O que aconteceu
Em 8 de outubro de 2026, a Lawson, uma das três maiores redes de lojas de conveniência do Japão, anunciou que dados pessoais de 2.155.345 registros da Lawson ID (a conta única usada no app e em serviços da empresa) vazaram após acesso não autorizado. Outros 26 registros do serviço Lawson App Reservas (encomendas sazonais, como bolos de Natal) também foram expostos.
Segundo a empresa, os acessos ocorreram entre 12 e 14 de setembro (Lawson ID) e em 17 de setembro (Reservas), mas só foram descobertos numa investigação em 7 de outubro, mais de três semanas depois.
O que vazou
- Lawson ID (2.155.345): nome e e-mail. Para quem preencheu dados em promoções e sorteios, também sexo, telefone, endereço e preferências de newsletter.
- App Reservas (26): nome, telefone e parte do número do cartão de crédito.
- Segundo a cobertura da imprensa japonesa, não houve vazamento de senhas, e até o anúncio não havia confirmação de uso indevido.
Como aconteceu
A Lawson explica que o problema foi o uso indevido de um sistema ligado ao app: o mecanismo de segurança que deveria exibir informações apenas ao próprio usuário foi acessado por terceiros, permitindo obter dados de outras pessoas. A empresa não detalhou a técnica nem a vulnerabilidade.
Na prática, isso lembra uma classe de falha muito comum em apps: a autorização no nível do objeto quebrada (BOLA/IDOR), quando a API devolve dados de qualquer ID sem verificar se ele pertence a quem pede. Atenção: isso é uma interpretação nossa, não uma confirmação da Lawson.
A empresa afirma que não houve outros acessos nem infecção por malware. Também houve, no fim de setembro, um caso separado em que o servidor de e-mail interno da Lawson foi abusado para enviar mensagens suspeitas; segundo a imprensa, não há relação confirmada entre os dois.
Resposta
- Bloqueio das origens de acesso suspeitas e suspensão da função de reservas do app.
- Relato à Comissão de Proteção de Informações Pessoais (PPC) do Japão.
- Aviso individual por e-mail a partir de lawson_id@mailservice.lawson.jp.
O que os clientes devem fazer
- Desconfie de e-mails, SMS e ligações que citem a Lawson ou o vazamento, principalmente com links ou pedidos de dados.
- Confira se a mensagem vem do remetente oficial e prefira acessar pelo app ou site.
- Quem fez reservas: acompanhe a fatura do cartão.
Lições para empresas com apps
- Toda API que devolve dados pessoais precisa checar a quem eles pertencem, em cada requisição.
- Monitore volume e padrão: milhões de registros puxados em três dias são uma anomalia visível.
- Reduza o tempo de detecção: três semanas entre ataque e descoberta é tempo demais.
- Colete menos dados em promoções; o que não existe não vaza.
O Japão vive uma sequência de vazamentos em outubro (skyticket, Yakiniku King, Daiichikosho, Bookoff), o que reforça a urgência de revisar APIs de apps de consumo.
Fontes
- Lawson, comunicado oficial (8/10/2026): https://www.lawson.co.jp/contents/cont07/1533174_3310.html
- ITmedia NEWS: https://www.itmedia.co.jp/news/article/2610/09/2000002148/
- Business+IT: https://www.sbbit.jp/article/cont1/187372
Quer revisar a segurança das APIs do seu app? A KGA IT oferece uma consulta gratuita: kga-it.com.