Para: cualquier persona registrada en un sitio de fans corporativo, un grupo de usuarios o una comunidad de fans de un gobierno local, y empresas y organizaciones que gestionan comunidades en servicios como Commune. Este artículo se basa en los avisos oficiales de Commune Inc. y de las empresas y organizaciones clientes que informaron del impacto, y no aborda las técnicas de ataque.
En desarrollo: este artículo se actualizará a medida que la organización publique más información
A 22 de octubre de 2026 (seguimiento de Commune Inc. fechado el 21 de octubre)Aún no se conoce
- Número de personas y elementos por comunidad (se envía individualmente a los clientes)
- Número de empresas clientes afectadas
- Detalles de los fallos del sistema
- Resultados de la investigación forense de una organización externa (en preparación)
- Cuándo se reanudará el servicio completo (reapertura por fases con funciones restringidas desde el 16 de octubre para los clientes que lo soliciten)
- Cuándo volverán a estar disponibles la aplicación, el registro nuevo por correo y los restablecimientos de contraseña
- Cuándo se restaurarán las publicaciones y otros datos
El 16 de octubre, Commune Inc. anunció que las comunidades confirmadas como seguras se reabrirían por fases. Las comunidades de los clientes que lo solicitan se reabren una a una, solo en la versión para navegador web y con algunas funciones restringidas, por lo que las fechas de reapertura varían según la comunidad. La aplicación, el nuevo registro con dirección de correo y algunas otras funciones no están disponibles en la reapertura, y los restablecimientos de «He olvidado mi contraseña» (que emiten contraseñas temporales) están suspendidos actualmente. La empresa afirma que no se encontraron nuevos accesos no autorizados ni filtraciones durante el mantenimiento o las pruebas. Su seguimiento del 21 de octubre confirma 166.505 miembros afectados (recuento acumulado) y afirma que el análisis de todos los registros no encontró nada dejado por el atacante. Está preparando una investigación forense por una organización externa para comprobar objetivamente la causa y el alcance.
Qué deben hacer hoy los miembros
Consulte el aviso de la empresa que gestiona su comunidad
Commune es un servicio que empresas y gobiernos locales utilizan para crear sus propios sitios de fans y grupos de usuarios. Los miembros no se registran en Commune Inc. directamente, sino en la comunidad del operador (por ejemplo, Suzuki Village o Koikeya GOGO! Land). Por tanto, que esté afectado depende de a qué comunidad se unió.
Abra el aviso de su comunidad en la tabla «Compruebe si está afectado» más abajo. Si su comunidad no aparece, consulte la sección de noticias del sitio web oficial del operador. Commune Inc. afirma que contactará con los miembros afectados en cuanto se confirmen los detalles.
No abra enlaces en correos o mensajes que aseguren proceder de la comunidad o de la empresa
Los datos filtrados incluyen direcciones de correo, nombres visibles, perfiles y pertenencias a grupos. Con esa combinación, alguien puede redactar un correo que parezca proceder de los organizadores de la comunidad, con su nombre correcto y los temas adecuados.
Commune Inc. pide que no se abran URL ni archivos adjuntos de correos o mensajes de texto sospechosos, que se borren, y afirma que nunca pedirá contraseñas por correo electrónico o teléfono. Abra los avisos de reapertura e inicie sesión desde un marcador o desde el sitio web oficial del operador, en lugar de hacerlo desde enlaces de correo (véase ¿Qué es el phishing?).
En su aviso del 13 de octubre, Commune Inc. afirma que terceros podrían usar las direcciones de correo filtradas para intentar el procedimiento de restablecimiento de contraseña. Aun así, según la empresa, el atacante no puede ver ni obtener la nueva contraseña y no existe riesgo de acceso no autorizado. Si recibe un correo de restablecimiento que no solicitó, este sitio recomienda no hacer nada y no abrir sus enlaces.
Los 144 miembros a los que se cambió la contraseña deben restablecerla tras la reapertura
Según Commune Inc., 144 miembros tuvieron su contraseña cambiada por una temporal sin su acción. Las contraseñas temporales ya han caducado, y la empresa afirma que no encontró indicios de que llegaran al atacante.
