Para: cualquier persona que haya comprado en la tienda en línea de Abahouse International en Japón (incluidos antiguos miembros) y cualquiera que gestione una tienda en línea. Este artículo se basa en el aviso oficial de la empresa y no describe técnicas de ataque ni de estafa.
En desarrollo: este artículo se actualizará a medida que la organización publique más información
A fecha del 11 de octubre de 2026Aún no se sabe
- Número de personas afectadas
- Alcance de los datos sustraídos
- Detalles de la causa
- Resultados de la investigación externa
En su actualización del 9 de octubre, la empresa dijo que la vía de intrusión había sido cortada y que no se había confirmado más propagación. No dio ninguna cifra ni indicó qué datos se sustrajeron. Afirma que publicará en esta misma página si la investigación encuentra algo nuevo que los clientes deban conocer.
Qué deben hacer hoy los clientes
Comprueba si estás afectado: también se contactó a los antiguos miembros
La empresa afirma que no puede determinar por completo qué se sustrajo, por lo que contactó a los clientes que consideró posiblemente afectados, según el historial de compras y otros registros. Elimina los datos de un miembro un mes después de que se da de baja, pero conserva los registros de pedidos anteriores durante un periodo por motivos legales y contables; afirma que no puede descartar que esos pedidos hayan sido accedidos, por lo que los antiguos miembros recibieron el mismo correo.
Los correos se enviaron el 2 de octubre, con un asunto en japonés que se traduce como «Importante: posible filtración de la información de tu cuenta de miembro por acceso no autorizado». Si lo recibiste, da por hecho que tus datos podrían haberse filtrado y sigue los pasos de abajo.
Si recibes un correo de «reembolso» o de «agotado», revisa Mi cuenta en lugar de usar el enlace
La empresa afirma que se han detectado correos sospechosos que se hacen pasar por Abahouse y citan un «reembolso» o un producto «agotado». Si recibes uno, no uses los enlaces ni los números de teléfono que contiene; abre tú mismo el sitio web oficial y revisa tu historial de pedidos en Mi cuenta, o contacta con el centro de atención al cliente.
Si realmente hay un reembolso o un producto agotado, el historial de pedidos o el centro de atención lo mostrarán. Nunca introduzcas una contraseña, un número de tarjeta o un código de seguridad en una página a la que llegues desde un enlace de correo (cómo reconocer estos casos: ¿Qué es el phishing?).
No respondas a invitaciones de LINE ni a plazos que te presionen
La empresa destaca tres señales de alerta:
- El correo procede de una dirección no relacionada con la empresa, como una cuenta de correo web gratuita
- Pide que te pongas en contacto a través de LINE (una aplicación de mensajería muy utilizada en Japón), por ejemplo mediante una cuenta «oficial de LINE»
- Fija un plazo, como «antes del próximo miércoles», para presionarte a solicitar un reembolso
Si se cumple cualquiera de ellas, no respondas y no añadas la cuenta de LINE.
Cambia la contraseña de tu AMC y deja de reutilizarla
Como precaución, la empresa recomienda cambiar la contraseña de acceso a tu AMC (Club de Miembros Abahouse).
Si usas la misma contraseña en otros servicios, cámbiala también. Un gestor de contraseñas es la forma realista de mantener una contraseña distinta para cada servicio.
Revisa los extractos de tu tarjeta
Los números de tarjeta no se almacenan en los sistemas de la empresa, y no se ha confirmado su filtración. Aun así, la empresa pide a los clientes que revisen sus extractos por si hay cargos que no reconozcan. Esto también cubre el caso de que alguien haya introducido datos de su tarjeta tras ser engañado por un correo falso.
Si hiciste clic, introdujiste datos o enviaste dinero, pide ayuda de inmediato
La empresa afirma que, si abriste un enlace de un correo sospechoso o sufriste una pérdida, debes contactar de inmediato con tu emisor de tarjeta o con tu banco.
En Japón también puedes llamar a la línea de consulta policial (#9110) o a la línea directa de consumo (188). Cuanto antes lo denuncies, mayor es la posibilidad de detener un pago.
Qué ocurrió (según el aviso de Abahouse International)
El 2 de octubre de 2026, Abahouse International Co., Ltd. publicó en su sitio corporativo y en su tienda en línea un aviso de disculpa e informe sobre una posible filtración de datos personales por acceso no autorizado, y el 9 de octubre publicó una actualización. Todo lo que aparece a continuación figura tal como lo indica la empresa en sus avisos.
