Para: cualquier persona que se haya registrado como socio de Bookoff en Japón mediante la app oficial, la tienda en línea oficial o la web (incluidos los antiguos socios), y cualquiera que gestione un servicio que guarde datos de socios. Este artículo se basa en los avisos oficiales de BOOKOFF GROUP HOLDINGS LIMITED y no trata técnicas de ataque.
En desarrollo: este artículo se actualizará a medida que la organización publique más información
A 24 de octubre de 2026Aún no se sabe
- Cómo entró el atacante (la empresa dice que no da detalles)
El segundo informe del 13 de octubre indicó el número de personas, los servicios involucrados, los datos que podrían haberse filtrado y los datos no involucrados; la corrección del 16 de octubre añadió "ocupación" y "apodo" a los datos. El aviso del 23 de octubre dijo que los correos individuales a todas las direcciones que la empresa pudo confirmar como entregables se habían enviado a más tardar el 22 de octubre, que se había añadido al sitio de socios una consulta web para comprobar si uno está afectado y que el 22 de octubre se abrió una línea gratuita dedicada. El aviso del 23 de octubre no indica ningún cambio en las cifras. La empresa investiga la causa con expertos externos y dice que anunciará con prontitud cualquier hecho nuevo.
Qué deben hacer hoy los socios de Bookoff
Compruebe si está afectado (socios de la app, de la tienda en línea y de la web)
Según el segundo informe, los afectados son los socios de la app, de la tienda en línea y de la web de Bookoff en Japón, incluidos los antiguos socios. No están incluidas las personas que solo usan una tarjeta de socio y nunca se registraron en la app o la web.
Los servicios afectados y no afectados se muestran en la figura de "Qué ocurrió", más abajo. Los socios de BOOKOFF SUPER BAZAAR, BOOKOFF PLUS, BOOKOFF, la tienda en línea oficial y otros están afectados; Booklog, Aoyama Book Center, Japan TCG Center y otros usan sistemas distintos y no lo están.
El 23 de octubre la empresa añadió una consulta web en el sitio de socios de Bookoff que indica si uno está afectado. Cómo usarla (según el aviso y las preguntas frecuentes de la empresa):
- Abra el sitio de socios de Bookoff (member.bookoff.co.jp) desde el aviso de la empresa o desde el sitio web oficial de Bookoff que abra usted mismo, no desde un enlace de un correo o SMS
- Inicie sesión con el correo y la contraseña registrados en Bookoff y siga las indicaciones en pantalla para comprobar si está afectado
- Si ha registrado varias direcciones de correo o cuentas de socio, compruebe cada cuenta
- Si no puede iniciar sesión, por ejemplo porque se dio de baja, contacte con el servicio dedicado (último paso, más abajo)
La empresa dice que no recibir un correo individual no significa que no esté afectado. También pueden estar afectados los socios que trasladaron los datos de su tarjeta de socio a la app o la web. Si se ha registrado en la app o la web, siga también los pasos siguientes, sin esperar al resultado de la consulta.
Cambie su contraseña de la app oficial y de la tienda en línea, y la de cualquier otro servicio que la comparta
En su segundo informe la empresa pide a los socios afectados que cambien sus contraseñas de la tienda en línea oficial de BOOKOFF y de la app oficial. Hágalo desde la app oficial o un sitio web que abra usted mismo. La empresa dice que sus correos de aviso no contendrán enlaces a una pantalla de cambio de contraseña.
Lo que podría haberse filtrado es el hash de la contraseña (un valor convertido de modo que no se puede volver a transformar en la contraseña), que según la empresa no se puede convertir de nuevo en la contraseña tal cual. En general, sin embargo, las contraseñas cortas o comunes a veces pueden deducirse a partir de un hash (cómo funciona: ¿Qué es el hash de contraseñas?). Una contraseña recuperada junto con una dirección de correo se prueba en otros servicios.
La empresa también pide a los socios que cambien cualquier contraseña idéntica o similar usada en otros servicios. Empiece por el correo electrónico, las compras en línea y los servicios financieros. Un gestor de contraseñas es la forma práctica de dejar de repetir contraseñas, y añadir la verificación en dos pasos hace los inicios de sesión aún más seguros.
No abra enlaces de correos, mensajes de texto ni llamadas que digan ser de Bookoff
La empresa advierte de que pueden llegar correos, mensajes de texto y llamadas que se hagan pasar por el grupo o sus socios comerciales. Pide a los socios que no abran enlaces ni archivos adjuntos de mensajes inesperados y que no introduzcan datos personales ni datos de inicio de sesión.
