Para: personas registradas en infoQ, un sitio japonés de encuestas (incluidas las personas que se registraron en el pasado), y cualquier persona que gestione un sitio de membresía basado en puntos. Este artículo se basa en el aviso oficial de GMO Research & AI, Inc. y no trata técnicas de ataque.
En desarrollo: este artículo se actualizará a medida que la organización publique más información
A fecha del 15 de octubre de 2026Aún no se sabe
- Qué software se utilizó y cuál era la vulnerabilidad
- Resultados de la investigación y medidas para evitar que se repita
- Cuándo se reanudará infoQ y el procedimiento de restablecimiento de contraseñas
- La fecha en que se abonarán los puntos de compensación (según se indica, cuando se reanude el servicio)
- Cómo se cifraron las contraseñas
En su segundo informe del 14 de octubre, la empresa confirmó que el número de registros sustraídos era 894.082 y afirmó que invalidó las contraseñas de todos los miembros el 7 de octubre. Dice que anunciará más adelante los resultados de la investigación y las medidas para evitar que se repita. El 15 de octubre revisamos la página de avisos de la empresa; no se había publicado nada más reciente que el segundo informe.
Qué deben hacer hoy los miembros
Cambie la contraseña de cualquier servicio que comparta con infoQ
La empresa afirma que las contraseñas estaban cifradas, pero pide a los miembros que usan la misma contraseña o una similar en otros servicios que la cambien allí y que revisen si hay inicios de sesión que no reconozcan. Desde el 6 de octubre viene enviando correos a todos los miembros, de forma escalonada, pidiéndoles que lo hagan. El método de cifrado no se ha revelado.
Una vez que se conoce un par de correo y contraseña, puede probarse en otros sitios. Empiece por el correo electrónico, las compras en línea y los servicios de puntos, y use una contraseña distinta para cada servicio. Un gestor de contraseñas es la forma realista de hacer el inventario.
En cuanto a la contraseña de infoQ, la empresa invalidó las contraseñas de todos los miembros el 7 de octubre. Dice que volverá a explicar el procedimiento cuando se reanude el servicio.
Active la verificación en dos pasos en su cuenta de correo
La dirección de correo con la que se registró en infoQ probablemente sea la dirección de recuperación de contraseñas de muchos otros servicios. Si alguien toma el control de esa cuenta, también podría restablecer contraseñas en otros lugares.
Los principales servicios de correo, como Gmail y Outlook, ofrecen verificación en dos pasos. Los pasos de configuración y cómo elegir un método están en Primeros pasos con la autenticación multifactor.
No abra enlaces en mensajes que digan ser de infoQ o GMO
La empresa advierte sobre correos, mensajes de texto y llamadas sospechosos que se hagan pasar por la empresa o por infoQ. La propia empresa viene enviando correos individuales a los miembros afectados desde el 5 de octubre, por lo que los mensajes auténticos y los falsos llegarán al mismo tiempo.
Si recibe un mensaje sobre "procedimientos de compensación de puntos", "códigos de regalo por disculpas" o "verificación de identidad", no abra el enlace; consulte en su lugar los avisos del sitio web oficial de la empresa (vea ¿Qué es el phishing?).
Nunca dé números de cuenta, de tarjeta ni contraseñas por una compensación
La empresa afirma que compensará en su totalidad los puntos canjeados de forma fraudulenta. Según su segundo informe del 14 de octubre, la compensación se abonará en las cuentas de los miembros afectados cuando se reanude el servicio, y se les enviará un correo individual una vez completada. El aviso no menciona ningún procedimiento en el que los miembros deban proporcionar números de cuenta o datos similares.
Que alguien conozca su nombre, domicilio y fecha de nacimiento correctos no demuestra que sea auténtico. Precisamente esos datos son los que se filtraron. Si alguien le pide una cuenta bancaria, un número de tarjeta o una contraseña con el pretexto de una compensación o un reembolso, verifique el procedimiento en el sitio web oficial antes de hacer nada.
