A Good Smile Company, fabricante japonesa conhecida pelas linhas de figuras Nendoroid e Figma, confirmou que um terceiro acedeu sem autorização a informações de membros da sua loja online entre 19 e 22 de outubro. A empresa divulgou os primeiros detalhes a 23 de outubro e publicou uma atualização a 26, no aviso disponível no seu site de suporte. A loja foi encerrada logo após a descoberta e continua fechada, sem data prevista para reabrir.
A informação que pode ter sido vista divide-se em três grupos:
- Dados pessoais: nome (incluindo a grafia fonética), género, morada, número de telefone e endereço de email.
- Dados de compras: datas das encomendas, produtos, quantidades, preços, moradas de envio, contactos do destinatário, método de pagamento e estado do pagamento.
- Dados parciais de cartões: marca, data de validade e os quatro últimos dígitos.
Segundo a empresa, o nome do titular, os restantes dígitos do cartão e o código de segurança não estão incluídos. A Good Smile Company não revelou quantos clientes foram afetados.
Como aconteceu
O acesso foi feito ao sistema de administração da loja, em várias ocasiões, desde pouco depois das 15h00 (hora do Japão) de 19 de outubro até cerca das 22h00 de dia 22. A empresa só tomou conhecimento a 23 de outubro, depois de ser notificada pelo fornecedor que desenvolve e mantém a loja.
A Good Smile Company acredita que o acesso resultou da exploração de uma vulnerabilidade no sistema da loja. Afirma que já a corrigiu, reforçou a segurança e comunicou o incidente à Comissão de Proteção de Informações Pessoais do Japão. Não identificou publicamente a falha e a investigação continua. Na atualização de 26 de outubro, esclareceu ainda que a causa não foi uma vulnerabilidade em PHP, que tinha sido tratada separadamente numa manutenção realizada a 21 e 22 de outubro.
A empresa indicou que várias lojas e serviços funcionam em sistemas separados e não foram atingidos:
- Good Smile Company US
- Good Smile Company Europe Online Shop
- Good Smile Company Europe
- Good Smile Company UK
- Nendoroid Face Maker
- Loja da empresa no marketplace Rakuten
A informação de cartões usados através de serviços externos como a Amazon Pay e o PayPal também não foi exposta, porque esses dados não ficam guardados nos servidores da empresa. Isto não exclui, no entanto, que dados de encomenda ou de contacto associados a essas compras tenham sido acedidos. A Good Smile Company US emitiu um comunicado próprio a confirmar que a sua loja norte-americana, goodsmileus.com, não foi afetada.
Encomendas, avisos e cuidados a ter
Enquanto a loja está fechada, a empresa mantém o processamento e o envio das encomendas e pré-encomendas previstas para outubro. Quem tiver erros de pagamento neste período deve contactar o suporte, e as pré-encomendas afetadas não serão canceladas automaticamente.
A Good Smile Company vai enviar um email a todos os membros, incluindo os antigos que tenham fechado a conta depois do incidente, e notificará individualmente os clientes potencialmente afetados à medida que a investigação avançar. Não há, para já, confirmação de que os dados acedidos tenham sido usados em burlas ou fraudes, mas contactos e históricos de compras podem servir para criar mensagens falsas convincentes. As recomendações passam por:
- Confirmar qualquer aviso diretamente no site oficial de suporte, e não através de links recebidos por email ou SMS.
- Desconfiar de mensagens que exijam pagamentos urgentes, verificação de conta ou atualização de dados do cartão.
- Verificar os extratos bancários e contactar o banco em caso de movimentos desconhecidos.
- Usar palavras-passe únicas e ativar a autenticação multifator onde for possível, embora não haja indicação de que as palavras-passe tenham sido expostas.
- Guardar os emails de confirmação das encomendas enquanto a loja estiver indisponível.
