Para: personas con una cuenta en Daiwa Securities que han contactado con la empresa en línea, y empresas que utilizan servicios externos para gestionar las consultas de clientes. Este artículo se basa en el aviso oficial de Daiwa Securities Co. Ltd. y en los avisos del proveedor y de otras empresas que utilizan el servicio del mismo proveedor (Citizen Watch, Sompo Japan, ORIX Life Insurance, Tobu Railway y au Jibun Bank), y no aborda técnicas de ataque.
Qué deben hacer hoy los clientes
Compruebe si está afectado en su buzón de mensajes
Según el sitio web de la empresa, los clientes afectados fueron contactados individualmente el 5 de octubre a través del buzón de mensajes (お知らせBOX) de la negociación en línea. Entre usted mismo desde un marcador o la aplicación oficial, no desde un enlace de correo, y compruébelo allí.
Si tiene dudas, llame a la línea dedicada (0120-851850, de 9:00 a 17:00 hora de Japón, cerrada los fines de semana y festivos). Use el número publicado en el sitio oficial de la empresa, no uno que aparezca en un mensaje recibido.
Nunca inicie sesión desde enlaces en correos o SMS
Lo que pudo filtrarse son su nombre, su dirección de correo electrónico, su número de cuenta y el contenido de sus consultas. Juntos, estos datos permiten escribir un mensaje falso con el nombre correcto, el número de cuenta correcto y una referencia a su consulta anterior.
La página de advertencia de phishing de la empresa indica a los clientes que no inicien sesión en la negociación en línea desde correos electrónicos. Aunque un mensaje hable de una comprobación de seguridad, una disculpa o una compensación, no abra el enlace; inicie sesión desde su marcador habitual o la aplicación oficial (cómo detectar fraudes: ¿Qué es el phishing?).
Nunca dé a nadie su ID, contraseña, PIN ni contraseñas de un solo uso
La empresa pide a los clientes que no den su ID de negociación, contraseña, PIN ni contraseñas de un solo uso en respuesta a mensajes sospechosos. Lo mismo vale si una persona que llama dice que es "para confirmar su identidad".
Quien llama y conoce su nombre y su número de cuenta no ha demostrado nada. Precisamente esa es la información que pudo filtrarse.
Inicie sesión con una clave de acceso (passkey) y revise las notificaciones de operaciones
La empresa ofrece inicio de sesión con passkey en la negociación en línea, mediante huella dactilar o reconocimiento facial. Una passkey solo funciona en el sitio real, por lo que ayuda a evitar el daño que se produce al escribir su ID y contraseña en un sitio falso (cómo funciona: ¿Qué es una passkey?; comparación con otros métodos: Elegir bien la MFA).
Confirme también que las notificaciones de operaciones están activadas. Estos correos llegan cuando alguien inicia sesión, opera, retira dinero o cambia datos personales. La empresa afirma que las activó, en principio, para todos los clientes a partir del 11 de mayo de 2025.
Revise su historial de operaciones
Después de iniciar sesión en la negociación en línea, abra el menú "お手続き・サポート" (trámites y soporte) y elija "操作履歴" (historial de operaciones) para ver los inicios de sesión y trámites recientes.
Si ve un inicio de sesión, una operación o un cambio que no realizó, cambie su contraseña de inmediato y contacte con la empresa. Si usa la misma contraseña en otros servicios, cámbiela también allí (cómo comprobarlo: Cómo comprobar si su contraseña se ha filtrado).
Qué ocurrió (según el aviso de Daiwa Securities)
Daiwa Securities Co. Ltd. publicó un aviso el 5 de octubre de 2026 sobre la posible filtración de información de clientes mediante un acceso no autorizado a un proveedor externo. Todo lo siguiente procede de ese aviso.
Alrededor de las 20:33 del 2 de octubre a las 8:01 del 3 de octubre de 2026
Según el proveedor, el acceso no autorizado al servidor del proveedor se produjo durante este periodo.3 de octubre
El proveedor informó a la empresa de que había encontrado rastros de acceso y de extracción de la información de clientes de la empresa.5 de octubre
La empresa anunció el incidente y contactó individualmente con los clientes afectados a través del buzón de mensajes de la negociación en línea.
