Filtración de Baitoru (hasta unos 3,89 millones de direcciones de correo): solo se filtraron correos — cómo reconocer mensajes falsos de entrevistas y estafas laborales

La empresa dice que informó a los miembros afectados de Baitoru y Baitoru NEXT el 6 de octubre de 2026 y que los contacta individualmente por correo y otros medios. No se ha publicado ningún método para que los miembros comprueben por sí mismos si están afectados.

Como la gente sabe que llegará un correo de la empresa, son posibles correos falsos que la imiten. Para comprobarlo, no use un enlace del correo; abra el sitio desde la aplicación oficial de su pantalla de inicio o desde un marcador propio y lea los avisos allí.

En una bolsa de empleo es normal recibir mensajes de empleadores sobre horarios de entrevistas o para confirmar una solicitud. Justo por eso, los mensajes que los imitan son difíciles de distinguir.

Ante cualquiera de estos mensajes, compruebe en la aplicación o el sitio oficial si realmente solicitó ese empleo y si la oferta sigue existiendo. Si no recuerda haber solicitado el empleo, o no encuentra la oferta, ignore el mensaje sin abrir el enlace (lo básico: ¿Qué es el phishing?).

Según el aviso de la empresa, las contraseñas y los datos de tarjetas de crédito no estaban entre los datos filtrados. La empresa también afirma que nunca pide contraseñas ni datos de tarjetas por correo u otros mensajes.

Por tanto, un mensaje que le pida escribir una contraseña o un número de tarjeta «para verificar su identidad» o «para proteger su cuenta» es falso. Si ya introdujo alguno, cambie la contraseña de inmediato desde la aplicación oficial, y cámbiela también en cualquier otro servicio donde usara la misma contraseña (cómo comprobar si una contraseña se filtró).

Este es un consejo general sobre bolsas de empleo, no una afirmación sobre Baitoru. La Agencia Nacional de Policía de Japón advierte de que incluso las ofertas de bolsas de empleo legítimas pueden incluir ofertas dañinas que reclutan personas para delitos, como recoger dinero en estafas telefónicas. Entre las señales que enumera están: que le pidan instalar una aplicación de mensajería altamente anónima, que le pidan repetidamente datos personales suyos, de su familia o de sus amigos, y que no pueda confirmar el lugar de trabajo ni el contenido del trabajo.

La agencia afirma que los empleos legítimos a tiempo parcial no necesitan este tipo de aplicaciones, y pide a quien reciba estas peticiones que deje de responder y consulte a la policía. Si ya envió una foto de un documento de identidad, consulte qué hacer si se filtraron los datos de su permiso de conducir japonés.

La Agencia Nacional de Policía enumera, como señales de reclutamiento para delitos (conocido en Japón como yami baito), las ofertas que prometen un sueldo alto sin una descripción clara del trabajo, frases como «sueldo alto», «pago el mismo día» y «trabajo limpio (blanco)», y las ofertas de sueldo alto solo por transportar o recibir paquetes.

Si ya solicitó el empleo y no puede salir de él, la agencia le pide que llame a la línea de consulta policial #9110 o acuda a una comisaría cercana.

El Centro Nacional de Asuntos del Consumidor de Japón advierte sobre trabajos extra que prometen dinero fácil por tareas sencillas en el tiempo libre, pero que terminan con las personas pagando dinero. La mayoría empieza en redes sociales o anuncios, y algunos implican solicitar a través de una aplicación de mensajería.

Si le piden enviar dinero por un trabajo que supuestamente le iba a pagar, llame a la línea de consumo 188 antes de pagar.

Anote cada pantalla o API que devuelva datos de miembros, como direcciones de correo; cada función que indique si una cuenta existe (registro, restablecimiento de contraseña, inicio de sesión); y cada función en la que un número seleccione los datos de alguien. En cada una, compruebe que el servidor verifica siempre si este usuario puede ver ese registro (la idea: autenticación frente a autorización).

Cuente no solo las solicitudes, sino también el número de registros de otras personas devueltos, por cuenta conectada o clave de API. Mida lo que necesita el uso normal, fije el límite a partir de ello y empiece avisando a alguien cuando el uso llegue al 80% del límite. Las direcciones IP pueden cambiarse, así que cuente por cuenta o clave. El diseño completo está en limitación de tasa y control de abusos.

En los registros de acceso, busque a un usuario que consulte IDs secuenciales o direcciones de correo de aspecto similar en rápida sucesión. Las personas que navegan por las pantallas no producen ese patrón, así que las solicitudes por hora y el número de objetivos distintos consultados son buenas señales.

La empresa afirma que, justo después de confirmar el acceso, bloqueó todo acceso desde el extranjero y también modificó el programa. Bloquear por país funciona rápido como primera respuesta para detener el daño. Pero, en general, depende de cómo aparezca el origen de la conexión, así que por sí solo deja el problema en la función. Use el tiempo que gana para añadir comprobaciones de permiso por registro y límites de volumen a la propia función; esa es la solución real.