Para: personas que estaban registradas en Toku-Kai, el servicio de ventajas para titulares de tarjetas Credit Saison que ofrece Benefit One (incluidas las que se han dado de baja), y empresas que externalizan trabajo a proveedores. Este artículo se basa en el aviso oficial de Benefit One y no trata técnicas de ataque.
En desarrollo: este artículo se actualizará a medida que la organización publique más información
A fecha del 30 de octubre de 2026Aún no se sabe
- Causa (cómo entró el atacante)
- Cifra final de personas afectadas
- Si habrá uso indebido más adelante
- Finalización de los avisos individuales
- Cuándo reabrirá Toku-Kai
La empresa escribió en su aviso del 28 de octubre que la investigación continúa, que la cifra puede cambiar y que anunciará con prontitud en su sitio web los nuevos hallazgos. A fecha del 30 de octubre, no aparece en la lista de noticias de la empresa ningún aviso de seguimiento (segundo informe) sobre este asunto.
Qué deben hacer hoy los miembros actuales y antiguos de Toku-Kai
Compruebe si está afectado (se incluye a quienes se dieron de baja)
Según el aviso, los afectados son personas registradas en Toku-Kai, 29.465 en total, y la cifra incluye a algunas personas que se dieron de baja. La empresa dice que contactará uno por uno a los miembros afectados en su correo registrado. Para quienes no pueda localizar, por ejemplo por haberse dado de baja, dice que el anuncio y el servicio de atención sustituyen el aviso individual.
El aviso dice que puede preguntar al servicio de atención de Benefit One (correo security-support@benefit-one.co.jp) si está afectado. Para comprobar si un correo recibido es genuino, no use los enlaces que contiene; compárelo con el anuncio de la empresa en un sitio oficial que usted mismo busque y abra.
No abra enlaces de mensajes que se hagan pasar por la empresa o sus socios
Con nombre, fecha de nacimiento, género, código postal, correo electrónico y número de cliente juntos, alguien puede redactar un mensaje falso convincente con el nombre y los números correctos. La empresa advierte de correos, llamadas y SMS sospechosos que se hacen pasar por la empresa, sus socios o sus proveedores, y dice que nunca pide a los miembros números de tarjeta de crédito ni contraseñas.
Como la empresa tiene previsto enviar correos a los miembros afectados, es concebible un mensaje falso del tipo "confirme si está afectado" o "vuelva a registrar su tarjeta" hecho para parecerse. Trate como falso cualquier mensaje que pida un número de tarjeta o una contraseña y compruebe en un sitio oficial que abra usted mismo (cómo reconocerlos: ¿Qué es el phishing?).
El aviso no pide cambiar el número de tarjeta. Revise su extracto como precaución
La empresa dice que no guarda números de tarjeta de crédito, fechas de caducidad ni códigos de seguridad ni en la empresa ni en el sistema afectado. Los gestiona un procesador de pagos y el sistema del procesador no fue alcanzado, por lo que, dice, no se filtraron datos de tarjeta. El aviso no aconseja cambiar los números de tarjeta.
La empresa también dice que es posible que se hayan filtrado algunos de sus datos de autenticación para conectarse con el sistema de pagos y que, combinados con el número de gestión, era posible procesar de forma fraudulenta pagos de la cuota de membresía. Cambió esos datos el 26 de octubre y dice que esa vía ya no puede usarse para el fraude. Como precaución, revise en su extracto si hay cargos de cuota de Toku-Kai que no reconozca.
El aviso no pide cambiar la contraseña
Las contraseñas no figuran entre los datos filtrados enumerados, y el aviso de la empresa no pide a los miembros que las cambien. Si quiere aprovechar para revisar contraseñas débiles o reutilizadas en otros servicios que usen el mismo correo, merece la pena considerar un gestor de contraseñas, pero no es un paso obligatorio para este incidente.
Un proveedor fue vulnerado y se filtraron datos de miembros de un socio
Según el anuncio, los datos filtrados proceden de un sistema gestionado por un proveedor para un servicio que Benefit One ofrece a los miembros de un socio. La empresa afirma que los datos no se filtraron de un sistema gestionado por Credit Saison.
Desde el punto de vista de un miembro, intervienen una emisora de tarjetas, la empresa que presta el servicio y el proveedor que hace el trabajo, y este acceso no autorizado ocurrió en el sistema del proveedor. Un ejemplo pasado del mismo tipo es la filtración de correos de JR East, VIEW Card y JR Kyushu, en la que varias organizaciones hicieron anuncios separados sobre la misma causa. Este caso puede no seguir el mismo curso.