Final del 27 – 28 de septiembre de 2026
Periodo durante el cual se cree que tuvo lugar un acceso no autorizado por parte de un tercero en el extranjero (según la empresa).28 de septiembre
Varios clientes denunciaron haber recibido correos sospechosos de reembolso que coincidían con los datos de sus pedidos. La empresa inició una investigación interna.Investigación
Se encontraron rastros de acceso no autorizado a parte de los datos de miembros y de pedidos. La empresa afirma que la vía que identificó ha sido cortada.2 de octubre
La empresa envió un correo a las personas que consideró posiblemente afectadas (incluidos antiguos miembros), publicó el aviso e informó a la Comisión de Protección de Información Personal.4 de octubre
Se revisó la sección «quién está afectado» del primer aviso: de la redacción original, que decía que todos los clientes podían estar afectados, a una que indica que la empresa contactó a los clientes que consideró posiblemente afectados según el historial de compras y otros registros, con una explicación adicional sobre los antiguos miembros.9 de octubre
La empresa publicó una actualización: la vía de intrusión había sido cortada sin que se confirmara más propagación, había presentado un informe de daños ante la policía y no había recibido denuncias de pérdidas económicas.
- Quiénes
- Clientes que la empresa consideró posiblemente afectados según su historial de compras y otros registros (correo enviado el 2 de octubre). Para los antiguos miembros, los datos de miembro se eliminan un mes después de la baja, pero la empresa afirma que no puede descartar que los registros de pedidos anteriores que conserva durante un periodo hayan sido accedidos
- Datos
- ID de miembro, nombre, dirección, número de teléfono, correo electrónico, fecha de nacimiento, sexo, información de pedidos (fecha y hora del pedido, nombres de productos, importes, direcciones de entrega, etc.)
- Cifra
- No anunciada (no se ha identificado el alcance de los datos sustraídos)
- Tarjetas de crédito
- Los números de tarjeta y los códigos de seguridad los gestiona un procesador de pagos (empresa que gestiona los pagos con tarjeta en nombre de la tienda). No se ha confirmado ninguna filtración
- Causa
- Se cree que fue un acceso no autorizado de un tercero en el extranjero. Un inicio de sesión no autorizado en un sistema interno, seguido del aprovechamiento de fallos del sistema para colocar y ejecutar un programa malicioso que accedió a la base de datos
- Daño secundario
- Se han detectado correos sospechosos que se hacen pasar por la empresa y citan un «reembolso» o un producto «agotado»
- Medidas
- Suspensión de las cuentas en las que se detectó acceso no autorizado, cambio de contraseñas de los sistemas relacionados, corte de la vía de intrusión; restricciones de acceso y autenticación reforzada para los sistemas de administración de la tienda en línea; registro y supervisión más estrictos de los inicios de sesión (actualización del 9 de octubre)
- Pérdidas económicas
- A fecha del 9 de octubre, no se han recibido denuncias
- Notificado a
- Comisión de Protección de Información Personal (autoridad japonesa de protección de datos); informe de daños presentado ante la policía (actualización del 9 de octubre)
- Contacto
- Centro de atención al cliente de la empresa: número gratuito 0120-597-537 (días laborables de 10:00 a 17:00, hora de Japón) o el formulario en abahouse.jp/contact (indicados en la actualización del 9 de octubre; usa estos datos, no los del correo)
La base de datos de la empresa (datos de miembros y pedidos de la tienda en línea)
Acceso no autorizado que se cree ocurrió entre finales del 27 y el 28 de septiembre. Los registros de pedidos anteriores de los antiguos miembros se conservaron durante un periodo
↓ Datos que podrían haberse filtrado
Datos de miembro
ID de miembro, nombre, dirección, número de teléfono, correo electrónico, fecha de nacimiento, sexo
Datos de pedidos
Fecha y hora del pedido, nombres de productos, importes, direcciones de entrega
↓ Llegan correos falsos que citan pedidos reales
Correos que citan un «reembolso» o un producto «agotado»
Enviados desde una dirección no relacionada, te empujan a una «cuenta oficial de LINE» y fijan un plazo para presionarte
↓ No uses los enlaces ni los números de teléfono
Abre tú mismo el sitio web oficial y revisa tu historial de pedidos en Mi cuenta
Un reembolso real o un producto realmente agotado aparecerá allí o en el centro de atención
Lo inusual aquí: los correos falsos llegaron antes de que se conociera la brecha
En muchas brechas, los mensajes fraudulentos que aprovechan el incidente aumentan después de que la empresa lo anuncia. Aquí el orden fue el contrario: la recepción de correos falsos de reembolso fue lo que permitió descubrir la brecha.
