Acceso no autorizado a Lawson ID (2.155.345 registros): se filtraron correos electrónicos y nombres; qué deben hacer los socios y los usuarios de App Reservation

Se filtraron direcciones de correo electrónico y nombres y, en algunos casos, también números de teléfono y direcciones. La empresa pide tener cuidado con los correos, mensajes de texto y llamadas sospechosos enviados a los datos de contacto registrados en su Lawson ID.

Ya existían mensajes falsos que imitaban a Lawson antes de este incidente. En junio de 2026 la empresa advirtió sobre sitios web falsos que se hacen pasar por sorteos o campañas de vales gratuitos para recopilar datos personales. Tanto si un mensaje dice «sus puntos están a punto de caducar», «reclame su cupón» o «ha ganado», no abra el enlace y no introduzca su ID, contraseña ni datos de tarjeta (para saber cómo identificarlo: ¿Qué es el phishing?).

Lawson dice que contacta con las personas afectadas de forma individual desde «Lawson ID Mail». El aviso indica dos direcciones remitentes: lawson_id@mailservice.lawson.jp y lawson_id@id.lawson.jp (la segunda se añadió en una adenda del 13 de octubre que indica que la dirección remitente se añadió tal como se muestra). También ha publicado un aviso en la aplicación de Lawson.

No obstante, el remitente que aparece en un correo puede falsificarse. En un caso distinto anunciado el 1 de octubre (sobre el uso indebido de su servidor de correo), la propia Lawson reveló ejemplos en los que la dirección del remitente se había disfrazado para parecer de un tercero. Aunque una notificación parezca auténtica, compruébelo a través de la aplicación oficial desde la pantalla de inicio o un marcador, no mediante los enlaces del correo.

Las contraseñas no están entre los datos que la empresa afirma que se filtraron, y no ha pedido que se cambien.

Lo más probable es una página de inicio de sesión falsa enviada a una dirección de correo filtrada, donde usted escribe su contraseña. Iniciar sesión únicamente a través de la aplicación oficial reduce en gran medida ese riesgo. Si utiliza la contraseña de Lawson ID también en otros servicios, hágala distinta, independientemente de este incidente, para que una filtración en otro lugar no se extienda (un gestor de contraseñas lo hace práctico).

En Lawson App Reservation, los datos filtrados son el nombre, el número de teléfono y parte del número de tarjeta de crédito. La empresa afirma que no se ha confirmado ningún uso indebido. Un número parcial normalmente no basta para comprar en línea, pero revise sus extractos y contacte con su emisor de tarjeta por cualquier cargo que no reconozca. Si alguien que llama como su «compañía de tarjetas» le pide el resto del número o su PIN, no responda.

El contacto indicado en el aviso es el formulario específico del Centro de Atención al Cliente de Lawson (lawson-faq.lawson.co.jp). No se facilita ningún número de teléfono. A quienes ya hayan introducido información en un mensaje falso, la advertencia de junio de la empresa les recomienda acudir a la comisaría más cercana o al departamento de consultas sobre delitos informáticos de la jefatura de policía de la prefectura.

Anote cada función que devuelve los datos del usuario conectado: página personal, datos de socio, historial de reservas y pedidos, saldo de puntos, lista de cupones. Incluya las API (los puntos de conexión que la aplicación utiliza para obtener datos del servidor) que hay detrás de la aplicación.

En cada una, compruebe que el titular de los datos devueltos se decide a partir de la sesión de inicio. Cuando se utilice un número de socio enviado por la aplicación, cámbielo para que se compare con el socio conectado en cada solicitud. Al mismo tiempo, compruebe si la respuesta incluye campos que la pantalla nunca muestra.

Una función que muestra a los usuarios sus propios datos, usada correctamente, implica exactamente un socio por inicio de sesión. Por tanto, a partir de los registros de acceso de esa función, cuente de cuántos socios distintos se devolvieron datos por inicio de sesión (o por origen) por hora.

El uso normal da uno, así que alerte al responsable a partir de dos. La monitorización por volumen no detecta la recuperación lenta en lotes pequeños; este recuento señala el primer registro que no encaja. Si sus registros no muestran de qué socio se devolvieron los datos, empiece por registrar eso.

Tras detectar el problema, Lawson suspendió la función App Reservation. En un servicio para socios, un interruptor que apaga una función mientras las demás siguen funcionando acorta el tiempo entre la detección y la contención.