- Dónde
- El servidor del proveedor que presta el servicio que la empresa utiliza para gestionar las consultas en línea de los clientes
- Alcance
- Datos relacionados con consultas de unos 110.000 clientes; unos 220.000 registros, incluidas consultas que no identifican a nadie
- Elementos
- Nombre, dirección de correo electrónico, número de cuenta y otra información de registros de consultas ya recibidas
- Cuentas
- La empresa afirma que estos datos no pueden usarse para acceder a cuentas de valores ni para operar, incluida la negociación en línea
- Sistemas de la empresa
- El acceso se limitó al servidor del proveedor; no se encontró acceso no autorizado a los sistemas de la empresa
- Causa
- No se indica en el aviso de la empresa. La empresa afirma que revisará la investigación de causa raíz del proveedor (la versión del proveedor figura en la sección siguiente)
- Respuesta del proveedor
- El proveedor informó de un refuerzo de seguridad de emergencia y de que, hasta ahora, no se han encontrado más accesos no autorizados ni filtraciones
- Contacto
- Línea dedicada 0120-851850 (de 9:00 a 17:00 hora de Japón, cerrada los fines de semana y festivos)
El aviso del proveedor y otras empresas afectadas
El 6 de octubre, el proveedor que presta el servicio de gestión de consultas y su empresa matriz publicaron cada uno un aviso. Muestra que el acceso no autorizado no se limitó a Daiwa Securities: alcanzó los entornos de varias empresas clientes que funcionan en el mismo servidor. El aviso del proveedor no nombra a las empresas clientes.
- Qué ocurrió
- Desde aproximadamente las 20:30 del 2 de octubre hasta aproximadamente las 8:00 del 3 de octubre, un tercero inició sesión sin autorización en el sitio de gestión del servicio y colocó un programa no autorizado en un servidor que gestiona el proveedor. Los datos de consultas pudieron haberse sustraído de las bases de datos de los entornos de clientes que funcionan en el mismo servidor
- Alcance
- Datos de consultas almacenados en entornos de clientes del mismo servidor (hasta cinco empresas)
- Registros
- Hasta 713.126, contados por consulta, de modo que varias consultas de una misma persona se cuentan por separado. El número real de personas todavía se está determinando
- Elementos
- Nombre, dirección de correo electrónico, contenido de la consulta, etc. (los elementos varían según la empresa cliente)
- Detección
- La investigación comenzó la mañana del 3 de octubre tras una alerta de monitorización de la base de datos; el acceso se cortó hacia las 8:00 de ese día
- Respuesta
- Se cambió la contraseña de la cuenta usada para el inicio de sesión no autorizado, se aisló el programa no autorizado, se cambiaron las contraseñas de administrador en todos los entornos y se modificó la configuración para que los archivos subidos no puedan ejecutarse como programas, entre otras medidas. Una investigación forense (buscando rastros de la intrusión) está en curso con especialistas externos, y el incidente se ha notificado a la Comisión de Protección de Información Personal de Japón
- Medidas previstas
- Según la investigación, autenticación de administrador más robusta (incluida la autenticación multifactor), separación entre entornos, monitorización reforzada y evaluaciones periódicas de vulnerabilidades por terceros (aviso del proveedor)
- Daños secundarios
- No se han encontrado a fecha del 6 de octubre
Desde entonces, otras empresas clientes han publicado avisos en los que indican que el mismo proveedor les notificó el incidente. Estos son los avisos oficiales que este sitio pudo confirmar a fecha del 10 de octubre.