Dicho de otro modo, ya se estaban enviando mensajes que usaban los datos de pedidos filtrados antes del anuncio del 2 de octubre. Ten cuidado también con los correos recibidos antes de esa fecha.
Por qué un correo que coincide con tu pedido puede seguir siendo falso
Mucha gente ha supuesto que, si un correo muestra el nombre del producto y el importe correctos, debe proceder de la tienda. El razonamiento era que solo la tienda sabe qué pediste.
Ese razonamiento no se sostiene aquí. Las fechas de pedido, los nombres de productos, los importes y las direcciones de entrega podrían haberse filtrado, por lo que un correo falso puede citar tu pedido real. La propia empresa advierte de que un correo puede ser falso aunque contenga información que coincida con tu pedido real.
No es prueba de que el correo sea auténtico
- La fecha del pedido, el nombre del producto y el importe son correctos
- Aparecen tu nombre, tu dirección y tu número de teléfono
- Lleva el nombre y el logotipo de la tienda
Cosas que puedes comprobar por ti mismo
- Si tu historial de pedidos en Mi cuenta muestra un reembolso o un producto agotado
- Si el centro de atención, al que llegas desde el sitio oficial, dice lo mismo
- Si la dirección del remitente pertenece realmente a la empresa
Las estafas que usan un reembolso o un producto agotado para llevar a las personas a LINE ya se conocían antes de este incidente. En julio de 2024, el Centro Nacional de Asuntos del Consumidor de Japón advirtió sobre mensajes que empiezan con «su artículo está agotado, así que le reembolsaremos», pasan la conversación a LINE y, después, con el nombre de un trámite de reembolso, consiguen que el cliente envíe dinero.
Recibir un reembolso normalmente no requiere que operes una aplicación ni tu cuenta bancaria. Si un «reembolso» deriva en peticiones de tus datos bancarios o en instrucciones para usar una aplicación de pagos, deja de responder en ese punto.
Qué se sabe y qué no
Basado en los anuncios de la empresa a fecha del 11 de octubre de 2026 (el primer aviso tal como se revisó el 4 de octubre, y la actualización del 9 de octubre). Actualizaremos la columna de estado a medida que se publiquen nuevas informaciones.
| Elemento | Lo que dice la empresa | Estado |
|---|---|---|
| Acceso no autorizado | Se encontraron rastros de acceso a parte de los datos de miembros y de pedidos | Confirmado |
| Cuándo ocurrió | Se cree que entre finales del 27 y el 28 de septiembre, por un tercero en el extranjero | Estimado |
| Datos implicados | ID de miembro, nombre, dirección, teléfono, correo electrónico, fecha de nacimiento, sexo, detalles de pedidos | Posible |
| Quién está afectado | Los clientes que se consideró posiblemente afectados según su historial de compras fueron contactados individualmente; en el caso de los antiguos miembros, la empresa no puede descartar que se hayan accedido registros de pedidos anteriores | Posible |
| Cambio en el primer aviso | El 4 de octubre se revisó la sección «quién está afectado» (originalmente: todos los clientes podían estar afectados). No se explica el motivo del cambio | No indicado |
| Números de tarjeta y códigos de seguridad | No se almacenan en los sistemas de la empresa; no se ha confirmado su filtración | No confirmado |
| Cifra y alcance de los datos sustraídos | No indicados; en investigación con especialistas externos | En investigación |
| Causa | Un inicio de sesión no autorizado permitió colocar y ejecutar un programa malicioso; detalles en investigación | Parcialmente divulgada |
| Propagación posterior | Vía de intrusión cortada; no se ha confirmado más propagación | Confirmado |
| Pérdidas económicas | No se han recibido denuncias (a fecha del 9 de octubre) | No confirmado |
| Policía y regulador | Comisión notificada; informe de daños presentado ante la policía | Confirmado |
Para quienes gestionan tiendas en línea
La causa que indicó la empresa es un inicio de sesión no autorizado en un sistema interno y el aprovechamiento de fallos de ese sistema. En su actualización del 9 de octubre, la empresa afirma que ha restringido el acceso a los sistemas de administración de la tienda en línea, ha reforzado su autenticación y ha restablecido las contraseñas de los usuarios administradores. No se han publicado los detalles de la causa, por lo que esta sección se limita a puntos que conviene revisar en cualquier tienda que maneje el mismo tipo de datos.
