Para: personas que usaron la tienda online de Edion, sobre todo quienes introdujeron datos de tarjeta en un PC después de las 19:00 del 4 de noviembre, quienes tienen Edion Gift Card y quienes recibieron un correo sobre el ID y la contraseña de acceso. Este artículo es una explicación basada en los avisos oficiales de Edion (primer y segundo informe); no aborda técnicas de ataque.
En desarrollo: este artículo se actualizará a medida que la organización publique más información
- A quién afecta
personas que usaron la tienda online de Edion, sobre todo quienes introdujeron datos de tarjeta en un PC después de las 19:00 del 4 de noviembre, quienes tienen Edion Gift Card y quienes recibieron un correo sobre el ID y la contraseña de acceso.
- Confirmado hasta ahoraVer la tabla ↓
- Acceso no autorizado
- Programa malicioso en el procesamiento relacionado con el pago
- Estado de la tienda online
Señalado como posiblemente afectado
- Nombre, correo electrónico, teléfono, fecha de nacimiento, sexo, dirección, número de cliente
- Número de pedido, importe del pedido, código postal, código de dirección
- Fecha de caducidad de la tarjeta de crédito
5 más
- Número de tarjeta, titular, código de seguridad (registros de errores al hacer pedidos)
- Número de tarjeta, fecha de caducidad, titular, código de seguridad (entradas nuevas en PC)
- Número de Edion Gift Card
- Número, PIN e historial de uso de Edion Gift Card
- ID y contraseña de acceso
- Aún sin confirmar
- Vía y método de la intrusión
- Alcance del impacto (cifras y elementos finales)
- Cantidad de información de los registros no vinculada a nombres
3 más
- Cómo se tratarán las Edion Gift Card
- Cuándo reabrirá la tienda online
- Si los datos se han usado de forma indebida
- Qué hacer ahoraVer los pasos ↓
- Si introdujo datos de tarjeta en un PC después de las 19:00 del 4 de noviembre, revise su extracto y contacte con su emisor
- No facilite el número ni el PIN de la Edion Gift Card cuando se lo pidan
- Si recibe un correo para cambiar la contraseña, cámbiela desde el sitio oficial y corrija cualquier reutilización
2 más
- No responda a contactos sospechosos en nombre de Edion
- Si le preocupa, contacte con la ventanilla oficial
- Dónde verificarlo (fuente)Todas las fuentes ↓
- Edion, «Disculpas y aviso sobre la posible filtración de información personal por un acceso no autorizado a nuestra tienda online» (6 de noviembre de 2026, en japonés)
- Última comprobación
- A 12 de noviembre de 2026
Próximos avisos y qué comprobamos
En el segundo informe la empresa dice que prepara informes adicionales para la Comisión de Protección de Información Personal y la policía local, y que comunicará los nuevos hechos, como el alcance del impacto, a medida que se confirmen. Al consultar la lista de comunicados de la empresa el 12 de noviembre de 2026, no encontramos ninguna novedad posterior al segundo informe del 9 de noviembre (corregido el 10 de noviembre en cuanto a la hora de detención del servicio).
Qué deben hacer hoy los usuarios
Si introdujo datos de tarjeta en un PC después de las 19:00 del 4 de noviembre, revise su extracto y contacte con su emisor
Según el segundo informe, el programa malicioso estaba activo desde poco después de las 19:00 del 4 de noviembre. Si introdujo datos de tarjeta nuevos en la pantalla de pago desde un PC (hasta 556 entradas), la empresa no puede descartar que el número de tarjeta, la fecha de caducidad, el titular y el código de seguridad se filtraran directamente a un tercero. Los datos de tarjeta registrados en registros de errores al hacer pedidos (hasta 5 casos) incluyen los mismos elementos. La empresa confirmó que el funcionamiento y la introducción de datos desde teléfonos inteligentes no se vieron afectados por este programa.
