Loja da Good Smile volta a exibir produtos em 6 de novembro após invasão

A Good Smile Company anunciou nesta quinta-feira que sua loja online vai reabrir apenas para consulta de produtos na sexta-feira, 6 de novembro. A reabertura ocorre após uma invasão em que terceiros acessaram, sem autorização, informações pessoais e outros dados de membros cadastrados.

As seguintes funções vão continuar indisponíveis até a conclusão da investigação independente e das medidas de segurança:

• Acesso às informações da conta
• Cadastro de novas contas
• Novos pedidos
• Adição de produtos ao carrinho
• Funções da lista de interesse

A empresa restaurou a loja com um backup anterior ao acesso não autorizado. Também corrigiu vulnerabilidades no sistema administrativo e reforçou os procedimentos para evitar outro incidente.

A Good Smile planeja reforçar seu firewall de aplicações web contra ataques cibernéticos e adotar monitoramento 24 horas. Segundo a empresa, especialistas independentes em segurança constataram que navegar pelo site não apresenta risco de vírus nem de acesso indevido às informações dos clientes.

A Good Smile tirou a loja do ar após descobrir a invasão em 23 de outubro e continua investigando o caso. A empresa afirmou que reforçou a segurança do sistema e eliminou a vulnerabilidade identificada como causa da invasão.

A empresa também comunicou o incidente à Comissão de Proteção de Informações Pessoais do Japão, conforme exige a legislação japonesa.

A investigação constatou que um programa malicioso operou na página de pagamento com cartão de crédito entre 21 de outubro, às 1:55 p.m. JST, e 23 de outubro, às 7:00 a.m. JST.

Informações sobre a instalação do programa surgiram pouco depois das 6:30 p.m. JST de 28 de outubro. Segundo a Good Smile, a vulnerabilidade apontada como provável causa é diferente da vulnerabilidade do PHP.

A empresa informou que 2.800 clientes que podem ter inserido informações na página de pagamento com cartão de crédito nesse período podem ter sido afetados. Os dados potencialmente expostos incluem:

• Nome do titular do cartão
• Número completo do cartão, com 16 dígitos
• Data de validade
• Código de segurança

A Good Smile afirmou que enviou e-mails individuais aos clientes afetados.

Clientes que haviam salvado informações de cartão de crédito no site também podem ter tido dados parciais expostos: os quatro últimos dígitos e a validade dos cartões.

A empresa confirmou que essa exposição não incluiu nomes dos titulares, códigos de segurança nem informações de cadastro vinculadas a esses dados parciais. A estimativa é de que 402.466 cartões de crédito possam ter sido afetados, sem contar duplicatas.

A Good Smile também informou que 7.673 clientes podem ter tido informações de pedidos expostas. Eles fizeram pedidos em 22 de outubro, entre pouco antes das 10:20 p.m. JST e pouco antes das 11:00 p.m. JST.

Os dados de pedidos potencialmente expostos incluem:

• Nome para entrega e/ou cobrança
• Endereço de entrega e/ou cobrança
• Telefone para entrega e/ou cobrança
• Endereço de e-mail
• Detalhes do pedido
• Valor do pedido
• Forma de pagamento

A empresa confirmou que alguém visualizou informações de 202 pedidos sem autorização. Como o sistema do site não consegue identificar todos os pedidos visualizados, ela considera potencialmente afetados todos os clientes associados aos 7.673 pedidos.

A Good Smile desenvolve videogames, fabrica produtos de hobby e brinquedos, produz animes e atua no varejo online. Entre suas principais marcas de brinquedos estão as populares linhas de figuras Nendoroid e Figma.

Os Nendoroids representam personagens de animes, mangás e da cultura pop em figuras pequenas, com proporções superdeformadas. Elas podem oferecer opções limitadas de poses e rostos intercambiáveis.

As figuras de ação Figma trazem personagens dessas mesmas áreas, com foco em ampla articulação e variedade de poses.