Esos miembros deben establecer una nueva contraseña cuando su comunidad se reabra, usando «He olvidado mi contraseña» en la pantalla de inicio de sesión. Sin embargo, la empresa afirma que desde el 16 de octubre los restablecimientos por «He olvidado mi contraseña» (que emiten contraseñas temporales) están suspendidos. Consulte los avisos del operador o de Commune Inc. para saber cuándo volverán a estar disponibles.
Por seguridad, todos los miembros han cerrado sesión, así que el resto también debe volver a iniciarla al reabrirse. Las comunidades reabiertas funcionan solo en el navegador web; la aplicación aún no está disponible. Inicie sesión desde un marcador o el sitio web oficial del operador.
Si usa la misma contraseña en otros servicios, haga que sean distintas
Commune Inc. afirma que no se confirmó la filtración de las propias contraseñas. Aun así, el 16 de octubre pidió a los miembros que usan una contraseña fácil de adivinar, o la misma que en otros servicios, que la cambien por una distinta y difícil de adivinar. Suzuki y Bandai Namco Experience también aconsejan que quienes usen la misma contraseña en otros servicios valoren cambiarla como precaución. No reutilizar contraseñas evita que una filtración en un lugar se extienda (un gestor de contraseñas lo hace práctico).
Si escribió su dirección o número de teléfono en su perfil, vigile también llamadas y cartas
Los elementos varían según la comunidad y el miembro. JMAM dijo que, en su comunidad Toki Labo, también se filtró la información del perfil, incluidos nombres, direcciones, edades y números de teléfono.
Si escribió su dirección o número de teléfono en su perfil, tenga en cuenta que también son posibles mensajes de texto, llamadas o cartas que se hagan pasar por la empresa o la comunidad, no solo correos electrónicos. Si alguien que llama le pide una contraseña, número de tarjeta o código de verificación, no responda; cuelgue y vuelva a llamar al número indicado en el sitio web oficial.
Para preguntas, use los contactos indicados en el aviso
En el aviso de Commune Inc. del 13 de octubre, las personas registradas en comunidades de Commune pueden enviar preguntas o solicitudes de baja a user-security@commune.co.jp (el aviso del 9 de octubre daba un formulario para miembros y security@commune.co.jp). La empresa afirma que también ha enviado correos por separado a los miembros con detalles. Las fechas de reapertura también se anuncian en los avisos de cada operador.
Compruebe si está afectado (avisos de empresas y organizaciones clientes)
Las empresas y organizaciones que gestionan comunidades han publicado cada una su aviso. La tabla recoge los que este sitio abrió y revisó en sus páginas oficiales (a 12 de octubre de 2026). Otras empresas y organizaciones también han publicado avisos.
Las cifras son las que cada operador indicó, y cada una se cuenta de forma diferente («filtrado», «posiblemente visto o tomado», «hasta»), por lo que no pueden sumarse.