La empresa pide a los afectados que revisen en su extracto de tarjeta si hay cargos que no reconocen y, en ese caso, que contacten con la ventanilla indicada en el reverso de la tarjeta. Como el código de seguridad puede estar incluido, este sitio recomienda consultar a su emisor sobre cambiar el número (reemisión) aunque todavía no haya aparecido ningún cargo no autorizado. Mientras no se cambie el número, esa combinación sigue siendo utilizable (véase la filtración de tarjetas en la tienda online de APORITO para el razonamiento, y el artículo sobre PhotoGoods para un caso similar).
Después de cambiar el número, actualice los servicios que cobran automáticamente con el número antiguo, como suministros y suscripciones. La empresa dice que ha pedido a las compañías de tarjetas de crédito que refuercen la vigilancia del uso no autorizado.
No facilite el número ni el PIN de la Edion Gift Card cuando se lo pidan
Según el segundo informe, el número, el PIN y el historial de uso de 5.360 Edion Gift Card pudieron filtrarse. El único lugar donde basta introducir el número y el PIN es la tienda online de la empresa; en las tiendas físicas hay que mostrar la tarjeta original. Mientras la tienda online esté detenida, la empresa dice que un tercero no puede usar por sí solos los datos filtrados.
Se está estudiando cómo se tratarán las tarjetas cuando se reabra la tienda online, y la empresa dice que informará a los clientes afectados cuando se decida. Hasta entonces, trate como falso cualquier correo, mensaje de texto o llamada que pida el número o el PIN, por ejemplo para «comprobar el saldo» o «canjear la tarjeta». Conserve la tarjeta física.
Si recibe un correo para cambiar la contraseña, cámbiela desde el sitio oficial y corrija cualquier reutilización
La empresa dice que enviará correos individuales, por turnos, a los hasta 1.141 clientes cuyo ID y contraseña de acceso están incluidos para pedirles que cambien la contraseña. Dice que, como los inicios de sesión nuevos en su tienda online exigen autenticación en dos pasos, no se da una situación en la que se esté produciendo un uso indebido inmediato.
También pueden circular correos falsos que imiten este (opinión de este sitio). Cambie la contraseña en una pantalla que usted mismo haya abierto desde un marcador o la aplicación oficial, no desde un enlace del correo. Si usa la misma contraseña de Edion en otros servicios, cámbiela también allí. Para comprobarlo, véase Cómo comprobar si su contraseña se ha filtrado; para reducir la reutilización ayudan un gestor de contraseñas y la autenticación multifactor.
No responda a contactos sospechosos en nombre de Edion
La información que pudo filtrarse incluye nombre, correo electrónico, teléfono, dirección, fecha de nacimiento, número de pedido e importe del pedido. Eso permite elaborar contactos creíbles que parecen conocer su pedido, y la empresa pide tener cuidado con los correos, mensajes de texto y llamadas sospechosos que se hagan pasar por Edion.
Trate como falso cualquier contacto que le lleve a un enlace para introducir datos de tarjeta o una contraseña, por ejemplo sobre una «cancelación de pedido», un «reembolso» o un «nuevo registro de la tarjeta». Compruebe en un sitio o una aplicación oficial que usted mismo abra. Para reconocer las falsificaciones, véase ¿Qué es el phishing?.
Si le preocupa, contacte con la ventanilla oficial
El contacto que figura en los avisos es el Centro de Consultas para Clientes (teléfono 0120-77-0095, de 9:00 a 18:00, hora de Japón). Use el contacto del aviso oficial, no un número de un correo o mensaje de texto. Si ve un cargo que no reconoce, también puede consultar a la ventanilla del reverso de su tarjeta, a la línea de consultas de la policía (#9110) o a la Línea de Atención al Consumidor (188), todas en Japón.
Qué ocurrió (según los avisos de Edion)
Edion publicó un primer informe el 6 de noviembre de 2026 y un segundo informe el 9 de noviembre como comunicados en su sitio web. El 10 de noviembre corrigió la fecha y hora de la detención de emergencia del servicio en el segundo informe (incorrecto: domingo 8 de noviembre; correcto: sábado 7 de noviembre a las 22:00). Todo lo que sigue procede de los avisos de la empresa.