Informe al centro de soporte de los canjes de puntos que no realizó
infoQ está suspendido desde el 3 de octubre y no se había reanudado a fecha del 15 de octubre, por lo que es posible que no pueda consultar su historial. Si detecta un canje de puntos que no realizó, contacte con el Centro de Soporte de infoQ indicado por la empresa (infoq-support@gmo-research.ai; correos aceptados las 24 horas, atendidos de lunes a viernes de 10:00 a 18:00, hora de Japón).
Use la dirección de contacto del sitio web oficial de la empresa, no una que aparezca en un mensaje recibido. Cuando se reanude el servicio, inicie sesión usted mismo y revise su saldo de puntos y su historial de canjes.
Qué no hacer
No abra una "página de inicio de sesión de infoQ" desde un enlace en un correo o mensaje de texto e introduzca su contraseña. El servicio está suspendido y todas las contraseñas de infoQ se invalidaron el 7 de octubre. Cualquier mensaje que le pida iniciar sesión ahora debe considerarse sospechoso en primer lugar.
Para comprobar si su correo o contraseña han aparecido en filtraciones anteriores, siga Cómo comprobar si su contraseña fue filtrada. No escriba la contraseña en un sitio desconocido para comprobarla.
Qué ocurrió (según el aviso de GMO Research & AI)
GMO Research & AI, Inc. publicó su disculpa y aviso el 5 de octubre de 2026, y un segundo informe el 14 de octubre. Todo lo siguiente es lo que indican los avisos de la empresa.
Desde el 2 de octubre de 2026 (vie.)
Acceso no autorizado por un tercero (detectado más adelante en la investigación).3 de octubre (sáb.), por la mañana
Tras investigar una consulta de un miembro, la empresa confirmó el acceso no autorizado.3 de octubre, 11:24
Se detuvieron los canjes de puntos (códigos de regalo de Amazon y GMO Points).3 de octubre, 14:15
Se bloqueó la vía de ataque.3 de octubre, 15:00
Se cortó el acceso externo a infoQ (servicio suspendido). El sitio suspendido había indicado "mantenimiento de emergencia"; la empresa afirma que la suspensión se debió a este incidente.5 de octubre (lun.)
Notificado a la Comisión de Protección de Información Personal. Se publicaron la disculpa y el aviso; la empresa envió correos individuales a todos los miembros, uno a uno (según el segundo informe).6 de octubre (mar.)
Comenzó a enviar correos a todos los miembros, uno a uno, pidiéndoles que cambiaran la contraseña en otros servicios donde usen la misma. Consultó a la policía.7 de octubre (mié.)
Invalidó las contraseñas de todos los miembros.14 de octubre (mié.)
Publicó el segundo informe, confirmando que el número de registros sustraídos era 894.082.
- Alcance
- 894.082 registros (confirmados a fecha del 14 de octubre). El máximo de 948.498 del primer informe se desglosa en 894.082 registros de datos personales sustraídos, 9.068 registros sustraídos sin datos personales (miembros que se habían dado de baja más de dos meses antes y cuyos datos personales ya habían sido eliminados) y 45.348 registros no sustraídos
- Datos
- Nombre, lectura del nombre (furigana), sexo, fecha de nacimiento, correo electrónico, domicilio, número de teléfono, contraseña (cifrada), ID de miembro, otros datos de registro (apodo, saldo de puntos, información de uso como la fecha de la última encuesta respondida)
- No incluidos
- La empresa no conserva datos de tarjetas de crédito ni My Number
- Canjes fraudulentos
- 611 casos por un valor de 2.869.500 yenes se canjearon por códigos de regalo de Amazon sin el consentimiento de los miembros. La empresa compensará en su totalidad, abonando en las cuentas de los afectados cuando se reanude el servicio, y enviará un correo a cada miembro una vez completado
- Contraseñas
- Todas las contraseñas de los miembros se invalidaron el 7 de octubre. El procedimiento se volverá a explicar cuando se reanude el servicio
- Causa
- Un tercero aprovechó una vulnerabilidad del software utilizado en el sitio de la empresa para entrar. No se ha nombrado el software ni la vulnerabilidad
- Investigación
- Continúa con la colaboración de una empresa de seguridad. La empresa consultó a la policía el 6 de octubre
- Límites del alcance
- No se incluyen datos de clientes empresariales, y no se ha detectado acceso no autorizado a otros servicios de la empresa
- Contacto
- Centro de Soporte de infoQ, infoq-support@gmo-research.ai (correos aceptados las 24 horas, atendidos de lunes a viernes de 10:00 a 18:00, hora de Japón)
Qué se sabe y qué no
Situación a fecha del 15 de octubre de 2026. Esta tabla se reescribirá cuando se publique más información.
