Filtración de datos de IDARE (129.659 personas): saldos, historial de transacciones y algunos números de documentos de identidad expuestos — qué deben hacer los usuarios

Todas las personas que se registraron en IDARE hasta el 27 de septiembre de 2026 están afectadas, incluidas las que han cerrado sus cuentas. Qué elementos se filtraron depende de cómo cada persona usó el servicio, y la empresa afirma que informará a cada persona por correo electrónico.

No actúe a través de los enlaces de ese correo. Abra usted mismo la aplicación IDARE o acceda al sitio web oficial desde un marcador o un buscador. Las consultas se realizan a través de Contacto en la aplicación o del formulario de contacto del sitio web.

La empresa advierte que pueden llegar correos, mensajes de texto y llamadas sospechosos que se hagan pasar por la empresa o por IDARE. Afirma que nunca pide contraseñas, PIN, códigos de seguridad ni códigos de autenticación multifactor por correo electrónico, mensaje de texto o teléfono.

Como se filtraron los saldos y el historial de transacciones, un mensaje falso puede citar su saldo real o sus compras recientes. Que los datos sean correctos no demuestra que el mensaje sea auténtico. No abra enlaces ni archivos adjuntos de mensajes inesperados, y no introduzca datos personales (cómo detectar los fraudes: ¿Qué es el phishing?).

Según la empresa, para iniciar sesión se requiere autenticación multifactor con el método que registró (una segunda comprobación además de la contraseña). Entregar ese código a otra persona desactiva esta protección.

Para algunas personas también se filtraron los primeros 6 y últimos 4 dígitos de una tarjeta de crédito registrada para recargas, y los últimos 3 dígitos de una cuenta bancaria registrada. Los 6 primeros dígitos de un número de tarjeta suelen revelar qué empresa emitió la tarjeta y a qué marca pertenece.

Eso hace posibles mensajes de apariencia realista, como "Se ha detectado un uso sospechoso de su tarjeta terminada en ××××". No use el número de teléfono ni el enlace del mensaje. Contacte con la empresa a través del número que figura en el reverso de su tarjeta, en su libreta bancaria o en la aplicación oficial de su banco o compañía de tarjetas. La empresa afirma que no conserva los números completos, las fechas de caducidad, los códigos de seguridad ni los PIN, por lo que no pudieron ser obtenidos.

La empresa indicó que, a 13 de octubre, no se había confirmado ninguna transacción fraudulenta y los saldos estaban protegidos, y su segundo informe del 21 de octubre dice lo mismo a esa fecha. Afirma que cualquier daño, como el uso no autorizado de un saldo, será compensado según su política de compensación, y que las recargas y los pagos funcionan con normalidad. Aun así, conviene revisar una vez en la aplicación su historial de transacciones por si hay pagos que no reconozca.

La página del centro de ayuda de IDARE sobre su política de compensación indica que, si detecta un uso fraudulento, primero debe bloquear su tarjeta en la aplicación, y después elegir "transacción que no reconozco" en Contacto en la aplicación e indicar la fecha y hora, el importe y el comercio. La compensación solo cubre las pérdidas notificadas a la empresa y a una comisaría de policía en los 30 días siguientes a la fecha en que se produjo la pérdida.

La misma página indica que no están cubiertas las transacciones realizadas por el usuario, incluidas las realizadas bajo coacción de un tercero. No envíe dinero ni realice pagos usted mismo porque se lo pida una llamada o un mensaje.

Para algunas personas se filtraron el nombre, la dirección, el sexo y la finalidad de uso presentados para la verificación de identidad, y el número de documento de identidad. El aviso no indica de qué documentos (como permisos de conducir) proceden los números. La empresa afirma que no se filtraron imágenes de documentos de identidad ni de rostros, ni el Mi Número (el número individual de Japón).

Incluso sin imágenes, un número de documento combinado con un nombre, una dirección y una fecha de nacimiento puede usarse en solicitudes hechas a nombre de otra persona. Como precaución, considere registrar una declaración personal en las agencias de crédito de Japón (CIC, JICC y el centro de información crediticia de la Asociación de Banqueros de Japón). Los costes, la duración de la alerta y cómo consultar su propio historial de crédito se explican en Si se filtraron los datos de su permiso de conducir japonés: qué hacer.