4 de noviembre, poco después de las 19:00
El programa malicioso, hallado más tarde, empezó a ejecutarse en el procesamiento relacionado con el pago (segundo informe).5 de noviembre, alrededor de las 18:30
La empresa confirmó un acceso no autorizado desde el exterior al servidor que aloja la tienda online y que parte de la información personal pudo filtrarse (primer informe).6 de noviembre
Publicación del primer informe. Cuando se publicó, la empresa ya había informado a la Comisión de Protección de Información Personal. En ese momento dijo que la tienda online podía seguir usándose con normalidad.7 de noviembre, 22:00
La tienda online, la aplicación oficial de Edion y la aplicación Edion Smart se detuvieron con carácter de emergencia (hora corregida el 10 de noviembre).8 de noviembre, 21:10
La aplicación oficial y la aplicación Smart se reiniciaron con funciones limitadas a la tarjeta de socio digital, la visualización de cupones y similares.9 de noviembre
Publicación del segundo informe. Corrige el primero e informa de hechos recién hallados. La tienda online está detenida, sin fecha de reapertura.
- Causa
- Primer informe: acceso no autorizado desde el exterior, aprovechando una vulnerabilidad del sistema, a parte del área del servidor que contiene los archivos de registro. Segundo informe: un tercero externo insertó un programa malicioso en el procesamiento relacionado con el pago (vía y método no revelados)
- Información de registros (primer informe)
- Nombre (kanji y kana), correo electrónico, teléfono, fecha de nacimiento, sexo, dirección, número de cliente (hasta 4.131 clientes). Los elementos registrados varían algo según el cliente
- Información de pedidos (primer informe)
- Registrados: nombre, número de cliente, número de pedido, importe del pedido. El máximo al cotejar varios registros añade correo electrónico, teléfono, código postal, código de dirección (hasta prefectura y ciudad), fecha de caducidad de la tarjeta de crédito y número de Edion Gift Card (hasta 9.554 clientes)
- Añadido en el segundo informe
- Datos de tarjeta en registros de errores al hacer pedidos (número, fecha de caducidad, titular, código de seguridad; hasta 5 casos) / Edion Gift Card, 5.360 tarjetas (número, PIN, historial de uso) / ID y contraseña de acceso (hasta 1.141 clientes) / datos de tarjeta introducidos de nuevo en PC (los mismos cuatro elementos; hasta 556 entradas)
- No incluido
- Primer informe: no se confirmó el acceso no autorizado a la propia base de datos de clientes ni una filtración de ella. Segundo informe: el funcionamiento y la introducción de pagos desde teléfonos inteligentes no se vieron afectados por el programa malicioso
- Emisor y contacto
- Edion Corporation / Centro de Consultas para Clientes 0120-77-0095 (de 9:00 a 18:00, hora de Japón)
Qué se sabe y qué no
Esta tabla se basa en los informes primero y segundo de la empresa, a 12 de noviembre de 2026. La empresa da muchas de las cifras como máximos (la cifra de Edion Gift Card es de 5.360 tarjetas). Cuando aparezcan avisos posteriores, actualizaremos la columna de estado.
