Nitori, a "IKEA do Japão", informa vazamento de dados que atinge 37,62 milhões de registros de clientes

A Nitori detectou o acesso não autorizado em 6 de novembro de 2026 e bloqueou o invasor. A investigação indica que ele provavelmente já estava no sistema desde meados de outubro, ou seja, cerca de três semanas de permanência antes da detecção. A empresa fala em até 37,62 milhões de registros potencialmente vazados, e o número é um teto, não uma contagem fechada. Em 11 de novembro, um porta-voz disse ao BleepingComputer que ainda investiga a causa, inclusive se houve ransomware, e que não definiu o total de clientes afetados.

Os dados dependem do perfil. Para clientes individuais: número de associação, nome, e-mail, endereço, telefone, data de nascimento e gênero. Para membros corporativos: nome da empresa, departamento, representante, endereço e contatos. Também há informações de pedidos online na Nitori Net e nas lojas oficiais em marketplaces. Segundo a empresa, senhas e cartões de crédito não foram expostos. A Nitori avisou a Comissão de Proteção de Informações Pessoais do Japão e a polícia, e vai notificar os afetados por e-mail ou correio. Ela alerta para o risco de phishing e golpes com esses dados e diz que nunca pede senha, cartão ou PIN por e-mail ou telefone.

Não é um caso isolado na cobertura recente do CEVIU sobre o Japão, mas são incidentes distintos, sem ligação comprovada. Em 9 de novembro de 2026, o CEVIU noticiou "Invasão a serviço de nuvem de terceiros expõe dados de 7,7 milhões de clientes da Iris Ohyama", e em 13 de outubro de 2026, "Ataque cibernético expõe 8,6 milhões de registros de fãs de karaokê no Japão". Nesses dois casos o ponto de entrada foi um terceiro ou parceiro. No da Nitori, a fonte fala de um sistema gerido pela própria empresa, e a causa ainda está em apuração. Em escala, 37,62 milhões supera os casos anteriores.

Para quem opera segurança em varejo, o dado de contato combinado com histórico de pedidos é matéria-prima de phishing convincente, mesmo sem senha ou cartão vazados. Isso significa reforçar a comunicação com clientes e o monitoramento de fraudes. O tempo de permanência de semanas também pesa: vale revisar a capacidade de detectar acesso anômalo a bases de clientes. Como a causa ainda é incerta, convém evitar conclusões sobre ransomware.