Para: personas que han recibido envíos a través de Ichiban Kuji ONLINE y operadores de tiendas en línea que encargan la entrega a una empresa logística externa. Este artículo se basa en el anuncio oficial de BANDAI NAMCO Holdings, BANDAI SPIRITS y Bandai Logipal y no trata sobre técnicas de ataque ni de estafa.
En desarrollo: este artículo se actualizará a medida que la organización publique más información
A 28 de octubre de 2026Aún no se sabe
- Cuántas personas están afectadas y quiénes (qué periodo de datos de entrega)
- Cómo se produjo el acceso no autorizado y su causa
- Cuándo se reactivará el sistema de envíos
- Cómo se avisó a las personas afectadas
- Cómo se ven afectados los pedidos y las entregas de Ichiban Kuji ONLINE
En su primer informe del 26 de octubre, las tres empresas dicen que detalles como el número de personas afectadas están actualmente en investigación y se anunciarán cuando se conozcan. Publicarán un seguimiento cuando se confirme la seguridad del sistema de envíos y vuelva a ponerse en uso, y cuando salgan a la luz nuevos hechos que deban anunciarse, como la cifra. Cuando este sitio consultó la lista de comunicados de prensa de BANDAI NAMCO Holdings y la lista de noticias de Ichiban Kuji ONLINE el 28 de octubre, no se había publicado ningún seguimiento (segundo informe).
Qué deben hacer hoy quienes han recibido envíos a través de Ichiban Kuji ONLINE
No responda nada en el momento cuando reciba una llamada inesperada
Las tres empresas dicen que pueden llegar llamadas telefónicas sospechosas relacionadas con el incidente. Temas como «el envío de su premio de Ichiban Kuji», «la confirmación de su dirección de entrega» o «una disculpa y una compensación por la filtración de datos» suenan naturales para cualquiera que haya usado Ichiban Kuji ONLINE.
Que quien llama conozca su nombre o su dirección no prueba que la llamada sea auténtica, porque esos son exactamente los datos que pueden haberse filtrado. Si le piden un número de tarjeta, datos bancarios, un código de verificación o su fecha de nacimiento, no responda; cuelgue y compruébelo usted mismo con el punto de contacto oficial.
No contacte con los números de teléfono, las URL ni los códigos QR impresos en las cartas
Las empresas también mencionan que puede llegar correo postal sospechoso. En general, alguien que conoce su dirección puede enviar cartas disfrazadas de facturas, avisos de premios u ofertas de reembolso y compensación. No use los datos de contacto de la carta; compruébelo a través del sitio web oficial de Ichiban Kuji ONLINE, abierto por usted mismo.
Para comprobar cualquier cosa, use el formulario de consultas del sitio web oficial
El punto de contacto para los socios de Ichiban Kuji ONLINE indicado en el anuncio es el formulario de consultas de Ichiban Kuji ONLINE (on-line.1kuji.com). El anuncio no indica ningún número de teléfono. Use este formulario en lugar de cualquier otro punto de contacto que le den por teléfono, correo postal o correo electrónico.
Si recibe un aviso de las empresas, compruebe su contenido en el sitio web oficial
Las empresas dicen que el 26 de octubre avisaron a las personas cuyos datos se sospecha que se filtraron, pero no dicen cómo (por ejemplo, por correo electrónico o postal). Como los mensajes falsos pueden hacerse parecer a un aviso auténtico, no use los enlaces ni los números de teléfono del aviso que reciba; consulte en su lugar las noticias y el formulario de consultas del sitio web oficial.
Las tarjetas están excluidas y las contraseñas no se mencionan
Las empresas dicen que no se incluyen datos de tarjetas de crédito, y las contraseñas no figuran en la lista de datos que pueden haberse filtrado. El anuncio no pide a los socios que cambien sus contraseñas. Si reutiliza la misma contraseña en otros servicios, es buen momento para corregirlo, lo que también ayuda frente a futuros mensajes falsos (véase Cómo elegir un gestor de contraseñas).
Qué ocurrió (según el anuncio de las tres empresas)
El 26 de octubre de 2026, BANDAI NAMCO Holdings Inc., BANDAI SPIRITS CO., LTD. y Bandai Logipal Co., Ltd. publicaron el «Aviso sobre el acceso no autorizado a Bandai Logipal Co., Ltd. (primer informe)». Bandai Logipal es la filial logística de BANDAI NAMCO Holdings. Ichiban Kuji ONLINE es un servicio de BANDAI SPIRITS, que encarga la entrega de sus productos a Bandai Logipal. Todo lo que sigue procede del anuncio de las tres empresas.
21 de octubre de 2026 (miér.)
Se encuentran indicios de acceso no autorizado en un servidor del sistema logístico gestionado por Bandai Logipal. El servidor se apagó de inmediato y se inició una investigación sobre la causa y el alcance. Ese mismo día, la empresa confirmó que se habían realizado operaciones mediante el uso indebido de una cuenta de la empresa, y tomó medidas de emergencia.22 de octubre (jue.)