| Elemento | Lo que dice el aviso | Estado |
|---|---|---|
| Acceso no autorizado | Acceso no autorizado desde el exterior al servidor que aloja la tienda online. Confirmado alrededor de las 18:30 del 5 de nov. | Confirmado (empresa) |
| Programa malicioso en el procesamiento relacionado con el pago | Insertado por un tercero (manipulación). En ejecución desde poco después de las 19:00 del 4 de nov. | Confirmado (empresa) |
| Nombre, correo electrónico, teléfono, fecha de nacimiento, sexo, dirección, número de cliente | Información registrada en archivos de registro. Hasta 4.131 clientes (los elementos registrados varían según el cliente) | Posible (empresa) |
| Número de pedido, importe del pedido, código postal, código de dirección | Máximo al cotejar varios registros. Hasta 9.554 clientes. No combinables para todos los clientes | Posible (empresa) |
| Fecha de caducidad de la tarjeta de crédito | Entre los elementos al cotejar con la información de pedidos. También registrada de forma no vinculada a nombres | Posible (empresa) |
| Número de tarjeta, titular, código de seguridad (registros de errores al hacer pedidos) | Hasta 5 casos en que la entrada se registró excepcionalmente de forma temporal en el registro del sistema al producirse un error en la pantalla de pedido. Corrige lo que decía el primer informe de que no se incluían números de tarjeta | Posible (empresa) |
| Número de tarjeta, fecha de caducidad, titular, código de seguridad (entradas nuevas en PC) | Desde las 19:00 del 4 de nov. La empresa no puede descartar una filtración directa a un tercero. Hasta 556 entradas | Posible (empresa) |
| Funcionamiento y entrada desde teléfonos inteligentes | Confirmado que no se vieron afectados por el programa malicioso | No incluido (empresa) |
| Número de Edion Gift Card | Entre los elementos al cotejar con la información de pedidos | Posible (empresa) |
| Número, PIN e historial de uso de Edion Gift Card | 5.360 tarjetas. Añadido en el segundo informe. No utilizable solo con los datos filtrados mientras la tienda online esté detenida | Posible (empresa) |
| ID y contraseña de acceso | Hasta 1.141 clientes. Corrige lo que decía el primer informe de que no se incluían contraseñas de acceso. Los inicios de sesión nuevos exigen autenticación en dos pasos | Posible (empresa) |
| Cantidad de correos, teléfonos, etc. no vinculados a nombres | Primer informe: «actualmente en estudio». No se menciona en el segundo informe | En investigación |
| Acceso no autorizado a la propia base de datos de clientes | Primer informe: no confirmado. No se menciona en el segundo informe | No confirmado (empresa, primer informe) |
| Vía y método de la intrusión | El primer informe dice que se aprovechó una «vulnerabilidad del sistema»; sin más detalle | No indicado |
| Uso indebido | Los avisos no recogen ningún uso indebido confirmado. La empresa advierte de contactos sospechosos | No indicado |
| Avisos individuales | A los 1.141 clientes de las contraseñas se les avisa por correo. No se indica para otros elementos | Indicado en parte (empresa) |
| Estado de la tienda online | Detenida desde las 22:00 del 7 de nov. Sin fecha de reapertura | Confirmado (empresa) |
Qué cambió entre el primer y el segundo informe
La explicación de la empresa cambió como sigue entre el primer informe (6 de noviembre) y el segundo (9 de noviembre).
Primer informe (6 de noviembre)
- La información que pudo filtrarse es parte de los datos de los archivos de registro
- No se incluyen números de tarjeta de crédito ni contraseñas de acceso
- La tienda online puede seguir usándose con normalidad (la empresa dice que un especialista externo en seguridad evaluó que era seguro seguir operando)
Segundo informe (9 de noviembre)
- Se hallaron nuevas huellas de acceso no autorizado y se halló un programa malicioso insertado en el procesamiento relacionado con el pago
- Corregido: se incluían algunos datos de tarjeta, PIN de tarjetas regalo y contraseñas de acceso
- Tienda online y otros servicios detenidos con carácter de emergencia a las 22:00 del 7 de noviembre. Sin fecha de reapertura de la tienda online
Los elementos y las cifras pueden volver a cambiar en avisos posteriores. La empresa sigue describiendo el alcance como en investigación, así que consulte el aviso más reciente para las cifras de este artículo.