Credit Saison
Ofrece el servicio a sus titulares de tarjeta. Los datos no se filtraron de sus sistemas
↓→
Benefit One
Presta Toku-Kai
↓→
Sistema del proveedor
Donde ocurrió el acceso no autorizado
Los datos de los miembros se filtraron de un sistema gestionado por el proveedor (anuncio de la empresa).
Qué pasó (según el anuncio de Benefit One)
Lo siguiente se basa en el anuncio de Benefit One del 28 de octubre de 2026 (PDF) y en el aviso de Credit Saison del mismo día.
14 de octubre de 2026, 13:45
Se produce el acceso no autorizado en el proveedor, que se repite de forma intermitente hasta el 20 de octubre a las 14:05.21 de octubre
El proveedor detecta una parte del acceso no autorizado (10:30). Benefit One recibe el informe del proveedor (11:40) y suspende temporalmente el servicio (17:00).23 de octubre
Se informa a la Comisión de Protección de Información Personal (informe preliminar).24 a 25 de octubre
El proveedor detecta un acceso no autorizado adicional que no se había identificado a fecha del día 21. Benefit One recibe un segundo informe el día 25 a las 18:50.26 de octubre
Para evitar más daños, Benefit One cambia los datos de autenticación usados para conectarse con el sistema de pagos.27 de octubre
A las 19:00 recibe un tercer informe del proveedor y reconoce que es posible que se haya filtrado parte de los datos de autenticación.28 de octubre
Benefit One confirma que, por el cambio del 26 de octubre, ya no es posible el procesamiento fraudulento por esa vía. Publica su disculpa y su aviso.
- Servicio afectado
- Toku-Kai (un servicio para titulares de tarjetas de Credit Saison Co., Ltd.). La empresa dice que los datos no se filtraron de los sistemas de Credit Saison
- Datos filtrados
- Nombre, furigana, fecha de nacimiento, género, código postal, correo electrónico, número de cliente, información de alta y baja, y un número de gestión usado para procesar el pago de la cuota de membresía. Los datos varían según el miembro, en función de lo que registró
- Sobre el número de gestión
- Un número que vincula los datos del miembro con la información de pago; no es un número de tarjeta de crédito
- Posiblemente filtrados, aparte de los datos de miembros
- Algunos datos de autenticación de la empresa usados para conectarse con el sistema de pagos. Combinados con el número de gestión, era posible procesar de forma fraudulenta pagos de la cuota de membresía; se cambiaron el 26 de octubre
- Según la empresa, no incluidos
- Datos de tarjeta como números de tarjeta, fechas de caducidad y códigos de seguridad (los gestiona un procesador de pagos, cuyo sistema no fue alcanzado)
- Estado del uso indebido
- Revisado el periodo hasta que se cambiaron los datos de autenticación, no se encontró ningún pago fraudulento atribuible a este incidente. No se ha confirmado ningún daño por uso indebido de estos datos
- Medidas adoptadas
- Suspensión temporal del servicio, bloqueo de las vías conocidas de acceso no autorizado, cambio de los datos de autenticación
- Medidas en curso
- Investigación conjunta con las partes relacionadas y el proveedor, investigación por una empresa especializada externa, aviso a la Comisión de Protección de Información Personal, consulta con la policía, investigación del alcance y la causa
Qué se sabe y qué no
El estado a fecha del 30 de octubre de 2026. Cuando haya un seguimiento, se reescribirá la columna de estado de esta tabla.
| Elemento | Qué dice el anuncio | Estado |
|---|---|---|
| Periodo del acceso no autorizado | De forma intermitente del 14 de octubre de 2026, 13:45, al 20 de octubre, 14:05. El 24 y 25 de octubre se detectó un acceso adicional no identificado a fecha del día 21 | Confirmado (empresa) |
| Número de personas | 29.465 (incluye a algunas que se dieron de baja). Puede cambiar a medida que continúe la investigación | Confirmado (por ahora; puede cambiar) |
| Nombre, furigana, fecha de nacimiento, género, código postal, correo electrónico | Varía según el miembro (depende del registro) | Filtración confirmada (empresa) |
| Número de cliente, información de alta y baja | Igual | Filtración confirmada (empresa) |
| Número de gestión para el pago de la cuota de membresía | No es un número de tarjeta de crédito | Filtración confirmada (empresa) |
| Datos de autenticación para conectarse con el sistema de pagos | Es posible que se hayan filtrado algunos. Cambiados el 26 de octubre | Posible (empresa) |
| Número de tarjeta, fecha de caducidad, código de seguridad | No se guardan; sin filtración | No incluidos (empresa) |
| Contraseñas | No figuran entre los datos filtrados | No consta |
| Procesamiento fraudulento de pagos | No se ha encontrado ninguno atribuible a este incidente | No confirmado (empresa) |
| Daño por uso indebido | No confirmado por el momento | No confirmado (empresa) |
| Causa y vía de intrusión | El sistema de un proveedor recibió un acceso no autorizado de terceros. Detalles en investigación | En investigación |
| Avisos individuales | Se envían uno por uno a los correos registrados | Previsto |
| Reapertura de Toku-Kai | Cuando se identifique la causa y se completen las medidas de prevención; el momento se anunciará en el sitio web de la empresa | Sin fecha |
Cómo leerlo: 'no confirmado' no significa 'no ocurrió'
La empresa escribe que los pagos fraudulentos y el daño por uso indebido "no se han confirmado". Dice que la investigación continúa y que la cifra puede cambiar. Los nombres, las fechas de nacimiento y los correos ya se han filtrado y pueden usarse más adelante en mensajes falsos, de modo que el hecho de que no se incluyan datos de tarjeta y la necesidad de desconfiar de los mensajes son cuestiones distintas.