| Empresa (fecha) | Servicio afectado | Cifra (según indica cada empresa) | Sus propios datos |
|---|---|---|---|
| Daiwa Securities (5 oct) | Gestión de consultas en línea | Unas 110.000 personas (unos 220.000 registros) | Pudieron haberse filtrado (empresa) |
| Citizen Watch (6 oct) | Formularios de contacto de sitios web de marcas | Unas 100.000 personas (formulario de consulta específico disponible) | Pudieron haberse filtrado (empresa) |
| Sompo Japan (7 oct) | Preguntas frecuentes y consultas de SMILING ROAD | Unos 60.000 registros, contados por consulta | Pudieron haberse filtrado (empresa) |
| ORIX Life Insurance (8 oct) | Gestión de consultas de su sitio web | Unos 26.500 registros (incluidas consultas repetidas) | Pudieron haberse filtrado (empresa) |
| Tobu Railway (7 oct) | Formulario de contacto del centro de atención al cliente | No indicada | No se encontró indicio de visualización o sustracción (empresa) |
| au Jibun Bank (9 oct) | Formulario de preguntas frecuentes y de contacto por correo | No indicada | No está entre los hasta cinco entornos; no se encontró filtración (empresa) |
Citizen Watch Co., Ltd. (6 de octubre) anunció que el mismo proveedor había informado de un acceso no autorizado al sistema que utilizaba para las consultas recibidas a través de los formularios de contacto de sus sitios web.
- Alcance: consultas sobre las marcas Citizen, Bulova y Frederique Constant, unas 100.000 personas
- Elementos: nombre, dirección, número de teléfono, dirección de correo electrónico, etc. Si los clientes escribieron información de cuenta bancaria o de tarjeta de crédito en el campo de consulta, esta también pudo haberse filtrado
- Periodo: entre aproximadamente las 20:33 del 2 de octubre y las 8:01 del 3 de octubre (igual que en el aviso de Daiwa)
- La empresa afirma que contactará individualmente con los clientes afectados; no se habían encontrado daños secundarios a fecha del 6 de octubre
- Contacto: el formulario de consulta específico indicado en su aviso (contact.citizen.co.jp, en japonés)
Sompo Japan Insurance Inc. (7 de octubre) anunció el incidente relativo a SMILING ROAD, su servicio de cámaras de salpicadero conectadas para empresas, para el que utiliza los servidores del mismo proveedor, principalmente para preguntas frecuentes y consultas de empleados de empresas clientes.
- Cifra: unos 60.000 registros contados por consulta (varias consultas de una misma persona se cuentan por separado)
- Elementos: nombre, número de teléfono, dirección, correo electrónico, datos del empleador (empresa, departamento, sector, nombre de la agencia, etc.), ID del conductor, datos de alertas de conducción (tipo y hora), datos del dispositivo (como el número de serie de la cámara), número de solicitud y contenido de la consulta (asunto y cuerpo)
- No incluidos: información de cuenta bancaria, tarjeta de crédito y Mi Número (My Number)
- Periodo: entre aproximadamente las 20:33 del 2 de octubre y las 8:01 del 3 de octubre (igual que en el aviso de Daiwa)
- La empresa afirma que contactará individualmente con los clientes afectados y que, a fecha del aviso, no había encontrado uso indebido. Su línea dedicada es 0120-268-567 (días laborables de 9:00 a 17:00 hora de Japón)
ORIX Life Insurance Corporation (8 de octubre) anunció el incidente relativo al mismo servicio del proveedor, que utiliza para gestionar las consultas recibidas a través de su sitio web oficial.
- Cifra: unos 26.500 registros (incluidas consultas repetidas del mismo cliente)
- Elementos: nombre, fecha de nacimiento, dirección, número de teléfono, correo electrónico, número de póliza y contenido de la consulta (incluida información médica que los clientes indicaron)
- No incluidos: información que pueda provocar pérdidas económicas, como el Mi Número (número nacional de identidad de Japón) o números de tarjeta de crédito
- La empresa afirma que contactará individualmente con los clientes afectados por carta o correo electrónico, y que, a fecha del aviso, no había encontrado daños secundarios. Su centro de atención al cliente es el 0120-330-053 (de lunes a viernes, de 9:00 a 17:00 hora de Japón)
Otras empresas que utilizan el mismo servicio del proveedor afirman que no han encontrado efectos en sus propios datos.
