O que aconteceu
Em 6 de outubro de 2026, a Mr Max Holdings (código 8203, Prime da Bolsa de Tóquio), rede de lojas de descontos com sede em Fukuoka, divulgou que os servidores do app MrMax e da loja online de sua subsidiária foram acessados indevidamente e que dados pessoais vazaram.
Linha do tempo
- Sábado, 3 de outubro, à noite: a MrMax detecta acessos suspeitos aos servidores. No mesmo dia suspende os serviços e bloqueia o acesso externo.
- A investigação mostra que o invasor entrou abusando de uma função do software que compõe os serviços.
- 6 de outubro: comunicado público; o caso foi relatado à Comissão de Proteção de Informações Pessoais (PPC) e à polícia.
O que vazou
- Afetados: membros do app e da loja online, até 1.735.154 pessoas (cadastrados em 3/10).
- Dados: ID de membro, nome, e-mail e telefone (varia conforme o cadastro).
- Não vazaram, segundo a empresa: endereço, data de nascimento, cartão de crédito, senhas e histórico de compras.
Até o comunicado, nenhum uso indevido havia sido confirmado. A empresa enviará e-mails individuais a partir de noreply@mrmax.jp e avisa que nunca pede senha ou número de cartão.
O que ainda não se sabe
A MrMax não identificou publicamente qual software ou função foi explorada, nem se houve ransomware ou pedido de resgate. Também não há grupo que tenha reivindicado o ataque. O impacto financeiro está em avaliação.
Por que importa
Nome + e-mail + telefone de 1,7 milhão de clientes é a matéria-prima perfeita para phishing e smishing que se passam pela loja ("seu cupom expira", "confirme sua entrega"). O caso entra numa sequência de vazamentos em varejo e apps de fidelidade no Japão nesta temporada, como o app do Yakiniku King.
"Abuso de uma função do software" costuma apontar para recursos legítimos mal configurados ou expostos: painéis administrativos, APIs de exportação, funções de upload ou depuração deixadas abertas.
O que fazer
Clientes da MrMax:
- Desconfie de e-mails, SMS ou ligações em nome da MrMax, especialmente com links.
- Só confie no remetente noreply@mrmax.jp e, mesmo assim, não informe senha nem cartão.
Empresas com apps de membros:
- Inventarie funções administrativas e de exportação expostas à internet e restrinja por IP/VPN e MFA.
- Monitore volume anômalo de leitura de dados de clientes; a MrMax detectou no mesmo dia, o que limitou o tempo do invasor.
- Tenha um plano de suspensão rápida do serviço e um modelo de comunicado pronto.
- Minimize dados: o que não é guardado não vaza.
Fontes
- Mr Max Holdings, TDnet notice (2026-10-06): https://fs2.magicalir.net/tdnet/2026/8203/20261006546325.pdf
Quer revisar a segurança do seu app ou loja online? A KGA IT oferece uma consulta gratuita: kga-it.com.