Bandai Logipal creó un equipo de trabajo interno e investigó todo el sistema logístico. Se confirmaron indicios de acceso no autorizado en el servidor que almacena los datos de entrega de Ichiban Kuji ONLINE, y se supo que se sospechaba la filtración de parte de los datos de clientes registrados.23 de octubre (vie.)
Se determinó hasta dónde podían haber llegado las operaciones no autorizadas. La empresa decidió detener el sistema hasta completar la investigación y las contramedidas, y empezó a apagarlo.24 de octubre (sáb.)
Se detuvo el sistema logístico en cuestión.26 de octubre (lun.)
Se informó a la policía y a la Comisión de Protección de Información Personal. Se avisó a las personas cuyos datos se sospecha que se filtraron y se notificó a los socios comerciales afectados por la detención del sistema. Se publicó el primer informe.
BANDAI SPIRITS: Ichiban Kuji ONLINE
Encarga la entrega de productos a Bandai Logipal
Sistema logístico de Bandai Logipal
Indicios de acceso no autorizado en el servidor que almacena los datos de entrega de Ichiban Kuji ONLINE
Pueden haberse filtrado nombres, direcciones y teléfonos. Sin datos de tarjeta (las tres empresas)
↓ Qué puede ocurrir (en general)
Llamadas o cartas sospechosas que dicen proceder de Ichiban Kuji o de Bandai
No responda en el momento; compruébelo con el formulario de consultas del sitio web oficial
- Sistema accedido
- Un sistema gestionado por Bandai Logipal (un servidor de su sistema logístico). Se confirmaron indicios de acceso no autorizado en el servidor que almacena los datos de entrega de Ichiban Kuji ONLINE
- Datos que pueden haberse filtrado
- Datos de entrega de Ichiban Kuji ONLINE (nombre, dirección, teléfono)
- No incluido
- Datos de tarjetas de crédito
- Número de afectados
- En investigación (se anunciará cuando se conozca)
- Uso indebido
- Ninguno confirmado hasta ahora
- Qué se detuvo
- El sistema logístico en cuestión se detuvo el 24 de octubre. El texto principal dice que el sistema de envíos en cuestión de Bandai Logipal está suspendido desde el 26 de octubre hasta que se confirme su seguridad
- Informes
- Se informó a la policía y a la Comisión de Protección de Información Personal el 26 de octubre
- Contacto
- Para socios de Ichiban Kuji ONLINE: el formulario de consultas de Ichiban Kuji ONLINE (on-line.1kuji.com)
Lo que se sabe y lo que no
Organizado a partir del primer informe de las tres empresas del 26 de octubre, a 28 de octubre de 2026. Cuando se publique un seguimiento, se actualizará la columna de estado.
| Dato | Lo que dice el anuncio | Estado |
|---|---|---|
| Nombre (datos de entrega) | Figura entre los datos personales que pueden haberse filtrado | Posible (las tres empresas) |
| Dirección (datos de entrega) | Figura entre los datos personales que pueden haberse filtrado | Posible (las tres empresas) |
| Teléfono (datos de entrega) | Figura entre los datos personales que pueden haberse filtrado | Posible (las tres empresas) |
| Datos de tarjetas de crédito | No incluidos | No incluido (las tres empresas) |
| Dirección de correo | No figura en la lista de datos que pueden haberse filtrado | No se menciona |
| Contraseña | No figura en la lista de datos que pueden haberse filtrado | No se menciona |
| Contenido de los pedidos (nombres de artículos, etc.) | No figura en la lista de datos que pueden haberse filtrado | No se menciona |
| Número de personas afectadas y quiénes | Actualmente en investigación; se anunciará cuando se conozca | En investigación |
| Uso indebido | Ninguno confirmado hasta ahora | No confirmado (las tres empresas) |
| Uso indebido de una cuenta | El 21 de octubre se confirmaron operaciones mediante el uso indebido de una cuenta de Bandai Logipal | Confirmado (las tres empresas) |
| Cómo se produjo el acceso y su causa | No se indica (las empresas dicen que empezaron a identificar y responder al método de ataque) | No se menciona |
| Avisos a los afectados | Enviados el 26 de octubre; método no indicado | Confirmado (las tres empresas) |
| Suspensión y reactivación del sistema de envíos | Suspendido desde el 26 de octubre; se publicará un seguimiento cuando se reactive | Confirmado (las tres empresas) |
| Efecto en los pedidos y entregas de Ichiban Kuji ONLINE | No se indica | No se menciona |
No se menciona no significa que no se filtrara
Las direcciones de correo, las contraseñas y el contenido de los pedidos simplemente no figuran en la lista de datos que pueden haberse filtrado; las empresas no dicen que estén excluidos (los datos de tarjetas de crédito son lo único que dicen expresamente que no se incluye). Además, la cronología del anuncio dice que «el sistema logístico en cuestión» se detuvo el 24 de octubre, mientras que el texto principal dice que «el sistema de envíos en cuestión» está suspendido desde el 26 de octubre. No se explica la relación entre ambos, así que este artículo usa la redacción del anuncio tal cual.