Además, a partir de abril de 2027, las comprobaciones de identidad en línea para abrir cuentas bancarias y servicios similares dejarán en principio de aceptar fotos de documentos y pasarán a leer el chip IC, que requiere la tarjeta física y su PIN (Las verificaciones de identidad en línea de Japón pasan a la lectura de chips IC).

Entre las personas registradas hasta octubre de 2021, quienes introdujeron ingresos anuales, empleador y datos similares para usar LADDER, un servicio de préstamos que cerró en octubre de 2021, también tuvieron esos datos filtrados.

No responda a contactos que ofrezcan préstamos o ayuda financiera basados en conocer sus ingresos o su empleador. Aparte de este incidente, Fivot advirtió en un anuncio del 7 de abril de 2026 sobre falsas solicitudes de préstamo de personas que usan los nombres de sus empleados o servicios. En él, la empresa afirma que nunca envía dispositivos a los clientes pidiéndoles que introduzcan y devuelvan datos personales o bancarios, y enumera fivot.co.jp, idare.jp y flex-capital.jp como sus sitios web oficiales.

Si envió dinero, compartió un código de autenticación o un PIN, o introdujo datos de tarjeta en respuesta a un mensaje sospechoso, bloquee su tarjeta en la aplicación IDARE y contacte también con su compañía de tarjetas o banco.

En Japón también puede llamar a la línea de consulta policial (#9110) o a la línea de consumo (188). Si introdujo una contraseña en una página falsa, cámbiela de inmediato, junto con cualquier otro servicio donde usara la misma contraseña (Cómo elegir un gestor de contraseñas).

Las herramientas de atención al cliente, como los sistemas de tickets y de chat, suelen estar conectadas a las pantallas de socios y de transacciones para que el personal vea la situación del cliente. Empiece por listar, para cada herramienta externa, qué campos puede leer y qué credenciales utiliza (claves API o cuentas de base de datos).

En los datos que la atención diaria nunca necesita leer en bloque, como los números de documento de identidad o el historial de transacciones, bloquee la lectura para la herramienta o limite el acceso a consultas de un registro cada vez.

La empresa afirma que las imágenes de documentos y de rostros, las contraseñas de inicio de sesión y datos similares no pudieron ser obtenidos, porque se gestionaron de forma que el sistema comprometido no podía leerlos, o porque no se conservaban.

Guardar los datos sensibles en un almacén separado con permisos independientes limita lo que puede sustraerse cuando se compromete un sistema. No conservar los datos que no necesita, como los números completos de tarjeta, es la protección más fiable de todas.

Este incidente incluyó ingresos anuales y datos de empleador introducidos para un servicio de préstamos que cerró en octubre de 2021. El aviso no explica por qué esos datos seguían conservados, y los registros de préstamos pueden estar sujetos a obligaciones legales de conservación. En su segundo informe del 21 de octubre, la empresa indica que, antes del 30 de noviembre, establecerá periodos de conservación para cada elemento que la ley no obliga a conservar, como correos electrónicos y números de teléfono, y los borrará periódicamente tras el cierre de una cuenta.

En general, separe los datos de servicios cerrados en lo que la ley obliga a conservar y lo que no; elimine lo que no necesita y traslade lo que conserva a un lugar que los sistemas de uso diario no puedan leer.

El aviso indica que el acceso no autorizado se produjo en varias ocasiones entre el 10 de agosto y el 27 de septiembre. Las medidas de prevención de la empresa incluyen la supervisión continua de la información sobre vulnerabilidades de software y la vigilancia y alerta de los registros de acceso, y su segundo informe del 21 de octubre señala que tendrá en funcionamiento, antes del 30 de octubre, una supervisión que detecte accesos masivos o inusuales a datos de clientes y envíe alertas de inmediato.

Un primer paso sencillo es fijar, para cada cuenta de base de datos o clave API usada por una herramienta externa, un límite de registros leídos por hora, y avisar al personal cuando las lecturas superen varias veces el nivel habitual. Siga la información sobre vulnerabilidades de las herramientas externas que use suscribiéndose a los avisos de seguridad de sus proveedores.