Para: médicos y otros profesionales sanitarios que usan m3.com, empleados de empresas farmacéuticas que trabajan con MR-kun, y personal de recepción o de informática de centros médicos. Este artículo se basa en los anuncios oficiales de M3, Inc. (primer y segundo aviso) y no trata técnicas de ataque ni de estafa.
En desarrollo: este artículo se actualizará a medida que la organización publique más información
A fecha del 27 de octubre de 2026Aún no se sabe
- La causa y los detalles de la vía de acceso
- Qué incluyen exactamente la información de uso del servicio y las relaciones de asignación
- Cuántas de las 25.775 personas son médicos que no son miembros de m3.com
- Cuántas empresas farmacéuticas están afectadas
- Las medidas concretas para evitar que se repita
En su segundo aviso del 23 de octubre, M3 dice que seguirá investigando y que anunciará con prontitud cualquier hecho nuevo. No da fecha. Cuando este sitio consultó la lista de noticias de la empresa el 27 de octubre, no había ninguna novedad posterior al segundo aviso.
Qué deben hacer hoy los médicos y demás usuarios de m3.com
No abra enlaces de mensajes que digan proceder de M3 o de una farmacéutica
M3 pide estar atentos a correos, SMS y llamadas sospechosos que se hagan pasar por la empresa. Los datos filtrados incluyen nombres y centros de trabajo, además de las relaciones de asignación que las farmacéuticas clientes habían registrado.
En general, esta combinación permite redactar un mensaje que nombre una farmacéutica real, o incluso la empresa que le atiende a usted. Tanto si trata de una conferencia o un seminario web, de la recompensa de una encuesta, de puntos o de una disculpa por la filtración, no abra el enlace; abra m3.com desde su marcador o la app oficial (cómo detectar mensajes falsos: ¿Qué es el phishing?).
Compruebe las peticiones de un representante con datos de contacto nuevos
Mensajes como "su representante ha cambiado", "le escribo desde una dirección nueva" o "consulte los materiales en otro sitio" no son fiables solo porque el nombre y la empresa sean correctos. Compruébelo con el representante por el canal que usa habitualmente, o llame usted mismo al número principal de la farmacéutica.
No facilite contraseñas, números de tarjeta ni datos bancarios
M3 afirma que sus mensajes individuales nunca le pedirán introducir ni facilitar una contraseña, datos de tarjeta de crédito o datos de cuenta bancaria. Trate como sospechoso cualquier mensaje que los pida, aunque diga proceder de M3.
Pida a recepción y al personal administrativo que vigilen los mensajes que le nombren
De los 25.775 miembros y otros, el correo electrónico se incluyó solo en 6 casos. Sin embargo, sí se incluyeron los centros de trabajo, así que en general alguien podría llamar, escribir un correo o enviar una carta al contacto principal de un hospital o clínica usando el nombre de un médico. Una breve indicación a recepción y al personal administrativo, pidiéndoles que comprueben con usted las peticiones desconocidas de M3 o de una farmacéutica antes de transmitirlas, lo dificulta.
Use el contacto del aviso de la empresa
El contacto para miembros del segundo aviso de M3 es la atención al cliente de m3.com en cs-security@m3.com (el primer aviso remitía a la página de contacto de m3.com). No use los datos de contacto de un correo o SMS recibido; abra el aviso desde la lista de noticias de la empresa.
M3 no le ha pedido que cambie su contraseña
No se incluyeron contraseñas de acceso, y la empresa no ha pedido a los miembros que las cambien. Si usa la misma contraseña en m3.com y en otros sitios de información médica o sistemas hospitalarios, es un buen momento para separarlas, lo que también le protege de futuras páginas de inicio de sesión falsas (Cómo elegir un gestor de contraseñas).
Qué deben hacer los empleados de empresas farmacéuticas
También se confirmaron filtraciones de 2.260 empleados de empresas farmacéuticas: nombre, centro de trabajo, correo electrónico de algunos y otros datos (correo electrónico en 264 casos).
