A quién va dirigido: personas que reciben boletines o correos de aviso de empresas y organizaciones, y organizaciones que usan blastmail, el servicio de envío de correo de RAKUS Lite Cloud Co., Ltd. Este artículo se basa en los avisos oficiales de RAKUS Lite Cloud, de su matriz RAKUS Co., Ltd. y de las organizaciones clientes que informaron de afectación. No trata de cómo se llevó a cabo el ataque.
En desarrollo: este artículo se actualizará a medida que la organización publique más información
Según la actualización de las 13:20 del 24 de octubre de 2026Aún no se sabe
- Detalles de la vía de intrusión
- Qué organizaciones clientes son los 344 contratos (la empresa solo las ha contactado individualmente)
- Qué datos de destinatarios se filtraron y cuántos, en cada contrato
- Cuándo se reanudará el servicio
- Si se ha producido algún daño secundario (uso indebido de datos)
RAKUS Lite Cloud dice que continúa una investigación externa de una organización especializada y que su próximo informe está previsto para alrededor de las 10:00 del domingo 25 de octubre. Dice que seguirá informando durante el fin de semana. Describe la cifra de 344 como un número "actual" que puede cambiar a medida que avance la investigación externa.
Qué deben hacer hoy los destinatarios de boletines
No abra enlaces ni archivos adjuntos, aunque el correo lleve el nombre real del remitente
Las direcciones a las que envía blastmail están en listas de destinatarios registradas por la organización remitente. Por eso, si los datos se usan indebidamente, la forma probable son correos falsos que usan el nombre real del remitente.
Incluso en correos como "Confirme los datos de su membresía", "Sus puntos están por caducar" o "Se ha reanudado el envío", no abra enlaces, archivos adjuntos ni códigos QR del mensaje. Para comprobarlo, abra la aplicación oficial o un sitio oficial que tenga guardado en favoritos (cómo reconocer falsificaciones: ¿Qué es el phishing?).
Consulte los avisos de las organizaciones de las que recibe boletines
Abra los avisos de las organizaciones de las que recibe boletines en la tabla "Organizaciones clientes que informaron de afectación" de más abajo. Si una organización no figura en la tabla, consulte la sección de noticias de su sitio oficial. JR Shikoku dice que enviará un correo de disculpas a las personas que puedan estar afectadas cuando esté listo.
No introduzca contraseñas, códigos de verificación ni números de tarjeta cuando se los pidan
RAKUS Lite Cloud dice que no conserva números de tarjeta de crédito. Aun así, alguien que conozca su nombre y su correo electrónico puede redactar un correo que le pida introducirlos. JR Shikoku pide no abrir URL de correos o mensajes de texto sospechosos y no introducir contraseñas, códigos de verificación ni datos similares.
Extreme la precaución con correos de 'remitentes' mientras sus boletines estén detenidos
The Niigata Nippo, el Ministerio de Medio Ambiente, JR Shikoku y otros dicen que su envío de correo mediante blastmail se ha detenido. Si durante este tiempo recibe un correo a su nombre que diga "se ha reanudado el envío" o "actualice su registro", confirme primero la reanudación en las noticias del sitio oficial. The Niigata Nippo dice que los correos automáticos que se envían al registrarse o darse de baja siguen saliendo con normalidad desde otro sistema no afectado por este incidente, por lo que no todos sus correos se han detenido.
Organizaciones clientes que informaron de afectación
Las organizaciones que usan blastmail han publicado sus propios avisos. La lista siguiente recoge solo los avisos que este sitio abrió y comprobó en la página oficial de cada organización y que nombran a blastmail o a RAKUS Lite Cloud (al 24 de octubre de 2026).