| Operador | Comunidad | Personas (según se indica) | Elementos principales (según se indica) | Estado | Fecha |
|---|---|---|---|---|---|
| Yamaha | Yamaha Network Engineer Association (YNE) | Unas 1.600 | Correo, nombre visible, nombre de cuenta, texto del perfil, icono, grupos | Filtración confirmada (empresa) | 9 oct |
| JMAM (Japan Management Association Management Center) | Toki Labo | 2.950 (registrados tras el relanzamiento del 12 de mayo) | Nombre visible, nombre de usuario, correo, información del perfil (incluidos nombre, dirección, edad y número de teléfono) | Filtración confirmada (empresa) | 9 oct |
| Prefectura de Aomori | Aomori Biiki | Hasta 2.950 (máximo estimado visto, de 15.847 miembros) | Correo, apodo, nombre de cuenta, prefectura de residencia, grupo de edad, género, identificador de miembro, texto del perfil y más | Posible (prefectura) | 8 oct |
| Suzuki | Suzuki Village | Unas 3.000 | Correo, apodo, fecha de alta, género, grupo de edad, prefectura, coche que posee | Posible (empresa) | 9 oct |
| Sansan | Sansan User Forum | 1.325 confirmados, 8.687 posibles | Confirmados: correo, nombre visible, texto del perfil, foto de perfil, grupos (el grupo posible excluye el correo) | Filtración confirmada / posible (empresa) | 9 oct |
| LY Corporation | DS.LAB (en DS.INSIGHT) | 1.750 | Apodo, nombre de cuenta, nombre, texto del perfil, icono, grupos, correo, campos personalizados del perfil y más | Posible (empresa) | 9 oct |
| Koikeya | Koikeya GOGO! Land | Hasta 1.800 registros | Correo, apodo, nombre de cuenta, texto del perfil, grupos, campos personalizados del perfil (género, grupo de edad, prefectura y más) y más | Filtración confirmada (empresa) | 9 oct |
| Calbee | Sitio de fans Zeppin-bu | No indicado | Correo, nombre visible, nombre de usuario, texto del perfil, campos del perfil, grupos | Visto y tomado (empresa) | 9 oct |
| Morinaga Milk | Mount Cafe-bu | 291 | Correo, nombre visible y de usuario, texto del perfil, campos personalizados del perfil, grupos y más | Posible (empresa) | 9 oct |
| LIXIL | Sumai Hiroba / Nyanpeki Hiroba | No indicado | Apodo, nombre de cuenta, correo, texto del perfil (los campos varían según el servicio), puntos y más | Posible (empresa) | 9 oct |
| Bandai Namco Experience | Wangan Midnight Arcade Portal | No indicado | Correo, apodo, nombre de cuenta, texto del perfil, campos del perfil, grupos y más | Posible (empresa) | 9 oct |
| DyDo DRINCO | dydo Issho ni Lab | — | Informó de que no se encontraron daños y que no se filtraron datos de miembros (servicio suspendido) | No incluido (empresa) | 9 oct |
Incluso dentro de una misma comunidad, depende de lo que usted registró
Calbee y Koikeya afirman que no recopilan ni conservan direcciones ni números de teléfono en sus comunidades. En cambio, JMAM informó de que los nombres, direcciones y números de teléfono se filtraron como parte del contenido del perfil. Si los «elementos principales» de su comunidad incluyen un perfil de texto libre, recuerde lo que escribió allí.
Qué ocurrió (según Commune Inc.)
Lo siguiente se basa en el aviso de Commune Inc. del 9 de octubre de 2026, su aviso de mantenimiento de emergencia del 13 de octubre, su aviso de reapertura del 16 de octubre y su seguimiento del 21 de octubre. Las horas son de Japón.
5 de octubre de 2026, unas 18:00
Commune y Commune for Work empiezan a ser accedidos sin autorización por un tercero externo.6 de octubre
La empresa detecta el acceso, corta la comunicación y aplica medidas defensivas. Desde unas 21:00, todas las comunidades pasan a modo de mantenimiento y se detienen.7 de octubre
Se producen registros de miembros y visualizaciones no autorizadas en algunos puntos a través de una vía de comunicación que quedó abierta durante el mantenimiento; se corta a las 14:58.8 de octubre, unas 12:00
Tras confirmar la seguridad en comunidades de prueba internas, las comunidades que pidieron reabrir empiezan a reabrirse por fases.8 de octubre
La empresa publica por primera vez un aviso sobre «Aomori Biiki», la comunidad de fans turística de Aomori que gestiona para la Prefectura de Aomori.9 de octubre
La empresa publica una disculpa y un aviso sobre la filtración. Las empresas y organizaciones clientes publican sus propios avisos entre el día anterior y este día. El mismo día, como operador de telecomunicaciones, la empresa presenta un informe preliminar ante el Ministerio de Asuntos Internos y Comunicaciones (Oficina Regional de Telecomunicaciones de Kanto) (según el seguimiento del 21 de octubre).10 de octubre, 00:50
Comienza el mantenimiento de emergencia para evitar el uso indebido de las direcciones de correo filtradas (como envíos masivos automatizados o intentos de restablecimiento de contraseña con direcciones ajenas) (según el aviso del 13 de octubre).Desde el 10 de octubre
Con todas las comunidades aún detenidas, la empresa hace obligatoria la autenticación de dos factores para las cuentas de administrador, añade límites de frecuencia de solicitudes, acorta la duración de las sesiones de inicio (30 días como máximo) y restringe temporalmente algunas funciones como los mensajes directos. Reabrió primero una comunidad de prueba interna y afirma que confirmó que se habían eliminado los riesgos de uso indebido y molestias que podía prever en ese momento (según el aviso del 16 de octubre).13 de octubre
La empresa publica un aviso sobre el mantenimiento de emergencia, en el que afirma que no se ha encontrado ningún nuevo acceso no autorizado ni filtración desde el 9 de octubre.16 de octubre (vie.)
