Para: personas que reciben boletines o correos de notificación de empresas y organizaciones que usan el servicio de envío de correo Arara Message de Arara Inc. (incluida la serie ASP repica), y empresas y organizaciones que usan el servicio. Este artículo se basa en los avisos oficiales de Arara Inc. y de las organizaciones clientes que revelaron un impacto. No trata de cómo se llevó a cabo el ataque.
En desarrollo: este artículo se actualizará a medida que la organización publique más información
- A quién afecta
personas que reciben boletines o correos de notificación de empresas y organizaciones que usan el servicio de envío de correo Arara Message de Arara Inc. (incluida la serie ASP repica), y empresas y organizaciones que usan el servicio.
- Confirmado hasta ahoraVer la tabla ↓
- Datos personales tomados (entornos de clientes)
- Número de direcciones de correo
- Entorno compartido
6 más
- Entorno B
- Periodo de toma
- Datos de miembros
- Envío de correos falsos
- Estado del servicio
- Notificaciones a las autoridades
- Aún sin confirmar
- El desglose entre direcciones solo de correo y con atributos (en verificación)
- El número y los nombres de las empresas clientes afectadas (hasta unas 380 es una estimación)
- Las personas y los datos afectados en cada empresa (Arara está avisando a los clientes de forma individual, también a los del entorno B)
4 más
- El impacto en los datos del personal de los clientes (nombres y direcciones de correo de quienes usan la consola de administración)
- Cuándo y cómo empezó la intrusión
- Cuándo se reanudará el servicio
- El impacto en los resultados (aún en revisión)
- Qué hacer ahoraVer los pasos ↓
- Borre sin abrirlos los correos de news@arara.com que se hagan pasar por una empresa de tarjetas
- Por ahora, no abra enlaces ni archivos adjuntos de correos que digan proceder de un remitente al que está suscrito
- Consulte la tabla de abajo para los servicios que usa
1 más
- No introduzca contraseñas ni números de tarjeta cuando se los pidan
- Dónde verificarlo (fuente)Todas las fuentes ↓
- Arara Inc., "Filtración de información y parada del servicio por acceso no autorizado a Arara Message (tercer informe)" (6 de noviembre de 2026)
- Última comprobación
- A fecha del 7 de noviembre de 2026 (hora de Japón; la página de avisos de Arara se actualizó por última vez a las 21:00 del 6 de noviembre; la siguiente actualización está prevista hacia las 12:00 del 7 de noviembre y no había aparecido cuando se comprobó)
Próximos avisos y qué comprobamos
En su tercer informe del 6 de noviembre, Arara Inc. actualizó la cifra de direcciones de correo al añadir el entorno B. Dice que el desglose entre direcciones solo de correo y con atributos y el impacto en sus resultados siguen en revisión, y que la fecha de reanudación no está fijada. Su página de avisos dice que está comunicando a cada empresa cliente su propio impacto una por una, empezando por aquellas cuyos resultados están confirmados.
Qué deben hacer hoy los destinatarios de correos
El servicio de Arara Inc. es el que usan empresas y organizaciones para enviar boletines y avisos. Los destinatarios registraron su dirección de correo en la empresa u organización remitente, no en Arara, así que compruebe si le afecta a través del aviso del propio remitente.
Borre sin abrirlos los correos de news@arara.com que se hagan pasar por una empresa de tarjetas
Arara Inc. dice que del 28 al 30 de octubre su servicio se usó indebidamente para enviar hasta unos 7,13 millones de correos falsos que se hacían pasar por empresas de tarjetas de crédito. El remitente es "news@arara.com" y los asuntos incluyen una solicitud de confirmar el uso de la tarjeta o un extracto de uso.
Pide a los destinatarios que no abran la URL del cuerpo y que borren el correo. Si introdujo datos de la tarjeta en el enlace, contacte de inmediato con su emisor de tarjeta. Los destinatarios eran direcciones de correo que un tercero trajo desde fuera, así que recibir uno no prueba que su dirección se haya tomado.
Por ahora, no abra enlaces ni archivos adjuntos de correos que digan proceder de un remitente al que está suscrito
Las direcciones y los datos de miembros tomados podrían usarse para correos o SMS falsos a nombre de la empresa remitente. Incluso un mensaje que muestre su nombre o número de socio puede no ser auténtico. Para comprobarlo, abra la app oficial o un sitio oficial que tenga guardado en favoritos (véase ¿Qué es el phishing? para saber cómo detectar falsificaciones).
Consulte la tabla de abajo para los servicios que usa
La tabla de abajo recoge el aviso de cada empresa. Una empresa que no figure en la tabla aún puede anunciarlo. Consulte de vez en cuando la página de avisos de los sitios cuyos boletines recibe. Si le llega un aviso individual, compárelo con el aviso del sitio oficial en lugar de fiarse del enlace del correo.
No introduzca contraseñas ni números de tarjeta cuando se los pidan
Arara Inc. dice que no envía correos que pidan introducir contraseñas o datos de tarjetas, y las empresas clientes dicen algo similar. Si un correo le pide introducirlos, compruébelo a través del sitio oficial y no del correo.
