91APP amplia vazamento para 4.798.255 consumidores em 1.329 marcas
A taiwanesa 91APP, provedora de software de varejo, disse em atualização de 29 de outubro que invasores acessaram um banco de dados de pedidos do seu Commerce Cloud. Sem conseguir determinar quais dados foram de fato levados, a empresa divulga o escopo máximo: até 1.329 marcas e 4.798.255 consumidores, com pedidos feitos entre 4 de abril de 2025 e 14 de outubro de 2026. Nomes, telefones, endereços de entrega, e-mails e registros de pedidos podem ter sido expostos, sem senhas nem dados de pagamento, e a empresa reconhece que consumidores já recebem mensagens de golpe; notificações começam em 2 de novembro.
O que aconteceu
A 91APP, provedora taiwanesa de software de varejo, confirmou que invasores acessaram um banco de dados de pedidos do seu Commerce Cloud. Em atualização de 29 de outubro, a empresa ampliou o escopo potencial do vazamento para até 1.329 marcas e 4.798.255 consumidores. A MUJI Taiwan confirmou que pedidos da sua loja online estavam no banco.
Por que importa
Dados de clientes de centenas de marcas que usam a plataforma ficaram potencialmente expostos: nomes, telefones, endereços de entrega, e-mails e registros de pedidos. A própria 91APP reconhece que consumidores já recebem mensagens de golpe, então é provável phishing que cita dados reais de pedidos.
O que fazer
Avisar clientes sobre o risco de golpes, dizer que a 91APP não pede dados por mensagem e orientar a não clicar em links de SMS ou e-mail sobre pedidos. Acompanhar as notificações oficiais, que começam em 2 de novembro, e revisar a resposta a incidentes com fornecedores de e-commerce.
Para o time técnico
- Afetados
- 91APP, provedora taiwanesa de software de varejo; banco de dados de pedidos do Commerce Cloud com dados de até 1.329 mar · 91APP Commerce Cloud, banco de dados de pedidos: pedidos online feitos entre 4 de abril de 2025 e 14 de outubro de 2026, de até 1.329 marcas e 4.798.255 consumidores.
- Exploração
- Vazamento de dados, não vulnerabilidade. A 91APP reconhece que consumidores já recebem mensagens de golpe citando dados de pedidos. Segundo o DailyDarkWeb, os números são escopo de notificação, não contagem confirmada de registros roubados.
- Correção
- Sem correção aplicável (vazamento de dados). A 91APP diz que o ataque foi bloqueado em 14 de outubro; notificações por e-mail e SMS previstas a partir de 2 de novembro, sujeitas a autorização das marcas.
- Vetor
- Invasores acessaram um banco de dados de pedidos do 91APP Commerce Cloud; a fonte não descreve o vetor técnico de entrada.
- Mais detalhes
- Linha do tempo segundo a 91APP (código de bolsa 6741): intrusão em 3 de outubro, primeiro relato de marca em 4 de outubro, ataque bloqueado em 14 de outubro, divulgação inicial em 16 de outubro e atualização de escopo em 29 de outubro. Dados potencialmente expostos: nomes, telefones, endereços de entrega, e-mails (quando fornecidos) e registros de pedidos; sem senhas nem dados de cartão ou pagamento. MUJI Taiwan confirmou pedidos da loja online no banco. O DailyDarkWeb nota que o caso é separado da divulgação do app da MUJI no Japão.
Linha do tempo
Atualização da 91APP amplia o escopo potencial do vazamento para 4,8 milhões de consumidores em 1.329 marcas.
Fontes 1 fonte
- @DailyDarkWeb @DailyDarkWeb