Cada estado y cifra se da con las palabras de la propia organización. Las unidades de recuento difieren (personas, registros acumulados, inscripciones), por lo que las cifras no se pueden sumar. La tabla también incluye organizaciones, como giftee, que anunciaron que sus contratos no estaban entre los afectados.
| Organización | Qué usaba el servicio (según la organización) | Datos incluidos (según la organización) | Cantidad (según la organización) | Estado |
|---|---|---|---|---|
| The Niigata Nippo | Boletines, correos de noticias de última hora y similares para los miembros de Niigata Nippo Passport | Nombre (katakana), prefectura, ciudad, correo electrónico, sexo, franja de edad, producto contratado, servicios de boletín contratados. No se incluyen datos de tarjeta de crédito, números de teléfono, fechas de nacimiento, números de cuenta bancaria ni contraseñas | Hasta unas 253.000 personas (todos los miembros) | Filtración confirmada (empresa) |
| JR Shikoku | Boletín de JR Shikoku Tour Web | Nombre, fecha de nacimiento, dirección y correo electrónico introducidos al registrarse | Unos 30.000 registros (máximo) | Posible (empresa) |
| Ciudad de Yokohama (solicitantes de voluntariado para el área de exposición de la ciudad en GREEN×EXPO 2027) | Correos masivos a los solicitantes | Nombre, correo electrónico | 6.334 personas | Posible (ciudad) |
| Ciudad de Yokohama (Yokohama Women's Association for Communication and Networking) | Boletines de la sede de la asociación y de tres centros de igualdad de género | Correo electrónico | 3.932 registros acumulados (inscripciones a finales de marzo de 2026; puede haber duplicados) | Posible (ciudad y asociación) |
| Ciudad de Yokohama (Shirahata District Center) | Boletín informativo publicado por el gestor designado de la instalación | Correo electrónico | Unos 200 registros | Posible (distrito) |
| Ministerio de Medio Ambiente | Seis boletines, entre ellos los del Global Environmental Outreach Centre (GEOC), la Regional Circular and Ecological Sphere y el espacio de restauración ambiental de Fukushima | Correo electrónico; según el boletín, nombre, atributos, afiliación, prefectura y municipio, y observaciones (motivo del registro) | No indicado | Posible (ministerio; sin filtración confirmada) |
| giftee | Envío de correo para Tabisaki Nouzei, la plataforma e-machi y giftee Benefit | ID de Tabisaki Nouzei y correo electrónico / nombre del gobierno local o de la empresa, nombre de contacto, departamento y correo electrónico / correo electrónico, ID de giftee Benefit y URL de inicio de sesión de la empresa | No indicado | No confirmado (empresa; su contrato no estaba entre los 288 al 23 de octubre) |
'Posible' en la tabla no significa que se haya confirmado una filtración
JR Shikoku y los tres casos de la ciudad de Yokohama se publicaron el 22 de octubre como casos en los que los datos "podrían haberse filtrado". Los documentos de la ciudad de Yokohama sobre el Shirahata District Center y la asociación de igualdad de género dicen que una filtración "no puede confirmarse por ahora". El Ministerio de Medio Ambiente también dice que hasta ahora no se ha confirmado ninguna filtración de datos de destinatarios. The Niigata Nippo dice que la tarde del 22 de octubre RAKUS Lite Cloud le informó de que se habían filtrado los datos de todos los miembros. Compruebe si una organización de la que recibe boletines figura en la tabla y esté atento a los avisos posteriores de esa organización.
El documento de la ciudad de Yokohama sobre GREEN×EXPO incluye también un aviso de la Japan Association for the International Horticultural Expo 2027. El contratista que envía correos masivos a sus voluntarios también usa blastmail, y los datos que podrían haberse filtrado son el número de solicitud de voluntario, el número de actividad y el correo electrónico (la asociación dice que no proporcionó nombres ni otros datos identificativos). No se ha confirmado si los voluntarios registrados están afectados.
The Niigata Nippo había dicho en su segundo aviso que unos 7.000 miembros del Niigata Salmon Project podrían estar afectados; su tercer aviso decía que no estaban entre los 288, y su quinto aviso decía que no estaban entre los 56 recién identificados.