El destinatario de un correo falso no es necesariamente una dirección que se haya tomado
Según el segundo informe de Arara Inc., los correos falsos se enviaron a "direcciones de correo que un tercero trajo desde fuera". El servicio de la empresa se usó indebidamente (según la empresa), por eso el remitente aparece como news@arara.com. Y al revés, no haber recibido uno no significa que su dirección no se haya tomado.
Organizaciones clientes que revelaron un impacto
Las organizaciones que usan el servicio de Arara Inc. han publicado sus propios avisos. La tabla recoge los que este sitio comprobó abriendo la página oficial de cada organización entre el 5 y el 7 de noviembre, y solo los avisos que nombran a Arara Inc. (o a su servicio). Están en orden de anuncio, del más antiguo al más reciente.
Cada estado sigue la redacción de la propia organización. Arara Inc. no ha nombrado a sus empresas clientes. Los recuentos que da cada organización no pueden sumarse ni compararse con los unos 81,3 millones (y la dirección de la misma persona puede aparecer en los recuentos de varias organizaciones).
| Organización | Para qué usaba el servicio (según indica) | Datos que podrían verse afectados (según indica) | Estado | Fecha |
|---|---|---|---|---|
| Kagoshima Bank, Minami-Nippon Bank, Kagoshima Sogo Shinkin Bank y Kagoshima Shinkin Bank (Pay-don) | Notificaciones por correo de la app "Pay-don" (envío de correo encomendado a Arara Inc.). Notificaciones por correo y nuevos registros suspendidos | Direcciones de correo de usuarios y comercios de Pay-don, e información de pago (fecha y hora, nombre de la tienda, importe pagado). Sin cifra. No se informa de daños secundarios | Posible (los cuatro bancos) | 28 de octubre |
| Prefectura de Okinawa (proyecto de intercambio con islas remotas "Shimamaru") | Boletín (el contratista del proyecto usaba Arara Message) | 2.560 direcciones de correo. No se filtraron nombres ni otros datos | Posible (la prefectura) | 29 de octubre |
| Suzuki (Suzuki Media Site) | Comunicados de prensa a medios (Arara Inc. gestionaba el envío de correo bajo el proveedor de servicios del sitio) | Hasta 2.575 direcciones de correo registradas. Sin nombres ni direcciones postales. No se ha confirmado uso indebido ni daños secundarios | Posible (la empresa) | 30 de octubre |
| Bic Camera, Kojima y Sofmap (aviso conjunto) | Envío de correo encomendado a un contratista; sistema de envío de correo proporcionado por Arara Inc. | Direcciones de correo y datos similares. Unos 14,9 millones en total para el grupo. Los datos de tarjetas de crédito y de inicio de sesión de las tiendas online no los maneja el servicio y quedan fuera del alcance. No se ha confirmado ningún daño secundario concreto | Posible (cada empresa) | 2 de noviembre |
| Osaka Gas (suscripción de comidas "FitDish") | Correos a los clientes de "FitDish" | 34.489 direcciones de correo (a las que se escribió del 8 al 29 de octubre). Sin nombres, direcciones postales, teléfonos, datos de tarjetas ni datos de compras | Filtración confirmada (la empresa) | 2 de noviembre |
| Kinko's Japan | Boletín a los socios de Smart Membership | Direcciones de correo (recuento en comprobación). Nombres, números de socio, fechas de registro, cumpleaños y tiendas favoritas: de momento no se ha confirmado filtración. Se le había dicho que su entorno quedaba fuera del alcance; una nueva comprobación tras el segundo informe confirmó la filtración | Filtración confirmada (la empresa); otros datos no confirmados | 2 de noviembre |
| Asoview (explicación de este sitio) | Correos a los miembros de Asoview! (datos de miembros encomendados al servicio de Arara Inc.) | 15.821.184 registros. Direcciones de correo, ID o número de socio, nombre, género, fecha de nacimiento, teléfono, código postal, zona, datos de compra y uso de entradas, y más. Las contraseñas y los datos de tarjetas no se confiaron y quedan fuera del alcance. Aún falta identificar a los miembros afectados | Filtración confirmada (la empresa) | 3 de noviembre |
| The Yokohama Rubber Co. | Envío de comunicados y correos de noticias (a través del contratista que se encarga del envío de correo) | Nombres de empresa y direcciones de correo registrados. Sin cifra. Arara Inc. había informado primero de que no había filtración relacionada, y el 3 de noviembre comunicó a la empresa una filtración | Filtración confirmada (la empresa) | 3 de noviembre |
| Workman | El "boletín de Workman Online Store". Los correos de notificación de su sitio online (incluidos los avisos de la app) no usan el servicio y no se ven afectados | Direcciones de correo, hasta unos 1,45 millones. No se filtraron otros datos. El 29 de octubre se le dijo que las direcciones de los socios no estaban incluidas, y el 2 de noviembre recibió un informe telefónico urgente de una filtración (confirmación por escrito pendiente) | Filtración confirmada (la empresa) | 4 de noviembre |
| JR Kyushu | Boletín a quienes visitaron pisos piloto de condominios o pidieron documentación (el contratista que se encarga del envío usa el servicio de Arara Inc.) | Nombres y direcciones de correo. Hasta unos 13.000. No hay posibilidad de que se filtraran direcciones postales ni teléfonos. No se ha confirmado ningún daño secundario | Posible (la empresa) | 4 de noviembre |
| TKC | Envío de correo a los clientes que usan sistemas de TKC (envío encomendado a Arara Inc.). Los servicios de TKC no pueden enviar correo por ahora | Direcciones de correo, hasta 2.230.812. No se filtraron los cuerpos de los correos, el número My Number ni las solicitudes a los municipios. Aún se investiga de qué clientes son las direcciones (tercer informe) | Filtración confirmada (la empresa) | 4 de noviembre |
