Para: cualquier persona que haya usado o se haya registrado en Matsuben Net, Mobile Order, Matsuben Delivery o la app oficial de Matsuya en Japón. Este artículo se basa en el aviso oficial de Matsuya Foods Holdings Co., Ltd. y no trata técnicas de ataque.
En desarrollo: este artículo se actualizará a medida que la organización publique más información
A fecha del 31 de octubre de 2026Aún no se sabe
- Causa y cómo se produjo la intrusión
- Cuándo y cómo se contactará a los clientes afectados
- Si los datos se han usado de forma indebida
- Cuándo se restablecerá la app
- Detalles de la compensación
- Número final de miembros de la app (hasta 3.000)
La empresa dice que los detalles de la causa y de cómo fue posible el acceso están bajo investigación, y que los detalles de la compensación se anunciarán por separado. También dice que prevé contactar por orden a los clientes cuyos datos se filtraron. Reescribiremos este artículo cuando se publique una actualización.
Qué deben hacer hoy las personas que pueden estar afectadas
No siga enlaces ni instrucciones de correos, mensajes o llamadas que digan ser de Matsuya
Los datos filtrados incluyen el nombre y el número de teléfono, más una dirección de entrega (Matsuben Net y los demás) o la fecha de nacimiento y el correo electrónico (miembros de la app). Con tanta información, un mensaje puede tener el nombre y la dirección correctos y parecer auténtico.
Si un mensaje dice que sus puntos van a caducar, que su rango de miembro se va a restablecer, u ofrece un cupón de disculpa o una compensación, no abra su enlace; abra usted mismo el sitio oficial o las cuentas oficiales de redes sociales y compruébelo (cómo reconocerlos: ¿Qué es el phishing?).
Desconfíe sobre todo de los mensajes sobre compensación y restablecimiento
En un aviso aparte, la empresa dice que enviará por correo, a más tardar el 1 de noviembre de 2026, un código QR exclusivo, utilizable en las máquinas expendedoras de tickets, a quienes compraron la versión de la app de MATSUYA PASS entre el 26 de septiembre y el 28 de octubre de 2026. Un correo que la empresa realmente tiene previsto enviar es justo donde se cuelan las falsificaciones.
No abra los enlaces de ese correo; consulte primero el anuncio en el sitio oficial de la empresa. La empresa dice que nunca pide contraseñas ni datos de tarjetas de crédito por correo ni por teléfono.
Miembros de la app: deje de reutilizar su contraseña
Para los miembros de la app se filtraron una contraseña cifrada, el correo electrónico y la fecha de nacimiento. No se ha revelado el método de cifrado ni su solidez, así que, si usa en otros servicios la misma contraseña que en su cuenta de Matsuya, cámbiela primero allí.
Un gestor de contraseñas es la forma práctica de hacer el inventario. Puede comprobar si una contraseña reutilizada apareció en filtraciones anteriores con Cómo comprobar si su contraseña se filtró. La app de Matsuya está suspendida, así que cambie la contraseña de la app cuando se restablezca, siguiendo las indicaciones oficiales de la empresa.
Esté atento un tiempo a los falsos mensajes de entrega y a las llamadas desconocidas
Los datos de Matsuben Net, Mobile Order y Matsuben Delivery incluyen su dirección de entrega y su número de teléfono. Un mensaje que se hace pasar por una empresa de mensajería («no pudimos entregar su paquete» o «no se pudo confirmar su dirección») puede parecer auténtico si el nombre y la dirección coinciden, aunque no tenga nada que ver con Matsuya.
Los números de teléfono y las direcciones son difíciles de cambiar, así que estos mensajes pueden seguir llegando. Activar los filtros de llamadas y mensajes de spam del teléfono los reduce (Conceptos básicos de seguridad del smartphone).
Contacte con la empresa solo por el servicio de atención que figura en su sitio oficial
La empresa indica un servicio de atención sobre datos personales para este incidente (teléfono 0422-38-1121, días laborables de 10:00 a 16:00, cerrado fines de semana y festivos, pulse 1 tras la locución; la dirección de correo también figura en su aviso). Use los datos de contacto del sitio oficial de Matsuya, no los que aparezcan en un mensaje que haya recibido.