Dice que el grupo nunca pedirá contraseñas, datos de tarjetas de crédito ni datos de cuentas bancarias por correo, mensaje de texto o teléfono (su aviso del 9 de octubre incluía también los códigos de verificación). Cualquier solicitud de esos datos es falsa (cómo reconocerla: ¿Qué es el phishing?).
Compruebe incluso el correo de aviso real desde un punto de entrada oficial
La empresa envió correos a los socios afectados a su dirección registrada, por etapas, desde el 15 de octubre de 2026 (jueves), y dice que el envío a todas las direcciones que pudo confirmar como entregables terminó el 22 de octubre (jueves). El asunto es "不正アクセスによる個人情報漏えいに関するお詫びとお知らせ" (disculpa y aviso sobre una filtración de datos personales por acceso no autorizado), y las preguntas frecuentes (a 23 de octubre) indican como remitente "bookoff@2902.net". Es posible que los correos no lleguen por cambios de dirección o por la configuración del correo, y no recibir uno no significa que no esté afectado; por eso, use la consulta web indicada arriba para comprobarlo. Las direcciones de remitente pueden falsificarse, así que un remitente coincidente no basta para demostrar que un correo es genuino.
La empresa dice que estos correos nunca le pedirán que introduzca o responda con una contraseña, datos de tarjetas de crédito ni datos de cuentas bancarias, y que no contendrán enlaces a una pantalla de cambio de contraseña. Un mensaje con el mismo asunto que enlace a una pantalla de cambio de contraseña o que pida introducir o responder con una contraseña, datos de tarjeta o datos bancarios no coincide con esa descripción oficial. Compruébelo mediante el contacto oficial sin usar los enlaces del correo. Verifique el contenido en la app oficial o en el sitio web oficial abierto desde su propio marcador o una búsqueda.
Busque uso de puntos u otra actividad que no reconozca
La empresa pide a los socios que contacten con su servicio de consultas si notan un contacto sospechoso o un uso que no reconocen. Si puede iniciar sesión en la app oficial o la tienda en línea, revise su saldo de puntos, el historial de uso y los datos registrados por si hay cambios que usted no hizo. La empresa dice que, a 13 de octubre, no había encontrado reescritura de datos de socios ni uso indebido de puntos.
Use los puntos de contacto indicados en el aviso oficial
El 22 de octubre (jueves) la empresa abrió una línea gratuita dedicada a este incidente, 0120-300-663 (de 10:00 a 18:30, todos los días, en japonés). Antes dirigía a las personas al servicio de atención al cliente del Grupo Bookoff. El otro punto de contacto es el formulario de consultas dedicado en el sitio web de Bookoff Group Holdings (ambos figuran en el aviso del 23 de octubre). Búsquelos mediante el aviso del sitio web oficial que abra usted mismo, no mediante números o enlaces de un mensaje que haya recibido.
Qué ocurrió (según Bookoff Group Holdings)
Lo siguiente se basa en el aviso de la empresa del 9 de octubre de 2026 (primer informe, divulgación a la bolsa), su segundo informe del 13 de octubre (divulgación a la bolsa), su corrección al segundo informe del 16 de octubre (divulgación a la bolsa), su aviso del 23 de octubre sobre la consulta web y la línea gratuita, y sus preguntas frecuentes (a 23 de octubre).
4–6 de octubre de 2026
Los datos de socios gestionados en el sistema de gestión de socios de BOOKOFF CORPORATION fueron sustraídos desde el exterior (conclusión del segundo informe).6 de octubre (mar.)
Se confirmó el acceso no autorizado de un tercero al sistema de gestión de socios.Después de la confirmación
Se bloqueó el tráfico procedente del origen del ataque y la ruta utilizada, y se reforzaron los controles de acceso y la supervisión. La ruta conocida usada para sustraer los datos fue contenida.9 de octubre (vie.)
Se publicó el primer informe, que indicaba hasta unos 6,43 millones de registros (números de socio).13 de octubre (mar.)
Se publicaron el segundo informe y las preguntas frecuentes. La cifra se fijó en 6.383.279 personas (6.427.735 registros por número de socio), con los servicios involucrados, los datos no involucrados y una petición de cambiar las contraseñas. La empresa dice que ha informado a la Comisión de Protección de la Información Personal y ha consultado a la policía.Desde el 15 de octubre (jue.)
Comenzaron, por etapas, los correos a las direcciones registradas de los socios afectados (completados el 22 de octubre). Se revisaron las preguntas frecuentes (a 15 de octubre) y se indicó la dirección del remitente.16 de octubre (vie.)