La empresa publica un aviso sobre la reapertura de algunas comunidades. Las comunidades de los clientes que lo solicitan se reabren una a una, solo en la versión para navegador web y con algunas funciones restringidas. La aplicación, el nuevo registro con dirección de correo y los restablecimientos de «He olvidado mi contraseña» siguen no disponibles. Afirma que trabaja para la reapertura completa.21 de octubre
La empresa publica un seguimiento. Tras una investigación detallada, confirma 166.505 miembros afectados (recuento acumulado por comunidad, no personas únicas), 125.601 de ellos con datos que incluyen correos electrónicos. Afirma que ha empezado a consultar a la policía, que el análisis de todos los registros no encontró programas, cuentas ni configuraciones dejados por el atacante, y que prepara una investigación forense por una organización externa.
- Periodos de filtración
- Desde unas 18:00 del 5 de octubre hasta unas 21:00 del 6 de octubre, y de 13:17 a 14:36 del 7 de octubre
- Miembros afectados (seguimiento del 21 de octubre)
- 166.505, contados por comunidad (recuento acumulado, no personas únicas). De ellos, 125.601 tenían datos que incluían correos electrónicos filtrados
- Cómo se contaron las personas (seguimiento del 21 de octubre)
- El total de identificadores de miembro contados por comunidad. Las personas de varias comunidades se cuentan una vez por cada una (recuento acumulado). Incluye comunidades gestionadas por la empresa y comunidades de prueba o demostración; excluye cuentas creadas por el atacante
- Cifras del primer aviso (9 de octubre)
- Unas 307.000 (estimación) como máximo posiblemente afectado: unas 126.000 con datos que incluían correos electrónicos (incluidas unas 42.000 cuentas de empleados de la empresa y cuentas de prueba o demostración) y unas 181.000 con datos sin correos electrónicos (nombres visibles, perfiles, pertenencias a grupos privados y demás). El primer aviso lo describió como una estimación de personas únicas, sin contar identificadores de miembro duplicados ni cuentas creadas por el atacante
- Contraseñas
- 144 miembros tuvieron sus contraseñas cambiadas por temporales sin su acción. No se confirmó la filtración de las propias contraseñas
- No encontrado
- No se confirmó la filtración de mensajes directos entre miembros ni de contraseñas. La empresa no conserva datos de tarjetas de crédito ni de otros pagos
- Otros productos
- Commune CRM y Commune Engage: se intentó el acceso, pero no hubo filtración. Commune Voice, Navigator y DataHub: no accedidos, según la investigación hasta ahora
- Medidas antes de la reapertura (16 de octubre)
- Autenticación de dos factores obligatoria para las cuentas de administrador, límites de frecuencia añadidos contra solicitudes masivas y ataques automatizados, un límite más corto de sesión de inicio (30 días como máximo) y restricciones temporales en algunas funciones como los mensajes directos
- Causa indicada
- Se aprovecharon fallos del sistema de la empresa. El atacante obtuvo de forma ilegítima enlaces de invitación a comunidades privadas y se registró como miembro ordinario, y se hizo pasar por administradores para ver y tomar datos de miembros y sobrescribir datos
- Respuesta
- Se corrigieron los fallos, se renovaron las claves de firma usadas para el inicio de sesión, se cortó la vía de acceso y se bloquearon direcciones IP maliciosas, y se eliminaron cuentas y publicaciones creadas por el atacante
- Respuesta (seguimiento del 21 de octubre)
- Se sustituyeron los enlaces de invitación compartidos de comunidades privadas y se invalidaron las invitaciones no usadas. Se detuvieron todas las comunidades para renovar las claves de firma, invalidando todas las credenciales de inicio de sesión falsificadas. Se empezó a vigilar el acceso y a detectar accesos sospechosos. Se analizaron todos los registros; la investigación de la empresa hasta ahora no encontró programas, cuentas ni configuraciones dejados por el atacante. Se prepara una investigación forense por una organización externa
