Para: socios de Joshin (antes Joshin Denki), usuarios del servicio de suscripción de Joshin y personas que subieron fotos para una reforma del hogar de Joshin. Este artículo se basa en los avisos oficiales de Joshin Corporation y no aborda técnicas de ataque.
En desarrollo: este artículo se actualizará a medida que la organización publique más información
A 28 de octubre de 2026Aún no se sabe
- Si se confirma una filtración y cuántos registros
- Cómo se relacionan los recuentos de registros con el número de personas (solapamiento)
- Causa y vía de la intrusión
- Qué servicios están suspendidos y cuándo se reanudarán
- Si se contactará individualmente con los usuarios de la base de datos de socios y de la suscripción
- Si habrá compensación
En su segundo aviso del 26 de octubre, la empresa afirma que anunciará con prontitud en su sitio web oficial y otros canales cualquier nuevo dato que deba hacerse público. No da plazos. Consultamos la lista de noticias de la empresa el 28 de octubre y confirmamos que no se había publicado un tercer aviso.
Qué deben hacer hoy los socios de Joshin y los usuarios de la suscripción
Determine si puede estar afectado
El segundo aviso dice que puede haberse filtrado información de estos tres sistemas:
- Servidor de la base de datos de socios: hasta unos 6 millones de registros (nombre, dirección, teléfono, número de socio)
- Servicio de suscripción de Joshin: hasta unos 230.000 registros (número de socio, ID de inicio de sesión y contraseña inicial, historial de facturación y más)
- Sistema de subida de fotos de reformas: hasta unos 800 registros (fotos de obras de reforma y un pequeño número de imágenes de permisos de conducir, datos de tarjetas My Number y números de cuenta bancaria)
El aviso no dice a qué servicio de socios pertenece el servidor de la base de datos de socios ni qué socios están incluidos. Si alguna vez ha sido socio de Joshin, dé por hecho que puede estar afectado y siga con los pasos siguientes.
No use los enlaces ni los números de teléfono de correos, mensajes de texto o llamadas que digan ser de Joshin
La empresa advierte de que pueden producirse correos, mensajes de texto y llamadas sospechosos que se hagan pasar por ella. Como los elementos incluyen nombres, direcciones, teléfonos y números de socio, un mensaje falso podría acertar estos datos.
Si le piden «confirmar sus datos de socio», le dicen que «sus puntos van a caducar» o que le corresponde un «reembolso de disculpa», no use los enlaces ni los números de teléfono del mensaje. Compruébelo en un sitio oficial que usted mismo abra o llame al contacto de atención al cliente indicado en el aviso (06-6631-1323, de 9:30 a 18:30, hora de Japón).
Usuarios de la suscripción de Joshin: cambien la contraseña inicial si nunca lo hicieron
En el servicio de suscripción de Joshin, los ID de inicio de sesión y las contraseñas iniciales figuran entre los elementos que pueden haberse filtrado. La empresa no pide en su aviso que nadie cambie su contraseña, pero este sitio recomienda que quien aún use la contraseña inicial la cambie. Si el servicio es uno de los suspendidos, hágalo en el sitio oficial cuando se reanude.
Si usa la misma contraseña en otros servicios, cámbiela también allí (cómo comprobar si su contraseña se ha filtrado / cómo elegir un gestor de contraseñas). Active la verificación en dos pasos donde esté disponible.
Revise la facturación de la suscripción por si hay cambios inesperados
El historial de facturación y los números de contrato también figuran entre los elementos que pueden haberse filtrado. Compruebe que su contrato y sus cargos son correctos en un sitio oficial que usted mismo abra o en la documentación de su contrato, no a través de un mensaje recibido. Como la empresa afirma que no guarda información de tarjetas, desconfíe especialmente de cualquier mensaje que le pida su número de tarjeta.
Si su permiso, su tarjeta My Number o su número de cuenta bancaria están implicados: confirme el contacto a través del número indicado
En el sistema de subida de fotos de reformas, pueden haberse filtrado 2 imágenes de permisos de conducir, 1 tarjeta My Number y 5 números de cuenta bancaria, y la empresa afirma que está contactando individualmente con las personas afectadas. Si le contactan, primero confirme que es auténtico llamando usted mismo al número indicado en el aviso.
