Dirigido a: clientes de las tiendas and ST o de la tienda web and ST en Japón, personal de empresas que hacen negocios con el grupo y cualquier persona que maneje datos de clientes. Este artículo se basa en el aviso oficial de la empresa y no trata técnicas de ataque ni de estafa.
En desarrollo: este artículo se actualizará a medida que la organización publique más información
A 24 de octubre de 2026Aún no se sabe
- Alcance de los datos de empleados
- Método de acceso
- Cómo y cuándo se contactará a cada persona
- Servicio de consultas específico
- Cuándo se podrán usar de nuevo los puntos de socio
En su aviso del 23 de octubre, la empresa dice que empezará a contactar uno a uno a los clientes y socios afectados y que habilitará un servicio de consultas. Dice que informará con prontitud si una investigación posterior descubre algo nuevo que deba comunicarse. Cuando revisamos la lista de avisos de la empresa el 24 de octubre, no se había publicado ningún seguimiento.
Qué deben hacer hoy los miembros
Compruebe cualquier aviso de la empresa en la app oficial, no mediante sus enlaces
La empresa dice que empezará a contactar uno a uno a los clientes afectados. A 24 de octubre, el aviso no indica si será por correo electrónico, app o correo postal.
Si recibe algo que parece venir de la empresa, no abra sus enlaces. Compruebe si la misma información aparece en la app oficial o en el sitio web oficial abierto desde un marcador o una búsqueda.
No confíe en un mensaje solo porque su marca, dirección o fecha de nacimiento sean correctas
Los datos que pudieron filtrarse incluyen nombre, dirección, teléfono y correo electrónico, además de fecha de nacimiento e ID de socio. Un mensaje falso puede mostrar su dirección y fecha de nacimiento reales.
Si un mensaje sobre una «disculpa», un «reembolso» o la «confirmación de los datos de socio» pide números de tarjeta, datos bancarios o credenciales de acceso, deténgase (cómo reconocerlos: ¿Qué es el phishing?).
Tenga cuidado con los mensajes sobre «compensación» o «caducidad» de puntos
Según la empresa, actualmente los puntos de socio no pueden usarse en tiendas ni en la tienda web. Situaciones como esta suelen usarse como excusa para mensajes falsos del tipo «compensaremos sus puntos» o «sus puntos están a punto de caducar».
Consulte sus puntos en la app oficial o en Mi página del sitio web oficial. La página de soporte de la empresa dice que durante el mantenimiento Mi página puede no abrirse y los saldos de puntos pueden mostrarse de forma incorrecta; aunque algo parezca raro, no intente comprobarlo mediante un enlace de un correo o mensaje de texto.
Se indica que las contraseñas no están incluidas; solo deje de reutilizarlas
La empresa dice que las contraseñas fijadas por los clientes no figuran entre los datos que pudieron filtrarse y no pide a los clientes que las cambien.
Sin embargo, sí se incluyen los ID de socio y los correos electrónicos. Si usa la misma contraseña en otros sitios, dé ahora a cada servicio la suya, para que una filtración en otro lugar no pueda reutilizarse aquí. Un gestor de contraseñas es la forma práctica de hacerlo.
No responda a «verificaciones de identidad» por teléfono
Con una fecha de nacimiento, una dirección y un teléfono, quien llame puede hacerse pasar por la empresa para «confirmar su identidad» e intentar obtener el resto, como números de tarjeta o PIN.
Aunque quien llame diga ser de la empresa, no responda en el momento. Cuelgue y contacte usted mismo con el servicio indicado en el sitio web oficial.
Si introdujo datos o pagó, pida ayuda de inmediato
Si un mensaje falso le llevó a introducir datos de tarjeta o bancarios, contacte de inmediato con el emisor de su tarjeta o con su banco.
En Japón también puede llamar a la línea de consultas de la policía (#9110) o a la línea del consumidor (188). Cuanto antes lo comunique, más posibilidades hay de detener un pago.
Qué deben hacer los socios comerciales
Pudieron filtrarse unos 10.000 registros de socios comerciales, con nombre de la empresa, direcciones de pedidos y devoluciones, nombre de la persona de contacto, teléfono y correo electrónico. En conjunto, estos datos facilitan redactar un correo que finja venir de un socio comercial.
