Para: miembros de la tienda online japonesa de Lindt y de su app oficial, y cualquier persona que gestione un sitio de miembros en una plataforma de comercio electrónico externa. Este artículo se basa en el aviso oficial de Lindt & Sprüngli Japón y en los avisos propios del proveedor, y no trata técnicas de ataque ni de estafa.
En desarrollo: este artículo se actualizará a medida que la organización publique más información
A fecha del 26 de octubre de 2026Aún no se sabe
- Detalles del método de ataque (la empresa afirma que no los revelará)
- Resultados de la investigación de la empresa de seguridad externa
- Método de hash utilizado para las contraseñas
- Cuándo reabrirá la tienda online y cómo se cambiarán las contraseñas
- Medidas concretas para evitar que se repita
En su aviso del 23 de octubre, la empresa dijo que publicará en la página de aviso cualquier dato nuevo. Cuando este sitio consultó la página el 26 de octubre, no se había añadido nada ni se había publicado ningún seguimiento.
Qué deben hacer hoy los miembros de Lindt Japón
Compruebe si está afectado: busque un correo a partir del 26 de octubre
Los datos afectados son los de los miembros registrados en la tienda online y en la app oficial. Los miembros que ya hubieran cancelado su membresía a las 0:16 del 18 de octubre, cuando se obtuvieron los datos, no están incluidos.
La empresa afirma que enviará un correo a los miembros afectados en su dirección registrada a partir del lunes 26 de octubre, y que para quienes no reciban el correo, la página de aviso servirá como notificación. Si no está seguro de que un correo sea auténtico, no use sus enlaces; abra usted mismo el aviso en el sitio oficial.
Si usó su contraseña de Lindt en otro lugar, cámbiela allí ahora
Entre los datos filtrados está la contraseña de acceso. La empresa afirma que estaba almacenada con hash (convertida en una forma que no puede leerse tal cual), pero no ha revelado el método de hash. Las contraseñas cortas o comunes pueden llegar a descifrarse con el tiempo (véase ¿Qué es el hash de contraseñas?).
La empresa también pide a los miembros que usen la misma contraseña en otros servicios que la cambien allí. Use una contraseña distinta para cada servicio y active la verificación en dos pasos cuando sea posible (véase introducción a la verificación en dos pasos).
Cambie la contraseña de Lindt cuando llegue el aviso de reapertura
Mientras la tienda online esté suspendida, no se puede cambiar la contraseña de Lindt. La empresa prevé pedir a los miembros que la cambien cuando la tienda reabra, y explicará el procedimiento en la página de aviso.
Si un correo o SMS le insta a cambiar la contraseña ya mediante un enlace, no use ese enlace. Consulte el procedimiento en el sitio oficial que abra usted mismo.
No siga instrucciones de correos, SMS, llamadas o cartas que digan proceder de Lindt
La empresa advierte de que los datos filtrados podrían usarse en correos, SMS, llamadas o cartas sospechosos que se hagan pasar por la empresa o por su tienda online. Afirma que nunca pedirá contraseñas ni datos de tarjetas de crédito por correo o teléfono.
Como también se filtraron direcciones y números de teléfono, los contactos falsos podrían no llegar solo por correo. Si alguien le pide datos por teléfono, cuelgue y llame de vuelta al número del aviso oficial (véase ¿Qué es el phishing?). La empresa pide a los miembros que comuniquen los contactos sospechosos a los puntos de contacto de la página de aviso.
Por qué importan la fecha de nacimiento, la tienda registrada y el último acceso
Además del nombre, la dirección y el teléfono, la filtración incluye la fecha de nacimiento, la tienda que el miembro registró como habitual, la fecha de registro y la fecha del último acceso. En conjunto, permiten redactar mensajes que mencionen correctamente cuándo se unió y qué tienda utiliza. Acertar con esos datos no demuestra que un mensaje sea auténtico.