- Informes (seguimiento del 21 de octubre)
- Informe preliminar al Ministerio de Asuntos Internos y Comunicaciones (Oficina Regional de Telecomunicaciones de Kanto) el 9 de octubre, como operador de telecomunicaciones. Ha comenzado a consultar a la policía local
- Datos
- Restaurados a su estado de las 18:00 del 6 de octubre. Se prepara la restauración de publicaciones; no se espera recuperar los mensajes directos, los «me gusta» y reacciones, ni los nuevos registros
La empresa afirma que el incidente fue consecuencia de un ataque a su propio sistema y no fue causado por la configuración ni por las operaciones de sus clientes. Como operador de telecomunicaciones, presentó un informe preliminar ante el Ministerio de Asuntos Internos y Comunicaciones (Oficina Regional de Telecomunicaciones de Kanto) el 9 de octubre, y facilita a los clientes la información que necesitan para informar a la Comisión de Protección de Información Personal. Su seguimiento del 21 de octubre indica que ha comenzado a consultar a la policía local.
Qué sabemos y qué no
Estado a 22 de octubre de 2026 (seguimiento de Commune Inc. fechado el 21 de octubre). Cuando se publique un nuevo seguimiento, la columna de estado se actualizará.
| Elemento | Lo que indica el aviso | Estado |
|---|---|---|
| Periodos de filtración | Unas 18:00 del 5 de octubre a unas 21:00 del 6 de octubre; de 13:17 a 14:36 del 7 de octubre | Filtración confirmada (empresa) |
| Número de personas afectadas | 166.505 (recuento acumulado por comunidad; seguimiento del 21 de octubre). Las unas 307.000 del primer aviso fueron una estimación de personas únicas, como máximo posiblemente afectado | Confirmado (empresa) |
| Direcciones de correo | 125.601 personas (recuento acumulado; seguimiento del 21 de octubre) | Filtración confirmada (empresa) |
| Nombres visibles, texto del perfil, pertenencias a grupos privados | Listados como elementos filtrados. El primer aviso dio unas 181.000 personas (estimación) sin direcciones de correo; el seguimiento no da cifra | Filtración confirmada (empresa) |
| Nombres, direcciones, números de teléfono en perfiles | No indicados en el aviso de Commune Inc. JMAM informó de una filtración en Toki Labo | Filtración confirmada (cliente) |
| Contraseñas | 144 cambiadas por temporales; no se confirmó la filtración de las propias contraseñas | No confirmado (empresa) |
| Mensajes directos | No se confirmó filtración | No confirmado (empresa) |
| Tarjetas de crédito y otros datos de pago | No los conserva la empresa | No incluido (empresa) |
| Cifras por comunidad | Se envían individualmente a los clientes afectados | En investigación |
| Número de empresas clientes afectadas | No indicado en el aviso | No indicado |
| Causa | Enlaces de invitación obtenidos de forma ilegítima y suplantación de administradores; detalles de los fallos no indicados | Explicada (detalles no indicados) |
| Algo dejado por el atacante | Tras analizar todos los registros, no se encontraron programas, cuentas ni configuraciones hasta ahora (21 de octubre) | No encontrado (empresa) |
| Investigación de terceros | Preparación de una investigación forense (21 de octubre) | En preparación (empresa) |
| Informes y policía | Informe preliminar a la Oficina Regional de Telecomunicaciones de Kanto el 9 de octubre; consulta a la policía local (21 de octubre) | Publicado (empresa) |
| Nuevo acceso no autorizado o filtración | Ninguno desde el aviso del 9 de octubre (a 13 de octubre), ni durante el mantenimiento o las pruebas (16 de octubre) | No encontrado (empresa) |
| Uso indebido o daño secundario | No confirmado a 9 de octubre | En investigación |