| Bank of the Ryukyus (segundo informe) | El servicio externo de correo "repica" (proporcionado por Arara Inc.). Envío suspendido | 96.477 direcciones de correo (parte de los correos enviados del 8 al 29 de octubre). No se ha confirmado filtración de nombres, direcciones postales, datos de cuentas ni PIN. Identificación de los afectados (segundo informe) | Filtración confirmada (el banco) | 4 de noviembre |
| Zaif | Correos de notificación (servicio de Arara Inc.). Envío suspendido temporalmente | 380.536 direcciones de correo (sin duplicados). Sin nombres ni otros atributos, sin cuerpos de correo, sin datos de autenticación. Se está comprobando el recuento de usuarios actuales (segundo informe) | Filtración confirmada (la empresa) | 4 de noviembre |
| IIJ (IIJmio) | Correos a los clientes de IIJmio | 983.458 direcciones de correo (incluidos contratos cancelados). Los detalles de los atributos de los clientes se están confirmando con Arara Inc. Los datos de tarjetas no se compartieron con el servicio y quedan fuera del alcance | Filtración confirmada (la empresa) | 4 de noviembre |
| Hasegawa | Servidores "repica" de Arara Inc. vinculados a su servicio de envío de correo | 305 direcciones de correo (a las que se escribió del 8 al 29 de octubre). Los datos de clientes que guarda (nombres, datos de compras) y los asuntos y cuerpos de los correos quedan fuera del alcance (primer informe) | Filtración confirmada (la empresa) | 4 de noviembre |
| Tribeck | Su información de envío de correo (registros de envío). El sitio y los datos de miembros de su sitio de formularios empresariales "bizocean" y sus servicios de publicidad (incluidos los boletines) no usan el servicio y quedan fuera del alcance | 61.213 registros (incluidos duplicados y correos de prueba). Direcciones de correo y cadenas de combinación (datos configurados como campos de combinación, como nombres) | Filtración confirmada (la empresa) | 4 de noviembre |
| Chobirich | Envío de correo a los miembros (Arara Message). Dejó de enviar y avisa a los miembros en su sitio | 1.348.525 direcciones de correo (no es un recuento de miembros). Dirección de correo, número de socio, apodo, fecha de nacimiento, género, prefectura de residencia y saldo de puntos pueden haberse filtrado. Nombres, teléfonos, contraseñas y datos de cuentas bancarias no se confiaron y quedan fuera del alcance. Aún falta identificar a los miembros afectados | Posible (la empresa) | 4 de noviembre |
| MOS Food Services | Boletines y otros correos a los "miembros de MOS WEB" ("repica", proporcionado por Arara Inc.) | 7.517.087 registros. Dirección de correo, edad, género, prefectura de residencia, etc. No incluye información relacionada con pagos, como datos de tarjetas de crédito | Filtración confirmada (la empresa) | 4 de noviembre |
| GMO Payment Service | Arara Message, usado por un despacho de abogados contratista de la empresa, para enviar correo. Datos de las personas a las que se dirigieron envíos del 20 de julio al 30 de octubre de 2026 | Solo dirección de correo: hasta 101.226. Dirección de correo, nombre, importe facturado, detalles de la facturación (tienda y producto usado o comprado), número de consulta y contenido del aviso: hasta 5.771. Total de hasta 106.997 (cifra de la propia empresa). Las personas afectadas reciben aviso individual por correo. Sin impacto en sus propios sistemas y servicios | Filtración confirmada (la empresa) | 5 de noviembre |
| CYBIRD | Usa el servicio de envío de correo de Arara Inc. para varios servicios. Los servicios y las personas afectadas aún no están identificados | 98.738 direcciones de correo. El único dato filtrado que Arara le ha comunicado son direcciones de correo. No se ha confirmado acceso no autorizado a sus propios servicios | Filtración confirmada (la empresa) | 6 de noviembre |
| Pacific League Marketing (envío de correo de cinco clubes de la Pacific League) | Correos de resultados de partidos y otros a los miembros de pago de los sitios oficiales de los clubes que lo solicitaron, a direcciones a las que los clubes escribieron desde el 1 de julio de 2026 (Nippon-Ham, Rakuten, Seibu, Lotte, SoftBank). Los cinco clubes han dejado de usar el servicio de Arara Inc. Orix no lo usa | Solo direcciones de correo. Por club: Nippon-Ham 3.575, Rakuten 1.165, Seibu 2.693, Lotte 2.618, SoftBank 3.660 (la empresa indica un total de 13.711). Los datos de miembros de los clubes de aficionados quedan fuera del alcance. No se ha confirmado ningún daño secundario. El mismo aviso describe también un acceso no autorizado al sitio oficial de los Chiba Lotte Marines, que trata como un asunto distinto de Arara | Filtración confirmada (la empresa) | 6 de noviembre |
Empresas a las que se dijo que no estaban afectadas y luego se comprobó que sí
Los avisos de Workman, The Yokohama Rubber y Kinko's Japan dicen que en el primer contacto del 28 o 29 de octubre se les comunicó que su propio entorno quedaba fuera del alcance (o que no se había confirmado filtración relacionada), y que hacia el segundo informe del 2 de noviembre se les informó de una filtración. La razón es que los servidores donde se confirmó el acceso no autorizado se ampliaron del entorno compartido a los entornos de las empresas clientes. Aunque se le haya dicho primero que un servicio no estaba afectado, eso puede cambiar en un seguimiento.