Informe a su equipo de seguridad de que su empresa está afectada
M3 afirma que su personal está contactando a las farmacéuticas afectadas. Compruebe con el equipo interno correspondiente si su empresa ha sido contactada y, en ese caso, acuerden dónde debe el personal notificar los mensajes sospechosos que digan proceder de socios comerciales o de médicos.
Compruebe las peticiones inusuales que digan proceder de M3 o de un médico
En general, el nombre, el centro de trabajo y el correo electrónico juntos facilitan el envío de facturas falsas, enlaces a páginas de inicio de sesión o archivos adjuntos que parecen venir de un socio comercial. Si un mensaje que dice proceder del personal de M3 o de un centro médico le pide cambiar datos bancarios o iniciar sesión en un sitio nuevo, compruébelo con el remitente por su canal habitual.
Remita a los médicos que pregunten al contacto oficial de M3
Si un médico pregunta si está afectado, no haga suposiciones; remítale al aviso de la empresa y al contacto para miembros. Si su empresa contacta ella misma a los médicos, no les pida introducir contraseñas ni datos personales, para que su mensaje no se confunda con uno falso.
Qué pasó (según M3)
M3, Inc. publicó "Disculpas y aviso sobre una filtración de datos personales causada por un acceso no autorizado" en la página de noticias corporativas el 15 de octubre de 2026, y un segundo aviso el 23 de octubre. Todo lo que sigue procede de los anuncios de la empresa.
14 de octubre de 2026
M3 confirmó un acceso no autorizado de un tercero al sistema de MR-kun, un servicio que ofrece a empresas farmacéuticas. Ese mismo día confirmó que se habían filtrado datos de algunos miembros y empleados de farmacéuticas, y cortó la vía de acceso que había identificado.15 de octubre
Primer aviso. Describía a los afectados como "algunos miembros médicos (menos del 10 % del total de miembros médicos)" y "empleados de empresas farmacéuticas (del orden de cientos)", y decía que aún se estaban examinando las cifras y los detalles.22 de octubre
M3 empezó a contactar individualmente a los miembros afectados en su correo registrado.23 de octubre
Segundo aviso. Dio como cifras confirmadas 25.775 miembros de m3.com y otros y 2.260 empleados de empresas farmacéuticas, y dijo que las vías identificadas hasta ahora para obtener los datos se habían contenido.
- Sistema afectado
- El sistema de MR-kun, un servicio que M3 ofrece a empresas farmacéuticas
- Miembros de m3.com y otros
- Nombre, centro de trabajo, correo electrónico de algunos, parte de la información sobre su uso de los servicios de M3 e información que las farmacéuticas clientes habían registrado en el servicio (como relaciones de asignación): 25.775 personas (correo electrónico en 6 casos)
- No miembros
- Incluye a algunos médicos que no son miembros de m3.com, cuyos datos las farmacéuticas habían confiado a M3 (sin desglose)
- Empleados de farmacéuticas
- Nombre, centro de trabajo, correo electrónico de algunos y otros datos: 2.260 personas (correo electrónico en 264 casos)
- No incluidos
- Contraseñas de acceso y puntos m3. M3 no guarda números de tarjetas de crédito
- Publicación o uso indebido
- Ninguno detectado hasta ahora
- Medidas de M3
- Cortó la vía identificada y reforzó las defensas, contuvo las vías identificadas hasta ahora para obtener los datos (completado), informó a las autoridades supervisoras, envió correos individuales a los miembros afectados (desde el 22 de octubre) y está contactando a las farmacéuticas afectadas a través de su personal
- Causa
- No publicada
Qué cambió entre el primer y el segundo aviso
La descripción de los afectados pasó de "algunos miembros médicos (menos del 10 % del total de miembros médicos)" a "miembros de m3.com y otros", y el segundo aviso añade que se incluye a algunos médicos que no son miembros de m3.com. Los empleados de farmacéuticas pasaron de "del orden de cientos" a 2.260. Se añadieron a los datos filtrados la "información sobre el uso de los servicios de M3" y las "relaciones de asignación", y el contacto para miembros pasó de una página de contacto a una dirección de correo (cs-security@m3.com).