| Reapertura | Todas las comunidades detenidas desde las 00:50 del 10 de octubre. Desde el 16 de octubre, las comunidades de los clientes que lo solicitan se reabren una a una, solo en la versión para navegador web y con algunas funciones restringidas (las fechas varían según la comunidad) | Confirmado (empresa) |
| Aplicación, nuevo registro | La aplicación, el nuevo registro con dirección de correo y algunas otras funciones no están disponibles en la reapertura. El calendario de recuperación completa se envía a los clientes | Confirmado (empresa) |
| Restablecimiento de contraseñas | Los restablecimientos de «He olvidado mi contraseña» (que emiten contraseñas temporales) están suspendidos actualmente (16 de octubre) | Confirmado (empresa) |
Los avisos de los clientes pueden mostrar horas y cifras distintas
Las horas del aviso de Commune Inc. abarcan todo el servicio. Por ejemplo, Yamaha indicó que, según Commune Inc., el acceso a los datos de su propia comunidad se produjo de unas 11:59 a unas 20:36 del 6 de octubre. Cada operador también indica la cifra de su propia comunidad, contada a su manera. Compruebe su situación en el aviso de la comunidad a la que se unió.
Para qué pueden usarse los elementos filtrados
En general, las siguientes combinaciones hacen posibles los siguientes usos indebidos. Esto no significa que haya ocurrido en este caso.
- Correo + nombre visible + nombre de la comunidad: un correo convincente de «reapertura» o «puntos concedidos» que parezca proceder de los organizadores de la comunidad, dirigido a usted por su nombre
- Pertenencias a grupos (incluidos grupos privados): mensajes falsos adaptados a temas internos, como «Para los miembros del grupo XX»
- Texto y campos del perfil (grupo de edad, prefectura, coche que posee, productos favoritos): material para generar confianza mencionando cosas que solo usted debería conocer
- Nombre + dirección + número de teléfono (si se escribieron en un perfil): mensajes de texto, llamadas o cartas falsas que se hagan pasar por la empresa
Otro caso en el que el servicio de un proveedor expuso datos de clientes de varias empresas que lo usan es la brecha en el proveedor de Daiwa Securities publicada en octubre de 2026 (varias empresas que usan el mismo proveedor informaron del impacto). También allí los elementos y las cifras variaron según el cliente, y las personas comprobaron si estaban afectadas a través del aviso de la empresa con la que tienen relación.
Qué deben revisar los operadores de comunidades
Commune Inc. atribuye el incidente a fallos de su propio sistema y afirma que no fue causado por la configuración ni por las operaciones de sus clientes. Esta sección no juzga la gestión de los clientes. Expone lo que los operadores que gestionan comunidades en servicios similares pueden revisar en su propia comunidad, a partir de la secuencia de hechos publicada y los elementos filtrados.
Siempre se conserva
Correo, nombre visible, grupos
Si se filtra: correos que se hacen pasar por los organizadores
Escrito por los miembros
Texto del perfil, campos de perfil de texto libre
Si se filtra: ni siquiera el operador sabe qué se filtró
Solicitado por el operador
Grupo de edad, prefectura, género, campos personalizados
Se puede reducir: conserve solo los campos que usa
Diseñe los perfiles para que los miembros no escriban direcciones ni números de teléfono
En este caso, Calbee y Koikeya pudieron afirmar que en sus comunidades no se recogen ni conservan direcciones ni números de teléfono. Un perfil de texto libre es distinto: lo que los miembros escriben allí no es un campo definido, así que puede filtrarse información que el operador nunca pretendió conservar.
Si su comunidad no necesita direcciones ni números de teléfono, indique claramente que no los escriban en los ejemplos e instrucciones del perfil, y no cree campos personalizados para ellos. Revise los campos que pide para análisis, como el grupo de edad o la prefectura, y elimine los que realmente no usa.
