Para: personas que usan la negociación en línea de Iwai Cosmo Securities, y empresas financieras y compañías que externalizan la operación de sus sistemas de negociación. Este artículo se basa en los avisos oficiales de Iwai Cosmo Securities Co., Ltd. e Iwai Cosmo Holdings, Inc., y no describe técnicas de ataque.
En desarrollo: este artículo se actualizará a medida que la organización publique más información
Al 23 de octubre de 2026Aún no se sabe
- El método concreto del acceso no autorizado y del ataque al sistema de gestión de operaciones
- En qué consisten los "otros datos" de la información filtrada
- Importes y valores involucrados en las órdenes no deseadas
El segundo aviso del 20 de octubre elevó la cifra a 4.975 personas y reveló las órdenes no deseadas en 7 cuentas. La empresa dice que anunciará con prontitud cualquier hecho nuevo que se descubra. Al 23 de octubre no encontramos un tercer aviso. El sitio web de la empresa (www.iwaicosmo.co.jp) mostraba una página de mantenimiento de emergencia el 23 de octubre, por lo que revisamos el segundo aviso a través de una copia guardada en Internet Archive (Wayback Machine).
Qué deben hacer hoy los clientes de Iwai Cosmo Securities
Separamos lo que la empresa pide a los clientes de nuestros consejos generales. El título de cada paso indica cuál es.
No use enlaces ni números de llamadas o correos que digan ser de la empresa (advertencia de la empresa)
La empresa advierte de que pueden producirse llamadas y correos que se hagan pasar por ella. Como se filtraron nombres y direcciones de correo, espere mensajes falsos con su nombre correcto, enviados por alguien que sabe que es cliente.
Aunque un mensaje hable de confirmar operaciones fraudulentas, una compensación o una verificación de seguridad, no abra sus enlaces y no llame a ningún número de teléfono que aparezca en el mensaje (cómo detectar estafas: ¿Qué es el phishing?).
Inicie sesión desde su página de acceso guardada y revise sus avisos (contacto individual de la empresa)
La empresa dice que había informado individualmente a las 4.611 personas del primer aviso antes del 16 de octubre, y que contactó a las 364 personas añadidas en el segundo aviso a través de la pantalla de avisos tras iniciar sesión y por correo electrónico. Inicie sesión desde un marcador que haya guardado usted mismo o desde su acceso habitual, no desde un enlace de correo, y revise allí.
El 23 de octubre, el sitio web de la empresa mostraba una página de mantenimiento de emergencia, que pide a los clientes guardar directamente como favoritos las páginas de acceso a la negociación en línea. Según el sitio de negociación en línea de la empresa, este mantenimiento sirve para abordar la vulnerabilidad de PHP anunciada el 21 de octubre y no se debe a un acceso no autorizado ni a un ciberataque (sobre la vulnerabilidad de PHP: Vulnerabilidades críticas de PHP explicadas).
Revise su historial de órdenes y ejecuciones (consejo de este sitio)
La empresa dice que contactó individualmente el 14 de octubre a los clientes de las 7 cuentas con órdenes no deseadas, y que desde entonces ha restaurado sus cuentas al estado anterior a las operaciones. Aunque no le hayan contactado, conviene revisar sus órdenes y ejecuciones recientes, y si sus datos registrados han cambiado sin que usted lo sepa.
Si encuentra una orden o un cambio que usted no hizo, contacte con la Oficina de Atención al Cliente, como pide la empresa.
Nunca dé a nadie su contraseña ni su PIN de negociación (consejo de este sitio)
La empresa dice que los datos filtrados no incluyen los PIN de negociación y que no pueden usarse para iniciar sesión ni para negociar. Eso significa que lo siguiente que intentará obtener un mensaje falso será su contraseña de acceso y su PIN de negociación.
No los dé, ni siquiera a alguien que le diga que es "para confirmar su identidad". Si usa la misma contraseña en otros servicios, cámbiela (cómo comprobarlo: Cómo comprobar si su contraseña ha sido filtrada; protección adicional: Elegir bien la MFA).