Qué ocurrió (según los avisos de RAKUS y RAKUS Lite Cloud)
Lo siguiente se basa en el primer y el segundo informe de RAKUS Co., Ltd. del 21 de octubre y en el aviso de RAKUS Lite Cloud (versión actualizada a las 13:20 del 24 de octubre). RAKUS Lite Cloud es una filial de propiedad total de RAKUS Co., Ltd. El sitio web del producto blastmail se ha retirado temporalmente para comprobaciones de seguridad.
0:30, miércoles 21 de octubre de 2026
Se detectó un acceso sospechoso al sistema y blastmail se cerró de emergencia (no se pueden usar la consola de administración ni la API). El envío de correo también se detuvo a partir de la 1:00 aproximadamente.21 de octubre
RAKUS publicó su primer informe (impacto y causa en investigación; notificado a la Comisión de Protección de Información Personal y al Japan Institute for Promotion of Digital Economy and Community (JIPDEC)). Su segundo informe dijo después que había confirmado que un tercero externo accedió sin autorización al sistema y extrajo datos, incluida información personal. Ese mismo día, RAKUS también suspendió otros siete servicios como precaución.Tarde del 21 de octubre
Según los documentos de la ciudad de Yokohama, el operador del servicio de envío informó de que se había confirmado una filtración en parte de las listas de destinatarios y datos relacionados de todos sus clientes (alrededor de las 17:32 para el Shirahata District Center, alrededor de las 17:00 para la asociación de igualdad de género).22 de octubre
Los otros siete servicios de RAKUS se reanudaron (dijo que no se confirmó acceso no autorizado ni filtración de datos en ellos). Las organizaciones clientes empezaron a publicar avisos.23 de octubre
Se publicó una guía para el informe conjunto a la Comisión de Protección de Información Personal (solicitudes hasta el 29 de octubre). Según los avisos de giftee y The Niigata Nippo, ese día la empresa anunció que había terminado de contactar con los 288 contratos en los que se había confirmado una filtración de datos de envío.13:20, 24 de octubre
Actualizado para indicar que se había completado el contacto individual con los 344 contratos, incluidos 56 recién identificados. Fecha de reanudación no fijada.
Destinatarios de correo
Correos electrónicos y otros datos registrados en la organización remitente. Filtración de datos de envío, como listas de destinatarios, confirmada en 344 contratos
Qué hacer: no abra enlaces de correos que digan ser del remitente
Organizaciones clientes (contratantes)
Se tomaron el nombre de empresa, el nombre de contacto, el teléfono, el correo, la dirección de facturación y el historial de contratos y pagos de todos los clientes
Qué hacer: decidir sobre el informe y el aviso; atención a correos de facturación falsos
RAKUS Lite Cloud
Se entró en dos servidores de API y se conectó al sistema de gestión de ventas y a la base de datos del servicio
Vía de intrusión en investigación
- Servicio
- El sistema de envío de correo blastmail (proporcionado por RAKUS Lite Cloud Co., Ltd., filial de RAKUS Co., Ltd.)
- Qué se confirmó
- Un tercero externo accedió sin autorización al sistema y extrajo datos, incluida información personal
- Datos de clientes
- Del sistema de gestión de ventas, el nombre de empresa, el nombre de contacto, el teléfono, el correo electrónico, el correo de facturación, el historial de contratos y pagos y datos similares de todos los clientes. La empresa no conserva números de tarjeta de crédito
- Datos de envío
- En algunos clientes también se confirmó la filtración de listas de destinatarios y datos similares: 344 contratos al 24 de octubre a las 13:20 (puede cambiar), todos contactados individualmente
- Causa según la empresa
- Un tercero externo entró en dos servidores de API, ejecutó comandos y se conectó al sistema de gestión de ventas y a la base de datos del servicio para extraer datos. Detalles de la vía de intrusión en investigación
- Respuesta
- Cierre de emergencia del servicio, informes a la Comisión de Protección de Información Personal y a JIPDEC, investigación externa de una organización especializada e informes conjuntos con las organizaciones clientes
- Contacto
- Centro de soporte de blastmail (support@blastmail.jp, teléfono 03-6862-7337, días laborables de 10:00 a 17:00)
Qué se sabe y qué no
Estado según la actualización de las 13:20 del 24 de octubre de 2026. Cuando haya informes posteriores, se actualizará la columna de estado de esta tabla.