No siga usando un único enlace de invitación como contraseña compartida de una comunidad privada
Commune Inc. afirma que los enlaces de invitación a comunidades privadas se obtuvieron de forma ilegítima y se usaron para registrarse como miembros ordinarios. No se ha publicado cómo se obtuvieron.
En general, si un enlace de invitación se comparte con todos y se mantiene mucho tiempo, cualquiera puede unirse una vez que el enlace se filtra. Si el servicio lo permite, emita invitaciones por persona, con fecha de caducidad y límite de uso. Si usa un enlace compartido, sustitúyalo con regularidad y combínelo con aprobación (el operador aprueba cada registro), para detectar altas de personas desconocidas.
Revise las cuentas de administrador y los registros recientes
Commune Inc. afirma que los datos de miembros se vieron y tomaron suplantando a administradores. Antes de la reapertura, hizo obligatoria la autenticación de dos factores para las cuentas de administrador. Aunque esto se debió a fallos del lado del servicio, los operadores que revisan periódicamente quién tiene derechos de administrador, y cuántos, tienen más probabilidades de detectar a un administrador que no reconocen o un lote de miembros registrados a horas extrañas. Commune Inc. afirma que ha eliminado las cuentas creadas por el atacante; aun así, merece la pena revisar una vez la lista de miembros de su propia comunidad antes de la reapertura.
Decida y anuncie con antelación el canal genuino para contactar con los miembros
Tras una filtración, lo que protege a los miembros es saber qué mensajes de los organizadores son auténticos. Si decide que los avisos siempre aparecen en una página fija de la comunidad y en el sitio web oficial, que los correos nunca contienen enlaces para iniciar sesión, y lo anuncia en tiempos normales, los miembros podrán distinguir un correo falso de uno real. En este caso también, varias empresas clientes indicaron en sus avisos que nunca piden contraseñas por correo electrónico.
La opinión de este sitio: puede externalizar la plataforma, pero sigue decidiendo qué recoger
Incluso cuando la plataforma de la comunidad la proporciona un servicio externo, el operador decide qué se pide escribir a los miembros y qué campos son obligatorios. Al comparar los avisos de los clientes, los elementos que cada uno listó variaron según lo que cada comunidad había recogido, aunque todas usaban el mismo servicio. Los datos que nunca se recogen no pueden filtrarse.
Fuentes (registro público)
Los hechos de este artículo se basan en la siguiente información pública. No hemos especulado sobre técnicas de ataque no publicadas. Los títulos están traducidos del japonés.
- Commune Inc., «[Seguimiento] Acceso no autorizado a nuestros servicios» (21 de octubre de 2026, en japonés) — communeinc.com
- Commune Inc., «Aviso sobre la reapertura de algunas comunidades de nuestros servicios» (16 de octubre de 2026, en japonés) — communeinc.com
- Commune Inc., «Disculpas y aviso sobre el mantenimiento de emergencia de nuestros servicios» (13 de octubre de 2026) — communeinc.com
- Commune Inc., «Disculpas y aviso sobre la filtración de datos personales por acceso no autorizado a nuestros servicios Commune y Commune for Work» (9 de octubre de 2026) — communeinc.com
- Yamaha Corporation, «Filtración de información de clientes por acceso no autorizado a un contratista de externalización» (9 de octubre de 2026) — yamaha.com
- JMAM, «Disculpas y aviso sobre una filtración de datos personales por acceso no autorizado a nuestra comunidad de usuarios Toki Labo» (9 de octubre de 2026) — jmam.co.jp
- Prefectura de Aomori, «Acceso no autorizado confirmado en la comunidad oficial de fans Aomori Biiki» (8 de octubre de 2026) — pref.aomori.lg.jp
- Suzuki Motor Corporation, «Aviso de acceso no autorizado a nuestro sitio de comunidad Suzuki Village» (9 de octubre de 2026) — suzuki.co.jp
- Sansan, Inc., «Disculpas y aviso sobre la filtración de datos de miembros de la comunidad en línea Sansan User Forum» (9 de octubre de 2026) — corp-sansan.com