Use el punto de contacto del aviso oficial (orientación de la empresa)
El punto de contacto de los avisos es la Oficina de Atención al Cliente de Iwai Cosmo Securities, teléfono 0120-405-546 (días laborables de 9:00 a 17:00, hora de Japón). La empresa pide a los clientes que se pongan en contacto con ella ante cualquier pregunta o inquietud.
Use el número de los avisos oficiales citados en las fuentes de este artículo, no uno que aparezca en un correo o mensaje de texto que haya recibido.
Qué ocurrió (según los avisos de Iwai Cosmo Securities)
Lo siguiente se basa en el aviso de la empresa del 16 de octubre de 2026 (una divulgación oportuna de Iwai Cosmo Holdings) y en su segundo aviso del 20 de octubre. El proveedor es la empresa que, según la descripción de la compañía, se encarga de "operar y mantener nuestro sistema de negociación en línea".
14 de octubre de 2026
La empresa detectó un acceso no autorizado de un tercero, contactó de inmediato con el proveedor y adoptó medidas de emergencia como restricciones de acceso. El mismo día, el sistema de gestión de operaciones también fue atacado, y se realizaron órdenes que los clientes no pretendían en 7 cuentas (5 ejecutadas). La empresa contactó individualmente a esos clientes ese día.16 de octubre
Publicación del primer aviso (la divulgación oportuna de la empresa matriz). Indicó que la filtración afectaba a nombres, direcciones de correo electrónico y otros datos de 4.611 personas, dijo que esas personas habían sido informadas individualmente y abrió un punto de contacto.20 de octubre
Publicación del segundo aviso. Una revisión de los registros de acceso y de comunicación añadió 364 personas, con un total de 4.975. Ese día también se dieron a conocer las órdenes no deseadas.Al 23 de octubre
El sitio web de la empresa muestra una página de mantenimiento de emergencia. El sitio de negociación en línea de la empresa dice que esto sirve para abordar una vulnerabilidad de PHP y no se debe a un acceso no autorizado ni a un ciberataque (comprobado el 23 de octubre).
- Origen
- El sistema del proveedor que la empresa utiliza para operar y mantener su sistema de negociación en línea
- A quiénes
- Clientes de negociación en línea, 4.975 personas (las 4.611 del primer aviso más 364 encontradas en la revisión)
- Datos
- Nombres, direcciones de correo electrónico y otros datos. La empresa dice que los datos de las 364 personas están dentro del alcance del primer aviso
- No incluidos
- PIN de negociación. La empresa dice que los datos no pueden usarse para iniciar sesión en cuentas ni para negociar
- Las 364 añadidas
- Encontradas en la revisión del acceso del 14 de octubre; la empresa dice que no se produjo después ningún nuevo acceso no autorizado ni filtración
- Órdenes no deseadas
- El 14 de octubre se atacó el sistema de gestión de operaciones y se realizaron órdenes no deseadas en 7 cuentas (5 ejecutadas). Según la empresa, las cuentas fueron restauradas y los clientes no asumen ningún coste
- Relación con la filtración
- La empresa dice que los datos personales filtrados no se usaron en estas operaciones
- Momento de la divulgación
- La empresa explica que el 16 de octubre aún estaba implantando medidas para evitar daños similares, por lo que retuvo información que podría revelar el método
- Causa y medidas
- El punto que permitió el acceso ha sido identificado y corregido, según la empresa. Dice haber confirmado que el proveedor añadió una seguridad más sólida para las funciones de gestión (restricciones de acceso), un bloqueo más fuerte del tráfico no autorizado, detección inmediata de anomalías en los inicios de sesión y una monitorización reforzada
- Otras entidades financieras
- Según el proveedor, también se revisaron los sistemas que presta a otras instituciones financieras, y no se encontró ningún acceso no autorizado similar
- Contacto
- Oficina de Atención al Cliente 0120-405-546 (días laborables de 9:00 a 17:00, hora de Japón)
Qué se sabe y qué no
Situación al 23 de octubre de 2026. Cuando la empresa publique más información, actualizaremos la columna de estado.