Qué se sabe y qué no
Según los avisos de la empresa del 15 y el 23 de octubre, a fecha del 27 de octubre de 2026. La columna de estado se actualizará a medida que se publiquen novedades.
| Elemento | Qué dicen los avisos | Estado |
|---|---|---|
| Nombre y centro de trabajo (miembros y otros, empleados de farmacéuticas) | Indicados como filtración confirmada | Filtración confirmada (M3) |
| Correo electrónico | 6 miembros y otros, 264 empleados de farmacéuticas | Filtración confirmada (M3) |
| Información sobre el uso de los servicios de M3 | "Parte de la información sobre el uso de los servicios de M3". Sin detalle de los datos | Filtración confirmada (M3) |
| Relaciones de asignación | Registradas en el servicio por las farmacéuticas. Sin detalle de los datos | Filtración confirmada (M3) |
| Contraseñas de acceso, puntos m3 | No incluidos | No incluidos (M3) |
| Números de tarjetas de crédito | M3 no los guarda | No incluidos (M3) |
| Teléfono, domicilio | No figuran en la lista de datos filtrados | No indicado |
| Número de personas | 25.775 miembros y otros, 2.260 empleados de farmacéuticas (personas con filtración confirmada de algún dato) | A fecha del 23 de octubre (M3) |
| Número de médicos no miembros | Solo se indica que se incluye a algunos | No indicado |
| Causa y vía | En investigación en el primer aviso; no descritas en el segundo | En investigación |
| Publicación o uso indebido | Ninguno detectado | No detectado (M3) |
| Avisos individuales | Miembros por correo desde el 22 de octubre; farmacéuticas a través del personal de M3 | Confirmado (M3) |
"No indicado" no significa "no filtrado"
Los números de teléfono y las direcciones simplemente no aparecen en la lista de datos filtrados. Lo que M3 dice expresamente que no se incluyó son las contraseñas de acceso, los puntos m3 y los números de tarjetas de crédito. Los avisos tampoco dicen qué contienen la información de uso del servicio ni las relaciones de asignación, por eso mostramos estos estados por separado.
Para qué pueden usarse nombres, centros de trabajo y datos de asignación
En general, cuando se conocen el nombre y el centro de trabajo de un profesional sanitario junto con qué farmacéutica le atiende, puede ocurrir lo siguiente. (No se ha anunciado ningún uso indebido de este tipo en este incidente; M3 afirma que no ha detectado ninguno.)
Nombre + centro de trabajo + asignación
25.775 miembros de m3.com y otros
↓→
Llamadas o cartas al centro de trabajo haciéndose pasar por una empresa o un representante reales
→ Compruébelo con la persona por su canal habitual
Nombre + centro de trabajo + correo
264 empleados de farmacéuticas, 6 miembros y otros
↓→
Correos que se hacen pasar por M3 o por un socio comercial y llevan a páginas de inicio de sesión o adjuntos
→ No abra enlaces; use su marcador
Lo que puede ocurrir en general
- Hacerse pasar por un representante farmacéutico real y llevarle a nuevos datos de contacto por un "cambio de representante"
- Mensajes sobre conferencias, recompensas de encuestas o puntos que llevan a una página de inicio de sesión falsa
- Falsas "disculpas por la filtración" que piden datos bancarios o contraseñas
- Llamadas a la recepción de un hospital pidiendo hablar con un médico concreto
Lo que puede hacer usted
- Abra m3.com desde su marcador o la app oficial
- Compruebe los mensajes de los representantes por su canal habitual
- No facilite contraseñas ni datos bancarios en respuesta a un mensaje
- Pida a recepción y al personal administrativo que vigilen las peticiones desconocidas que le nombren
En el mismo mes también se anunció la filtración del sitio para profesionales sanitarios de Asahi Kasei Therapeutics, en la que podrían haberse filtrado nombres, centros de trabajo y especialidades de profesionales sanitarios. Es un incidente distinto, con otra organización y otra causa, pero la forma de prepararse ante mensajes falsos dirigidos a profesionales sanitarios es similar.