| Elemento | Qué dicen los avisos | Estado |
|---|---|---|
| Datos extraídos | Un tercero externo accedió sin autorización al sistema y extrajo datos, incluida información personal | Filtración confirmada (empresa) |
| Datos de clientes | Nombre de empresa, nombre de contacto, teléfono, correo electrónico, correo de facturación, historial de contratos y pagos y datos similares de todos los clientes | Filtración confirmada (empresa) |
| Listas de destinatarios y similares | Contratos con filtración confirmada de datos distintos de los de cuenta de cliente (como listas de destinatarios): 344 (cifra actual) | Filtración confirmada (empresa) |
| Qué organizaciones son los 344 contratos | No divulgado; clientes afectados contactados individualmente | En investigación |
| Número de destinatarios | No indicado en los avisos de RAKUS Lite Cloud | No indicado |
| Números de tarjeta de crédito | No los conserva la empresa | No incluidos (empresa) |
| Causa | Intrusión en dos servidores de API, ejecución de comandos y conexión al sistema de gestión de ventas y a la base de datos | Confirmada (empresa); vía de entrada en investigación |
| Vía de intrusión | Detalles en investigación | En investigación |
| Reanudación del servicio | No fijada | En investigación |
| Otros servicios de RAKUS | Siete servicios suspendidos como precaución y reanudados el 22 de octubre; no se confirmó acceso no autorizado ni filtración | No confirmado (RAKUS) |
| Daño secundario (uso indebido de datos) | No indicado por RAKUS Lite Cloud. The Niigata Nippo dijo en su segundo aviso del 22 de octubre que no se ha confirmado ningún uso indebido | No confirmado (The Niigata Nippo) |
Para qué pueden usarse los datos filtrados
En general, cuando se dispone de las siguientes combinaciones, puede ocurrir el siguiente uso indebido. Esto no significa que haya ocurrido en este caso.
- Correo electrónico más el nombre del remitente: llegan correos falsos a nombre de esa organización a la misma dirección que el boletín real, y los destinatarios suponen con facilidad que es "la organización que siempre me envía boletines"
- Nombre, franja de edad, dirección y datos similares (varían según el remitente): los correos falsos pueden incluir su nombre real o su zona, lo que los hace más creíbles que el spam masivo
- Nombre de empresa del cliente, nombre de contacto, teléfono, correo de facturación e historial de pagos: material para facturas falsas, solicitudes de cambio de datos de pago o correos o llamadas de "vuelva a iniciar sesión por la reanudación" que digan ser de blastmail o RAKUS
Otros casos de este mes en que un servicio de envío expuso a los destinatarios de muchas organizaciones clientes son el acceso no autorizado al servicio de envío de correo Cuenote FC de Ymirlink y el acceso no autorizado al servicio de correo de alertas de desastre SpeeCAN RAIDEN. En ambos, los destinatarios comprobaron si estaban afectados a través de los avisos de las organizaciones de las que reciben correo. Esta vez, además, se tomaron los datos de contacto y el historial de pagos de todas las organizaciones clientes.
Qué deben hacer las organizaciones que usan blastmail
RAKUS Lite Cloud dice que ha contactado individualmente con los clientes cuyas listas de destinatarios y datos similares se confirmaron filtrados. Los pasos siguientes se basan en la guía de la empresa y en la de la Comisión de Protección de Información Personal.
Compruebe si fue contactado individualmente
RAKUS Lite Cloud dice que ha terminado de contactar con los 344 contratos en los que se confirmó una filtración de datos distintos de los de cuenta de cliente, como listas de destinatarios. Compruebe si llegó un mensaje a las direcciones de contacto y de facturación registradas en su contrato. La empresa dice que la cifra puede cambiar, así que siga consultando sus actualizaciones aunque no haya llegado nada. Contacte con el centro de soporte indicado en la página de avisos de la empresa.