Qué pasó (según los avisos de Arara Inc.)
Lo siguiente se basa en el tercer informe de Arara Inc. del 6 de noviembre de 2026, su segundo informe del 2 de noviembre (su comunicado de prensa y la divulgación puntual de su matriz del mismo día) y su página de avisos. En su primer informe del 29 de octubre había anunciado la filtración de unos 3,01 millones de direcciones de correo en el entorno compartido.
27 de octubre
Hubo un acceso que parece de reconocimiento (el tercer informe corrige el "27 al 28 de octubre" del segundo).28 de octubre
Un tercero inició sesión sin autorización en la consola de administración del entorno compartido y tomó datos usando funciones como la exportación de datos. La empresa detuvo de emergencia ese entorno a las 16:31 (segundo y tercer informe).28 de octubre
Parte de los entornos del servicio se usó indebidamente y comenzó el envío de correos falsos que se hacían pasar por una empresa de tarjetas (hacia las 3:59). A las 7:00 la empresa cortó el acceso exterior a ese entorno. El envío falso continuó también en otro entorno desde alrededor de las 8:47 (descubierto el 30 de octubre).29 de octubre
La empresa publicó su primer informe, presentó un informe inicial a la Comisión de Protección de Información Personal, avisó a la policía y envió un informe inicial a JIPDEC.28 al 31 de octubre
Un tercero entró en muchos servidores a través de los servidores del servicio y tomó el contenido de bases de datos (97 servidores en entornos de empresas clientes). El segundo informe ya decía del 28 al 31 de octubre. El 6 de noviembre la empresa corrigió el periodo que había comunicado individualmente a algunos clientes el 2 de noviembre ("en algún momento entre el 28 y el 29 de octubre"): los datos se tomaron de forma continua desde el 28 de octubre hasta la parada del 31 de octubre (el momento varía según el servidor). En un entorno de nube distinto (entorno B) también se usaron credenciales sin autorización y se tomaron datos en el mismo periodo (tercer informe).30 de octubre
La empresa descubrió el envío falso y cortó la comunicación con ese entorno a las 13:26 (no se confirmó ningún envío nuevo después de las 13:32).31 de octubre
Por la mañana descubrió que los datos se habían tomado a través del servicio. Invalidó las credenciales usadas indebidamente, cortó por turnos la comunicación de cada servidor y detuvo todo el servicio (la parada comenzó a las 14:50 y se completó a las 19:53). También invalidó las credenciales del entorno B y detuvo el entorno B (tercer informe).2 de noviembre
La empresa publicó su segundo informe (su matriz presentó una divulgación puntual el mismo día). Dice que prevé informar a la Comisión de Protección de Información Personal de los nuevos elementos descubiertos y enviar un informe provisional a JIPDEC.6 de noviembre
La empresa publicó su tercer informe. Añadió las 3.249.492 direcciones tomadas del entorno B y fijó el total, con los duplicados entre categorías eliminados, en 81.329.467. Corrigió la cifra del entorno compartido a 2.842.400. Ese mismo día su página de avisos corrigió el periodo de toma que había comunicado a algunos clientes individualmente el 2 de noviembre ("en algún momento entre el 28 y el 29 de octubre").
Destinatarios de correo y miembros
Registraron una dirección de correo en el remitente (a veces también un nombre, un número de socio, etc.)