Se publicó la corrección al segundo informe. "Ocupación" y "apodo" se habían omitido de los datos que podrían haberse filtrado y se añadieron. La empresa dice que el número de registros, el número de personas y el resto del informe no cambian.22 de octubre (jue.)
Se completó el envío de correos individuales a todas las direcciones confirmadas como entregables. Se abrió la línea gratuita dedicada (0120-300-663).23 de octubre (vie.)
Se anunció una consulta web en el sitio de socios de Bookoff para comprobar si uno está afectado. Las preguntas frecuentes se sustituyeron por una versión a 23 de octubre.
- Sistema
- El sistema de gestión de socios de Bookoff en Japón, proporcionado por la filial consolidada BOOKOFF CORPORATION LIMITED
- Personas y registros
- 6.383.279 personas (6.170.908 socios activos, 212.371 antiguos socios). 6.427.735 registros por número de socio. La cifra de registros es el número de números de socio cuyos datos, según los registros del sistema, se enviaron al exterior; la cifra de personas cuenta como una sola persona varios registros de socio registrados con la misma dirección de correo
- Socios afectados
- Socios de la app, de la tienda en línea y de la web. No están incluidas las personas que solo usan una tarjeta de socio y nunca se registraron en la app o la web
- Datos
- Nombre, fecha de nacimiento, sexo, ocupación, apodo, correo electrónico, teléfono, código postal y dirección registrados como información de socio, hash de contraseña, número de tarjeta de puntos, número de socio (ocupación y apodo añadidos por la corrección del 16 de octubre). No se filtraron todos los datos de todos los socios
- Contraseñas
- Hashes, que según la empresa no se pueden convertir de nuevo en la contraseña tal cual. Se pide a los socios afectados que cambien sus contraseñas de la tienda en línea oficial y de la app
- No incluidos
- Datos de pago, como los de tarjetas de crédito; datos de cuentas bancarias; la dirección introducida y el texto leído de documentos de identidad en las compras en tienda; las direcciones de entrega indicadas aparte de la dirección de socio al hacer pedidos; las direcciones de recogida y las imágenes de documentos de identidad de las compras por correo
- Publicación y uso indebido
- A 13 de octubre no se había encontrado publicación de los datos, uso indebido de puntos ni reescritura de datos de socios
- Próximos pasos
- Investigación de la causa con expertos externos, revisión de emergencia de todos los sistemas del grupo, seguridad adicional y medidas de prevención permanentes. Se informó a la Comisión de Protección de la Información Personal y se consultó a la policía
Afectados (sistema de gestión de socios de Bookoff)
BOOKOFF SUPER BAZAAR, BOOKOFF PLUS, BOOKOFF, tienda en línea oficial de BOOKOFF, あそビバ (Asobiba), BOOKOFF FASHION, BINGO, B·SPORTS, B·STYLE, Rehello by BOOKOFF (tiendas)
No afectados (gestionados en sistemas distintos)
hugall, aidect, Rehello by BOOKOFF (en línea), Japan TCG Center, Booklog, Aoyama Book Center, ブックオフおかたづけサービス (Bookoff Okatazuke, un servicio de orden y despeje del hogar)
Qué se sabe y qué no
Situación a 24 de octubre de 2026. Cuando se publique un nuevo informe, se actualizará la columna de estado.