| Elemento | Lo anunciado | Estado |
|---|---|---|
| Número de registros sustraídos | 894.082 (a fecha del 14 de octubre; el primer informe hablaba de hasta 948.498) | Confirmado (empresa) |
| Datos sustraídos | Nombre, furigana, sexo, fecha de nacimiento, correo electrónico, domicilio, número de teléfono, contraseña (cifrada), ID de miembro, otros datos de registro | Filtración confirmada (empresa) |
| Datos de tarjetas de crédito, My Number | Nunca se conservaron | No incluidos (empresa) |
| Datos de clientes empresariales | No incluidos en este incidente | No incluidos (empresa) |
| Servicios de la empresa distintos de infoQ | No se detectó acceso no autorizado | No detectado (empresa) |
| Canjes fraudulentos de puntos | 611 casos por 2.869.500 yenes; compensados en su totalidad, abonados en las cuentas cuando se reanude el servicio | Confirmado (empresa) |
| Contraseñas de infoQ | Todas invalidadas el 7 de octubre; el procedimiento se explicará cuando se reanude el servicio | Confirmado (empresa) |
| Causa en líneas generales | Intrusión que aprovechó una vulnerabilidad del software utilizado en el sitio de la empresa | Confirmado (empresa) |
| Nombre del software, naturaleza de la vulnerabilidad | No revelados | En investigación |
| Cómo se cifraron las contraseñas | No revelado | No indicado |
| Prevención de recurrencias, reanudación del servicio | Se aplicarán según la investigación; el servicio se reanudará tras confirmar la seguridad | En investigación |
Qué pueden permitir los datos filtrados combinados
Además de los datos de contacto (correo, teléfono, domicilio), esta filtración incluye fechas de nacimiento y contraseñas cifradas. Cada combinación requiere un paso distinto.
Correo + contraseña (cifrada)
↓→
El mismo par puede probarse en otros servicios
→ Cambie las contraseñas reutilizadas; verificación en dos pasos en el correo
Nombre + correo + teléfono
↓→
Correos y mensajes falsos de compensación o disculpa con su nombre correcto
→ No abra enlaces; consulte los avisos del sitio web oficial
Domicilio + fecha de nacimiento
↓→
Contacto falso, incluido por correo postal, que puede responder preguntas de identidad
→ Conocer su fecha de nacimiento no demuestra que el remitente sea auténtico
No incluidos, según la empresa
- Datos de tarjetas de crédito (nunca se conservaron)
- My Number (nunca se conservó)
- Datos de clientes empresariales
- Otros servicios de la empresa (no se detectó acceso no autorizado)
Sustraídos
- Nombre, furigana, sexo, fecha de nacimiento
- Correo electrónico, domicilio, número de teléfono
- Contraseña (cifrada)
- ID de miembro, apodo, saldo de puntos y más
Cómo leerlo: 'cifrada' no significa 'no hace falta cambiarla'
La empresa afirma que las contraseñas estaban cifradas, pero no ha revelado el método. Lo difícil que resulte recuperar la contraseña original depende en gran medida de cómo se almacenó (la diferencia se explica en ¿Qué es el hash de contraseñas?).