Qué pasó (según el aviso de Lindt Japón)
El 23 de octubre de 2026, Lindt & Sprüngli Japan K.K. publicó en su sitio oficial "Disculpas y aviso sobre una filtración de datos personales causada por un acceso no autorizado a un proveedor". Salvo que se indique lo contrario, todo lo que sigue procede de ese aviso. La empresa afirma que los hechos se basan en el informe del proveedor y pueden cambiar a medida que avance la investigación.
17 de octubre de 2026, 23:02 a 18 de octubre, 0:16 (hora de Japón)
Se accedió desde el exterior al servidor del proveedor explotando una vulnerabilidad en el software utilizado en él, y se obtuvieron datos de las cuentas de miembros compartidas por la tienda online y la app oficial (informe del proveedor).19 de octubre (lunes)
El proveedor informó del incidente a la empresa. El proveedor identificó y bloqueó la vía de intrusión y aplicó medidas contra la vulnerabilidad explotada (informe del proveedor). Según su propio aviso, detectó el acceso sospechoso hacia las 15:30 durante la supervisión del sistema.21 de octubre (miércoles), 16:00
Se suspendió la tienda online para evitar más daños.23 de octubre (viernes)
La empresa anunció el incidente en su sitio oficial. La línea telefónica dedicada a miembros se abrió a las 11:00. En el momento del anuncio, la empresa dijo que había informado a la Comisión de Protección de Información Personal de Japón junto con el proveedor, y que este estaba consultando a la policía.26 de octubre (lunes)
Está previsto que comiencen los correos a los miembros afectados en su dirección registrada (empresa).
- Alcance
- Datos de los miembros registrados en la tienda online y la app oficial (una cuenta de miembro compartida). No se incluyen los miembros que se habían dado de baja a las 0:16 del 18 de octubre
- Registros
- 3.147.469
- Datos
- ID de miembro, nombre, correo electrónico, dirección postal, teléfono, fecha de nacimiento, género, ajustes del boletín, tienda registrada
- Contraseña
- Contraseña de acceso (almacenada con hash)
- Otros datos del miembro
- Lectura del nombre (furigana), fecha y hora de registro, fecha y hora del último acceso, etc.
- No incluidos
- Datos de pago como los de tarjetas de crédito. La tienda online no almacena datos de tarjetas
- Uso indebido
- No se ha confirmado uso indebido de los datos filtrados (a las 11:00 del 23 de octubre)
- Causa
- Explotación de una vulnerabilidad en un software utilizado en el servidor del proveedor. No se revelan los detalles del ataque
- Contacto
- Línea dedicada a miembros 0120-713-065 (de 9:00 a 21:00, incluidos fines de semana y festivos), correo privacy-incident-jp@lindt.jp. También puede usarse el formulario de contacto del sitio oficial. La empresa dice que las respuestas a las consultas pueden llegar desde una dirección de remitente indicada en su aviso que no pertenece a lindt.jp
Relación con los avisos del proveedor
El proveedor que ofrece el sistema de la tienda online (un proveedor de plataforma de comercio electrónico) también anunció en su sitio el 23 de octubre que los datos de miembros de una de sus tiendas clientes, 3.147.469 registros, se habían filtrado (no se nombra la tienda). El proveedor afirma que no ha encontrado indicios de que el mismo método se haya usado para acceder a datos de otras tiendas. En un aviso del 25 de octubre, explicó que un acceso no autorizado distinto detectado el 21 de octubre y un largo mantenimiento de la plataforma los días 21 y 22 de octubre no estaban relacionados con este incidente.
