Good Smile confirma vazamento com 2.800 cartões expostos

A Good Smile Company, fabricante japonesa das linhas Nendoroid e Figma, divulgou nesta quinta-feira (29) uma nova atualização sobre o vazamento de dados da sua loja online. A investigação concluiu que um programa malicioso ficou instalado na página de pagamento com cartão de crédito de 21 de outubro, às 13h55 (horário do Japão), até 23 de outubro, às 7h. A instalação só foi descoberta na noite de 28 de outubro.

Segundo a empresa, cerca de 2.800 clientes que digitaram dados na página de pagamento nesse intervalo podem ter tido nome do titular, número completo de 16 dígitos, validade e código de segurança expostos. Esses clientes foram avisados por e-mail. A Good Smile afirma ainda que a falha que originou o problema é diferente da vulnerabilidade em PHP citada em comunicados anteriores.

Há um segundo grupo, bem maior: quem já tinha cartão cadastrado na loja pode ter tido dados parciais vistos, só os quatro últimos dígitos e a validade. A empresa estima 402.466 cartões nessa situação, sem contar duplicados, e diz que nome do titular e código de segurança não foram atingidos nesse caso. Além disso, 7.673 clientes que fizeram pedidos na noite de 22 de outubro, em uma janela de cerca de 40 minutos, podem ter tido nome, endereço, telefone, e-mail e detalhes do pedido expostos. Em 202 pedidos houve visualização confirmada sem autorização, mas como o sistema não permite identificar quais foram, todos os 7.673 entram na conta.

A loja foi tirada do ar em 23 de outubro e segue fechada, sem data para voltar. A Good Smile diz que removeu a vulnerabilidade, reforçou a segurança e comunicou o caso à Comissão de Proteção de Informações Pessoais do Japão. Segundo o OtakuPT, a loja americana, goodsmileus.com, não foi afetada, e pagamentos feitos por serviços externos como Amazon Pay e PayPal não tiveram dados de cartão guardados nos servidores da empresa. Os números dos comunicados anteriores mudaram ao longo da semana, então vale conferir o resumo da Anime News Network e o aviso oficial.

Para quem importa figuras direto da loja japonesa, o recado prático é acompanhar a fatura do cartão usado entre 21 e 23 de outubro, desconfiar de e-mails e mensagens que citem pedidos recentes e, se receber o aviso da empresa, considerar pedir a troca do cartão ao banco. Até agora não há confirmação de uso dos dados em fraudes.