A quién afecta: socios del sitio de socios GFS (incluidas las personas que ya no lo son), personas que solicitaron y personas que enviaron una consulta. Especialmente quienes enviaron documentos de identidad o imágenes de su tarjeta My Number. Este artículo se basa en el aviso oficial de GFS Education y no aborda técnicas de ataque.
En desarrollo: este artículo se actualizará a medida que la organización publique más información
- A quién afecta
socios del sitio de socios GFS (incluidas las personas que ya no lo son), personas que solicitaron y personas que enviaron una consulta. Especialmente quienes enviaron documentos de identidad o imágenes de su tarjeta My Number.
- Confirmado hasta ahoraVer la tabla ↓
- Descubrimiento
- Salida al exterior
- Causa
Señalado como posiblemente afectado
- Cifra (información personal)
- Nombre, correo electrónico, fecha de nacimiento, teléfono, dirección
- Información relacionada con la contraseña
4 más
- Historial de visionados y compras, contenido de consultas
- Imágenes de deberes enviados
- Imágenes de documentos de identidad
- Reverso de la tarjeta My Number (con el número individual)
- Aún sin confirmar
- Alcance total del impacto (en investigación)
- Qué imágenes de documentos de identidad se incluyen
- Finalización de los avisos individuales
2 más
- Si los datos se han utilizado de forma indebida
- Un contacto telefónico (no figura en el aviso)
- Qué hacer ahoraVer los pasos ↓
- Cambie la contraseña del sitio de socios
- Si está implicado el reverso de su tarjeta My Number (84 personas): espere el aviso individual y consulte sobre el número
- Si envió documentos de identidad: esté atento a contratos y facturas que no hizo
4 más
- No responda a contactos que usen el nombre de la empresa o de un organismo público (incluidos los correos de aviso)
- Revise los extractos de sus tarjetas (como precaución)
- Si tiene dudas, use el punto de contacto oficial
- Si introdujo datos o envió dinero, pida ayuda de inmediato
- Dónde verificarlo (fuente)Todas las fuentes ↓
- GFS Education Inc., «Disculpas y aviso sobre la filtración de información personal por un acceso no autorizado al sitio de socios GFS» (13 de noviembre de 2026, en japonés)
- Última comprobación
- A 15 de noviembre de 2026
Próximos avisos y qué comprobamos
La empresa afirma que sigue investigando el alcance total. Dice que, cuando surjan nuevos hechos, actualizará su sitio web y, si es necesario, volverá a contactar con los afectados. Consultamos el aviso de la empresa el 15 de noviembre de 2026 y no encontramos ninguna actualización posterior al aviso del 13 de noviembre.
Qué deben hacer hoy los afectados
Cambie la contraseña del sitio de socios
La empresa afirma que la información relacionada con la contraseña también pudo filtrarse y pide cambiarla lo antes posible. Describe los datos como valores protegidos al almacenarse, pero si usa la misma contraseña en otros servicios, estos también pueden verse afectados (opinión de este sitio).
Inicie sesión en el sitio de socios, abra «Configuración de la cuenta» desde el icono de la parte superior derecha y use «Cambiar contraseña» en el campo de la contraseña. Entre por su marcador habitual, no por un enlace de un correo. La empresa pide también cambiar la contraseña en cualquier otro servicio donde usara la misma. Para comprobar la reutilización, véase Cómo comprobar si su contraseña se ha filtrado; para el inicio de sesión en dos pasos, véase Cómo configurar la autenticación multifactor.
Si está implicado el reverso de su tarjeta My Number (84 personas): espere el aviso individual y consulte sobre el número
La empresa afirma que había guardado las imágenes del reverso de la tarjeta My Number que algunas personas enviaron. Como el reverso muestra el número individual de 12 dígitos, dice que ese número se filtró o pudo filtrarse. Afecta a 84 personas.
La empresa afirma que la filtración de documentos de identidad o del número individual no conduce por sí sola a un uso indebido inmediato. Añade que si el número individual se ha filtrado y se considera que hay riesgo de uso indebido, puede pedir al municipio donde reside que lo cambie. Lea primero el aviso individual de la empresa y luego consulte en su ayuntamiento. La orientación del Gobierno nacional (las preguntas frecuentes de la Agencia Digital y las preguntas frecuentes del sitio general de la tarjeta My Number, en japonés) indica que, en principio, el número se conserva de por vida, que solo puede cambiarse cuando se ha filtrado y se considera que hay riesgo de uso indebido, a petición de la persona o por iniciativa del alcalde, que no se puede elegir el número y que debe consultar al municipio donde reside. Es información general y no sobre este incidente.
El aviso no dice si hace falta reemitir la propia tarjeta.
Si envió documentos de identidad: esté atento a contratos y facturas que no hizo
La empresa afirma que, si se hace un uso indebido de las imágenes de documentos de identidad, un tercero podría hacerse pasar por usted y solicitar contratos de diversos servicios o tarjetas de crédito. El aviso no dice qué documentos (como el carné de conducir) se incluyen.