- Si un correo a nombre de la empresa o de su grupo le pide cambiar datos bancarios o pagar con urgencia, confirme con la persona por un número de teléfono que ya conozca
- No use el teléfono ni la dirección de respuesta del correo para comprobarlo
- Antes de abrir adjuntos o enlaces desconocidos sobre pedidos o devoluciones, consulte con su contacto de TI
Qué ocurrió (según el aviso de and ST HD)
El 23 de octubre de 2026, and ST HD Co., Ltd. (una sociedad de cartera cuyo grupo incluye a Adastria) publicó en su sitio corporativo un aviso de disculpa por un acceso no autorizado a sus servidores de negocio y una posible filtración de datos personales y de otro tipo. Todo lo que sigue es lo indicado en el aviso de la empresa. Las horas son de Japón.
22 oct 2026, hacia las 7:30
Acceso no autorizado desde el exterior: se realizaron, uno tras otro, intentos de inicio de sesión, intrusión y extracción de datos contra varios servidores de la empresa.Hacia las 10:00
La empresa detectó la actividad no autorizada y aisló los servidores implicados.Antes de las 17:00
Se cortó la vía de acceso y se detuvieron los sistemas internos de negocio, entre otras medidas. La empresa confirmó que la vía ya no podía usarse tras cortarla.23 oct
La empresa consultó a la policía, informó a la Comisión de Protección de Información Personal, publicó el aviso y dijo que empezaría a contactar uno a uno a los afectados.
- Clientes
- Unos 2,5 millones de registros. Nombre, fecha de nacimiento, sexo, dirección, número de teléfono, correo electrónico, ID de socio
- Socios comerciales
- Unos 10.000 registros. Nombre de la empresa, direcciones de pedidos y devoluciones, nombre de la persona de contacto, teléfono, correo electrónico
- Empleados
- Alcance aún en confirmación
- No incluidos
- Datos de pago como los de tarjetas de crédito, y contraseñas fijadas por los propios clientes
- Secuencia
- Desde aproximadamente las 7:30 del 22 de octubre, intentos de inicio de sesión, intrusión y extracción de datos contra varios servidores, uno tras otro. Detectado y aislado hacia las 10:00; vía cortada antes de las 17:00
- Tienda web
- La tienda web and ST no se vio afectada por el acceso no autorizado. Sin embargo, actualmente los puntos de socio no pueden usarse en tiendas ni en la tienda web
- Respuesta
- Medidas de emergencia adoptadas; método de acceso identificado y atendido. Se contactará uno a uno a los clientes y socios afectados; se habilitará un servicio de consultas
- Comunicado a
- Policía consultada; Comisión de Protección de Información Personal (autoridad de protección de datos de Japón) notificada (23 de octubre)
- Contacto
- El formulario de consultas de clientes indicado en el aviso: support.dot-st.com (use este o el sitio web oficial, no los datos de contacto de un correo o mensaje de texto)
El sitio de soporte de and ST dice que el «mantenimiento del sistema» está en curso desde aproximadamente las 17:00 del 22 de octubre, y enumera efectos como: no se pueden hacer pedidos con puntos, los saldos de puntos pueden no mostrarse correctamente, Mi página puede no abrirse, los servicios de recogida en tienda y de probador están suspendidos, y la vinculación con d Account o Rakuten ID puede no funcionar (revisado el 24 de octubre). Esa página no menciona el acceso no autorizado.
Los servidores de negocio de la empresa
Acceso no autorizado desde aproximadamente las 7:30 del 22 oct; detectado y aislado hacia las 10:00
↓ Datos que pudieron filtrarse
Clientes: ~2,5 millones de registros
Nombre, fecha de nacimiento, sexo, dirección, teléfono, correo, ID de socio
Socios comerciales: ~10.000 registros
Nombre de la empresa, direcciones de pedidos/devoluciones, nombre de contacto, teléfono, correo
↓ Lo que suele venir después
Correos, mensajes de texto, llamadas o cartas a nombre de la empresa o de una marca
Usan una disculpa, una compensación de puntos o una verificación de identidad para pedir datos de tarjeta o de acceso
↓ No use los enlaces ni los números
Compruebe en la app oficial o en un sitio web que usted mismo abra
Un aviso auténtico aparecerá también allí
Qué se sabe y qué no
Según el aviso de la empresa del 23 de octubre, a 24 de octubre de 2026. Actualizaremos la columna de estado cuando aparezcan seguimientos.