Qué hacer: no abra enlaces de correos a nombre del remitente
Empresas y organizaciones remitentes (clientes)
Gestionan las listas de correo y las registran en el servicio de Arara Inc. para enviar correo. Son responsables de los datos personales
Qué hacer: confirmar si les afecta y decidir la notificación y el aviso
Arara Inc. (Arara Message)
78.102.937 a través del servicio en el entorno A, 2.842.400 en el entorno compartido y 3.249.492 en el entorno B. El total con los solapamientos restados es 81.329.467
Los datos varían según el cliente; en investigación
- Servicio
- El servicio de envío de correo Arara Message y la serie ASP repica. Las partes detenidas son la GUI de Arara Message, las API v1 y v2, el editor, el remitente y el correo automático de ASP repica, y la función de lista de errores de BMA. La repica local (on-premises) no está incluida. Los demás servicios de la empresa no se ven afectados
- Categoría (1): a través del servicio (entorno A)
- Desde el 28 de octubre hasta la parada del 31 de octubre, de forma continua (el momento varía según el servidor; el periodo comunicado a algunos clientes individualmente el 2 de noviembre se corrigió el 6 de noviembre): se confirmó la toma de direcciones de correo y datos de miembros en 97 servidores de entornos de clientes (hasta unas 380 empresas). El segundo informe decía unos 77 millones (a 1 de noviembre); el tercero dice 78.102.937 (31.346.375 solo con correo, 46.756.562 con atributos)
- Categoría (2): entorno compartido del primer informe (entorno A)
- El 27 de octubre fue un acceso que parece de reconocimiento; el inicio de sesión no autorizado y la toma fueron el 28 de octubre. 61 empresas clientes. Direcciones de correo e información de atributos. El tercer informe corrige los 3.386.187 del segundo informe a 2.842.400 (2.507.311 solo con correo, 335.089 con atributos) y dice que se incluyó algo de información de texto. Los "datos de clientes de hasta 411.827 de cinco empresas" del segundo informe no se actualizan en el tercero
- Categoría (4): entorno B (añadido en el tercer informe)
- Del 28 al 31 de octubre se usaron credenciales sin autorización para acceder al entorno B y se tomaron 3.249.492 direcciones de correo (solo correo). No fue una intrusión nueva. El entorno B está en una nube distinta de la de los demás servidores del servicio. En el segundo informe estaba en investigación y no se pudo confirmar la cifra, por lo que no se incluyó. Las credenciales se invalidaron y se detuvo el 31 de octubre
- Categoría (3): uso indebido
- 28 al 30 de octubre: hasta unos 7,13 millones de correos falsos enviados desde dos entornos. No se ha confirmado que el propio envío filtrara nada más que direcciones de correo
- Sobre los recuentos
- El total de 81.329.467 del tercer informe tiene restados los solapamientos entre categorías (34.285.087 solo con correo y 47.044.380 con atributos; ese desglose está en verificación). Sumar las categorías del segundo informe como si no se solaparan da 80.386.187, y el tercer informe tiene 943.280 más. La cifra es de direcciones de correo, no de personas. "Posiblemente tomado" se juzga por la cantidad de registros leídos (segundo informe)
- Datos
- Direcciones de correo; datos que registraron los clientes (nombre, género, fecha de nacimiento, teléfono, número de socio, dirección postal, etc., según el cliente); y registros como los destinos de envío. No se guardan números de tarjeta de crédito. Se está comprobando el impacto en nombres y direcciones de correo del personal que usa la consola de administración
- Qué dice sobre la causa
- Influyeron una vulnerabilidad de un servidor web y problemas en el entorno del sistema. Cuándo y cómo empezó la intrusión está en investigación. Dice que la serie de intrusiones parece obra del mismo tercero que en el informe anterior, a juzgar por el origen común del acceso
- Reanudación
- Lo decidirá tras identificar la vía, cambiar las credenciales en bloque y confirmar la seguridad del sistema. No hay fecha fijada (igual en el tercer informe). Al reanudar, prevé pedir a los clientes que restablezcan las contraseñas de la consola de administración y credenciales como las claves de API
- Contacto
- Línea de atención a empresas clientes 03-5414-3611. Es solo para clientes directos; quienes contrataron a través de un revendedor deben contactar con el revendedor (de la página de avisos)
Qué se sabe y qué no
Estado a fecha del 7 de noviembre de 2026. Cuando haya novedades, se reescribirá la columna de estado de esta tabla.
| Elemento | Lo que dice el aviso | Estado |
|---|---|---|
| Datos personales tomados (entornos de clientes) | Se confirmó la toma de direcciones de correo y datos de miembros en 97 servidores (incluidos datos que pudieron tomarse) | Filtración confirmada (la empresa; incluye posibles) |
| Número de direcciones de correo | 81.329.467 con los duplicados entre categorías eliminados (tercer informe). El segundo informe decía unos 77 millones. No es un recuento de personas. El desglose en 34.285.087 solo con correo y 47.044.380 con atributos está en verificación | Confirmado (la empresa; desglose en verificación) |
| Número de empresas clientes afectadas | Hasta unas 380 (la estimación del segundo informe; el tercer informe explica que incluye las 61 del entorno compartido y las del entorno B). Nombres no publicados | En investigación |
| Entorno compartido | 61 empresas clientes, 2.842.400 (sin duplicados; corregido desde 3.386.187 del segundo informe y actualizado desde los unos 3,01 millones del primer informe). Los datos de clientes de hasta 411.827 de cinco empresas del segundo informe no se actualizan en el tercero | Filtración confirmada (la empresa) |
| Entorno B | 3.249.492, solo direcciones de correo. Durante la misma serie de accesos del 28 al 31 de octubre; no es una intrusión nueva. Credenciales invalidadas y detenido el 31 de octubre | Filtración confirmada (la empresa) |