Si llega un aviso, correo o factura de un contrato que no hizo, compruébelo con esa empresa a través de su punto de contacto oficial y consulte a la policía o a un centro del consumidor si es necesario (línea de atención al consumidor 188 en Japón). Los pasos según el tipo de documento figuran en What to do when a driver's license or ID document leaks (en inglés).
No responda a contactos que usen el nombre de la empresa o de un organismo público (incluidos los correos de aviso)
La empresa afirma que la información filtrada podría usarse para enviar correos o llamadas sospechosos que se hagan pasar por la empresa o por un organismo público. Si recibe un contacto que no reconoce, no abra las URL, no abra archivos adjuntos y no facilite datos personales.
Los avisos individuales de la empresa van a su dirección de correo registrada. Un mensaje falso puede llegar del mismo modo (opinión de este sitio), así que no abra enlaces del correo; cambie la contraseña o compruebe las cosas desde el sitio de socios que usted mismo abra. Cómo distinguirlos figura en ¿Qué es el phishing?.
Revise los extractos de sus tarjetas (como precaución)
La empresa afirma que guarda los números de tarjeta parcialmente enmascarados y que no se ha confirmado la filtración de números completos. El aviso no dice que deba reemitir su tarjeta solo por este incidente. Como precaución, compruebe el extracto de cualquier tarjeta que usara en el sitio de socios por si hay cargos que no reconozca.
Si tiene dudas, use el punto de contacto oficial
El punto de contacto del aviso es la dirección de correo del Servicio de Atención al Cliente de GFS Education: privacy(at)gfse.jp (sustituya «(at)» por «@» al enviar). El aviso no da teléfono ni horario.
Use el punto de contacto del aviso oficial, no uno escrito en un correo o SMS.
Si introdujo datos o envió dinero, pida ayuda de inmediato
Si introdujo datos personales en un enlace sospechoso o envió dinero, contacte de inmediato con su banco o emisor de tarjeta. También puede llamar a la línea de consultas de la policía (#9110 en Japón) o a la línea de atención al consumidor (188). Para comprobar si hay actividad sospechosa en una cuenta, véase Cómo comprobar si ha habido acceso no autorizado.
Qué ocurrió (según el aviso de GFS Education)
El 13 de noviembre de 2026, la empresa publicó un aviso sobre la filtración de información personal por un acceso no autorizado al sitio de socios GFS. Todo lo que sigue es lo que dice la empresa.
9 de noviembre
La empresa detectó una carga anómala en el servidor, investigó y halló que un tercero había accedido sin autorización. Cortó de inmediato las comunicaciones y tomó medidas para detener la propagación del daño.Hallado en la investigación
Se confirmó que se explotó un fallo de la función de subida de imágenes y que información de la base de datos y archivos de imagen almacenados en el servidor salieron al exterior. La empresa sigue investigando el alcance total.Respuesta
Bloqueó las comunicaciones del atacante, aisló el programa malicioso, redujo los permisos del servidor y cambió la contraseña de la base de datos. Corrigió el fallo de programa que lo causó. Presentó una denuncia por daños ante la policía e informó a la Comisión de Protección de Información Personal.13 de noviembre
Publicó el aviso. Dijo que contactará, una a una y por turnos, con los afectados en su dirección de correo registrada.
- Descubrimiento
- 9 de noviembre de 2026 (una carga anómala llevó a una investigación que halló un acceso no autorizado de un tercero). El aviso no dice cuándo comenzó el acceso
- Personas afectadas
- Información personal de unas 110.000 personas. De ellas, información que contiene el número individual (My Number): 84 personas
- Información que se filtró o pudo filtrarse
- Nombre, correo electrónico, fecha de nacimiento, información relacionada con la contraseña (valores protegidos al almacenarse), teléfono, dirección, historial de visionados y compras, contenido de consultas, imágenes de deberes enviados, imágenes de documentos de identidad. En el caso de 84 personas, imágenes del reverso de la tarjeta My Number
- No incluido
- Números de tarjetas de crédito completos (almacenados parcialmente enmascarados; hasta ahora no se ha confirmado la filtración de números completos)
- Causa
- Se explotó un fallo de programa en la función de subida de imágenes y se colocó y ejecutó un programa malicioso; un fallo en la configuración de permisos de acceso del servidor
- Contacto
- Servicio de Atención al Cliente privacy(at)gfse.jp (no se dan teléfono ni horario)
Qué se sabe y qué no
Esto se basa en el aviso de la empresa del 13 de noviembre, a 15 de noviembre de 2026. La empresa enumera la información personal siguiente como información que se filtró o pudo filtrarse, y dice que los datos difieren de una persona a otra. Cuando haya novedades, actualizaremos la columna de estado.