Para qué pueden usarse los datos de tarjeta, tarjeta regalo y acceso
La tabla siguiente describe lo que puede ocurrir en general con combinaciones como estas. No significa que estas cosas hayan ocurrido en este incidente.
| Información que pudo filtrarse | Qué puede ocurrir en general | Qué deben hacer los usuarios |
|---|---|---|
| Número de tarjeta + fecha de caducidad + titular + código de seguridad | Uso no autorizado en tiendas online, hasta que se cambie el número | Revise su extracto y consulte sobre cambiar el número |
| Número de tarjeta regalo + PIN | Uso indebido donde bastan el número y el PIN. Contactos falsos de «comprobación de saldo» | No facilite el número ni el PIN. Espere el aviso de la empresa |
| ID de acceso + contraseña | Intentos de inicio de sesión en otros sitios con la misma combinación | Corrija la reutilización y use autenticación en dos pasos |
| Nombre + teléfono + correo + código de dirección + número e importe del pedido | Contactos falsos creíbles que parecen conocer su pedido | No abra enlaces; compruebe en el sitio o la aplicación oficial |
Qué deben revisar los operadores: no guardar datos de tarjeta no impide que se manipule la pantalla de entrada
La causa no se ha revelado en detalle, así que esta sección solo trata lo que se desprende de los hechos publicados.
- «No hay datos de tarjeta en nuestro servidor» y «una pantalla de entrada segura» son cosas distintas: la empresa escribe que su pago con tarjeta admite la tokenización y no deja información en el servidor, pero que en este incidente se insertó un programa malicioso en el proceso de introducción de la información de pago para PC. En general, hacen falta controles que inventaríen los scripts que se ejecutan en las páginas de pago, permitan solo los autorizados y detecten manipulaciones (los requisitos 6.4.3 y 11.6.1 de PCI DSS 4.0 tratan esto).
- No deje la entrada escrita en los registros de errores: la empresa escribe que, cuando se produjo un error en la pantalla de pedido, la entrada se registró excepcionalmente de forma temporal en el registro del sistema (hasta 5 casos que incluían números de tarjeta y códigos de seguridad). En general, diseñe el registro para que nunca se escriban números de tarjeta ni códigos de seguridad, y busque periódicamente en los registros para confirmar que no queda ninguno.
- En un boletín provisional durante una investigación, separe lo confirmado de lo que aún no se ha examinado: aquí, elementos que el primer informe describía como no incluidos se corrigieron tras un análisis detallado. En general, las estimaciones del alcance pueden cambiar durante una investigación, y separar ambas cosas reduce el impacto de una corrección.
Fuentes (registro público)
Los datos de este artículo se basan en los avisos oficiales siguientes. No hemos especulado sobre detalles de la causa que no se han revelado.
- Edion, «Disculpas y aviso sobre la posible filtración de información personal por un acceso no autorizado a nuestra tienda online» (6 de noviembre de 2026, en japonés) — edion.co.jp (PDF)
- Edion, «Disculpas y aviso sobre los hechos recién hallados, la posible filtración de información personal y la detención del servicio de nuestra tienda online (segundo informe)» (9 de noviembre de 2026, corregido el 10 de noviembre, en japonés) — edion.co.jp (PDF)
- Lista de comunicados de Edion — edion.co.jp
Historial de actualizaciones
2026-11-12: Primera versión. Basada en el primer informe de Edion (6 de noviembre) y el segundo (9 de noviembre, con la hora de detención corregida el 10 de noviembre). Consultamos el mismo día la lista de comunicados de la empresa y no encontramos novedades posteriores al segundo informe.
Lectura recomendada
- Otro incidente de un comercio de electrónica: Acceso no autorizado al sistema de gestión de reformas de Yamada Denki
- Cuando se roban datos de tarjeta en la pantalla de pago: El robo de tarjetas en PhotoGoods / La filtración de tarjetas en la tienda online de APORITO
- Cuando se filtra una contraseña: Cómo comprobar si su contraseña se ha filtrado / Cómo elegir un gestor de contraseñas
- Reconocer los contactos falsos: ¿Qué es el phishing?
- Otros incidentes de 2026: Filtraciones de datos y ciberataques (Japón y el extranjero)