- Imagen del permiso de conducir: véase si se filtraron los datos de su permiso de conducir japonés
- My Number: normalmente no cambia, pero según el artículo 7, apartado 2, de la Ley My Number, el alcalde del municipio puede asignar un número nuevo cuando se reconoce que el número se ha filtrado y puede usarse indebidamente. Si es necesario, consulte al municipio donde está empadronado
- Número de cuenta bancaria: no responda a nadie que le pida su PIN o su contraseña, y contacte con su banco o con la policía si algo parece extraño (consejo general de la Asociación de Banqueros de Japón y de la Agencia Nacional de Policía, no un consejo sobre este incidente)
1. Correo / mensaje de texto / llamada que dice ser de Joshin
Nombre, dirección y número de socio correctos → no decida aquí
↓
2. No use sus enlaces ni sus números: abra usted mismo el sitio oficial o llame usted mismo al contacto indicado
Atención al cliente 06-6631-1323 (de 9:30 a 18:30, hora de Japón)
↓
3a. Una solicitud que no puede confirmar
Número de tarjeta, PIN, contraseña o foto de su documento de identidad → no responda
3b. El contacto da las mismas indicaciones
Siga las instrucciones del sitio oficial o del contacto
Qué ocurrió (según Joshin)
Lo siguiente se basa en lo que Joshin Corporation publicó en su sitio web oficial el 17 de octubre de 2026 (presentado ante la Bolsa de Tokio el 19 de octubre) y en su segundo aviso, presentado el 26 de octubre. La empresa cambió su nombre de Joshin Denki Co., Ltd. a Joshin Corporation el 1 de abril de 2026 (código de valores 8173). Las cifras se dan por sistema, así que este sitio no las ha sumado.
16 de octubre de 2026 (vie.)
Se detectó una anomalía en la red de la empresa. La investigación halló indicios de que se había accedido sin autorización a parte de la red. La empresa adoptó medidas como desconectar de la red los servidores con esos indicios y encargó la investigación a especialistas externos. Como consecuencia, algunos servicios dejaron de estar disponibles.Desde el 16 de octubre
La empresa consultó e informó a la Comisión de Protección de Información Personal y a la policía (el segundo aviso dice que lo hizo inmediatamente después de confirmar el incidente).17 de octubre (sáb.)
Primer aviso publicado en el sitio web oficial. Aún se estaba comprobando si se había filtrado información.19 de octubre (lun.)
El mismo aviso se presentó ante la Bolsa de Tokio.26 de octubre
Se presentó el segundo aviso, con la información y los recuentos de registros que pueden haberse filtrado.
- Servidor de la base de datos de socios
- Hasta unos 6 millones de registros. Nombre, dirección, teléfono, número de socio
- Servicio de suscripción de Joshin
- Hasta unos 230.000 registros. Número de socio, teléfono + firma manuscrita (datos binarios), ID de inicio de sesión y contraseña inicial, historial de facturación, número de contrato e ID de dispositivo, código de activación
- Sistema de subida de fotos de reformas
- Hasta unos 800 registros. 2 imágenes de permisos de conducir, 1 tarjeta My Number y 5 números de cuenta bancaria (se está contactando individualmente con las personas afectadas), además de fotos de obras de reforma en curso
- Qué significan las cifras
- Recuentos totales de registros que pueden haberse filtrado, no cifras confirmadas de datos personales filtrados (según la empresa)
- Información de tarjetas de crédito
- La empresa no guarda datos de pago ni información de tarjetas de crédito (según la empresa)
- Contacto
- Atención al cliente de Joshin Corporation: teléfono 06-6631-1323 (de 9:30 a 18:30, hora de Japón) y un contacto por correo electrónico indicado en el aviso
En su primer aviso (17 de octubre), la empresa dijo que aún estaba comprobando si se había filtrado información, y que había presentado un informe inicial a la Comisión de Protección de Información Personal porque no podía descartarse una filtración de datos personales. El segundo aviso dio por primera vez los elementos y los recuentos de registros por sistema. La empresa afirma que el alcance total de los daños sigue en investigación.
Qué se sabe y qué no
Situación a 28 de octubre de 2026. Actualizaremos esta tabla a medida que la empresa publique más información.
| Elemento | Lo que dice el aviso | Estado |
|---|---|---|
| Se produjo un acceso no autorizado | Confirmados indicios de acceso no autorizado a parte de la red | Confirmado (empresa) |
| Nombre, dirección, teléfono, número de socio (servidor de la base de datos de socios) | Hasta unos 6 millones de registros | Posible (empresa) |
| Suscripción de Joshin: número de socio, teléfono + firma manuscrita, ID de inicio de sesión, contraseña inicial, historial de facturación, número de contrato, ID de dispositivo, código de activación | Hasta unos 230.000 registros | Posible (empresa) |
| Imágenes de permisos de conducir, tarjeta My Number, números de cuenta bancaria | 2, 1 y 5 respectivamente (dentro de los hasta unos 800 registros del sistema de subida de fotos de reformas) | Posible (empresa) |
| Fotos de obras de reforma en curso | Sistema de subida de fotos de reformas | Posible (empresa) |
| Información de tarjetas de crédito | No se guarda | No incluida (empresa) |
| Si se confirma una filtración | Se indica que las cifras no son cifras de filtración confirmadas; la investigación continúa | En investigación |
| Relación entre las cifras y el número de personas | Se dan en registros; no se indica el solapamiento dentro de cada sistema ni entre sistemas | No indicado |
| Qué socios están incluidos (servicio, fecha de alta) | No indicado | No indicado |
| Causa y vía de la intrusión | No indicado | No indicado |
| Servicios suspendidos y cuándo se reanudan | Algunos servicios no están disponibles; no se indica cuáles ni cuándo se reanudan | No indicado |
| Contacto individual (personas con permiso, tarjeta My Number o número de cuenta bancaria implicados) | Se está contactando individualmente | Confirmado (empresa) |
| Contacto individual (usuarios de la base de datos de socios y de la suscripción) | No indicado | No indicado |
| Uso indebido o daños secundarios | No indicado; la empresa advierte de que pueden producirse contactos sospechosos | No indicado |
| Compensación | No indicado | No indicado |
Nota: son recuentos de registros que pueden haberse filtrado, no de personas
La empresa afirma que las cifras son recuentos totales de registros que pueden haberse filtrado y no cifras confirmadas de datos personales filtrados. Todas las cifras están en registros; si la misma persona está registrada en más de un sistema, el número de personas puede ser menor, pero no se indica el solapamiento. Este sitio no dice que la información «se filtró», solo que «puede haberse filtrado».