- Tobu Railway Co., Ltd. (7 de octubre): indica que fue notificada por el proveedor del servicio que está detrás del formulario de contacto de su centro de atención al cliente, y que, según el proveedor, la investigación realizada hasta ahora no ha encontrado indicio de que la información de Tobu haya sido vista o sustraída. Como precaución, pide a los clientes que no abran enlaces ni archivos adjuntos en correos sospechosos
- au Jibun Bank Corporation (9 de octubre): indica que fue notificada por el proveedor del servicio que está detrás de su formulario de preguntas frecuentes y de contacto por correo, que no está entre los hasta cinco entornos de clientes que anunció el proveedor, y que no se ha encontrado indicio de acceso o inicio de sesión no autorizados ni filtración de datos de clientes
El proveedor afirma que están implicadas hasta cinco empresas. Según pudo confirmar este sitio (a fecha del 10 de octubre), cuatro han anunciado que sus datos de clientes pudieron haberse filtrado: Daiwa Securities, Citizen Watch, Sompo Japan y ORIX Life Insurance. Los demás clientes no han sido nombrados, y este artículo no especula sobre quiénes son.
Iwate Bank y Shikoku Bank también han publicado avisos en los que trasladan a sus propios clientes el anuncio de Daiwa. Ambos lo hacen como socios comerciales de Daiwa; ninguno de los avisos indica que el banco fuera en sí mismo cliente del servicio del proveedor.
Las cifras utilizan unidades distintas: el proveedor, Sompo Japan y ORIX Life Insurance cuentan cada consulta, Daiwa Securities ofrece tanto registros como personas, y Citizen Watch ofrece personas. No pueden sumarse ni restarse sin más.
Considere que lo que escribió en una consulta también pudo filtrarse
El aviso de Daiwa enumera los elementos como "nombre, dirección de correo electrónico, número de cuenta y otros datos" y no indica cómo se tratan los textos de las consultas. El aviso del proveedor, en cambio, incluye el contenido de las consultas entre los elementos.
Si recuerda haber escrito un número de tarjeta de crédito, una cuenta bancaria o una fecha de nacimiento en una consulta, lo prudente es asumir que también pudo haberse filtrado (opinión de este sitio). En el caso de una tarjeta, llame al emisor al número del reverso de la tarjeta y pregunte si debe reemitirse.
Para qué podrían usarse los datos filtrados
Ninguno de estos elementos es raro por sí solo, pero juntos hacen que los mensajes falsos parezcan reales. Lo que diferencia este caso es que, además del nombre y los datos de contacto, incluye números de cuenta y los temas por los que preguntaron los clientes.
Nombre + correo electrónico + número de cuenta
↓→
Solicitudes falsas de inicio de sesión con el nombre y número de cuenta correctos
→ Nunca inicie sesión desde enlaces / use una passkey
Nombre + contenido de consultas anteriores
↓→
Llamadas o correos falsos que empiezan con "Sobre su consulta reciente…"
→ Nunca dé un PIN ni una contraseña de un solo uso / devuelva la llamada al número oficial
No encontrado, según el aviso
- Acceso a los sistemas propios de la empresa
- Operaciones fraudulentas (a fecha del 5 de octubre)
- Publicación o difusión de los datos (a fecha del 5 de octubre)
- Acceso a cuentas u operaciones solo con estos datos (la empresa afirma que no es posible)
Pudieron haberse filtrado
- Nombre
- Dirección de correo electrónico
- Número de cuenta y otros datos
- Contenido de las consultas (registros de consultas ya recibidas)
Cómo interpretarlo: que 'estos datos no puedan usarse para operar' no significa 'no hacer nada'
La empresa afirma que los datos que pudieron filtrarse no bastan por sí solos para acceder a cuentas u operar. Eso significa que estos datos, por sí solos, no son suficientes.
Si escribe su ID y contraseña en un correo o sitio falso, la situación es distinta. La Agencia de Servicios Financieros de Japón ha advertido de que son frecuentes las operaciones fraudulentas con IDs y contraseñas de inicio de sesión robados a través de sitios falsos que se hacen pasar por casas de bolsa (advertencia de la FSA, en japonés). Los datos de inicio de sesión son el objetivo probable siguiente, por lo que no iniciar sesión desde enlaces y usar una passkey son las defensas principales.
El contenido de las consultas varía de una persona a otra. Si recuerda sobre qué preguntó, podrá detectar cuándo un mensaje menciona ese tema y sospechar que se están usando los datos filtrados.
