A Sagawa Express, uma das maiores transportadoras do Japão, admitiu em 23 de outubro de 2026 que até 5,323万 registros pessoais — cerca de 53,23 milhões na conversão — podem ter vazado do serviço de consulta de encomendas do seu site, no maior incidente desse tipo divulgado pelo país neste ano. O caso atinge remetentes e destinatários de entregas recentes, clientes com contrato de frete e membros do serviço de fidelidade Smart Club. A ação prioritária para quem usou a transportadora é tratar com desconfiança e-mails, mensagens e ligações que citem encomendas: a própria empresa alerta que golpistas podem se passar por ela.
O que aconteceu
O acesso não autorizado ao serviço de consulta de encomendas da web, usado para rastrear entregas pela internet, foi confirmado pela empresa no fim de setembro. Como resposta imediata, a Sagawa cortou o acesso externo aos seus sistemas de carga e suspendeu parte dos serviços web, incluindo a própria consulta de rastreamento e as APIs de integração usadas por lojas e plataformas de terceiros.
Nos comunicados seguintes, a transportadora reconheceu que dados pessoais podem ter sido levados para fora e detalhou os grupos afetados. Em 1º de outubro de 2026, a empresa comunicou formalmente o caso à autoridade japonesa de proteção de dados pessoais, a Comissão de Proteção de Informações Pessoais (PPC), em cumprimento à lei local, e informou que prepara o relatório definitivo em conjunto com os embarcadores que contratam suas entregas.
O quinto relatório, publicado em 23 de outubro, trouxe a contagem preliminar e o anúncio de que o serviço de consulta de encomendas voltou a funcionar no mesmo dia, após inspeção conduzida com apoio de instituições especializadas independentes. Outros serviços suspensos, como APIs de rastreamento e formulários de coleta, seguem interrompidos até nova comunicação. A coleta e a entrega de encomendas não pararam, e a empresa mantém canais dedicados de atendimento por telefone e chat.
Escopo dos dados expostos
Segundo o comunicado oficial, há três blocos de dados com potencial de exposição. O maior deles envolve dados de envio de encomendas registradas entre 21 de junho e 30 de setembro de 2026 — cerca de 100 dias de operação, limite definido pelo período de retenção do próprio sistema —, com nome, endereço e telefone de quem enviou e de quem recebeu. O segundo bloco cobre a lista de clientes com contrato de frete, com os mesmos campos. O terceiro alcança cadastros do serviço Smart Club, que também incluem endereço de e-mail e identificador de membro.
O número divulgado precisa ser lido com cuidado. A própria empresa explica que a soma inclui muitas duplicatas — o mesmo cliente reaparece a cada envio — e que o total não representa a quantidade de pessoas afetadas. Encomendas registradas em formulários manuscritos ficaram de fora do incidente. E o conjunto afetado não contém dados de cartão de crédito nem senhas, segundo o comunicado.
Risco para os titulares
Para as pessoas afetadas, o risco imediato não é o uso financeiro direto dos dados, e sim a fraude personalizada. Com nome, endereço, telefone e o contexto de uma entrega real, golpistas têm material suficiente para montar mensagens críveis: avisos falsos de taxa adicional, tentativas de reagendar entrega, pedidos de pagamento ou de confirmação de dados. A Sagawa dedica parte do seu aviso justamente a orientar clientes a não acessar links nem informar dados em contatos que alegam vir da empresa. Até a data do quinto relatório, a transportadora afirma que não confirmou uso indevido das informações vazadas — uma ausência de evidência que não garante que a exploração não ocorra depois.
O incidente também não é isolado. Outras empresas japonesas, incluindo a concorrente Yamato Transport e grupos de mídia e varejo, divulgaram em outubro vazamentos próprios com milhões de registros, e o governo reagiu com orientações formais a empresas de todo o país. Para quem opera fora do Japão, o caso interessa como retrato de um padrão: bases operacionais de alto volume, expostas por serviços web legítimos, viraram fonte privilegiada de dados de contato para fraude.
Alerta do governo japonês
Em 9 de outubro, o Escritório Nacional de Cibersegurança do gabinete japonês (NCO) publicou nota técnica registrando vários casos confirmados de invasão com roubo maciço de dados pessoais em empresas que tratam grandes volumes de informação. O documento cita exploração de vulnerabilidades em sistemas web, comprometimento via cadeia de suprimentos e gestão de dados frágil como causas recorrentes — um recorte que acompanha de perto o perfil dos incidentes divulgados pelas transportadoras.
As recomendações do NCO são diretas: aplicar correções sem demora, inclusive em servidores internos; exigir autenticação multifator; desativar contas e sistemas sem uso; reduzir o volume de dados retidos e o tempo de guarda; separar permissões de leitura e escrita; e monitorar acessos anômalos e consultas em massa. Para cadeias de suprimento, a nota pede visibilidade contínua sobre contratados — tema que este portal detalhou ao mostrar como avaliar fornecedores críticos com o modelo da CISA. Quem opera em nuvem encontra caminho semelhante ao conter a exfiltração de dados no Google Cloud com controles de perímetro de serviço.
Checklist para equipes defensivas
Para equipes de defesa, o caso sugere uma revisão curta e objetiva, priorizada por impacto:
| Prioridade | Ação | Sinal a verificar |
|---|---|---|
| P1 | Inventariar serviços web que expõem dados de clientes em volume, como rastreamento, portais e APIs de parceiros | Endpoints sem autenticação adequada ou com consultas em massa sem limite de taxa |
| P1 | Definir retenção mínima para dados de contato operacionais e apagar o que exceder o uso | Bases com histórico muito além do período útil ao negócio |
| P2 | Revisar contratos e fluxos com terceiros que acessam dados de entrega | Acessos de parceiros sem log ou com permissão ampla demais |
| P2 | Preparar resposta a fraudes que usem os dados vazados | Domínios e mensagens que imitam a marca após a divulgação do incidente |
Do lado da resposta a incidentes, três perguntas ajudam a dimensionar um caso assim antes de qualquer número definitivo: quais bases alimentam o serviço afetado; por quanto tempo cada base retém registros; e como distinguir registros duplicados de pessoas reais. A própria contabilidade da Sagawa mostra por que essa distinção importa: sem deduplicação, qualquer comunicação de risco superestima o público afetado e infla o custo da resposta.