| Periodo de toma | 27 de octubre: acceso que parece de reconocimiento. Inicio de sesión no autorizado y toma desde el 28 de octubre hasta la parada del 31 de octubre, de forma continua (varía según el servidor). El "en algún momento entre el 28 y el 29 de octubre" comunicado a algunos clientes individualmente el 2 de noviembre era erróneo y se corrigió el 6 de noviembre (el segundo informe publicado decía del 28 al 31 de octubre) | Confirmado (la empresa) |
| Datos de miembros | Nombre, género, fecha de nacimiento, teléfono, número de socio, dirección postal, etc. (según el cliente), y registros como los destinos de envío | Filtración confirmada (la empresa; los datos varían según el cliente) |
| Números de tarjeta de crédito | El servicio no los guarda en absoluto (segundo y tercer informe) | No incluidos (la empresa) |
| Credenciales de la consola de administración y de la API | Las credenciales usadas indebidamente se invalidaron. Prevé pedir a los clientes que las restablezcan al reanudar. En la tabla del segundo informe, las celdas correspondientes dicen "uso suspendido" (a través del servicio) y "no aplicable" (entorno compartido), y no dicen si se tomaron | No indicado |
| Datos del personal de los clientes | Se está comprobando el impacto en nombres y direcciones de correo de quienes usan la consola de administración | En investigación |
| Envío de correos falsos | Del 28 al 30 de octubre, hasta unos 7,13 millones desde dos entornos. Remitente news@arara.com. Los destinatarios eran direcciones que un tercero trajo desde fuera | Confirmado (la empresa) |
| Causa | Una vulnerabilidad de un servidor web y problemas en el entorno del sistema. Inicio y vía en investigación | En investigación |
| Uso indebido de los datos filtrados | No lo indica Arara. Bic Camera, Kojima y Sofmap, Asoview y Zaif dicen en sus avisos que de momento no se confirma daño secundario ni uso indebido | No confirmado (cada empresa) |
| Estado del servicio | Todos los servicios detenidos el 31 de octubre. Fecha de reanudación no fijada (tercer informe). No se ejecutan los envíos programados | Confirmado (la empresa) |
| Notificaciones a las autoridades | Comisión de Protección de Información Personal: informe inicial el 29 de octubre, informe provisional el 2 de noviembre, informe adicional previsto para el 6 de noviembre. Ministerio de Asuntos Internos y Comunicaciones (Oficina de Telecomunicaciones de Kanto): informado el 4 de noviembre, informe adicional previsto para el 6 de noviembre. Policía avisada el 29 de octubre. JIPDEC: informe inicial el 29 de octubre, informe provisional el 4 de noviembre, informe adicional previsto para el 6 de noviembre | Confirmado (elementos hasta el 4 de noviembre; los informes adicionales del 6 de noviembre se indican como previstos) |
| Impacto en los resultados | Aún en revisión (tercer informe) | En investigación |
El recuento de cada empresa no puede compararse con los unos 81,3 millones
81.329.467 (unos 81,3 millones) es el recuento de direcciones de correo que dio Arara Inc. para todo el incidente, con los duplicados entre categorías eliminados. Cifras como los hasta unos 1,45 millones de Workman o los 15.821.184 de Asoview pueden formar parte de ella, pero no se ha publicado qué empresas aportan cuánto. Los recuentos se miden de formas distintas, así que no los sume ni los reste.
Para qué pueden usarse las direcciones de correo y los datos de miembros
En general, las siguientes combinaciones permiten los siguientes tipos de uso indebido. Esto no significa que haya ocurrido aquí.
- Dirección de correo más el nombre del remitente: llegan correos falsos a nombre de esa empresa a la misma dirección que el boletín real, y la gente tiende a suponer que es el remitente habitual
- Nombre más teléfono más dirección postal: correos y SMS falsos que usan el nombre real, y falsas verificaciones de identidad por teléfono
- Número de socio más nombre más fecha de nacimiento: hacerse pasar por un servicio de socios y pedir más datos con el pretexto de una "verificación de identidad"
- Historial de uso (tipos de entradas compradas, instalaciones usadas, fechas e importes de pago): material para mensajes verosímiles de "cancelación" o "reembolso" basados en reservas y pagos reales
Los incidentes de octubre de 2026 en el servicio de envío de correo de Ymirlink, Cuenote FC, y en Blastmail fueron también casos en los que las direcciones de muchas organizaciones se filtraron desde un único servicio de envío. En cada uno, se comprobaba si le afectaba a través de los avisos de las organizaciones cuyos correos recibe.
Qué deben hacer las empresas y organizaciones que usan Arara Message
Arara Inc. dice que contactará con rapidez con todas las empresas clientes tras su segundo informe, indicando a cada una de forma individual si su entorno está afectado y qué datos se filtraron. En el tercer informe dice que también contactará individualmente con los clientes que usaron el entorno B. Como muestra la tabla, hay casos en que a una empresa a la que se dijo primero que no estaba afectada se comprobó después que sí.
Confirme si su entorno está afectado, mediante el contacto individual de Arara Inc. y su línea de atención
No se limite a esperar su contacto; llame a la línea de atención a clientes (03-5414-3611, solo para clientes directos; si contrató a través de un revendedor, pregunte al revendedor). Compare los datos y las cifras que le dé con los datos que registró en el sistema de envío.
Para la notificación a la Comisión de Protección de Información Personal, compruebe el plazo de la notificación conjunta (18:00 del 9 de noviembre)
Arara Inc. dice que las empresas y organizaciones privadas pueden notificar conjuntamente con ella, y que los organismos públicos y los gobiernos locales pueden hacer que ella notifique en su nombre, a la Comisión de Protección de Información Personal. El plazo de solicitud es las 18:00 del lunes 9 de noviembre de 2026. Si lo solicita, no necesita notificar usted mismo, y dice que ha confirmado con la Comisión que superar el plazo orientativo del informe inicial no se tratará como notificación tardía. Si notifica por su cuenta, no necesita solicitarlo.