Para empresas que utilizan servicios externos para las consultas de clientes
Los datos no se almacenaban en los sistemas propios de la empresa, sino en el servidor de un proveedor utilizado para la gestión de consultas. El proveedor afirma que todo empezó con un inicio de sesión no autorizado en el sitio de gestión, pero no se ha revelado cómo llegó a ser posible, por lo que esta sección se limita a puntos aplicables a cualquier configuración similar. Un caso en el que el propio sistema de mesa de ayuda fue objetivo de una intrusión se recoge en el incidente de DIVD. Aquí añadimos lo específico de los registros de consultas.
No permita que los formularios de consulta recojan números de cuenta como texto libre
En el campo de mensaje de un formulario de consulta, los clientes suelen escribir números de cuenta, fechas de nacimiento y, a veces, incluso contraseñas. Si se necesitan comprobaciones de identidad, pida que las consultas se envíen desde una pantalla con sesión iniciada, y no guarde esos números en los registros de consultas.
Un primer paso es detectar, al enviar el formulario, cadenas con forma de número de cuenta o de teléfono y enmascarar parte de ellas antes de guardarlas. Algunos servicios de gestión de consultas ofrecen la ocultación de datos sensibles o una forma de procesar el contenido antes de almacenarlo.
Establezca un periodo de conservación para las consultas cerradas y elimínelas al terminar
Una vez cerrada una consulta, su registro rara vez se usa, pero en una filtración todos los registros quedan expuestos. Decida cuánto tiempo conservar los registros antiguos y haga que se eliminen automáticamente al terminar el periodo.
Si un proveedor los almacena, fije el periodo de conservación y el método de eliminación en el contrato y compruebe al menos una vez al año que la eliminación se realiza de verdad. Un caso en el que los datos no se eliminaron tras terminar un contrato figura en la entrada de ApplyNow de la lista de incidentes de 2026.
Liste los proveedores que guardan datos de clientes, con volúmenes y un plazo de notificación
Liste todos los servicios externos que guardan datos de clientes o solicitantes: gestión de consultas, envío de correos, encuestas, reclutamiento, etc. Para cada uno, anote cuántos registros y qué elementos contiene, y en cuántas horas debe avisarle si detecta un acceso no autorizado.
Empiece por los proveedores que guardan más registros y compruebe que sus pantallas de administración tienen autenticación multifactor, restricciones de origen y alertas por exportaciones grandes (contexto: Autenticación frente a autorización).
Pregunte también si sus datos están en el mismo servidor que los entornos de otros clientes. En este caso, resultaron afectados los entornos de hasta cinco empresas en un mismo servidor. Si los suyos son compartidos, averigüe si una intrusión en el lado de otro cliente podría llegar a sus datos.
Fuentes (registros públicos)
Los hechos de este artículo se basan en la siguiente información pública. No especulamos sobre métodos o causas no revelados.
- Daiwa Securities Co. Ltd., aviso sobre la posible filtración de información de clientes por acceso no autorizado a un proveedor externo (5 de octubre de 2026, en japonés) — comunicado de la empresa (PDF)
- Aviso en el sitio web de Daiwa Securities (contacto individual a través del buzón de mensajes, en japonés) — daiwa.jp
- Daiwa Securities, advertencia de phishing (en japonés) — daiwa.jp
- Daiwa Securities, ajustes de seguridad (passkeys, notificaciones de operaciones, historial de operaciones; en japonés) — daiwa.jp
- [La empresa matriz del proveedor], disculpas y aviso por una filtración de datos personales causada por un acceso no autorizado en una filial consolidada (当社連結子会社における不正アクセスによる個人情報漏えいに関するお詫びとお知らせ, 6 de octubre de 2026, en japonés) — aviso de la empresa matriz del proveedor (PDF)
- [El proveedor], disculpas y aviso por una filtración de datos personales causada por un acceso no autorizado al sistema de preguntas frecuentes [servicio del proveedor] (6 de octubre de 2026, en japonés) — aviso del proveedor
