Para: personas que tienen (o tuvieron) una cuenta de miembro de Asoview! y personas que gestionan sitios de reservas o de miembros. Este artículo explica el aviso oficial de Asoview Inc. y no trata métodos de ataque.
En desarrollo: este artículo se actualizará a medida que la organización publique más información
- A quién afecta
personas que tienen (o tuvieron) una cuenta de miembro de Asoview! y personas que gestionan sitios de reservas o de miembros.
- Confirmado hasta ahoraVer la tabla ↓
- Acceso no autorizado de un tercero al servicio de envío de correo del proveedor
- Magnitud
- Dirección de correo
3 más
- ID y número de miembro, nombre, sexo, fecha de nacimiento, fecha de registro, fecha del último inicio de sesión
- Número de teléfono, código postal, zona de residencia
- Fecha y hora de compra de entradas, tipo, cantidad, instalación utilizada, fecha de uso, participantes, cancelación
- Aún sin confirmar
- Si le afecta (identificación de los miembros)
- Cómo y cuándo se notificará individualmente
- Causa y período del acceso no autorizado
3 más
- Si se accedió a los sistemas de la propia empresa
- Si se produce algún uso indebido
- Cuándo se reanudará el envío de correo
- Qué hacer ahoraVer los pasos ↓
- No abra enlaces de mensajes que digan ser de Asoview! y compruebe la reserva en el sitio o la app oficial que usted mismo abra
- Tampoco siga un enlace de un mensaje que diga «le afecta»
- No dé nunca una contraseña ni un número de tarjeta a quien le haya contactado. Si introdujo un número de tarjeta en una página falsa, llame al emisor de su tarjeta
2 más
- Desconfíe por un tiempo de llamadas y mensajes desconocidos
- Use el contacto específico publicado en el aviso
- Dónde verificarlo (fuente)Todas las fuentes ↓
- Asoview Inc., «Disculpas y aviso sobre el acceso no autorizado a un servicio de envío de correo encomendado» (en japonés, 3 de noviembre de 2026)
- Última comprobación
- A fecha del 5 de noviembre de 2026
Próximos avisos y qué comprobamos
La empresa dice que, cuando reciba del proveedor la lista de personas afectadas, la cotejará con los miembros y los contactará individualmente. Dice que actualizará la página del aviso con prontitud cuando surjan hechos nuevos. Comprobamos la página del aviso de la empresa el 5 de noviembre; su última actualización sigue siendo del 3 de noviembre y no se ha publicado un segundo informe.
Qué deben hacer hoy los miembros de Asoview!
Filtrado: correo, nombre, teléfono, fecha de nacimiento, sexo, código postal, zona
Puede alimentar correos, mensajes y llamadas con el nombre correcto. No abra enlaces
Filtrado: hora de compra, tipo de entrada, cantidad, instalación, fecha de uso, participantes, cancelación
Puede alimentar avisos falsos de reembolso o cancelación que coinciden con una reserva real
No incluido: contraseñas e información de tarjetas de crédito (no se confiaron al proveedor)
Nada en el aviso exige cambiar la contraseña por este incidente
No abra enlaces de mensajes que digan ser de Asoview! y compruebe la reserva en el sitio o la app oficial que usted mismo abra
Entre los elementos filtrados están el nombre, el número de teléfono y la dirección de correo junto con la hora de compra de la entrada, la instalación utilizada, la fecha de uso y el número de participantes. Un mensaje que siga una reserva real puede acertar con su nombre, la instalación y la fecha. La empresa advierte además que esta información podría usarse para correos, mensajes de texto y llamadas que la suplanten, y pide eliminar sin abrir la URL los correos y mensajes desconocidos y evitar contestar llamadas sospechosas.
Si recibe un mensaje que dice «su reserva fue cancelada», «introduzca su cuenta bancaria para el reembolso» o «ha ganado un premio», no abra el enlace. Abra usted mismo la app o el sitio oficial y mire el estado de su reserva. Que exista una reserva, con la fecha correcta, sigue sin ser prueba de que el mensaje sea auténtico (vea ¿qué es el phishing?).