A qué pueden llevar las combinaciones de datos filtrados
En general, combinaciones como las siguientes pueden llevar a abusos de este tipo. Esto no significa que haya ocurrido aquí.
- Nombre + fecha de nacimiento + correo electrónico + número de cliente: puede redactarse un correo convincente de "confirme" o "aviso de trámite" con el nombre y los números correctos
- Correo electrónico + nombre del servicio (Toku-Kai): una puerta de entrada para mensajes que se hacen pasar por "cuotas de Toku-Kai", "trámites de baja" o "nuevo registro de tarjeta"
- Información de alta y baja: quienes se han dado de baja también pueden recibir mensajes que se hagan pasar por una "confirmación de baja"
Para empresas que usan proveedores: qué permite comprobar la cronología publicada
La causa no se ha revelado. Esta sección no valora la respuesta de la empresa ni del proveedor; se limita a lo que las empresas que usan proveedores pueden comprobar por su cuenta, a partir de la cronología publicada.
- Un proveedor puede encontrar más accesos no autorizados más tarde. En la cronología, el 24 y 25 de octubre se halló un acceso adicional no identificado a fecha del día 21, y los informes llegaron en tres partes. Pregúntese si puede pactar de antemano en el contrato que un informe puede no ser el último y con qué frecuencia recibirá actualizaciones intermedias.
- Mantenga sustituibles los datos de autenticación de las integraciones de pago. El aviso dice que la empresa cambió los datos de autenticación de la integración para evitar más daños y que después recibió un informe del proveedor según el cual parte de ellos pudo filtrarse. En general, si entrega credenciales de integración a un proveedor, conocer los pasos para cambiarlas en cualquier momento, y qué se vería afectado al hacerlo, acorta el tiempo para contener el daño.
- Haga inventario de lo que guarda el proveedor. Aquí el sistema del proveedor guardaba datos desde los nombres de los miembros hasta la información de alta y baja y el número de gestión de pago. Revise periódicamente si los datos que guarda el proveedor están dentro de lo que necesita el trabajo y si hace falta conservar la información de los miembros dados de baja.
Fuentes (registros públicos)
Los hechos de este artículo se basan en la siguiente información pública. No se especulan las vías ni los métodos de intrusión que no se han revelado.
- Benefit One Inc., "Apology and notice regarding the leak of partner members' personal information due to unauthorized access to our outsourcing contractor" (28 de octubre de 2026, PDF, en japonés) — corp.benefit-one.co.jp
- Credit Saison Co., Ltd., "Regarding the personal information leak in Toku-Kai provided by Benefit One Inc." (28 de octubre de 2026, en japonés) — saisoncard.co.jp
- ITmedia NEWS (29 de octubre de 2026, en japonés). Usado para confirmar la coherencia con el anuncio oficial — itmedia.co.jp
Historial de actualizaciones
2026-10-30: Primera versión. Basada en el anuncio de Benefit One del 28 de octubre (PDF) y en el aviso de Credit Saison del mismo día. Se confirmó que, a fecha del 30 de octubre, no aparece en la lista de noticias de la empresa ningún seguimiento (segundo informe) sobre este asunto. La empresa dice que anunciará nuevos hallazgos, y este artículo se actualizará cuando se publiquen.
Lectura recomendada
- Caso del mismo tipo: posible filtración de correos de JR East, VIEW Card y JR Kyushu
- Reconocer estafas posteriores: ¿Qué es el phishing? / Cómo funcionan los gestores de contraseñas y cómo elegir uno
- Otros incidentes de 2026: Filtraciones de datos y ciberataques de 2026 (Japón y en el mundo)