Decide cuánto tiempo conservar los datos de pedidos de los antiguos miembros
En este incidente, la empresa eliminó los datos de un miembro un mes después de su baja, pero conservó los registros de pedidos anteriores durante un periodo por motivos legales y contables, y afirma que no puede descartar que esos pedidos hayan sido accedidos. Algunos registros sí deben conservarse por obligaciones legales o contables.
Aun así, define un periodo de conservación para cada tipo de dato y, cuando expire, elimínalo automáticamente o borra los nombres y los datos de contacto para que solo queden las cifras necesarias para informes. La eliminación manual no es sostenible.
Exige autenticación multifactor para los inicios de sesión de administración
Según el aviso, la intrusión comenzó con un inicio de sesión no autorizado en un sistema interno. Los paneles de administración, el acceso remoto y las cuentas de administración en la nube que puedan llegar a la base de datos de clientes deberían exigir una comprobación adicional a la contraseña (autenticación multifactor). Consulta Cómo elegir la autenticación multifactor.
Trata los avisos de «he recibido un correo sospechoso» como una señal para investigar
Esta brecha se descubrió a partir de consultas de clientes. Si tu servicio de atención recibe varias denuncias de correos sospechosos que citan datos reales de pedidos, no te limites a responder con una advertencia de estafa; establece una ruta definida para trasladar esos casos a quienes gestionan tus sistemas.
Para reducir los correos falsos que usan tu propio dominio, consulta Suplantación de correo y SPF, DKIM, DMARC.
Para otro caso de tienda en línea, consulta el incidente de datos de tarjetas de la tienda en línea APORITO (RIZAP); para un caso en el que los mensajes falsos de reembolso fueron el principal riesgo, consulta la brecha de Trenitalia.
Fuentes (registro público)
Los hechos de este artículo proceden de las fuentes públicas siguientes. No se especula sobre los detalles no divulgados de la intrusión ni sobre el número de afectados.
- Abahouse International Co., Ltd., aviso de disculpa e informe sobre una posible filtración de datos personales por acceso no autorizado (publicado el 2 de octubre de 2026, revisado el 4 de octubre; en japonés) — abahouse.co.jp (versión de la tienda en línea: abahouse.jp)
- Abahouse International Co., Ltd., informe de seguimiento sobre la filtración de datos personales por acceso no autorizado (9 de octubre de 2026, en japonés) — abahouse.co.jp
- Centro Nacional de Asuntos del Consumidor de Japón, advertencia sobre estafas de «reembolso a través de aplicación de pagos» (31 de julio de 2024, en japonés) — kokusen.go.jp
Historial de actualizaciones
2026-10-11: Se actualizó «quién está afectado» para reflejar el primer aviso tal como lo revisó la empresa el 4 de octubre. La redacción original decía que todos los clientes podían estar afectados; el aviso revisado dice que la empresa contactó a los clientes que consideró posiblemente afectados según su historial de compras y otros registros. En cuanto a los antiguos miembros, ahora seguimos la explicación de la empresa de que no puede descartar que se hayan accedido registros de pedidos anteriores (los datos de miembro se eliminan un mes después de la baja). Se añadió que se cree que el acceso lo realizó un tercero en el extranjero, se añadieron el número de teléfono y el formulario del centro de atención, y se eliminó un enlace de fuente que ya no funciona.
2026-10-10: Se incorporó la actualización de la empresa del 9 de octubre: vía de intrusión cortada sin más propagación, medidas adicionales, informe de daños presentado ante la policía y ausencia de denuncias de pérdidas económicas. Se añadieron el recuadro de estado y la tabla de «qué se sabe y qué no». La cifra y el alcance de los datos sustraídos siguen sin divulgarse.
2026-10-03: Primera versión, basada en el aviso de Abahouse International del 2 de octubre. Se actualizará cuando se publiquen la cifra o los resultados de la investigación.
Lectura recomendada
- Relacionado: Brecha de and ST HD (unos 2,5 millones de registros de clientes)
- Un caso similar: La brecha de la aplicación Yakiniku King (unos 10,79 millones de registros) / La brecha de las tiendas en línea de FANCL y Attenir
- Estafas derivadas: ¿Qué es el phishing? / Falsas alertas de virus (estafas de soporte técnico)
- Mensajes falsos de reembolso y compensación: Trenitalia (Italia, reembolsos por retrasos) / TVING (Corea del Sur, compensación) / Booking.com (datos de reservas)
- Contraseñas: Cómo elegir un gestor de contraseñas / Cómo elegir la autenticación multifactor
- Otros casos japoneses del mismo periodo: La brecha de Times Car / Tienda en línea APORITO (RIZAP)
- Otros incidentes de 2026: lista de brechas y ciberataques (Japón y en el mundo)