Tampoco siga un enlace de un mensaje que diga «le afecta»
La empresa dice que contactará individualmente a los miembros afectados cuando se les identifique, pero el aviso no dice cómo (por correo u otro medio). Por tanto, si llega un correo o un mensaje de texto que diga «le afecta, confirme aquí», no avance por su enlace. La empresa dice que contactará individualmente a los miembros afectados cuando se les identifique, así que hasta entonces consulte la página de avisos de la empresa por si hay novedades. El número de contacto específico figura más abajo.
No dé nunca una contraseña ni un número de tarjeta a quien le haya contactado. Si introdujo un número de tarjeta en una página falsa, llame al emisor de su tarjeta
La empresa dice que las contraseñas y la información de tarjetas de crédito no se confiaron al proveedor y no forman parte de la filtración. Dice también que nunca le pide, por correo, mensaje de texto o teléfono, que introduzca o comunique una contraseña o datos de tarjeta. Si se los piden, trate el mensaje como falso.
Si ha introducido datos de tarjeta en una página falsa, contacte cuanto antes con su emisor de tarjeta, como aconseja la empresa. Si ha introducido una contraseña, cámbiela en todos los servicios donde la use (gestor de contraseñas, cómo comprobar si su contraseña se filtró).
Desconfíe por un tiempo de llamadas y mensajes desconocidos
Su número de teléfono, su código postal y su fecha de nacimiento son difíciles de cambiar. En general, las llamadas y los mensajes de estafa pueden llegar a un número filtrado con nombres distintos de Asoview! (opinión de este sitio). Activar los filtros de llamadas y mensajes de spam del teléfono reduce cuántos llegan (nociones básicas de seguridad en el smartphone).
Use el contacto específico publicado en el aviso
La empresa indica una línea específica para clientes (personas que hicieron reservas): 0120-30-3521 (de 10:00 a 19:00 JST, entre semana y fines de semana/festivos; un número gratuito japonés). Tome el número de este aviso en el sitio oficial de la empresa, no de un mensaje que le hayan enviado.
Qué ocurrió (según Asoview)
Asoview Inc. publicó «Disculpas y aviso sobre el acceso no autorizado a un servicio de envío de correo encomendado» (título traducido; el original está en japonés) en su sitio oficial el 3 de noviembre de 2026. Todo lo que sigue se basa en ese aviso.
Según la empresa, el servicio de envío de correo de un proveedor que usaba fue accedido sin autorización por un tercero, y parte de los datos de miembros que le había confiado se filtró. La empresa dice que el incidente se origina en el servicio del proveedor y no en sus propios sistemas. El lado del proveedor y su alcance más amplio se tratan en acceso no autorizado a un servicio de envío de correo (la divulgación del proveedor).
2 de noviembre de 2026
La empresa recibió un informe del proveedor según el cual los datos tomados en el acceso no autorizado incluían información que ella le había confiado.Ese mismo día
La empresa detuvo todo el envío de correo a través de ese servicio e invalidó sus credenciales (contraseña de la consola de administración, clave de API y otras). Pidió al proveedor que identificara e informara de los elementos y el número filtrados, y empezó a comprobar si se había accedido a sus propios sistemas.3 de noviembre
La empresa recibió del proveedor el número y los elementos filtrados y publicó este aviso ese mismo día. Tenía previsto presentar ese día un informe preliminar a la Comisión de Protección de Información Personal y al Japan Institute for Promotion of Digital Economy and Community (JIPDEC).Siguiente
Cuando reciba del proveedor la lista de personas afectadas, la empresa dice que cotejará las direcciones de correo con los miembros, identificará a los afectados y los contactará individualmente.A fecha del 5 de noviembre
La última actualización de la página de avisos de la empresa sigue siendo del 3 de noviembre. No se encontró un segundo informe.