| Elemento | Qué dice la empresa | Estado |
|---|---|---|
| Acceso no autorizado | Un tercero accedió sin autorización a los servidores de negocio de la empresa | Confirmado (empresa) |
| Momento y respuesta | Desde aproximadamente las 7:30 del 22 oct; detectado y aislado hacia las 10:00; vía cortada antes de las 17:00 | Confirmado (empresa) |
| Datos de clientes | ~2,5 millones de registros: nombre, fecha de nacimiento, sexo, dirección, teléfono, correo, ID de socio | Posible (empresa) |
| Datos de socios comerciales | ~10.000 registros: nombre de la empresa, direcciones de pedidos/devoluciones, nombre de contacto, teléfono, correo | Posible (empresa) |
| Datos de empleados | Alcance aún en confirmación | En investigación |
| Datos de pago y contraseñas fijadas por los clientes | No figuran entre los datos que pudieron filtrarse | No incluidos (empresa) |
| Qué servicio de membresía | No se indica | No indicado |
| Método de acceso (causa) | Se dice que está identificado y atendido; no publicado | No indicado |
| Tienda web and ST | No se vio afectada por el acceso no autorizado | Confirmado (empresa) |
| Puntos de socio | Actualmente inutilizables en tiendas y en la tienda web; no se da fecha de restablecimiento | No indicado |
| Contacto con cada persona | Empezará uno a uno; no se indican método ni plazos | No indicado |
| Uso indebido | No se ha anunciado que se hayan recibido mensajes que usen los datos filtrados | No indicado |
| Policía y regulador | Policía consultada; Comisión notificada | Confirmado (empresa) |
Para qué puede usarse esta combinación de datos
Lo siguiente es lo que suele ocurrir cuando se filtra esta combinación de datos. No afirma que haya ocurrido en este incidente.
Qué puede incluir un mensaje falso
- Nombre, dirección y teléfono: cartas o mensajes con el nombre de una marca
- Fecha de nacimiento: una «verificación de identidad» por teléfono
- ID de socio: un enlace para «confirmar su membresía» que lleva a una página de acceso falsa
Qué no puede hacer un mensaje falso
- Cambiar los avisos dentro de la app oficial
- Cambiar lo que muestra Mi página en un sitio web oficial que usted mismo abrió
- Lograr que el servicio indicado en el sitio web oficial le cuente la misma historia
Para un caso anterior en que se filtraron datos de socios sin contraseñas, vea la filtración de la app y la tienda en línea de MrMax. Para ver cómo cambia el consejo cuando hay datos de contraseñas, compare la filtración de datos de socios de Bookoff.
Qué es distinto aquí: se incluyen datos de contacto de socios comerciales
Aunque muchas filtraciones del comercio minorista afectan solo a socios, aquí también pudieron filtrarse nombres de empresas, direcciones de pedidos y devoluciones, nombres de personas de contacto y datos de contacto de unos 10.000 registros de socios comerciales.
Esto significa prepararse no solo para mensajes falsos dirigidos a los socios, sino también para correos que se hagan pasar por un socio comercial y pidan un pago o un cambio de datos bancarios.
Para quienes manejan datos de clientes
El método de acceso no se ha publicado. Esta sección se limita a lo que puede extraerse de la secuencia descrita por la empresa.
Configure alertas para intentos de inicio de sesión repetidos en varios servidores
Según el aviso, se hicieron intentos de inicio de sesión contra varios servidores, uno tras otro. En lugar de contar solo los fallos por servidor, añada a sus condiciones de alerta un mismo origen que intenta iniciar sesión en varios servidores seguidos.
Los inicios de sesión de administración deben exigir siempre una comprobación adicional a la contraseña (autenticación multifactor).
Fuentes (registro público)
Los hechos de este artículo proceden de las fuentes públicas siguientes. No se especula sobre el método de acceso no divulgado ni sobre el servicio de membresía implicado.
- and ST HD Co., Ltd., aviso de disculpa por el acceso no autorizado a sus servidores de negocio y la posible filtración de datos personales y de otro tipo (23 de octubre de 2026, en japonés) — andst-hd.co.jp
- Soporte de and ST, aviso sobre los efectos del mantenimiento del sitio (revisado el 24 de octubre de 2026, en japonés) — support.dot-st.com
Historial de actualizaciones
2026-10-24: Primera versión, basada en el aviso de and ST HD del 23 de octubre. Se actualizará cuando se anuncie el alcance de los datos de empleados, cómo se contactará a cada persona o el restablecimiento de los puntos de socio.
Lea a continuación
- Casos similares: Filtración de datos de Abahouse (correos falsos de reembolso) / La filtración de MrMax
- Estafas posteriores: ¿Qué es el phishing? / Suplantación de correo y SPF, DKIM, DMARC
- Contraseñas: Cómo comprobar si se filtró su contraseña / Cómo elegir un gestor de contraseñas
- Otros incidentes de 2026: lista de filtraciones y ciberataques (Japón y el mundo)