até ser removido em 11 de setembro. Pessoas que informaram um cartão na página de pagamento nesse período (inclusive as que não concluíram a compra) podem ter tido expostos o número do cartão, a data de validade e o código de segurança, além de nome, endereço, telefone, e-mail e informações derivadas da senha de membro (armazenadas em forma convertida). A empresa afirma ter confirmado acesso não autorizado por meio de vulnerabilidades do sistema e uso indevido de uma função de upload de arquivos. O número de pessoas afetadas e o alcance real estão em apuração, e não havia comunicado de acompanhamento até 7 de outubro. A opinião deste site: quem informou um cartão nesse período deve pedir à operadora do cartão a troca do número, trocar a senha em qualquer outro serviço que use a mesma senha do PhotoGoods e ignorar links em mensagens de 'desculpas' ou 'reembolso'.