Datos de contacto
Correo, dirección postal, teléfono
Datos personales
Nombre, lectura del nombre, fecha de nacimiento, género, ID de miembro
Datos de acceso y uso
Contraseña con hash, tienda registrada, fecha de alta, último acceso
↓ Lo que puede ocurrir en general
Mensajes falsos que conocen sus datos
Haciéndose pasar por restablecimientos de contraseña, disculpas o puntos
Accesos a otros servicios con una contraseña reutilizada
Si la contraseña llega a descifrarse
↓ Para prevenirlo
Ignore las instrucciones y consulte el sitio oficial / cambie las contraseñas reutilizadas
Qué se sabe y qué no
Según el aviso de la empresa del 23 de octubre y los avisos del proveedor, a fecha del 26 de octubre de 2026. La columna de estado se actualizará a medida que se publiquen novedades.
| Elemento | Qué se anunció | Estado |
|---|---|---|
| ID de miembro, nombre, correo, dirección, teléfono, fecha de nacimiento, género | Filtrados como datos de miembro | Filtración confirmada (empresa) |
| Ajustes del boletín, tienda registrada | Filtrados como datos de miembro | Filtración confirmada (empresa) |
| Lectura del nombre, fecha de registro, último acceso, etc. | Filtrados como "otra información gestionada como datos de miembro" | Filtración confirmada (empresa) |
| Contraseña de acceso | Filtrada; almacenada con hash | Filtración confirmada (empresa) |
| Método de hash | No indicado | No indicado |
| Datos de pago como tarjetas de crédito | No incluidos; no se almacenan datos de tarjetas | No incluidos (empresa) |
| Número de registros | 3.147.469; no incluye a los miembros dados de baja a las 0:16 del 18 de octubre | Confirmado (empresa) |
| Momento del acceso no autorizado | 23:02 del 17 de octubre a 0:16 del 18 de octubre | Confirmado (empresa, según el informe del proveedor) |
| Causa | Acceso no autorizado que explotó una vulnerabilidad en un software utilizado en el servidor del proveedor | Confirmado (empresa, según el informe del proveedor) |
| Detalles como el método de ataque | Retenidos para evitar que se repita y más daños | No revelados (empresa) |
| Nombre del software explotado | No indicado en el aviso | No indicado |
| Uso indebido o daños secundarios | Ninguno confirmado (a las 11:00 del 23 de octubre) | No confirmado (empresa) |
| Impacto en otras tiendas | No hay indicios de que el mismo método se haya usado con datos de otras tiendas | No confirmado (proveedor) |
| Investigación de seguridad externa | Prevista por el proveedor | En investigación |
| Notificaciones individuales a los miembros | Por correo a la dirección registrada a partir del 26 de octubre | Confirmado (empresa) |
| Reapertura de la tienda y cambio de contraseña | Fecha por anunciar en la página de aviso; cambio de contraseña a solicitar en la reapertura | No indicado (fecha no fijada) |
Qué puede ocurrir cuando se filtran juntos nombres, direcciones, fechas de nacimiento y contraseñas con hash
En general, cuando se filtran datos de contacto y atributos personales juntos, resulta fácil crear mensajes que los destinatarios consideren auténticos. Las contraseñas con hash no pueden usarse tal cual para iniciar sesión, pero las cortas o comunes pueden llegar a descifrarse (no se ha anunciado que esto haya ocurrido en este incidente).
Lo que puede ocurrir en general
- Correos o SMS que digan "debe cambiar su contraseña" y que lleven a una página de inicio de sesión falsa
- Mensajes que se hacen pasar por disculpas o recompensas de puntos y piden datos de tarjetas
- Intentos de acceder a otros servicios con una contraseña descifrada, cuando se reutilizó la misma contraseña
Lo que puede hacer usted
- Consulte cualquier aviso en el sitio oficial que abra usted mismo
- Cambie ya la contraseña en otros servicios donde la reutilizó
- No dé nunca una contraseña ni un número de tarjeta a quien se lo pida
Otra filtración del mismo periodo en la que se expusieron nombres, direcciones y contraseñas con hash es la filtración de Furusato Choice. Para comprobar si una contraseña reutilizada se ha filtrado, véase cómo comprobar si su contraseña se ha filtrado.