- De dónde se filtraron los datos
- Del servicio del proveedor que la empresa usaba para enviar correo (la empresa dice que no es un sistema propio)
- Magnitud
- 15.821.184 registros. El alcance son los miembros a los que la empresa envió correo a través de ese servicio
- Dirección de correo
- Filtrada
- Información de miembro
- ID y número de miembro, nombre, sexo, fecha de nacimiento, fecha de registro, fecha del último inicio de sesión, y otros
- Datos de contacto
- Número de teléfono, código postal, zona de residencia (nota: la tabla de elementos lista estos tres; el texto que pide a los miembros tener cuidado dice que se incluye la dirección, y no se puede determinar por el aviso si se incluye la dirección completa)
- Información de compra y uso de entradas
- Fecha y hora de compra, tipo de entrada, cantidad, instalación utilizada, fecha de uso, número de participantes, si se canceló, y otros
- No incluido
- Contraseñas e información de tarjetas de crédito (no se confiaron al proveedor)
- Daño
- En el momento del aviso no se había confirmado ningún daño por uso indebido de la información filtrada
- Medidas adoptadas
- Detuvo todo el envío de correo a través del servicio, invalidó las credenciales, pidió al proveedor que identificara los elementos y el número, empezó a comprobar sus propios sistemas, informe preliminar a la Comisión de Protección de Información Personal y otros (previsto)
- Próximos pasos previstos
- Pedir al proveedor que informe con prontitud de los resultados y adopte medidas preventivas fiables; revisar los criterios de selección de proveedores y servicios externos; limitar al mínimo necesario la información confiada a los proveedores
Qué se sabe y qué no
Estado a fecha del 5 de noviembre de 2026. Actualizaremos esta tabla a medida que la empresa publique más información.
| Elemento | Qué dice el aviso | Estado |
|---|---|---|
| Acceso no autorizado de un tercero al servicio de envío de correo del proveedor | Se comprobó que parte de los datos de miembros confiados se había filtrado | Confirmado (empresa) |
| Magnitud | 15.821.184 registros | Confirmado (empresa; la unidad son registros, no se dice personas) |
| Dirección de correo | Listada como información filtrada | Filtración confirmada (empresa) |
| ID y número de miembro, nombre, sexo, fecha de nacimiento, fecha de registro, fecha del último inicio de sesión | Listados como información filtrada (con ‘etc.’) | Filtración confirmada (empresa) |
| Número de teléfono, código postal, zona de residencia | Listados como información filtrada | Filtración confirmada (empresa) |
| Dirección completa | La tabla de elementos lista código postal y zona de residencia, pero el texto que pide a los miembros tener cuidado dice que se incluye la dirección. No se puede determinar por el aviso si se incluye la dirección completa | No indicado |
| Fecha y hora de compra de entradas, tipo, cantidad, instalación utilizada, fecha de uso, participantes, cancelación | Listados como información filtrada (con ‘etc.’) | Filtración confirmada (empresa) |
| Elementos distintos de los listados | El aviso dice ‘etc.’ pero no da desglose | No indicado |
| Contraseñas | No se confiaron al proveedor; no incluidas | No incluidas (empresa) |
| Información de tarjetas de crédito | No se confió al proveedor; no incluida | No incluida (empresa) |
| Daño por uso indebido | Ninguno confirmado en el momento del aviso | No confirmado (empresa) |
| A qué miembros pertenecen las direcciones de correo filtradas | Aún no identificado; el proveedor lo está investigando | En investigación |
| Notificación individual | Prevista cuando se identifique a los miembros afectados; no se da método | Prevista (empresa) |
| Acceso no autorizado a los sistemas de la propia empresa | Investigación iniciada | En investigación |
| Vía y período de la intrusión | No figuran en el aviso de la empresa | No indicado |
| Reanudación del envío de correo | Detenido; sin fecha de reanudación | No indicado |
Nota: 15.821.184 es un recuento de registros, no de miembros
La columna de «recuento» del aviso es el número de registros filtrados. No dice personas, y la empresa aún no ha identificado a qué miembros pertenecen las direcciones de correo filtradas. Tampoco dice si un mismo miembro se cuenta más de una vez, así que no lo hemos convertido en un número de personas. Algunos medios lo dan como 15,82 millones de registros; es la misma cifra, tomada del aviso de la empresa.
Para qué puede servir la combinación de elementos filtrados
Lo siguiente es lo que en general puede ocurrir con esta combinación de elementos. La empresa no ha anunciado que nada de ello haya ocurrido en este incidente, y dice que en el momento del aviso no se había confirmado ningún daño por uso indebido.