Qué puede ocurrir con un nombre, una dirección y un teléfono
En general, cuando el nombre, la dirección y el teléfono de un destinatario se vinculan al hecho de que usó Ichiban Kuji ONLINE, puede ocurrir lo siguiente (no hay ningún anuncio de que algo de esto haya ocurrido en este incidente, y las empresas dicen que hasta ahora no se ha confirmado ningún uso indebido).
Qué puede ocurrir en general
- Llamadas que dicen proceder de Ichiban Kuji o de Bandai, con pretextos como «el envío de su premio» o «la confirmación de su dirección de entrega»
- Llamadas que se presentan como «compensación por la filtración de datos» o un «reembolso» para obtener datos bancarios o de tarjeta
- Cartas disfrazadas de facturas, avisos de premios o disculpas que le dirigen a datos de contacto falsos
- Mensajes de texto a su teléfono que se hacen pasar por una empresa de mensajería o una tienda en línea
Qué puede hacer
- Al teléfono, no responda en el momento; cuelgue primero
- Compruébelo a través del sitio web oficial abierto por usted mismo, no con los datos de contacto de una carta
- Nunca dé números de tarjeta, datos bancarios ni códigos de verificación por teléfono o por correo postal
- Use el formulario de consultas indicado en el anuncio para sus preguntas
Las llamadas telefónicas y las cartas no pasan por un filtro de spam como el correo electrónico, y la gente tiende a confiar en quien llama o escribe si conoce su nombre y su dirección. Para un caso anterior en el que se filtraron datos de destinatarios de envíos, la filtración de Yamato Transport y Sagawa Express también explica cómo prepararse ante falsos avisos de entrega fallida y reclamaciones de pago.
Para operadores que encargan la entrega a una empresa logística externa
No se ha publicado cómo se produjo el acceso no autorizado. Esta sección se limita a lo que puede decirse a partir de la cronología publicada (son puntos generales que revisar, no conjeturas sobre la causa).
Sepa dónde se guardan, y durante cuánto tiempo, los datos de entrega entregados a la parte logística
En este caso, los datos que pueden haberse filtrado son datos de entrega que el operador de un servicio en línea entregó a una empresa logística (en el anuncio, ambas son empresas del grupo Bandai Namco). En general, los nombres, direcciones y teléfonos entregados para el envío pueden permanecer en los servidores de la parte logística una vez completado el envío. Acordar con el contratista cuánto tiempo se conservan los datos, y que después se eliminen, reduce el número de personas afectadas si se produce un incidente.
Haga visible y detectable la actividad de las cuentas de trabajo
Según el anuncio, el mismo día en que se encontraron los indicios, la empresa confirmó que se habían realizado operaciones mediante el uso indebido de una cuenta. No dice cómo se usó indebidamente la cuenta. En general, proteger las cuentas de los sistemas logísticos y otros sistemas de trabajo con autenticación multifactor, y registrar la actividad para poder revisar horarios u operaciones inusuales, ayuda a detectar los problemas antes.
Decida de antemano quién dice qué a quién cuando se detiene un sistema
En este caso, el servidor se apagó el día en que se encontraron los indicios; el sistema logístico en cuestión se detuvo 3 días después, y el anuncio y los informes a las autoridades llegaron 5 días después. El anuncio dice que también se notificó a los socios comerciales afectados por la detención. En general, detener un sistema logístico afecta al servicio en línea del cliente y a los envíos de los socios. Acuerde de antemano, en el contrato y en los procedimientos, quién informa a los usuarios del servicio del cliente y cómo.
Fuentes (registro público)
Los hechos de este artículo se basan en la información pública siguiente. No se hacen conjeturas sobre cifras, causas ni métodos de ataque que no se hayan publicado.
- BANDAI NAMCO Holdings Inc., BANDAI SPIRITS CO., LTD. y Bandai Logipal Co., Ltd., «Aviso sobre el acceso no autorizado a Bandai Logipal Co., Ltd. (primer informe)» (en japonés, 26 de octubre de 2026, PDF; consultado el 28 de octubre) — bandainamco.co.jp
- Lista de noticias de Ichiban Kuji ONLINE (en japonés; consultada el 28 de octubre, sin ningún aviso sobre este incidente) — on-line.1kuji.com
Historial de actualizaciones
2026-10-28: Primera versión, basada en el primer informe de las tres empresas del 26 de octubre. Este artículo se actualizará cuando se publiquen seguimientos sobre la cifra, la reactivación del sistema de envíos u otros detalles.
Lectura recomendada
- Otro caso en el que se filtraron datos de destinatarios de envíos: La filtración de Yamato Transport y Sagawa Express (remitentes y destinatarios de paquetes)
- Otro caso en una tienda de anime y artículos de afición: La brecha de Lashinbang
- Cómo detectar mensajes falsos: ¿Qué es el phishing? / Nociones básicas de seguridad en el smartphone
- Otros incidentes de 2026: Lista de filtraciones de datos y ciberataques (Japón y el mundo)