Para: quienes solicitaron o compraron bonos digitales o valores digitales (security tokens), sobre todo quienes puedan tener incluido su número de cuenta bancaria. Este artículo es una explicación basada en los avisos oficiales de las empresas; no trata técnicas de ataque.
En desarrollo: este artículo se actualizará a medida que las organizaciones publiquen más información
- A quién afecta
quienes solicitaron o compraron bonos digitales o valores digitales (security tokens), sobre todo quienes puedan tener incluido su número de cuenta bancaria.
- Confirmado hasta ahoraVer la tabla ↓
- Marui Group (emisor)
- Sony Bank (distribuidor)
- NTT Data (proveedor de la plataforma)
1 más
- Phillip Securities Japan (distribuidor)
Señalado como posiblemente afectado
- Rakuten Securities (distribuidor)
- Kagome (emisor)
- Kintetsu Group Holdings (emisor)
2 más
- West Japan Railway (emisor)
- Starts Securities (distribuidor)
- Aún sin confirmar
- Detalles de la causa (vía y alcance)
- Lista final de afectados y cifras entre emisores y distribuidores
- Si otros emisores o distribuidores harán anuncios
2 más
- Si los datos se han usado de forma indebida
- Cuándo se reanudarán las operaciones y los servicios
- Qué hacer ahoraVer los pasos ↓
- No responda a contactos en nombre de estas empresas
- Compruebe los avisos individuales abriéndolos usted mismo
- Si puede estar incluido su número de cuenta bancaria, revise los movimientos de su cuenta
3 más
- Proteja su inicio de sesión de valores (si tiene una cuenta en Rakuten Securities)
- Tenga en cuenta que algunas operaciones están suspendidas
- Si introdujo datos o envió dinero, pida ayuda de inmediato
- Dónde verificarlo (fuente)Todas las fuentes ↓
- Marui Group, «Information leak of customers due to unauthorized access to an outside contractor managing digital bonds» (2 de noviembre de 2026)
- Última comprobación
- A fecha del 14 de noviembre de 2026
Próximos avisos y qué comprobamos
Este sitio confirmó avisos oficiales de 10 empresas. Se informa de que otras empresas también han hecho anuncios, pero no pudimos confirmar sus avisos, por lo que no figuran en la tabla. Las empresas dicen que no se ha confirmado ningún daño secundario (como operaciones no autorizadas), o no encontramos ningún registro de él. Cuando consultamos los avisos el 14 de noviembre, la última actualización era del 4 de noviembre (Sony Bank).
Qué deben hacer hoy los afectados
No responda a contactos en nombre de estas empresas
Los datos que pueden haberse filtrado son nombres y datos de contacto. Marui Group dice que podrían usarse para suplantaciones y correos y SMS sospechosos, y pide no abrir URL de mensajes que no reconozca ni introducir datos personales. Kagome, Kintetsu Group Holdings y West Japan Railway también piden tener cuidado con correos, SMS y llamadas sospechosos en su nombre.
Compruebe si un contacto es real abriendo usted mismo el sitio o la app oficial, no mediante un enlace del mensaje. Cómo distinguirlos está en ¿Qué es el phishing?
Compruebe los avisos individuales abriéndolos usted mismo
Las empresas dicen que contactarán individualmente a los clientes afectados. Kagome dice que avisará mediante los Avisos importantes que se muestran tras iniciar sesión en Rakuten Securities, el vendedor. West Japan Railway dice que Rakuten Securities contactará a los afectados por correo electrónico u otros medios. Marui Group dice que contactará por turnos a los clientes afectados.
Para comprobar cómo se le contactará, use los teléfonos y correos oficiales de la tabla de contactos siguiente.