- Citizen Watch Co., Ltd., aviso sobre la posible filtración de información de clientes por acceso no autorizado a un contratista (委託先事業者に対する不正アクセスによるお客様情報の漏えいの可能性について, 6 de octubre de 2026, en japonés) — citizen.co.jp
- Sompo Japan Insurance Inc., aviso sobre la posible filtración de información de clientes por acceso no autorizado a un sistema de proveedor externo usado para un servicio empresarial (当社事業者向けサービスで使用する外部委託先システムへの不正アクセスによるお客さま情報漏えいの可能性について, 7 de octubre de 2026, en japonés) — sompo-japan.co.jp (PDF)
- ORIX Life Insurance Corporation, aviso sobre una posible filtración de datos personales en un contratista (当社の委託先における個人情報漏えいの可能性について, 8 de octubre de 2026, en japonés) — orixlife.co.jp (PDF)
- Tobu Railway Co., Ltd., aviso sobre acceso no autorizado a un contratista (委託先事業者への不正アクセスについて（お知らせ）, 7 de octubre de 2026, en japonés) — tobu.co.jp (PDF)
- au Jibun Bank Corporation, aviso sobre cómo el incidente de acceso no autorizado en un sistema de preguntas frecuentes [servicio del proveedor] afecta al banco (9 de octubre de 2026, en japonés) — jibunbank.co.jp (PDF)
- Iwate Bank, Ltd., aviso en el que traslada a sus clientes el anuncio de Daiwa Securities en el marco de su alianza empresarial con Daiwa (en japonés) — iwatebank.co.jp
- The Shikoku Bank, Ltd., aviso en el que traslada a sus clientes el anuncio de Daiwa Securities (5 de octubre de 2026, en japonés) — shikokubank.co.jp
- Agencia de Servicios Financieros, advertencia sobre acceso no autorizado y operaciones fraudulentas en la negociación en línea (en japonés) — fsa.go.jp
- Nikkei (5 de octubre de 2026, en japonés) — nikkei.com
- Kyodo News (5 de octubre de 2026, vía Yahoo! News Japan, en japonés) — news.yahoo.co.jp
Historial de actualizaciones
2026-10-06: Primera versión, basada en el aviso de Daiwa Securities del 5 de octubre. La empresa afirma que revisará la investigación de causa raíz del proveedor; este artículo se actualizará cuando se publiquen nuevos hechos.
2026-10-07: Se añadieron los avisos del proveedor (6 de octubre) y de Citizen Watch (6 de octubre): una nueva sección sobre el aviso del proveedor y otras empresas afectadas, preguntas frecuentes sobre otras empresas y sobre números de tarjeta escritos en consultas, y una descripción actualizada de la causa según el aviso del proveedor.
2026-10-10: Se añadieron los avisos de Sompo Japan (7 de octubre) y ORIX Life Insurance (8 de octubre), y de Tobu Railway (7 de octubre) y au Jibun Bank (9 de octubre), que usan el servicio del mismo proveedor pero no encontraron efecto en sus propios datos. Se añadió una tabla de empresas en la sección sobre el aviso del proveedor y se actualizó la pregunta frecuente sobre otras empresas.
2026-10-11: Se añadió a las fuentes el propio aviso del proveedor del 6 de octubre (incluidas sus medidas previstas). Se añadió el formulario de consulta específico de Citizen Watch. Se indicó que los avisos de Iwate Bank y Shikoku Bank trasladan el anuncio de Daiwa como socios y no añaden empresas clientes afectadas.
2026-10-22: En Lectura recomendada, se indicó que la cifra de 166.505 de Commune se cuenta por comunidad.
Lectura recomendada
- Para prepararse ante estafas derivadas: ¿Qué es el phishing? / ¿Qué es una passkey?
- Para proteger su inicio de sesión: Elegir bien la MFA / Cómo comprobar si su contraseña se ha filtrado
- Otros incidentes japoneses de este mes: Filtración en la aplicación de Yakiniku King / Filtración de Times Car
- Datos de clientes en riesgo en el PC de un contratista: Malware en el PC de un contratista de Daiichikosho (unos 8,72 millones de registros)
- Datos de miembros de muchas empresas filtrados a través de un único servicio: Acceso no autorizado a Commune (166.505 miembros de comunidades, contados por comunidad)
- Otra casa de bolsa este mes: Filtración en un proveedor de Iwai Cosmo Securities (4.975 clientes, pedidos no deseados en 7 cuentas)
- Otros incidentes de 2026: Filtraciones de datos y ciberataques de 2026