Para: miembros (miembros completos) de la app de comercio electrónico de Aena Co., Ltd. Este artículo se basa en los avisos oficiales de Aena y no trata técnicas de ataque. Aena se describe en su sitio como una de las mayores cadenas de tiendas de descuento de Japón.
En desarrollo: este artículo se actualizará a medida que la organización publique más información
A fecha del 30 de octubre de 2026Aún no se sabe
- Detalles de la causa y la vía
- Si los datos fueron realmente extraídos
- Lista definitiva de personas afectadas
- Si se produce algún daño secundario
- Si habrá compensación
En su aviso del 20 de octubre la empresa dice que refuerza su seguridad de la información y revisa sus sistemas de supervisión. No da un calendario para más anuncios. Consultamos su lista de noticias el 30 de octubre y no encontramos ningún anuncio sobre este incidente posterior al aviso de "reanudación del servicio" del 20 de octubre.
Qué deben hacer hoy los miembros
Averigüe si podría estar incluido
Las personas cuyos datos pueden haberse consultado son miembros completos de la app de comercio electrónico, hasta 817.215. No están afectados los miembros de LINE ni los clientes que usaron Amazon, Rakuten y sitios similares. La empresa dice que avisa a los miembros que pueden estar afectados por correo individual, por fases.
Si tuvo una membresía en la app de comercio electrónico, dé por hecho que puede estar incluido, haya recibido o no un correo, y siga con los pasos siguientes.
Restablezca la contraseña de la app
Según el aviso de la empresa del 20 de octubre, aparece una pantalla de restablecimiento de contraseña al primer inicio tras reanudarse el servicio; sígala y establezca una nueva contraseña. También puede cambiarla en cualquier momento: "Tarjeta de miembro", luego "Comprobar/cambiar datos de miembro", luego "Cambiar datos de miembro".
La empresa dice que no se consultó ni se filtró ninguna contraseña. Aun así, si usó la misma contraseña en otro servicio, cámbiela también allí (cómo comprobar si su contraseña se filtró / cómo elegir un gestor de contraseñas). Active la verificación en dos pasos donde esté disponible (recomendación de este sitio).
No use los enlaces ni los números de mensajes de entrega o de pedido
La empresa dice que nunca pide contraseñas ni datos de tarjetas por correo, SMS o teléfono.
Esta vez, el nombre, la dirección, el teléfono y el correo electrónico pueden combinarse con datos de entrega y los últimos 4 dígitos de una tarjeta. Eso basta para montar un mensaje convincente como "no pudimos entregar su paquete", "confirme su pedido" o "vuelva a registrar su tarjeta". Si recibe uno, no use los enlaces ni los teléfonos que contenga; compruébelo en el sitio oficial que abra usted mismo o en la app (¿qué es el phishing?).
Revise los extractos de sus tarjetas
En cuanto a las tarjetas, pueden haberse consultado los últimos 4 dígitos, la fecha de caducidad y el nombre del titular. La empresa dice que no conserva números completos ni códigos de seguridad, y que confirmó que no se completó ninguna compra. Como precaución general, revise los extractos de sus tarjetas por si hay cargos que no reconozca y contacte con su emisor si algo parece incorrecto. Pregunte al emisor si hace falta una tarjeta de sustitución.
Tenga en cuenta que pueden estar incluidos terceros que registró
Los datos que pueden haberse consultado incluyen direcciones de entrega, nombres y teléfonos, y el aviso dice que esto incluye a destinatarios terceros. Si registró a un familiar o amigo, por ejemplo para un regalo, sus datos pueden estar incluidos. Si hace falta, avíseles de que tengan cuidado con los mensajes inesperados.
Línea de contacto y baja
La empresa indica una línea de atención al cliente (gratuita 0120-532-565, de 10:00 a 17:00 hora de Japón, salvo fines de semana y festivos; aviso del 14 de octubre). El 16 de octubre su lista de noticias muestra además una página específica para darse de baja de la membresía de la app de comercio electrónico. Siga el sitio oficial de la empresa si quiere darse de baja.
1. Mensaje de entrega, pedido o tarjeta que dice ser de Aena
El nombre, la dirección y los datos de entrega son correctos → no decida aquí
↓
2. No use sus enlaces ni números: abra usted mismo el sitio oficial o la app
Línea de atención al cliente 0120-532-565 (días laborables de 10:00 a 17:00)
↓
3a. Una petición que no puede confirmar
Introducir una contraseña o un número de tarjeta, o abrir un adjunto → no responda
3b. El sitio oficial o la app dan las mismas indicaciones
Siga las indicaciones oficiales
Qué pasó (según Aena)
Lo siguiente se basa en tres avisos de la empresa: el del 14 de octubre ("Possible leak of customer information due to unauthorized external access"), el del 16 de octubre ("Notice about the planned resumption of the EC app service") y el del 20 de octubre ("Notice of EC app service resumption").