La notificación conjunta no cubre los informes a JIPDEC de los titulares de la Privacy Mark; esos los gestiona usted. El procedimiento está en su página de guía. Para saber si debe avisar a las personas afectadas, consulte el servicio de atención de la Comisión o a un experto.
Si le dieron un periodo de toma el 2 de noviembre, corríjalo al periodo revisado
Según la página de avisos de Arara Inc., el periodo que comunicó individualmente a algunos clientes el 2 de noviembre ("en algún momento entre el 28 y el 29 de octubre") era erróneo. El periodo correcto es la toma continua desde cada servidor desde el 28 de octubre hasta que el servicio se detuvo el 31 de octubre (el momento varía según el servidor). Si usó el periodo anterior en una notificación a la Comisión de Protección de Información Personal o en un comunicado interno, cámbielo por el periodo corregido.
Los envíos programados no se ejecutan mientras el servicio está parado; pase los mensajes importantes a otro canal
Según la página de avisos, mientras el servicio está detenido no se pueden usar la consola de administración ni la API, y los correos ya programados no se envían. Las facturas, los plazos y las campañas que programó no llegarán. Anuncie los mensajes importantes por otros medios, como una publicación en su sitio oficial o notificaciones de la app. Algunas empresas, como TKC y Hasegawa, ya están cambiando a otra plataforma de envío de correo.
Revise sus propias credenciales antes de la reanudación
Arara Inc. prevé pedir a los clientes que restablezcan las contraseñas de la consola de administración y credenciales como las claves de API al reanudar. Como consejo de este sitio, compruebe de antemano si usa la misma contraseña en otros servicios y si la clave de API está escrita en otros sistemas o archivos de configuración; el restablecimiento irá más rápido.
Avise a sus destinatarios
En sus avisos, todas las empresas de la tabla piden a los destinatarios que no abran enlaces de correos sospechosos a su nombre. Conviene no poner enlaces en el propio correo de aviso, y decir que mientras el envío está detenido es probable que los correos que lleguen sean falsos.
Opinión de este sitio: cuando el sistema de envío se detiene, se detiene la comunicación que depende solo del correo
En este caso, además de la filtración de datos, el servicio se ha detenido por completo y los envíos programados no se ejecutan. Las empresas de la tabla se ven afectadas en distinto grado: "función de notificación por correo suspendida (Pay-don)", "correos de notificación suspendidos temporalmente (Zaif)", "los servicios de TKC no pueden enviar correo".
Haga una lista de lo que envía por correo, por tipo
Separe los avisos de facturación y de plazos, los códigos de autenticación, las confirmaciones de reserva y las campañas, y marque los que causarían problemas si el sistema de envío estuviera caído varios días.
Decida una alternativa antes de que se detenga
Decida de antemano una plataforma de envío distinta que no dependa del mismo proveedor, un aviso en su sitio oficial y notificaciones de la app. Si empieza a buscar un cambio solo después de la parada, la comunicación queda con un vacío mientras tanto, como en las empresas de la tabla.
Mantenga al mínimo los datos que registra en el sistema de envío
Como muestra la tabla, el impacto en el mismo incidente va desde empresas que solo tenían direcciones de correo hasta las que registraron nombres, fechas de nacimiento y datos de compras. Deje de registrar cualquier dato que no use para campos de combinación o segmentación.
Fuentes (registros públicos)
Los hechos de este artículo se basan en la siguiente información pública. No especulamos sobre métodos de ataque no revelados. Los títulos se traducen del japonés.
- Arara Inc., "Filtración de información y parada del servicio por acceso no autorizado a Arara Message (tercer informe)" (6 de noviembre de 2026) — arara.com
- Arara Inc., "[Importante] Disculpas e informe sobre la parada del servicio y la filtración de datos personales de Arara Message" (página de avisos actualizada el 6 de noviembre de 2026 a las 21:00; consultada el 7 de noviembre; incluye la corrección del periodo de toma) — am.arara.com
- Arara Inc., "Filtración de información y parada del servicio por acceso no autorizado a Arara Message (segundo informe)" (2 de noviembre de 2026) — arara.com
- Arara Inc., "Guía sobre la notificación conjunta y la notificación en nombre de terceros a la Comisión de Protección de Información Personal" — am.arara.com
- PayCloud Holdings Co., Ltd., "Filtración de información y parada del servicio por acceso no autorizado a Arara Message, proporcionado por una filial consolidada (segundo informe)" (2 de noviembre de 2026, divulgación puntual) — xj-storage.jp
- Kagoshima Bank y otras tres entidades, aviso sobre la posible filtración de datos personales por acceso no autorizado a Pay-don (28 de octubre de 2026) — kagin.co.jp
- Prefectura de Okinawa, aviso sobre la posible filtración de información por acceso no autorizado al servicio de envío de boletines del proyecto de intercambio con islas remotas "Shimamaru" (29 de octubre de 2026) — pref.okinawa.jp