Si puede estar incluido su número de cuenta bancaria, revise los movimientos de su cuenta
Los números de cuenta bancaria pueden estar incluidos para 54 personas de Marui Group y 4 de Sony Bank. Ninguno de los avisos dice que se hayan filtrado PIN o contraseñas de cuenta. Pero a quien conoce su número de cuenta y su nombre le resulta más fácil hacer un contacto que parezca una transferencia (opinión de este sitio). Revise su extracto en la app del banco o en la libreta, y no responda a ningún contacto que pida PIN o contraseñas de un solo uso.
Si recibe un ingreso inesperado o un mensaje que dice «transferí por error, devuélvamelo», no envíe dinero usted mismo; hable primero con su banco. Ninguno de los avisos recomienda cambiar de cuenta. Para consejos generales, véanse la advertencia de la Asociación de Banqueros de Japón y el aviso de la Agencia Nacional de Policía (ambos en japonés; consejos generales, no sobre este incidente).
Proteja su inicio de sesión de valores (si tiene una cuenta en Rakuten Securities)
Rakuten Securities dice que los ID de inicio de sesión y las contraseñas no están entre los datos que pueden haberse filtrado. Está haciendo obligatorio el inicio de sesión con passkey, que resiste al phishing, y recomienda configurarlo si no lo ha hecho. Véanse ¿Qué es una passkey? y Cómo elegir la autenticación en dos pasos.
Tenga en cuenta que algunas operaciones están suspendidas
Sony Bank dice que la negociación de valores digitales está suspendida y que informará a los clientes tras la recuperación. NTT Data también ha suspendido su plataforma de valores digitales «STdirectServices» y decidirá su reanudación tras confirmar las medidas de seguridad. Tenga cuidado con los mensajes que finjan ser avisos sobre la suspensión.
Si introdujo datos o envió dinero, pida ayuda de inmediato
Si introdujo datos de cuenta o datos personales en la página de un mensaje sospechoso, o envió dinero, contacte de inmediato con su banco o su empresa de valores. También puede llamar a la línea de consultas de la policía (#9110) o a la línea del consumidor (188). Para actividad sospechosa en una cuenta, véase Cómo comprobar si hay accesos no autorizados.
Qué pasó (según los avisos de las empresas)
Varios emisores y distribuidores dicen que se accedió sin autorización al sistema del mismo proveedor. Los avisos de Marui Group, Sony Bank, NTT Data y otros nombran al proveedor como Securitize Japan. Lo que sigue procede de sus avisos. Las fechas son la fecha de anuncio de cada empresa; no salieron todas a la vez.
29 oct.
Un tercero accedió al sistema del proveedor. Starts Securities dice que el proveedor lo detectó el 29 de octubre. Phillip Securities Japan dice que se accedió de madrugada ese día y que lo confirmó esa mañana. Marui Group y NTT Data dicen que el acceso no autorizado se produjo (se recibió) el 29 de octubre.30 oct.
NTT Data informó a emisores y distribuidores (Kagome, Kintetsu Group Holdings, West Japan Railway). Sony Bank publicó su aviso con fecha del 30 de octubre.31 oct.
NTT Data anunció la suspensión de «STdirectServices» (primer informe). Rakuten Securities, Starts Securities, Kagome, Kintetsu Group Holdings y West Japan Railway hicieron sus anuncios. Phillip Securities Japan también emitió su primer aviso; en su seguimiento del 2 de noviembre dice que una parte de ese aviso, sobre el alcance de los datos de clientes cuya filtración se confirmó, era errónea y la corrigió.2 nov.
Marui Group (hasta 9.086 personas), NTT Data (segundo informe), Pan Pacific International Holdings (primer informe) y Phillip Securities Japan (seguimiento, 162 personas) hicieron sus anuncios. Sony Bank actualizó su aviso este día y el 4 de noviembre (la página no describe qué cambió).14 nov.
Este sitio revisó el aviso de cada empresa. No encontramos nada más reciente que lo anterior.