| Elemento | Lo que dice el aviso | Estado |
|---|---|---|
| Descubrimiento | Hallado el 9 de nov. tras una investigación motivada por una carga anómala | Confirmado (empresa) |
| Cuándo comenzó el acceso | No indicado | No indicado |
| Salida al exterior | Se explotó un fallo de la función de subida de imágenes y se confirmó que información de la base de datos y archivos de imagen salieron al exterior | Confirmado (empresa) |
| Cifra (información personal) | Unas 110.000 personas (socios y antiguos socios, solicitantes, personas que enviaron consultas) | Posible (empresa; los datos difieren por persona) |
| Nombre, correo electrónico, fecha de nacimiento, teléfono, dirección | Entre la información que se filtró o pudo filtrarse | Posible (empresa) |
| Información relacionada con la contraseña | Valores protegidos al almacenarse. Pudo filtrarse | Posible (empresa) |
| Historial de visionados y compras, contenido de consultas | Entre la información que se filtró o pudo filtrarse | Posible (empresa) |
| Imágenes de deberes enviados | Entre la información que se filtró o pudo filtrarse | Posible (empresa) |
| Imágenes de documentos de identidad | Incluidas. No se indica cuáles | Posible (empresa); tipo no indicado |
| Reverso de la tarjeta My Number (con el número individual) | 84 personas. El número individual de 12 dígitos se filtró o pudo filtrarse | Posible (empresa) |
| Anverso de la tarjeta My Number | No indicado | No indicado |
| Números de tarjetas de crédito | Almacenados parcialmente enmascarados; no se conservan los números completos. No se ha confirmado la filtración de números completos | No confirmado (empresa) |
| Causa | Se explotó un fallo de programa en la función de subida de imágenes y se colocó y ejecutó un programa malicioso; un fallo en la configuración de permisos de acceso del servidor | Confirmado (empresa) |
| Uso indebido | El aviso no menciona ningún uso indebido confirmado. Dice que pueden producirse contactos sospechosos y suplantaciones | No indicado |
| Alcance total del impacto | Sigue en investigación | En investigación (empresa) |
| Autoridades y policía | Informado a la Comisión de Protección de Información Personal; denuncia por daños presentada ante la policía | Hecho (empresa) |
| Avisos individuales | La empresa dice que contactará con las personas por turnos en el correo registrado, adaptado a los datos de cada una. No dice si ya ha empezado | Previsto (empresa; inicio no indicado) |
Qué puede ocurrir con la información que se filtró o pudo filtrarse
- Correos y llamadas de apariencia auténtica que usan el nombre de la empresa o de un organismo público
- Solicitudes de contratos a otros servicios o a emisores de tarjetas con imágenes de documentos de identidad
- Inicios de sesión no autorizados en otros servicios que comparten la misma contraseña (opinión de este sitio)
- Para quienes tienen implicado el reverso de la tarjeta My Number, que el número individual llegue a conocerse
Qué dice el aviso que no se ha confirmado
- La filtración de números de tarjetas de crédito completos
- Uso indebido (el aviso no dice que se haya confirmado ninguno)
Para operadores: cómo conservar las imágenes de documentos enviados
La causa se ha revelado solo a grandes rasgos, así que esto trata únicamente lo que respaldan los hechos revelados.
- No conserve las imágenes en el servidor indefinidamente: la empresa escribe que las imágenes enviadas incluían el reverso de la tarjeta My Number y que las había guardado en el sistema. En general es eficaz fijar un plazo y un alcance de conservación para las imágenes de documentos de identidad y borrarlas cuando ya no hagan falta. La ley japonesa también limita los fines y el alcance del tratamiento del My Number.
- Revise la función de subida y los permisos del servidor: la causa fue un fallo en la función de subida de imágenes y un fallo en la configuración de permisos de acceso del servidor. Validar el tipo y la ubicación de almacenamiento de los archivos subidos, no darles permiso de ejecución y mantener los permisos del servidor al mínimo son medidas de protección en general eficaces.
Fuentes (registros públicos)
Los datos de este artículo se basan en el siguiente aviso oficial. No se han supuesto causas que no se revelaron.
- GFS Education Inc., «Disculpas y aviso sobre la filtración de información personal por un acceso no autorizado al sitio de socios GFS» (13 de noviembre de 2026, en japonés) — gfse.jp
- Condiciones generales para cambiar un número individual (orientación del Gobierno nacional): Agencia Digital, preguntas frecuentes sobre My Number — digital.go.jp / sitio general de la tarjeta My Number, preguntas frecuentes (en japonés) — kojinbango-card.go.jp
Historial de actualizaciones
2026-11-15: Primera versión. Basada en el aviso de GFS Education del 13 de noviembre. Consultamos el aviso de la empresa el mismo día y no encontramos novedades.
Lectura recomendada
- Cuando se filtran documentos de identidad: What to do when a driver's license or ID document leaks (en inglés) / El incidente de Lashinbang (documentos de identidad y datos bancarios)
- Reconocer contactos falsos: ¿Qué es el phishing?
- Comprobar contraseñas e inicio de sesión en dos pasos: Cómo comprobar si su contraseña se ha filtrado / Cómo configurar la autenticación multifactor
- Actividad sospechosa en una cuenta: Cómo comprobar si ha habido acceso no autorizado
- Otros incidentes de 2026: Filtraciones de datos y ciberataques (Japón y el extranjero)