Para quien gestione un sitio de miembros en una plataforma de comercio electrónico externa
El software y el método implicados no se han revelado, así que esta sección se limita a lo que muestra la secuencia de hechos publicada. No es una valoración de cómo respondió el proveedor.
Prevea una forma de que los miembros cambien sus contraseñas incluso con la tienda caída
En este caso, la tienda online y la app oficial comparten una cuenta de miembro, y la suspensión de la tienda también bloqueó los cambios de contraseña. La empresa prevé pedir cambios de contraseña en la reapertura. Compruebe de antemano si su plataforma permite mantener los restablecimientos de contraseña, o cerrar las sesiones abiertas, funcionando por separado aunque se detengan las ventas. Así podrá proteger a los miembros justo después de una filtración.
Acuerde qué ocurre tras un aviso de incidente del proveedor, desde la fase contractual
En este caso, el proveedor informó el mismo día en que detectó el acceso (19 de octubre), y después la empresa suspendió la tienda (21 de octubre), anunció el incidente y abrió una línea dedicada (23 de octubre), y empezó a enviar correos a los miembros (a partir del 26 de octubre). En incidentes con un proveedor, definir en el contrato o en el manual de respuesta quién decide detener la tienda, quién redacta el anuncio y quién informa al regulador (aquí se hizo conjuntamente) reduce el tiempo dedicado a decidir.
No conserve datos de los miembros que se han dado de baja
Según la empresa, los miembros que ya se habían dado de baja cuando se obtuvieron los datos no están incluidos. Eliminar los datos de quienes se han marchado reduce el alcance de cualquier filtración. Defina cuándo se eliminan los datos de miembros dados de baja o inactivos durante mucho tiempo, y compruebe que realmente se borran en el sistema del proveedor.
Almacene las contraseñas de forma que sean difíciles de descifrar si se filtran
La empresa afirma que las contraseñas estaban almacenadas con hash. Lo básico es nunca guardar las contraseñas de los miembros en texto plano ni en una forma reversible, y usar un hash lento con sal, como bcrypt o Argon2. Si usa una plataforma externa, averigüe qué método emplea. Véase almacenamiento de contraseñas con hash y sal.
Fuentes (registros públicos)
Los hechos de este artículo se basan en la siguiente información pública. No se adivinan los detalles del ataque ni las causas que no se han revelado.
- Lindt & Sprüngli Japan K.K., "Apology and notice regarding a personal data leak caused by unauthorized access to a contractor" (23 de octubre de 2026, en japonés, consultado el 26 de octubre) — lindt.jp
- El proveedor (proveedor de plataforma de comercio electrónico), "Important: Apology and notice regarding a personal data leak caused by unauthorized access (first report)" (23 de octubre de 2026, en japonés) — aviso del proveedor
- El mismo proveedor, "Apology and explanation regarding the long maintenance for PHP vulnerability measures and the unauthorized access incidents" (25 de octubre de 2026, en japonés) — aviso del proveedor
Historial de actualizaciones
2026-10-26: Primera versión, basada en el aviso de Lindt & Sprüngli Japan del 23 de octubre y en los avisos del proveedor del 23 y el 25 de octubre. Se actualizará cuando se publiquen novedades sobre la investigación o la reapertura de la tienda.
Lectura recomendada
- Filtraciones de datos de miembros del mismo periodo: la filtración de las tiendas online de FANCL y Attenir / la filtración de Furusato Choice
- Un incidente de una marca de alimentación de la misma semana: posible filtración de datos de inscripción a campañas de Fujicco
- Para prepararse ante correos falsos: ¿Qué es el phishing?
- Contraseñas: Cómo comprobar si su contraseña se ha filtrado / Cómo elegir un gestor de contraseñas
- Otros incidentes de 2026: lista de filtraciones y ciberataques (Japón y en el mundo)