- Ocurrencia
- 29 de octubre de 2026 (acceso no autorizado de un tercero al sistema del proveedor que ofrece la gestión de bonos digitales y valores digitales)
- Quién está afectado
- Personas que solicitaron o compraron bonos digitales o valores digitales. Las cifras difieren según el emisor y el distribuidor
- Causa
- NTT Data, segundo informe: se explotó una debilidad en la función de autenticación del SaaS del proveedor, se obtuvieron sin autorización privilegios de administrador y se extrajo información. La vía detallada y el alcance siguen en investigación
- Respuesta
- El proveedor detuvo el servicio, bloqueó la vía e invalidó los privilegios de administrador obtenidos indebidamente (NTT Data). Sony Bank ha suspendido la negociación de valores digitales
- Daño secundario
- Marui Group, Sony Bank, Rakuten Securities y NTT Data dicen que hasta ahora no se ha confirmado ningún uso indebido ni operaciones no autorizadas
Qué se sabe y qué no
Este es el estado, a fecha del 14 de noviembre de 2026, de las 10 empresas cuyos avisos oficiales leyó este sitio. Cada empresa cuenta de forma distinta, y un mismo comprador puede aparecer tanto en un emisor como en un distribuidor, por lo que las cifras no se pueden sumar.
| Empresa (papel) | Anunciado | Afectados | Datos que pueden haberse filtrado | Estado |
|---|---|---|---|---|
| Marui Group (emisor) | 2 nov. | Hasta 9.086 personas (filtración confirmada); 54 pueden incluir números de cuenta | Nombre, dirección, teléfono, correo electrónico, fecha de nacimiento, género, número de cuenta bancaria, unidades de inversión | Filtración confirmada (hasta 9.086 personas; números de cuenta posibles para 54) (empresa) |
| Sony Bank (distribuidor) | 30 oct. (actualizado el 2 y el 4 de nov.) | 621 personas | 4 personas: nombre, dirección, fecha de nacimiento, número de cuenta. 617 personas: nombre | Confirmado (empresa) |
| NTT Data (proveedor de la plataforma) | 31 oct. (primer informe), 2 nov. (segundo informe) | Compradores de bonos (111 y 2.678 en grupos distintos), más usuarios del sistema (cifra en investigación) | Dos emisores, 111 personas: nombre, dirección, teléfono, correo electrónico, género, fecha de nacimiento. Un emisor, 2.678 personas: nombre en kana, cantidad de bonos comprada, correo electrónico. Usuarios del personal: nombre, correo electrónico | Confirmado (empresa) |
| Rakuten Securities (distribuidor) | 31 oct. | 362 casos en total (tres bonos: Kagome, West Japan Railway, Kintetsu Group Holdings; sin desglose por bono) | Datos en investigación. No se incluyen los ID de inicio de sesión ni las contraseñas ni la información necesaria para operar | Posible (empresa) |
| Kagome (emisor) | 31 oct. | 109 de 5.472 compradores | Nombre, dirección, teléfono, correo electrónico, género, fecha de nacimiento | Posible (empresa) |
| Kintetsu Group Holdings (emisor) | 31 oct. | 2.678 casos entre quienes compraron 1 millón de yenes o más del 135.º bono sin garantía | Nombre, importe de la compra. No tiene números de cuenta de valores ni contraseñas | Posible (empresa) |
| West Japan Railway (emisor) | 31 oct. | 2 casos | Nombre, dirección, teléfono, correo electrónico, género, fecha de nacimiento | Posible (empresa) |
| Starts Securities (distribuidor) | 31 oct. | No se da cifra | Nombre, posiciones. No se ha confirmado el acceso a datos de contacto como dirección, teléfono y correo, ni a datos de autenticación | Posible (empresa) |
| Phillip Securities Japan (distribuidor) | 31 oct., 2 nov. (seguimiento) | 162 compradores del valor digital de la película | Nombre, cantidad operada | Confirmado (empresa) |
| Pan Pacific International Holdings (emisor) | 2 nov. (primer informe) | En investigación | Si se filtró algo, quién está afectado y qué datos están en investigación | No indicado |
Sobre la causa: NTT Data dice que se explotó una debilidad en la función de autenticación del SaaS del proveedor (estado: confirmado en parte, según NTT Data). La vía detallada sigue en investigación. No encontramos ningún aviso del propio proveedor en su página principal oficial el 14 de noviembre de 2026 (estado: no indicado).