Haga una lista de lo que registró en sus listas de destinatarios
Los datos afectados dependen de lo que usted puso en sus listas de destinatarios. The Niigata Nippo enumera ocho elementos, entre ellos nombre (en katakana), sexo y franja de edad, mientras que el correo masivo a voluntarios de GREEN×EXPO enumera número de solicitud de voluntario, número de actividad y correo electrónico y dice que no se proporcionaron nombres. Poder decir qué elementos no tenía mantiene breve su explicación a los destinatarios.
Decida si notifica a la Comisión de Protección de Información Personal y si avisa a las personas
Los datos personales de una lista de destinatarios son datos personales gestionados por la organización que envía el correo. Según la Comisión de Protección de Información Personal, deben notificarse las filtraciones que puedan haberse realizado con un fin ilícito (incluidos los casos sospechados) y las que afecten a más de 1.000 personas (más de 100 para órganos administrativos y gobiernos locales) (Responding to leaks and helpful resources, en japonés).
RAKUS Lite Cloud ofrece un procedimiento para que las organizaciones clientes informen a la Comisión conjuntamente con la empresa (guía de informe conjunto, solicitudes hasta el 29 de octubre de 2026). Según la empresa, incluso con un informe conjunto, las organizaciones clientes cuyas listas de destinatarios se confirmaron filtradas deben avisar ellas mismas a las personas, y las organizaciones que poseen la PrivacyMark deben informar ellas mismas a JIPDEC. Si tiene dudas, consulte el servicio de atención de la Comisión o a un profesional, como un abogado.
Advierta a sus destinatarios
La mayoría de las organizaciones que informaron de afectación piden estar atentos a correos sospechosos que se hagan pasar por ellas y no abrir las URL. Publique la advertencia en las noticias de su sitio oficial y, si la envía por correo, haga que sea fácil distinguirla de las falsificaciones: sin enlaces e indicando la dirección del remitente.
Advierta a su propio personal sobre correos falsos de facturación y de nuevo inicio de sesión
Se tomaron los nombres de contacto, teléfonos, correos electrónicos, correos de facturación e historial de pagos de todos los clientes. Diga a su personal de contabilidad y de correo que, si reciben facturas, cambios de datos de pago o instrucciones de nuevo inicio de sesión por la reanudación que digan ser de blastmail o RAKUS, deben comprobarlo a través de los avisos oficiales de la empresa o de su centro de soporte, no mediante enlaces del correo (cómo comprobar remitentes: Conceptos básicos de SPF, DKIM y DMARC).
La opinión de este sitio: los clientes de un servicio de envío son a la vez remitentes y partes afectadas
En los incidentes de servicios de envío de correo, la atención suele ir a las direcciones de los destinatarios. Esta vez, además, se tomaron los datos de contacto y el historial de pagos de todas las organizaciones clientes. Las organizaciones clientes tienen que explicar el incidente a sus destinatarios y, al mismo tiempo, su propio personal puede ser objetivo de ataques.
Compruebe los contactos registrados en el servicio de envío
Compruebe si el correo de contacto o de facturación registrado al contratar sigue siendo la dirección personal de alguien que ya se fue. Eso se nota en avisos individuales que no se reciben o en facturas falsas que nadie advierte. Usar una dirección compartida de un departamento mantiene el contacto cuando cambia el personal.
Revise las claves de API y las contraseñas de administración siguiendo la guía de la empresa tras la reanudación
Según los avisos, el tercero entró en servidores de API y se conectó a la base de datos del servicio. No dicen si se filtraron claves de API o contraseñas de la consola de administración. Cuando el servicio se reanude, consulte la guía de la empresa, regenere las claves de API si puede y asegúrese de que la contraseña de administración no se reutilice en otros servicios (conceptos básicos del manejo de claves: Conceptos básicos de .env y claves de API).