Para qué podría usarse la combinación de elementos posiblemente filtrados
Lo siguiente es lo que puede ocurrir en general con esta combinación de elementos. La empresa no ha anunciado que nada de esto haya ocurrido en este incidente.
- Nombre + dirección + teléfono + número de socio: mensajes de texto, llamadas o cartas que dicen ser de Joshin y citan su número de socio para parecer una verificación de identidad
- Número de contrato e historial de facturación de la suscripción: mensajes falsos de «confirmación de pago» o «renovación del contrato» que citan datos reales del contrato
- ID de inicio de sesión + contraseña inicial: podrían usarse para iniciar sesión en cuentas que aún usan la contraseña inicial, o en otros servicios donde se reutiliza la misma contraseña
- Imágenes de permisos de conducir, datos de tarjetas My Number y números de cuenta bancaria: podrían usarse para solicitar servicios en nombre de otra persona o para mensajes que se hacen pasar por un banco (un pequeño número de personas, con las que la empresa está contactando individualmente)
La mayor parte de esto se puede evitar no usando los enlaces ni los números de un mensaje y comprobándolo en un sitio oficial que usted mismo abra o a través del contacto indicado en el aviso.
Qué deben revisar los operadores
La causa no se ha revelado, así que esta sección trata solo lo que se puede decir a partir de la información publicada.
- Los datos que no se guardan no pueden filtrarse: la empresa ha adoptado una configuración en la que no guarda datos de pago, y su aviso indica que no guarda información de tarjetas de crédito. No guardar números de tarjeta internamente reduce lo que queda expuesto cuando se produce una intrusión.
- Haga inventario de lo que llega a cada sistema de propósito único: en el sistema para subir fotos de reformas, también figuran entre la información que puede haberse filtrado un pequeño número de imágenes de permisos de conducir, datos de tarjetas My Number y números de cuenta bancaria. En general, cualquier sistema que acepte subidas de archivos puede recibir documentos que nadie esperaba. Compruebe que los archivos subidos se conservan solo el tiempo necesario y que solo los ven las personas que los necesitan.
Fuentes (registros públicos)
Los datos de este artículo se basan en la siguiente información pública. No hemos hecho suposiciones sobre la causa, el número de personas ni el alcance, que no se han anunciado.
- Joshin Corporation, «Aviso y disculpas por la interrupción de sistemas causada por un acceso no autorizado (segundo informe)» (en japonés, 26 de octubre de 2026) — joshin.co.jp (PDF)
- Joshin Corporation, «Aviso y disculpas por la interrupción de sistemas causada por un acceso no autorizado» (en japonés, publicado en el sitio web oficial el 17 de octubre de 2026) — joshin.co.jp (PDF)
- El mismo aviso (en japonés, presentado ante la Bolsa de Tokio el 19 de octubre de 2026) — joshin.co.jp (PDF)
- Joshin Corporation, «Mensaje de la dirección» (sobre el cambio de nombre, en japonés) — joshin.co.jp
- Ley sobre el uso de números para identificar a una persona concreta en los procedimientos administrativos (Ley My Number), artículo 7 — búsqueda de leyes e-Gov
- Asociación de Banqueros de Japón (consejo general) — zenginkyo.or.jp / Agencia Nacional de Policía (consejo general) — npa.go.jp
Historial de actualizaciones
2026-10-28: Primera versión, basada en el aviso de Joshin Corporation del 17 de octubre (presentado el 19 de octubre) y en su segundo aviso del 26 de octubre (lista de noticias consultada el 28 de octubre; sin tercer aviso). Actualizaremos cuando se anuncien la causa, las cifras confirmadas o una compensación.
Lectura recomendada
- Si se filtra la imagen de un documento de identidad: Si se filtraron los datos de su permiso de conducir japonés: qué hacer
- Un caso con documentos de identidad y datos bancarios: Acceso no autorizado en Lashinbang
- Un caso de comercio minorista japonés de la misma época: MrMax (nombres, correos y teléfonos de socios)
- Estafas posteriores: ¿Qué es el phishing?
- Proteja sus cuentas: Cómo elegir un gestor de contraseñas / Cómo elegir la autenticación multifactor
- Otros incidentes de 2026: Filtraciones de datos y ciberataques en 2026 (Japón y el mundo)