Um programa malicioso injetado na página de pagamento da loja online da Good Smile Company expôs números completos de cartão de crédito, códigos de segurança e datas de validade de 2.800 clientes que finalizaram compras entre 21 de outubro, às 13h55 JST, e 23 de outubro, às 7h00 JST. A fabricante de figuras e colecionáveis confirmou a extensão do vazamento em atualização publicada na quinta-feira, elevando a gravidade do incidente anunciado no dia anterior.
Como a brecha funcionou e quem foi afetado
A investigação interna identificou que a vulnerabilidade explorada é distinta da falha em PHP amplamente divulgada nos últimos meses. O código malicioso permaneceu ativo por cerca de 41 horas, capturando dados no momento exato em que o cliente digitava as informações de pagamento. A empresa estima que 2.800 pessoas tenham inserido dados completos nesse intervalo — nome do titular, 16 dígitos do cartão, validade e CVV.
Além desse grupo, a Good Smile Company revelou que 402.466 cartões cadastrados anteriormente na plataforma podem ter tido os quatro dígitos finais e a data de validade expostos. A empresa afirma que nomes de titulares e códigos de segurança desses cadastros antigos não foram comprometidos, e que não há vinculação entre os dados parciais vazados e informações de identificação dos membros.
Pedidos do dia 22 de outubro também vazaram
Um terceiro grupo de 7.673 clientes que finalizaram pedidos em 22 de outubro, entre aproximadamente 22h20 e 23h00 JST, teve informações de envio e cobrança expostas: nomes, endereços, telefones, e-mails, detalhes do pedido, valor e forma de pagamento. A empresa detectou acesso não autorizado a 202 pedidos específicos, mas, como o sistema não permite identificar exatamente quais, trata todo o lote como potencialmente afetado.
Resposta da empresa e próximos passos
A loja foi tirada do ar em 23 de outubro, assim que a intrusão foi descoberta. A Good Smile Company afirma ter "fortalecido a segurança do sistema" e removido a vulnerabilidade identificada como causa raiz. O incidente foi reportado à Comissão de Proteção de Informações Pessoais do Japão, conforme exige a legislação local. Clientes diretamente impactados estão sendo contatados por e-mail.
O que fazer se você comprou na loja no período
- Monitore faturas do cartão usado na loja nas próximas semanas; conteste qualquer cobrança não reconhecida imediatamente com o banco emissor.
- Considere solicitar novo cartão se utilizou o pagamento direto (não salvo) entre 21 e 23 de outubro.
- Ative alertas de transação no aplicativo do seu banco — a maioria permite notificação em tempo real para compras acima de valor definido.
- Desconfie de e-mails ou mensagens pedindo confirmação de dados; a Good Smile Company não solicita senhas ou CVV por canais externos.
Contexto: colecionadores brasileiros e compras internacionais
Muitos fãs brasileiros adquirem figuras da Good Smile Company via importação direta ou redirecionadores de encomenda. Quem pagou com cartão internacional na loja oficial no período crítico está no mesmo grupo de risco. Bancos brasileiros costumam bloquear transações suspeitas no exterior automaticamente, mas a exposição do CVV torna fraudes em compras online (card-not-present) mais viáveis. Vale checar se seu banco oferece cartão virtual descartável para compras internacionais — camada extra que invalida o número após o uso.
Lições para o varejo geek global
O incidente expõe a fragilidade de e-commerces de nicho que concentram alto valor médio de pedido e base de fãs fiel, mas nem sempre investem em monitoramento contínuo de injeção de código em páginas de checkout. Padrões como PCI DSS exigem varreduras trimestrais e monitoramento de integridade de arquivos; a janela de 41 horas sugere falha na detecção precoce. Para o consumidor, a regra permanece: evite salvar cartão em lojas menores, prefira carteiras digitais (PayPal, Apple Pay, Google Pay) que tokenizam a transação, e use cartão virtual sempre que possível.
Para ficar no radar
A Good Smile Company ainda não detalhou se haverá compensação ou serviço de monitoramento de crédito para os 2.800 clientes com dados completos expostos — prática comum em vazamentos de grande escala nos EUA e Europa, mas não obrigatória no Japão. A investigação segue em andamento e a loja permanece fora do ar sem previsão de retorno. Fique atento a comunicados oficiais no site de suporte da empresa e evite clicar em links de e-mails não solicitados alegando ser da Good Smile Company.