| Elemento | Lo que dicen los avisos | Estado |
|---|---|---|
| Número de personas | 4.975 (4.611 en el primer aviso + 364 en la revisión) | Filtración confirmada (empresa) |
| Datos filtrados | Nombres, direcciones de correo electrónico y otros datos | Filtración confirmada (empresa) |
| Qué significan los "otros datos" | No revelado | No indicado |
| PIN de negociación | No están en los datos filtrados | No incluidos (empresa) |
| Contraseñas de acceso | Sin declaración separada (la empresa dice que los datos no pueden usarse para iniciar sesión ni para negociar) | No indicado |
| Órdenes no deseadas | Realizadas en 7 cuentas, 5 ejecutadas; la restauración de las cuentas al estado anterior a las operaciones se ha completado (segundo aviso, 20 de octubre) | Confirmado (empresa) |
| Coste para los clientes | Ninguno | Confirmado (empresa) |
| Relación entre las operaciones y la filtración | No se usaron los datos personales filtrados | Confirmado (empresa) |
| Importes y valores de las órdenes | No revelados | No indicado |
| Qué permitió el acceso | Identificado y corregido; método concreto no revelado | No indicado |
| Otras entidades financieras | La revisión del proveedor no encontró accesos no autorizados similares | No encontrado (proveedor) |
| Daños secundarios | Primer aviso del 16 de octubre: ninguno encontrado | No encontrado (empresa) |
Acceso no autorizado al sistema del proveedor
↓→
Filtración de nombres, direcciones de correo y más datos (4.975 personas)
→ No use los enlaces ni los números de llamadas o correos
Ataque al sistema de gestión de operaciones (mismo día, 14 de octubre)
↓→
Órdenes no deseadas en 7 cuentas (5 ejecutadas)
→ Restauradas al estado anterior a las operaciones (empresa); revise de todos modos su historial de órdenes y ejecuciones
La empresa dice que los datos personales filtrados no se usaron en las órdenes no deseadas
La empresa dice que las órdenes no deseadas procedieron de un ataque al sistema de gestión de operaciones, y que los datos personales filtrados no se usaron. En otras palabras, según su explicación, las órdenes no se realizaron a raíz de la filtración de nombres y direcciones de correo.
Aun así, los nombres y las direcciones de correo filtrados podrían usarse en mensajes falsos a partir de ahora. Tenga cuidado con los mensajes aunque las órdenes ya se hayan resuelto.
Para qué puede usarse la combinación de datos filtrados
En general, las siguientes combinaciones permiten los siguientes tipos de uso indebido. Esto no significa que hayan ocurrido en este caso.
- Nombre + dirección de correo: correos falsos con su nombre correcto. El remitente también sabe que usted es cliente de Iwai Cosmo, por lo que son más probables los asuntos relacionados con el incidente o con compensaciones
- El hecho de que se haya informado del incidente: será más fácil redactar llamadas y correos que se parezcan a los avisos reales, como "confirmar la orden no autorizada" o "trámites de reembolso"
- ID de acceso, contraseña y PIN de negociación introducidos en un sitio falso: con todos ellos, alguien podría entrar en su cuenta y negociar. No fueron lo que se filtró aquí, pero es lo que buscan los mensajes falsos
La Agencia de Servicios Financieros de Japón ha emitido una advertencia general sobre operaciones fraudulentas con datos de acceso robados mediante sitios falsos que se hacen pasar por empresas de valores (advertencia de la FSA, en japonés). Es una advertencia general sobre cuentas de valores, no sobre este incidente.
En un caso anterior, la brecha en el proveedor de Daiwa Securities, el propio aviso del proveedor mostró después que otras empresas del mismo servidor estaban afectadas. En este caso, el proveedor dice que revisó los sistemas que presta a otras instituciones financieras y no encontró accesos no autorizados similares.
Para entidades financieras que externalizan la operación de sus sistemas de negociación
No se ha revelado el método concreto, por lo que no entramos en cómo prevenir la intrusión. Lo que sí muestra el comunicado publicado es que la empresa dice que las órdenes no deseadas procedieron de un ataque al sistema de gestión de operaciones y que los datos personales filtrados no se usaron. "Mayor seguridad para las funciones de gestión (restricciones de acceso)" aparece en primer lugar entre las medidas añadidas por el proveedor. Los puntos siguientes son comprobaciones generales motivadas por lo publicado, no una afirmación sobre lo que causó este caso.