Contactos (según figuran en cada aviso)
| Empresa | Contacto |
|---|---|
| Marui Group | Línea de atención al cliente 0120-659-757 (10:00 a 18:00 hora de Japón, cerrada los miércoles y domingos), correo maruigroup-socialbond@0101.co.jp |
| Sony Bank | Línea de emergencia por uso no autorizado 0120-365-738 (9:00 a 17:00, incluidos fines de semana y festivos). |
| Kagome | Departamento de Finanzas y RI / Comunicación Corporativa 03-5623-8503 (días laborables 9:00 a 17:00) |
| Kintetsu Group Holdings | División de Política General 06-6775-3472 (días laborables 10:00 a 17:00) |
| West Japan Railway | División de Estrategia Corporativa 06-6375-8939 (días laborables 9:30 a 17:00) |
| Starts Securities | Departamento de Negocio de Valores 03-3686-2511 |
| Phillip Securities Japan | 0120-883-301 (días laborables 9:00 a 17:00) |
| Pan Pacific International Holdings | Correo info-securitytoken@ppih-group.com |
| Rakuten Securities | El aviso no incluye un contacto específico; use la página de consultas de su sitio |
| NTT Data | Relaciones Públicas (para medios) correo nttdata-pr-inquiries@am.nttdata.co.jp |
Qué cambia cuando la filtración está en un proveedor
Esta vez el sistema al que se accedió no era el de la empresa con la que trataba el cliente (emisor o distribuidor), sino el de un proveedor que está detrás. Marui Group dice que hasta ahora no se ha confirmado ninguna filtración desde sus propios sistemas, y Phillip Securities Japan dice que no fue un acceso no autorizado a sus propios sistemas ni una filtración de datos que gestiona. La tabla siguiente muestra a qué pueden llevar en general esas combinaciones de datos. No significa que esto haya ocurrido en este incidente.
| Dato que puede haberse filtrado | Qué puede ocurrir en general | Qué hacer |
|---|---|---|
| Nombre + correo electrónico + teléfono | Correos, SMS o llamadas realistas en nombre del emisor o del distribuidor | No abra enlaces; compruebe en el sitio o la app oficial |
| Nombre + fecha de nacimiento + dirección | «Comprobaciones de identidad» usadas para obtener el resto de sus datos | No responda aunque quien llama diga su fecha de nacimiento |
| Número de cuenta bancaria + nombre | Contacto que parece una transferencia, peticiones de devolución de «envié dinero por error» | No envíe dinero usted mismo; hable con su banco |
| Nombre + unidades de inversión / importe de la compra | Ofertas dirigidas a personas con patrimonio, o contactos que fingen tratar de amortizaciones o ventajas | Compruebe los avisos de amortización y ventajas en el sitio oficial del emisor |
Lo que puede haberse filtrado
- Nombre, dirección, teléfono, correo electrónico, fecha de nacimiento, género (varía según la empresa)
- Unidades de inversión, cantidad comprada, importe de la compra (varía según la empresa)
- Número de cuenta bancaria (54 personas de Marui Group, 4 de Sony Bank)
Indicado como no incluido, según los avisos
- Datos de tarjetas de crédito (Marui Group; no se confiaron al proveedor)
- ID de inicio de sesión y contraseñas, e información necesaria para operar (Rakuten Securities)
- Números de cuenta de valores, contraseñas y datos similares de operaciones financieras (Kintetsu Group Holdings; no los tiene)
Qué deben revisar emisores y distribuidores: los privilegios de administrador en el proveedor
La causa sigue en investigación, así que solo escribimos lo que sustentan los hechos publicados.