La propia empresa recomienda, como precaución, cambiar las contraseñas reutilizadas. Si deja de reutilizarlas, los otros servicios estarán protegidos sea cual sea el método.
Para quienes gestionan sitios de membresía basados en puntos
Lo que distingue a este incidente es que, junto con la sustracción de datos, los puntos de los miembros se canjearon por códigos de regalo externos. Los puntos canjeables están muy cerca del dinero, tanto para los usuarios como para los atacantes. Según el aviso, la empresa detuvo los canjes de puntos a las 11:24 del 3 de octubre, el día en que confirmó el acceso no autorizado. Esta sección se limita a medidas que cualquier servicio con una configuración similar puede revisar.
Registre los canjes de puntos por hora, por número e importe, y genere alertas ante desviaciones respecto a lo normal
Como primer paso, registre el número y el valor por hora de los canjes por códigos de regalo o por puntos de otras empresas, y avise a alguien cuando superen varias veces el nivel habitual.
Limite también cuántos canjes puede hacer una cuenta y un mismo origen. Establecer límites y alertas se explica en Limitación de frecuencia y control de abuso.
Disponga de un interruptor que detenga solo la función de canje
Poder detener solo la función de canje antes de cerrar todo el sitio limita antes el daño. Decida de antemano quién toma la decisión y cómo activar el interruptor, y actívelo realmente una vez al año para confirmar que funciona.
Liste el software que usa su sitio y fije plazos de actualización
La empresa atribuye la causa a la explotación de una vulnerabilidad en el software utilizado en su sitio. El software no ha sido nombrado, por lo que este punto es general.
Liste los productos y bibliotecas que se ejecutan en su sitio con sus versiones, y decida de antemano cuáles actualizar y en qué plazo tras anunciarse una vulnerabilidad. Cómo priorizar se explica en Guía de remediación de CVE.
Fuentes (registro público)
Los hechos de este artículo proceden de las fuentes públicas siguientes. No se especula sobre métodos no revelados ni sobre detalles de la causa.
- GMO Research & AI, Inc., disculpa y aviso sobre la filtración de datos personales por acceso no autorizado a su sitio de encuestas infoQ (5 de octubre de 2026, en japonés) — gmo-research.ai
- GMO Research & AI, Inc., disculpa y aviso sobre la filtración de datos personales por acceso no autorizado a su sitio de encuestas infoQ, segundo informe (14 de octubre de 2026, en japonés) — gmo-research.ai
- Nikkei, informe de que un acceso no autorizado en una empresa del grupo GMO filtró datos de 950.000 personas y se hizo un uso indebido de puntos (6 de octubre de 2026, en japonés) — nikkei.com
Historial de actualizaciones
2026-10-15: Se incorpora el segundo informe del 14 de octubre. Se actualiza el número de registros sustraídos a 894.082 (con el desglose del máximo de 948.498 del primer informe). Se añaden la invalidación de todas las contraseñas (7 de octubre), la consulta a la policía (6 de octubre), cómo se abonará la compensación y la tabla "Qué se sabe y qué no".
2026-10-06: Primera versión, basada en el aviso de GMO Research & AI del 5 de octubre. La empresa afirma que anunciará más adelante los resultados de la investigación y las medidas para evitar que se repita; este artículo se actualizará cuando se publiquen.
Lea a continuación
- Contraseñas: Cómo comprobar si su contraseña fue filtrada / Cómo elegir un gestor de contraseñas
- Verificación en dos pasos: Primeros pasos con la autenticación multifactor
- Estafas derivadas: ¿Qué es el phishing?
- Otros incidentes japoneses al mismo tiempo: La filtración de la aplicación de Yakiniku King / Acceso no autorizado en un contratista de Daiwa Securities
- Otros incidentes de 2026: lista de filtraciones y ciberataques (Japón y mundo)