- Nombre + número de teléfono + dirección de correo: correos, mensajes de texto y llamadas de apariencia real con el nombre y los datos de contacto correctos
- Instalación utilizada + fecha de uso + cantidad + participantes: avisos falsos que coinciden con una reserva real, como «cancelada por la instalación» o «se necesita un trámite de reembolso». Parecen conocer su reserva, así que cuesta más dudar de ellos
- Si se canceló: material para un mensaje que se hace pasar por un reembolso de una reserva cancelada
- Fecha de nacimiento + sexo + código postal: una consulta suplantada que parece conocer las respuestas a las preguntas de verificación de identidad
- ID y número de miembro + nombre: un mensaje que se hace pasar por una consulta para empujar a una verificación de identidad. Citar un número de miembro no prueba que sea auténtico
- Contraseñas, datos de tarjeta: la empresa dice que no están incluidos, así que no se espera un uso indebido directo de ellos dentro del alcance del aviso
Qué deben revisar los operadores de sitios de reservas y de miembros
No se ha publicado la causa. Esta sección no juzga la respuesta de la empresa; se ciñe a lo que puede comprobar en su propio sitio a partir de los hechos del aviso.
Compruebe cuánta información confía a su proveedor de envío de correo
Según el aviso, la información confiada incluía, además de la dirección de correo, la fecha de nacimiento, el número de miembro y el historial de compra y uso de entradas. Las contraseñas y los datos de tarjeta no se confiaron, así que no formaron parte de la filtración. En nuestra opinión, los datos que no se confían no pueden filtrarse desde el proveedor, lo que limita el daño. En su propio sitio, ponga en una lista lo que el envío realmente necesita (una dirección y un nombre, más o menos) frente a lo que ha confiado, y revise la diferencia. La empresa dice también que limitará lo que confía a los proveedores al mínimo necesario.
Compruebe que puede invalidar el mismo día las credenciales del proveedor
Según el aviso, el mismo día en que recibió el informe del proveedor, la empresa detuvo todo el envío de correo e invalidó la contraseña de la consola de administración, la clave de API y otras. Haga hoy una lista de dónde están la contraseña de la consola, las claves de API y los ajustes de integración de su proveedor, y de quién puede invalidarlos y cuándo.
Decida quién confirmará elementos y cifras cuando el proveedor informe
Según el aviso, el primer informe del proveedor llegó el 2 de noviembre, el informe del número y los elementos filtrados el 3 de noviembre, y la empresa lo publicó ese mismo día. Decida de antemano quién preguntará al proveedor, y para cuándo, qué se confió y cuántos registros, si el proveedor le dice que se tomaron datos. Eso acorta el tiempo hasta la divulgación.
Fuentes (registros públicos)
Los hechos de este artículo se basan en la información pública siguiente. No hemos conjeturado sobre la causa, el período ni la vía de la intrusión, que no se han publicado.
- Asoview Inc., «Disculpas y aviso sobre el acceso no autorizado a un servicio de envío de correo encomendado» (en japonés, 3 de noviembre de 2026) — asoview.co.jp
- Asoview Inc., lista de noticias (en japonés, consultada el 5 de noviembre de 2026) — asoview.co.jp/news
- Prensa (usada solo para comprobar que la cifra y los elementos coinciden con el aviso de la empresa): ITmedia NEWS (en japonés, 4 de noviembre de 2026) — itmedia.co.jp
Historial de actualizaciones
2026-11-05: Primera versión, basada en el aviso de la empresa del 3 de noviembre y en su página de avisos consultada el 5 de noviembre (última actualización del 3 de noviembre). No encontramos ningún seguimiento más reciente que el del 3 de noviembre. Actualizaremos cuando se anuncien los miembros afectados y el método de notificación individual, la causa y el período, si se accedió a los sistemas de la propia empresa o la reanudación del envío de correo.
Lectura recomendada
- Casos similares (acceso no autorizado a servicios de envío de correo): Acceso no autorizado a un servicio de envío de correo (la divulgación del proveedor) / Acceso no autorizado a blastmail / Acceso no autorizado al servicio de envío de correo Cuenote FC
- Otro incidente en un contratista de envío de correo en el mismo periodo: Acceso no autorizado al servicio de envío del boletín de Hotto Motto (hasta unos 7 millones de registros)
- Casos de reservas y entradas: Acceso no autorizado a skyticket / Filtración de datos de compradores de entradas de GETTIIS
- Cómo distinguir mensajes falsos: ¿Qué es el phishing? / Nociones básicas de seguridad en el smartphone
- Otros incidentes de 2026: Filtraciones de datos y ciberataques (Japón y el extranjero)