- LY Corporation, «Aviso y disculpas por una filtración de información por acceso no autorizado al sistema de un contratista» (9 de octubre de 2026) — lycorp.co.jp
- Koikeya Co., Ltd., «Filtración de información de clientes por acceso no autorizado a un contratista» (9 de octubre de 2026) — koikeya.co.jp
- Calbee, Inc., «Aviso y disculpas por el impacto en los datos de miembros por acceso no autorizado en el sitio de fans Zeppin-bu» (9 de octubre de 2026) — calbee.co.jp
- Morinaga Milk Industry Co., Ltd., «Disculpas y aviso sobre la filtración de datos de miembros de Mount Cafe-bu por acceso no autorizado al sistema de un contratista» (9 de octubre de 2026) — morinagamilk.co.jp
- LIXIL Corporation, «Disculpas e informe sobre una filtración de datos personales por acceso no autorizado a un servidor de un contratista usado por los servicios de comunidad de LIXIL» (9 de octubre de 2026) — lixil.co.jp
- Bandai Namco Experience Inc., «Disculpas por una posible filtración de datos de miembros por acceso no autorizado a Wangan Midnight Arcade Portal, y mantenimiento continuado» (9 de octubre de 2026) — wanganmaxi-official.com
- DyDo DRINCO, Inc., «Suspensión del sitio de fans dydo Issho ni Lab» (9 de octubre de 2026) — dydo.co.jp
Historial de actualizaciones
2026-10-22: Se incorporó el seguimiento de Commune Inc. del 21 de octubre. Se actualizó el número de miembros afectados a 166.505 (recuento acumulado por comunidad), 125.601 de ellos con datos que incluyen correos electrónicos, y se revisaron el título y la explicación de cómo se contaron las personas (las unas 307.000 del primer aviso eran un máximo estimado). Se añadieron el informe preliminar a la Oficina Regional de Telecomunicaciones de Kanto, la consulta a la policía, medidas como la sustitución de enlaces de invitación, el resultado del análisis completo de registros y la investigación forense prevista por una organización externa. Se añadió «contados por comunidad» al título, y se indicó que las unas 307.000 del primer aviso eran una estimación de personas únicas. La lista de avisos de clientes sigue tal como se revisó el 12 de octubre.
2026-10-17: Se incorporó el aviso de Commune Inc. del 16 de octubre: reapertura por fases de algunas comunidades desde el 16 de octubre (para los clientes que lo soliciten, solo navegador web, con algunas funciones restringidas), funciones no disponibles en la reapertura (la aplicación, el registro nuevo por correo, los restablecimientos de «He olvidado mi contraseña»), medidas adoptadas durante el mantenimiento (incluida la autenticación de dos factores obligatoria para administradores) y la petición de cambiar contraseñas. La empresa afirma que no se encontraron nuevos accesos no autorizados ni filtraciones durante el mantenimiento o las pruebas. La lista de avisos de clientes sigue tal como se revisó el 12 de octubre.
2026-10-14: Se incorporó el aviso de Commune Inc. del 13 de octubre: mantenimiento de emergencia desde las 00:50 del 10 de octubre, el plan de reabrir por fases desde el 16 de octubre, posibles intentos de restablecimiento de contraseña y su efecto, y la dirección de contacto para miembros (user-security@commune.co.jp). La empresa afirma que no se han encontrado nuevos accesos no autorizados ni filtraciones desde el 9 de octubre.
2026-10-12: Primera versión, basada en el aviso de Commune Inc. del 9 de octubre y en 12 avisos de empresas y organizaciones clientes (el 12 de octubre confirmamos que no había seguimiento ni revisión del aviso de Commune Inc.). Se actualizará cuando se publiquen cifras por comunidad o detalles de la causa.
Lea a continuación
- Comunicados relacionados: Acceso no autorizado a Studio y orientación para usuarios
- Casos similares: Brecha en el proveedor de Daiwa Securities / Acceso no autorizado al servicio de alerta de desastres SpeeCAN RAIDEN
- Mensajes falsos y contraseñas: ¿Qué es el phishing? / Cómo comprobar si su contraseña se filtró / Elegir bien la MFA
- Otros incidentes de 2026: Filtraciones de datos y ciberataques de 2026