- Revise los privilegios de administrador del proveedor. NTT Data dice que se obtuvieron sin autorización privilegios de administrador del SaaS del proveedor. En general, qué datos de clientes puede ver un proveedor con privilegios de administrador, y con qué fuerza se autentican esos privilegios, son cuestiones que el cliente puede preguntar.
- Confíe menos datos. Kintetsu Group Holdings no tiene números de cuenta de valores ni contraseñas, y Marui Group dice que no confió datos de tarjetas de crédito al proveedor. Los datos que no se entregan no pueden filtrarse desde allí.
- Acuerden quién anuncia qué y cuándo. Esta vez los avisos se repartieron del 30 de octubre al 4 de noviembre, y no encontramos ninguno del propio proveedor. Decidir antes del contrato quién informa a los usuarios y de qué, y cuándo, si el proveedor se detiene, acelera el contacto con los usuarios.
Fuentes (registros públicos)
Los hechos de este artículo se basan en los siguientes avisos oficiales (todos en japonés). No hemos especulado sobre detalles de la causa que no se han revelado.
- Marui Group, «Information leak of customers due to unauthorized access to an outside contractor managing digital bonds» (2 de noviembre de 2026) — 0101maruigroup.co.jp
- Sony Bank, «Information leak due to unauthorized access to an outside contractor for digital securities» (30 de octubre de 2026; actualizado el 2 y el 4 de noviembre) — sonybank.jp
- NTT Data, «Suspension of STdirectServices (second report)» (2 de noviembre de 2026) — nttdata.com
- Rakuten Securities, «Possible leak of customer information due to unauthorized access to an outside service provider» (31 de octubre de 2026) — rakuten-sec.co.jp
- Starts Securities, «Possible leak of personal information due to unauthorized access» (31 de octubre de 2026) — starts-sc.com
- Phillip Securities Japan, «Customer information leak due to unauthorized access to an outside contractor (follow-up)» (2 de noviembre de 2026) — phillip.co.jp
- Kagome, «Possible leak of personal information of customers who bought our digital-perk bond, and our response» (31 de octubre de 2026, PDF) — kagome.co.jp
- Kintetsu Group Holdings, «Possible leak of investor information due to unauthorized access to an outside service» (31 de octubre de 2026, PDF) — aviso de Kintetsu Group Holdings (PDF)
- West Japan Railway, «Possible leak of investor information due to unauthorized access to an outside service» (31 de octubre de 2026, PDF) — westjr.co.jp
- Pan Pacific International Holdings, «Apology and notice about unauthorized access to the management system of our digital bonds (first report)» (2 de noviembre de 2026, PDF) — ppih.co.jp
Historial de actualizaciones
2026-11-14: Primera versión. Basada en avisos de Marui Group (2 de noviembre), Sony Bank (30 de octubre, actualizado el 2 y el 4 de noviembre), NTT Data (2 de noviembre), Rakuten Securities, Starts Securities, Kagome, Kintetsu Group Holdings y West Japan Railway (31 de octubre), Phillip Securities Japan (2 de noviembre) y Pan Pacific International Holdings (2 de noviembre). Consultamos los avisos el mismo día y no encontramos nada más reciente que el 4 de noviembre. Se informa de que otras empresas también han hecho anuncios, pero en la tabla solo figuran los avisos que pudimos confirmar.
Lectura recomendada
- Cómo reconocer contactos falsos: ¿Qué es el phishing? / ¿Qué es una passkey?
- Proteger su inicio de sesión: Cómo elegir la autenticación en dos pasos
- Actividad sospechosa en una cuenta: Cómo comprobar si hay accesos no autorizados
- Un incidente similar por la vía de un proveedor en una empresa de valores: Filtración en un proveedor de Daiwa Securities (unas 110.000 personas)
- Otros incidentes de 2026: Filtraciones de datos y ciberataques (Japón y en el mundo)