Decida cómo llegar a las personas cuando el envío se detenga
El envío está detenido desde el 21 de octubre y no se ha fijado fecha de reanudación. The Niigata Nippo y la asociación de GREEN×EXPO han trasladado sus comunicaciones durante la interrupción a sus sitios web oficiales. Decida de antemano qué usará cuando el envío se detenga (sobre la gestión de proveedores, vea también Cuando su proveedor de alojamiento sufre una brecha).
Fuentes (registro público)
Los hechos de este artículo se basan en la información pública siguiente. No se especula sobre la vía de intrusión no divulgada.
- RAKUS Co., Ltd., "[First report] Detection of suspicious access to blastmail, provided by our subsidiary, and service suspension" (21 de octubre de 2026, en japonés) — rakus.co.jp
- RAKUS Co., Ltd., "[Second report] Data leak due to unauthorized access to blastmail, provided by our subsidiary, and service suspension" (21 de octubre de 2026, en japonés) — rakus.co.jp
- RAKUS Lite Cloud Co., Ltd., "[Important] Apology and report on the emergency suspension of blastmail and the personal data leak (updated 13:20, October 24, 2026)" (en japonés) — info.blastmail.jp
- RAKUS Lite Cloud Co., Ltd., "Temporary suspension of the blastmail website" (en japonés) — info.blastmail.jp
- RAKUS Lite Cloud Co., Ltd., "Guide to joint reporting to the Personal Information Protection Commission" (23 de octubre de 2026, en japonés) — info.blastmail.jp
- RAKUS Co., Ltd., avisos de la suspensión temporal (21 de octubre) y la reanudación (22 de octubre) de siete servicios (en japonés) — suspensión / reanudación
- The Niigata Nippo, avisos sobre la filtración de datos de miembros por acceso no autorizado en RAKUS Lite Cloud (segundo aviso 22 de octubre, tercero 23 de octubre, quinto 24 de octubre, en japonés) — segundo / tercero / quinto
- Shikoku Railway Company (JR Shikoku), "Possible leak of personal data due to unauthorized access at RAKUS Lite Cloud" (22 de octubre de 2026, en japonés) — jr-shikoku.co.jp
- Comunicados de prensa de la ciudad de Yokohama sobre posibles filtraciones en los correos a solicitantes de voluntariado de GREEN×EXPO, los boletines de la Yokohama Women's Association for Communication and Networking y el boletín del Shirahata District Center (todos del 22 de octubre de 2026, en japonés) — GREEN×EXPO / asociación de igualdad de género / Shirahata District Center
- Ministerio de Medio Ambiente, "Possible leak of recipient data for newsletters involving the Ministry of the Environment" (23 de octubre de 2026, en japonés) — env.go.jp
- giftee, Inc., "[Follow-up] Possible leak of personal data due to unauthorized access at RAKUS Lite Cloud" (publicado el 22 de octubre, actualizado el 23 de octubre de 2026, en japonés) — giftee.co.jp
- Comisión de Protección de Información Personal, "Responding to leaks and helpful resources" (en japonés) — ppc.go.jp
Historial de actualizaciones
2026-10-24: Primera versión, basada en el primer y el segundo informe de RAKUS del 21 de octubre, el aviso de RAKUS Lite Cloud actualizado a las 13:20 del 24 de octubre y su guía de informe conjunto, y los avisos de las organizaciones clientes. Se actualizará cuando se divulguen la vía de intrusión, las organizaciones clientes afectadas o la reanudación del servicio.
Leer a continuación
- Acceso no autorizado al creador de sitios web Studio: los datos de todos los usuarios y los envíos de formularios podrían haberse filtrado — qué deben hacer quienes enviaron formularios y los propietarios de sitios
- Incidentes similares: Acceso no autorizado a Cuenote FC de Ymirlink / Acceso no autorizado a SpeeCAN RAIDEN
- Cómo reconocer correos falsos: ¿Qué es el phishing? / Cuando llega spam desde su propia dirección
- Comprobación de remitentes (para operadores de sitios): Conceptos básicos de SPF, DKIM y DMARC
- Otros incidentes de 2026: Lista de filtraciones de datos y ciberataques