El aviso de M3 del 21 de octubre es un incidente distinto
El 21 de octubre de 2026, M3 anunció que un acceso no autorizado a un servicio en la nube externo que usaba para gestionar el sitio del servicio M3PSP y el sitio web del fondo de 1 persona 1 yen podría haber filtrado información enviada mediante los formularios de consulta de esos sitios (271 personas en M3PSP, 127 en el fondo). M3 afirma que en ese caso no encontró acceso no autorizado a sus propios sistemas. Es un anuncio distinto del de MR-kun.
Para las farmacéuticas que registran datos de médicos en servicios externos
La causa no se ha publicado. Esta sección se limita a lo que muestran los datos filtrados publicados (puntos generales que revisar, no una suposición sobre la causa).
Haga una lista de lo que ha registrado en servicios externos
Según el segundo aviso, los datos filtrados incluían relaciones de asignación que las farmacéuticas habían registrado en el servicio de M3, y datos de médicos no miembros que las farmacéuticas habían confiado a M3. En general, la información que registra en un servicio externo puede quedar expuesta fuera de sus propios sistemas. Mantener una lista de qué servicios guardan los datos de qué médicos, y qué datos, le permite explicar el impacto rápidamente cuando un proveedor notifica un incidente.
Elimine los registros que ya no necesite
Revise periódicamente si hay médicos a los que ya no atiende o centros con los que ya no trabaja, y elimine lo que no necesite. Los datos que no se guardan no pueden filtrarse.
Decida de antemano cómo responder a los médicos tras un aviso de incidente
M3 afirma que su personal está contactando a las farmacéuticas afectadas. Decida internamente cómo deben responder los representantes a las preguntas de los médicos y a qué contacto oficial remitirles, para que nadie responda con suposiciones y sus mensajes no se confundan con otros falsos.
Fuentes (registros públicos)
Los hechos de este artículo se basan en la siguiente información pública. No se especula sobre la causa ni los métodos de ataque, que no se han publicado.
- M3, Inc., "Apology and notice regarding a personal information leak caused by unauthorized access" (en japonés, 15 de octubre de 2026) — corporate.m3.com (PDF)
- M3, Inc., "Apology and notice regarding a personal information leak caused by unauthorized access (second notice)" (en japonés, 23 de octubre de 2026; consultado el 27 de octubre) — corporate.m3.com (PDF)
- M3, Inc., aviso sobre una posible filtración del sitio del servicio M3PSP y del sitio web del fondo de 1 persona 1 yen tras un acceso no autorizado a un servicio en la nube que utiliza (en japonés, 21 de octubre de 2026; incidente distinto) — corporate.m3.com (PDF)
- M3, Inc., lista de noticias — corporate.m3.com/news
Historial de actualizaciones
2026-10-27: Primera versión, basada en el primer aviso de M3 del 15 de octubre y en el segundo aviso del 23 de octubre. Se actualizará cuando se publiquen más detalles, como la causa.
Lectura recomendada
- Otros incidentes de datos sanitarios de este mes: filtración del sitio para profesionales sanitarios de Asahi Kasei Therapeutics / acceso no autorizado al sistema para clínicas at-link de Medley
- Para detectar mensajes falsos: ¿Qué es el phishing?
- Proteger su inicio de sesión: Cómo elegir un gestor de contraseñas / Cómo elegir bien la verificación en dos pasos
- Incidentes en sanidad: hospitales cuya atención se detuvo por ciberataques en 2026
- Otros incidentes de 2026: lista de filtraciones y ciberataques (Japón y en el mundo)