| Elemento | Lo que dijo la empresa | Estado |
|---|---|---|
| Datos sustraídos desde el exterior | Los datos de socios fueron sustraídos desde el exterior entre el 4 y el 6 de octubre | Filtración confirmada (empresa) |
| Personas y registros | 6.383.279 personas (6.427.735 registros por número de socio) | Filtración confirmada (empresa) |
| Socios y servicios | Socios de la app, de la tienda en línea y de la web, en los servicios que usan el sistema de gestión de socios de Bookoff en Japón (no se incluye a quienes solo usan la tarjeta de socio) | Filtración confirmada (empresa) |
| Datos | Nombre, fecha de nacimiento, sexo, ocupación, apodo, correo, teléfono, código postal y dirección, hash de contraseña, número de tarjeta de puntos, número de socio (varía según la persona; ocupación y apodo añadidos por la corrección del 16 de octubre) | Posible (empresa) |
| Datos de pago y datos bancarios | No se gestionan en este sistema | No incluidos (empresa) |
| Documentos de identidad (texto leído en compras en tienda, imágenes de compras por correo) | No se gestionan en este sistema | No incluidos (empresa) |
| Publicación, uso indebido de puntos o reescritura | No encontrados a 13 de octubre | No encontrados (empresa) |
| Causa y vía de entrada | No se revelan porque publicarlos podría invitar a nuevos ataques | En investigación |
| Petición de cambio de contraseña | Pide cambiar las contraseñas de la tienda en línea oficial y de la app | Solicitado |
| Avisos individuales | Enviados por correo a las direcciones registradas, por etapas, desde el 15 de octubre; el envío a todas las direcciones confirmadas como entregables se completó el 22 de octubre (remitente bookoff@2902.net). No recibir uno no significa que no esté afectado | Confirmado (empresa) |
| Cómo comprobar si está afectado | Consulta web añadida al sitio de socios de Bookoff el 23 de octubre; quienes no pueden iniciar sesión usan el servicio dedicado | Confirmado (empresa) |
Cómo leer esto: «no se ha encontrado uso indebido» no significa «seguro»
Lo que dice la empresa es que, a 13 de octubre, no había encontrado que los datos filtrados se hubieran publicado ni que se hubieran usado indebidamente puntos. La filtración en sí está confirmada. Los mensajes falsos pueden llegar mucho después de una filtración, así que manténgase alerta al menos varios meses.
Para qué pueden usarse estas combinaciones de datos
En general, las siguientes combinaciones hacen posible el siguiente uso indebido. Esto no significa que haya ocurrido en este caso.
- Nombre + dirección + teléfono + correo electrónico: un mensaje convincente de «disculpa» o «confirme sus datos» con el nombre y la dirección correctos. Una ocupación o un apodo lo hace parecer aún más personal
- Correo electrónico + hash de contraseña: si la contraseña es fácil de adivinar, puede recuperarse y probarse en otros servicios que la compartan
- Número de socio o de tarjeta de puntos + fecha de nacimiento: material para hacerse pasar por el socio por teléfono o en una solicitud de soporte. Conocer estos números no demuestra quién es alguien
En un caso anterior, la filtración de la app de Seicomart anunciada en septiembre de 2026, la cifra también se fijó en informes posteriores tras una primera cifra de unas 570.000 cuentas. Aquí, el segundo informe convirtió el «hasta unos 6,43 millones de registros (números de socio)» del primer informe en 6.427.735 registros y 6.383.279 personas.
Abrir el enlace del correo o mensaje de texto
Hay que juzgar por la redacción si es real
↓→
Riesgo de escribir su contraseña en una página de inicio de sesión falsa
Entrar por la app oficial o un sitio que abra usted mismo
Trate el correo solo como señal de que existe un aviso
↓→
Solo ve el aviso real. No hace falta juzgar
Opinión de este sitio: los avisos reales y los falsos llegarán la misma semana
En este caso, la empresa anunció de antemano la fecha de inicio (15 de octubre) y el asunto de sus correos a los socios afectados. Saber cuándo llegarán esos correos y cómo se llaman ayuda tanto a quien envía falsificaciones como a los socios. La forma más fiable de distinguirlos no es la redacción, sino elegir usted mismo el punto de entrada. Si nunca usa los enlaces del correo y siempre entra por la app oficial o un sitio web que abra usted mismo, puede comparar el mensaje con el aviso oficial sin depender de sus enlaces.
Para servicios que guardan datos de socios: haga que los avisos de filtración se distingan de las falsificaciones
La empresa no revela detalles de la causa, así que esta sección no trata cómo prevenir la intrusión. De los avisos se pueden extraer dos cosas: los hashes de contraseñas estaban entre los datos y la empresa se pone en contacto con los afectados por correo. Los pasos siguientes se limitan a lo que se puede decidir de antemano para su propio servicio. Esta sección no evalúa la respuesta de la empresa.
No ponga enlaces de inicio de sesión en los correos de aviso de filtración
Un correo de aviso de filtración se convierte en la plantilla de las falsificaciones parecidas. Si el aviso dice «inicie sesión aquí para cambiar su contraseña», una falsificación puede usar exactamente el mismo diseño.
Si el aviso no contiene enlaces y dice «compruebe el aviso en la app oficial o en el sitio web oficial», puede decir a los usuarios de forma coherente que nunca abran enlaces. También ayuda anunciar de antemano en su sitio web la dirección del remitente y el asunto. El segundo informe de Bookoff también publicó el asunto y dijo que sus correos no enlazarían a una pantalla de cambio de contraseña.