13 de octubre de 2026 (martes), 5:58
El análisis de registros detectó que la Mi Página de los miembros se había consultado sin autorización14 de octubre (miércoles)
Anuncio. Hasta 817.215 miembros pueden tener datos consultados. En el momento del aviso, el acceso al sitio de comercio electrónico estaba bloqueado y se estaban preparando medidas para evitar que se repita. Se avisaba por fases, por correo individual, a los miembros que pueden estar afectados16 de octubre (viernes)
Anunció una reanudación prevista para "el lunes 19 de octubre de 2026, por la tarde", con una hora que podía cambiar según el avance de los trabajos19 de octubre (lunes), mediodía
Se reanudó el servicio de la app de comercio electrónico (según el aviso del 20 de octubre). Al primer inicio tras la reanudación aparece una pantalla de restablecimiento de contraseña
- Datos del miembro
- Nombre, dirección, teléfono, correo electrónico, fecha de nacimiento, género, ocupación
- Datos de entrega
- Dirección de entrega registrada, nombre y teléfono (incluidos destinatarios terceros)
- Ajustes
- Tienda favorita, ajustes de envío de correo
- Tarjeta de crédito (parcial)
- Últimos 4 dígitos, fecha de caducidad y nombre del titular de las tarjetas de crédito registradas
- No incluidos (empresa)
- Números de tarjeta completos y códigos de seguridad (no los conserva); las contraseñas no se consultaron ni se filtraron. Confirmó que no hubo cambios en los datos de miembro, bajas ni compras completadas
- No afectados (empresa)
- Miembros de LINE; clientes que usaron Amazon, Rakuten y sitios similares
- Contacto
- Línea de atención al cliente 0120-532-565 (de 10:00 a 17:00 hora de Japón, salvo fines de semana y festivos)
Qué se sabe y qué no
Situación a fecha del 30 de octubre de 2026. Actualizaremos esta tabla a medida que la empresa publique más información.
| Elemento | Qué dice el aviso | Estado |
|---|---|---|
| Se produjo un acceso no autorizado | Detectado por análisis de registros a las 5:58 del 13 de oct. | Confirmado (empresa) |
| Miembros cuyos datos pueden haberse consultado | Hasta 817.215 (miembros completos) | Posible (empresa) |
| Nombre, dirección, teléfono, correo, fecha de nacimiento, género, ocupación | Pueden haberse consultado | Posible (empresa) |
| Dirección de entrega, nombre y teléfono | Incluidos destinatarios terceros; pueden haberse consultado | Posible (empresa) |
| Tienda favorita y ajustes de correo | Pueden haberse consultado | Posible (empresa) |
| Últimos 4 dígitos de la tarjeta, fecha de caducidad, nombre del titular | Pueden haberse consultado | Posible (empresa) |
| Número de tarjeta completo y código de seguridad | No los conserva; no se consultaron ni se filtraron | No incluidos (empresa) |
| Contraseñas | No se consultaron ni se filtraron | No incluidas (empresa) |
| Cambios en los datos de miembro, bajas, compras completadas | Confirmado que no se produjeron | No confirmados (empresa) |
| Miembros de LINE; compradores de Amazon y Rakuten | No afectados | No incluidos (empresa) |
| Si los datos fueron realmente extraídos | Solo "pueden haberse consultado" | No se indica |
| Uso indebido | La empresa dice que no se había confirmado ningún uso indebido de datos de miembros ni daño secundario derivado de este incidente (a fecha del 14 de octubre); advierte de phishing y suplantación | No confirmado (empresa) |
| Causa | "Acceso continuo de tipo mecánico realizado mediante acceso no autorizado"; detalles en investigación | En investigación |
| Compensación | No se indica | No se indica |
Nota: la cifra es un máximo de personas y es una posibilidad de consulta, no un robo confirmado
817.215 es el número máximo de miembros cuyos datos pueden haberse consultado. El aviso no dice cuántos se consultaron realmente ni si se extrajo algún dato. El aviso del 16 de octubre preveía la reanudación para "el lunes 19 de octubre, por la tarde", mientras que el del 20 de octubre la da como "el lunes 19 de octubre, al mediodía". (El aviso dice también que el servicio se reanudó "hoy", por lo que su redacción de la fecha y la hora no es del todo coherente.) Este sitio sigue el aviso del 20 de octubre para la hora de reanudación.