Enumere las funciones de gestión del sistema de su proveedor y quién puede usarlas desde dónde
En general, un sistema de negociación tiene funciones de gestión usadas por el personal de operación y mantenimiento, separadas de las pantallas de los clientes. Añadir autenticación multifactor a los inicios de sesión de clientes no protege por sí solo el lado de gestión, que necesita su propia revisión.
Como primer paso, pida al proveedor una lista de las funciones de gestión, las cuentas que pueden usarlas y las restricciones sobre desde dónde pueden alcanzarse (como direcciones IP), y confirme si alguna función de gestión puede alcanzarse directamente desde internet.
Detecte las órdenes que no provengan de la sesión propia del cliente, en el momento en que se producen
La empresa detectó el acceso no autorizado el mismo día y contactó a los clientes afectados ese día. En general, una alerta inmediata cuando se realiza una orden sin inicio de sesión del cliente, o por una vía, hora o volumen inusuales, permite cancelar y contactar con los clientes más rápido.
Las medidas añadidas por el proveedor incluyen también la detección inmediata de anomalías en los inicios de sesión y una monitorización reforzada (revisiones programadas y respuesta inmediata a las anomalías). Por su parte, decida quién recibe esas alertas y quién decide qué hacer en cuántos minutos.
Obtenga los resultados de la revisión del proveedor para su propio entorno
Una misma empresa puede operar y mantener sistemas de negociación de varias entidades financieras. En este caso, el proveedor dice que también revisó los sistemas que presta a otras instituciones financieras.
Si utiliza el mismo proveedor, obtenga por escrito el resultado y el alcance de la revisión para su entorno (qué periodo de registros se revisó y con qué criterios). Para el control de acceso, consulte Autenticación frente a autorización.
Fuentes (registro público)
Los hechos de este artículo se basan en la siguiente información pública. No especulamos sobre métodos o causas no revelados.
- Iwai Cosmo Holdings, Inc., "岩井コスモ証券 外部委託先への不正アクセスに伴うお客様情報の漏洩について" (16 de octubre de 2026, divulgación oportuna; el anexo es el aviso de Iwai Cosmo Securities) — iwaicosmo-hd.jp (PDF, en japonés)
- Comunicado de prensa de Iwai Cosmo Holdings, "外部委託先への不正アクセスに伴うお客様情報の漏洩について" (16 de octubre de 2026) — iwaicosmo-hd.jp
- Iwai Cosmo Securities Co., Ltd., "外部委託先への不正アクセスに伴うお客様情報の漏洩について(第2報)" (segundo aviso, 20 de octubre de 2026) — iwaicosmo.co.jp (no se mostraba el 23 de octubre porque el sitio web estaba en mantenimiento; se consultó a través de la copia de Internet Archive guardada el 21 de octubre)
- Sitio de negociación en línea de Iwai Cosmo Securities, aviso de mantenimiento (consultado el 23 de octubre de 2026) — iwaicosmo.net
- Agencia de Servicios Financieros, "インターネット取引サービスへの不正アクセス・不正取引にご注意ください" — fsa.go.jp
Historial de actualizaciones
2026-10-23: Primera versión, basada en el aviso de Iwai Cosmo Securities del 16 de octubre (la divulgación oportuna de la empresa matriz) y en su segundo aviso del 20 de octubre. El segundo aviso se consultó a través de la copia de Internet Archive porque el sitio web de la empresa estaba en mantenimiento. Actualizaremos este artículo cuando se publiquen nuevos hechos.
Lecturas recomendadas
- Protegerse de estafas de seguimiento: ¿Qué es el phishing? / ¿Qué es una passkey?
- Proteger su inicio de sesión: Elegir bien la MFA / Cómo comprobar si su contraseña ha sido filtrada
- Otra corredora de valores este mes: Brecha en el proveedor de Daiwa Securities (unos 110.000 clientes)
- Otros incidentes de 2026: Filtraciones de datos y ciberataques de 2026