Revise su método de hash y decida de antemano qué dirá a los usuarios
Lo difícil que resulta recuperar contraseñas a partir de hashes filtrados depende mucho del método. Compruebe que guarda las contraseñas con un método lento específico para contraseñas (como bcrypt o Argon2) y con una sal.
Decida también de antemano qué pedirá a los usuarios si se filtran los hashes (un restablecimiento para todos, o el consejo de cambiar las contraseñas repetidas), para que la redacción del anuncio no se decida bajo presión. Más en ¿Qué es el hash de contraseñas?
Fuentes (registro público)
Los hechos de este artículo se basan en la siguiente información pública. No se especula sobre la vía o el método de intrusión no revelados.
- BOOKOFF GROUP HOLDINGS LIMITED, aviso de disculpa sobre una filtración de datos personales por acceso no autorizado (segundo informe) (13 de octubre de 2026, divulgación a la bolsa, en japonés) — PDF
- Misma empresa, corrección al segundo informe (16 de octubre de 2026, divulgación a la bolsa, incluye el segundo informe corregido completo, en japonés) — PDF
- Misma empresa, aviso sobre la incorporación de una función de consulta web y la apertura de una línea gratuita dedicada por la filtración de datos personales por acceso no autorizado (23 de octubre de 2026, en japonés) — PDF
- Misma empresa, preguntas frecuentes sobre la filtración de datos personales por acceso no autorizado (publicadas el 13 de octubre de 2026, sustituidas por versiones a 15 y 23 de octubre; consultadas el 24 de octubre, en japonés) — PDF
- Misma empresa, aviso de disculpa sobre una filtración de datos personales por acceso no autorizado (primer informe, 9 de octubre de 2026, divulgación a la bolsa, en japonés) — PDF
- Noticias del sitio web oficial de Bookoff (primer informe, mismo día, en japonés) — bookoff.co.jp
- Página de consultas de Bookoff Group Holdings sobre este incidente (consultada el 10 de octubre de 2026, en japonés) — bookoffgroup.co.jp
Historial de actualizaciones
2026-10-24: Se incorporó el aviso del 23 de octubre. El sitio de socios de Bookoff tiene ahora una consulta web para comprobar si uno está afectado, por lo que se añadió su uso al primer paso. También se incorporó que los correos individuales a todas las direcciones confirmadas como entregables se enviaron el 22 de octubre (no recibir uno no significa que no esté afectado) y que la línea gratuita dedicada (0120-300-663) se abrió el 22 de octubre, y se sustituyeron los datos de contacto. Las cifras no cambian y la causa sigue sin publicarse.
2026-10-17: Se incorporó una corrección. El 16 de octubre la empresa corrigió su segundo informe, indicando que "ocupación" y "apodo" se habían omitido de los datos que podrían haberse filtrado. Ambos datos se añadieron a las listas de este artículo (resumen, preguntas frecuentes, lista de hechos y tabla). La empresa dice que las cifras y el resto del informe no cambian. También se añadieron a las fuentes la dirección del remitente indicada en las preguntas frecuentes sustituidas (a 15 de octubre) y el aviso de corrección.
2026-10-14: Se incorporaron el segundo informe y las preguntas frecuentes del 13 de octubre. Se actualizó la cifra a 6.383.279 personas (6.427.735 registros por número de socio, 212.371 de ellas antiguos socios), y se añadieron los socios afectados (socios de la app, de la tienda en línea y de la web), los servicios afectados y no afectados, el periodo en que se sustrajeron los datos (4–6 de octubre), los datos no involucrados (incluido el texto leído de documentos de identidad), la petición de cambiar las contraseñas y los correos individuales desde el 15 de octubre (asunto, sin enlaces a pantallas de cambio de contraseña). La empresa dice que no da detalles de la causa.
2026-10-10: Primera versión, basada en el aviso de la empresa del 9 de octubre y las preguntas frecuentes de su página de consultas (consultadas el 10 de octubre). La empresa dice que publicará en un informe posterior el número de afectados y los datos involucrados, y este artículo se actualizará cuando lo haga.
Lea a continuación
- Relacionado: Filtración de Treasure Factory (746.277 registros)
- Otros casos de datos de socios del mismo periodo: Filtración de la app de Seicomart / Filtración de la app de Yakiniku King / Filtración de la app y la tienda en línea de MrMax / Filtración de datos de socios de SourceNext (incluidas contraseñas)
- Contraseñas: Cómo comprobar si su contraseña se filtró / Guía de gestores de contraseñas
- Seguimiento de estafas: ¿Qué es el phishing?
- Otros casos de 2026: Filtraciones de datos y ciberataques en 2026