Para qué podría usarse la combinación de datos
Lo siguiente es lo que puede ocurrir en general con esta combinación de datos. La empresa no ha anunciado que nada de ello haya ocurrido en este incidente.
- Nombre + dirección + teléfono + correo electrónico: correos y SMS falsos con un nombre y datos de contacto que parecen reales. Un aviso de fallo de entrega de un paquete o una confirmación de pedido es una forma típica
- Datos de entrega (incluidos terceros): los mensajes pueden llegar no solo al miembro, sino también a las personas a las que envió regalos. Esas personas no tienen relación con Aena, así que tienen menos motivos para dudar de un mensaje, y un tono urgente puede pillarlas desprevenidas
- Últimos 4 dígitos de la tarjeta, fecha de caducidad, nombre del titular: material que hace que un mensaje de "confirme el número de su tarjeta" parezca real. Con esto solo no se puede hacer un pago, pero un mensaje puede intentar sonsacarle el resto
- Fecha de nacimiento: útil para un mensaje de verificación de identidad que parezca que solo usted sabría la respuesta
Gran parte de esto se evita no usando los enlaces ni los números de un mensaje y comprobándolo en un sitio oficial o en la app que abra usted mismo. Consulte las noticias de la empresa para ver novedades.
Qué deben revisar los operadores
Los detalles de la causa no se han revelado, así que esta sección trata solo lo que puede decirse a partir del curso de los hechos publicado.
- Cómo se detectó: la empresa dice que el análisis de registros reveló la consulta. Funcionó porque se conservaban los registros. Compruebe durante cuánto tiempo se conservan los registros y qué hay dispuesto para revisarlos.
- Margen para el "acceso continuo de tipo mecánico": la causa indicada es un acceso continuo de tipo mecánico. En general, un patrón que consulta las pantallas de muchos miembros en rápida sucesión a veces puede detenerse con límites de frecuencia o con la detección de accesos inusuales. La vía aquí no se ha revelado, por lo que esto no se afirma como causa de este incidente.
- Conservar datos de terceros: un diseño que guarda nombres, direcciones y teléfonos de terceros en Mi Página extiende el impacto de una consulta más allá de los miembros. Puede plantearse mostrar menos campos o enmascarar parte de ellos.
- Rapidez de respuesta: la empresa lo anunció al día siguiente de detectarlo, y en el momento del anuncio el acceso al sitio de comercio electrónico estaba bloqueado. También invita a los miembros a establecer una nueva contraseña al primer inicio tras la reanudación. Eso es lo que muestra el curso de los hechos publicado.
Fuentes (registros públicos)
Los hechos de este artículo se basan en la siguiente información pública. No hemos conjeturado los detalles de la causa, si se extrajeron datos ni la compensación, que no se han anunciado.
- Aena Co., Ltd., "Possible leak of customer information due to unauthorized external access" (en japonés, 14 de octubre de 2026) — aena.co.jp
- Aena Co., Ltd., "Notice about the planned resumption of the EC app service" (en japonés, 16 de octubre) — aena.co.jp
- Aena Co., Ltd., "Notice of EC app service resumption" (en japonés, 20 de octubre) — aena.co.jp
- Aena Co., Ltd., lista de noticias (en japonés, consultada el 30 de octubre) — aena.co.jp/news
Historial de actualizaciones
2026-10-30: Primera versión, basada en los avisos de Aena del 14, 16 y 20 de octubre y en su lista de noticias (consultada el 30 de octubre; no se encontró nada más reciente sobre este incidente que el 20 de octubre). Actualizaremos cuando se anuncien los detalles de la causa, si se extrajeron datos o la compensación.
Lectura recomendada
- Un caso minorista japonés del mismo periodo: MrMax (nombres, correos y teléfonos de miembros) / la filtración de la app de Toypo
- Un caso similar (datos de miembros de un proveedor de internet): acceso no autorizado a la base de datos de miembros de So-net
- Estafas derivadas: ¿Qué es el phishing? / Fundamentos de seguridad en el smartphone
- Proteja sus cuentas: Cómo comprobar si su contraseña se filtró / Cómo elegir un gestor de contraseñas / Cómo elegir la autenticación multifactor
- Otros incidentes de 2026: Filtraciones de datos y ciberataques en 2026 (Japón y en el mundo)