A varejista japonesa de móveis e artigos para casa Nitori revelou um grande incidente de cibersegurança que pode ter exposto até 37,62 milhões de registros de clientes. A empresa descobriu acesso não autorizado a um de seus sistemas em 6 de novembro de 2026, mas os investigadores acreditam que a invasão pode ter começado algumas semanas antes.
A Nitori Holdings anunciou o incidente em 9 de novembro, alertando que informações pessoais pertencentes a clientes individuais, membros corporativos e compradores online podem ter sido acessadas por terceiros não autorizados. A empresa não confirmou que todos os registros potencialmente afetados foram roubados, e a escala final da exposição ainda está sob investigação.
O varejista opera uma extensa rede de lojas no Japão e em outros mercados asiáticos. Nitori possui 879 lojas no Japão e outras 219 unidades na China, Coreia do Sul, Taiwan, Tailândia, Singapura e Hong Kong.
As informações potencialmente comprometidas incluem nomes de clientes, números de membro, endereços de e-mail, endereços residenciais, números de telefone, datas de nascimento e gênero. Para clientes corporativos, os registros afetados também podem conter nomes de empresas, informações departamentais, endereços comerciais e detalhes de contato de representantes da empresa.
Informações associadas a compras feitas pela Nitori Net e pelas lojas oficiais da empresa em marketplaces de e-commerce terceirizados também podem ter sido expostas. A combinação específica de informações pessoais varia entre os clientes.
Nitori enfatizou que as senhas das contas e informações de cartões de crédito não foram incluídas nos dados potencialmente comprometidos. A empresa não relatou transações de pagamento não autorizadas resultantes do incidente.
Os investigadores identificaram sinais de atividade suspeita que datam de meados ou final de outubro, sugerindo que os atacantes podem ter acessado o ambiente afetado antes da violação ser detectada em 6 de novembro. No entanto, a empresa não estabeleceu a data exata da intrusão inicial nem explicou como os atacantes entraram em seus sistemas.
Após descobrir o acesso não autorizado, Nitori bloqueou os suspeitos de atacar e começou a investigar a infraestrutura afetada com a ajuda de especialistas externos em cibersegurança. A empresa também abordou vulnerabilidades identificadas e fortaleceu seus sistemas de monitoramento.
A investigação inclui a revisão dos registros do sistema e a comparação de registros para determinar quanta informação estava acessível e se os atacantes obtiveram cópias dos dados. Nitori reconheceu que o número estimado de registros afetados pode mudar à medida que a investigação avança.
A varejista já reportou o incidente à Comissão de Proteção de Informações Pessoais do Japão e consultou a polícia e outras autoridades relevantes. Também está se preparando para contatar individualmente os clientes afetados por e-mail ou notificações postales.
Nitori alertou que informações de contato expostas poderiam ser exploradas em e-mails de phishing, tentativas de personificação e chamadas telefônicas fraudulentas. Criminosos poderiam potencialmente usar dados genuínos de clientes ou informações de compras anteriores para tornar comunicações enganosas mais credíveis.
A empresa esclareceu que não solicita senhas, números de cartão de crédito ou números de identificação pessoal por meio de e-mails ou ligações telefônicas não solicitadas.