- Suzuki Motor Corporation, "Posible filtración de datos personales en un contratista" (30 de octubre de 2026) — suzuki.co.jp
- Bic Camera, Kojima y Sofmap, disculpas y aviso sobre la filtración de datos de inscritos en boletines por acceso no autorizado a un contratista (2 de noviembre de 2026) — biccamera.com
- Osaka Gas Co., Ltd., "Filtración de información de clientes por acceso no autorizado al servicio de envío de correo de un contratista" (2 de noviembre de 2026) — osakagas.co.jp
- Kinko's Japan Co., Ltd., disculpas y aviso sobre la filtración de direcciones de correo de clientes por acceso no autorizado a Arara Message (primer informe, 2 de noviembre de 2026) — kinkos.co.jp
- Asoview, Inc., "Disculpas y aviso sobre el acceso no autorizado al servicio de envío de correo de un contratista" (3 de noviembre de 2026) — asoview.co.jp
- The Yokohama Rubber Co., Ltd., "Filtración de datos personales en el servicio de envío de correo que usamos" (3 de noviembre de 2026) — y-yokohama.com
- Workman Co., Ltd., disculpas y petición sobre la filtración de direcciones de correo de los inscritos en el boletín de Workman Online Store (4 de noviembre de 2026) — workman.co.jp
- Kyushu Railway Company, aviso sobre la posible filtración de direcciones de correo por acceso no autorizado al servicio de envío de correo de un socio (4 de noviembre de 2026) — jrkyushu.co.jp
- TKC Corporation, "Filtración de información por acceso no autorizado a un contratista de envío de correo (tercer informe)" (4 de noviembre de 2026) — tkc.jp
- The Bank of the Ryukyus, "Filtración de direcciones de correo de clientes por acceso no autorizado al servicio de envío de correo de un contratista (segundo informe)" (4 de noviembre de 2026) — ryugin.co.jp
- Zaif, "Filtración de información por acceso no autorizado a un contratista (segundo informe, 4 de noviembre de 2026)" — corp.zaif.jp
- Internet Initiative Japan Inc., "Filtración de información de clientes por acceso no autorizado al servicio de envío de correo que usamos" (4 de noviembre de 2026) — iij.ad.jp
- Hasegawa Co., Ltd., "Disculpas y aviso sobre la filtración de datos personales por acceso no autorizado a un contratista de envío de correo (primer informe)" (4 de noviembre de 2026) — hasegawa.jp
- Tribeck Corporation, disculpas y aviso sobre la filtración de datos personales por acceso no autorizado a Arara Inc. (4 de noviembre de 2026) — tribeck.jp
- Chobirich Co., Ltd., disculpas y aviso sobre el acceso no autorizado al servicio de envío de correo de un contratista (4 de noviembre de 2026) — chobirich.co.jp
- MOS Food Services, Inc., disculpas y aviso sobre la filtración de información de clientes por acceso no autorizado al servicio de envío de correo de un contratista (4 de noviembre de 2026) — mos.co.jp
- GMO Payment Service, Inc., "Filtración de datos personales por acceso no autorizado en Arara Inc." (5 de noviembre de 2026) — gmo-ps.com
- CYBIRD Co., Ltd., "[Aviso importante] Disculpas y aviso sobre la filtración de datos personales por acceso no autorizado a un servicio de envío de correo (Arara Inc.)" (6 de noviembre de 2026) — cybird.co.jp
- Pacific League Marketing, Inc., "Disculpas y aviso sobre la filtración de direcciones de correo de clientes por acceso no autorizado" (6 de noviembre de 2026; comunicado tal como se publicó en Sportsmania) — sportsmania.jp
- Comisión de Protección de Información Personal, "Respuesta a las filtraciones y materiales útiles" — ppc.go.jp
Historial de actualizaciones
2026-11-07: Se incorpora el tercer informe del 6 de noviembre: las direcciones de correo tomadas pasan de unos 77 millones a 81.329.467 (unos 81,3 millones) con los duplicados entre categorías eliminados. Se añaden las 3.249.492 de un entorno de nube distinto (entorno B), la corrección de la cifra del entorno compartido (3.386.187 a 2.842.400) y la corrección del periodo de toma que se había comunicado individualmente a algunos clientes el 2 de noviembre (continuo desde el 28 de octubre hasta la parada del 31 de octubre), y se añaden Tribeck, Chobirich, MOS Food Services, GMO Payment Service, CYBIRD y Pacific League Marketing a la tabla de clientes. La página de avisos se actualizó por última vez a las 21:00 del 6 de noviembre; la actualización prevista hacia las 12:00 del 7 de noviembre no había aparecido cuando se comprobó.
2026-11-05: Primera versión. Basada en el segundo informe de Arara Inc. del 2 de noviembre (unos 77 millones, hasta unas 380 empresas, hasta unos 7,13 millones de correos falsos) y en los avisos oficiales de 15 organizaciones clientes. La página de avisos se actualizó por última vez a las 21:00 del 4 de noviembre; la actualización prevista hacia las 12:00 del 5 de noviembre no había aparecido cuando se escribió este artículo.
Lectura recomendada
- Casos similares: Acceso no autorizado a Cuenote FC de Ymirlink / Acceso no autorizado a Blastmail / Filtración de direcciones de correo de JR East, View Card y JR Kyushu
- Explicación de un cliente concreto: Filtración de datos de miembros de Asoview
- Detectar correos falsos: ¿Qué es el phishing? / Spam desde su propia dirección de correo
- Comprobar remitentes (para operadores): Conceptos básicos de SPF, DKIM y DMARC
- Otros incidentes de 2026: Filtraciones de datos y ciberataques de 2026 (Japón y el mundo)