Qué pasó (según el aviso de Matsuya Foods Holdings)
Todo lo que sigue procede del aviso de la empresa.
Miércoles 28 de octubre de 2026
La empresa descubrió que un tercero había accedido sin autorización al sistema de gestión de la app oficial de Matsuya que opera y que se habían filtrado datos de miembros registrados en la app.29 de octubre
La empresa publicó un cupón para las máquinas expendedoras de tickets en su cuenta oficial de X. Un aviso en el sitio de la empresa (comprobado el 31 de octubre, sin fecha) dice que el cupón se puede usar hasta las 15:00 del 11 de noviembre.30 de octubre
Publicó su disculpa y su aviso. Dijo que adopta las medidas necesarias, como informar a la Comisión de Protección de Información Personal de Japón.Comprobado el 31 de octubre
El sitio de la empresa muestra un aviso de suspensión del servicio. Un aviso aparte, sin fecha, describe medidas de disculpa como mejoras de rango. No se da fecha de reanudación.
- Sistema afectado
- El sistema de gestión de la app oficial de Matsuya (Matsuben Net, Mobile Order y Matsuben Delivery)
- Usuarios de Matsuben Net, Mobile Order y Matsuben Delivery
- ID de miembro, dirección de entrega, nombre, número de teléfono, puntos de Matsuya. 2.377.127 registros
- Miembros de la app de Matsuya
- ID de miembro, prefectura, nombre, número de teléfono, fecha de nacimiento, correo electrónico, contraseña cifrada, puntos de Matsuya. 2.000 registros (posiblemente hasta 3.000)
- Datos de tarjeta
- La empresa no conserva datos de tarjetas de crédito
- Causa (explicación de la empresa)
- Confirmado como acceso no autorizado de un tercero. Los detalles de la causa y de cómo fue posible están bajo investigación
- Respuesta
- Trabaja con empresas relacionadas para recuperar el sistema cuanto antes y adopta las medidas necesarias, como informar a la Comisión de Protección de Información Personal. Prevé contactar por orden a los clientes cuyos datos se filtraron. Prevé compensar a los miembros de la app por el periodo de suspensión, con los detalles anunciados por separado
- Petición de la empresa
- Los datos filtrados pueden usarse para suplantar identidades. Esté atento a correos, mensajes y llamadas sospechosos. La empresa no pide contraseñas ni datos de tarjetas de crédito por correo ni por teléfono
Cómo leerlo: no sume las dos cifras
El aviso enumera los datos filtrados por separado para los usuarios de Matsuben Net, Mobile Order y Matsuben Delivery (2.377.127 registros) y para los miembros de la app de Matsuya (2.000 registros, posiblemente hasta 3.000). La empresa no da un total combinado ni dice si una misma persona aparece en ambos grupos. Este artículo no suma las cifras.
Qué se sabe y qué no
Estado a fecha del 31 de octubre de 2026. Cuando se publique un aviso posterior, actualizaremos la columna de estado.
| Elemento | Qué dice el aviso | Estado |
|---|---|---|
| Datos de los usuarios de Matsuben Net, etc. | ID de miembro, dirección de entrega, nombre, número de teléfono, puntos de Matsuya | Filtración confirmada (empresa) |
| Cifra de los usuarios de Matsuben Net, etc. | 2.377.127 registros | Cifra indicada (empresa) |
| Datos de los miembros de la app | ID de miembro, prefectura, nombre, número de teléfono, fecha de nacimiento, correo electrónico, contraseña cifrada, puntos de Matsuya | Filtración confirmada (empresa) |
| Cifra de los miembros de la app | 2.000 (posiblemente hasta 3.000) | En investigación |
| Correo electrónico (usuarios de Matsuben Net, etc.) | No figura en la lista de datos | No indicado |
| Contraseña (usuarios de Matsuben Net, etc.) | No figura en la lista de datos | No indicado |
| Datos de tarjetas de crédito | La empresa no los conserva | No incluidos (empresa) |
| Causa y cómo ocurrió | Acceso no autorizado de un tercero; detalles en investigación | En investigación |
| Uso indebido de los datos filtrados | No se menciona en el aviso; la empresa advierte de que pueden usarse de forma indebida | No anunciado |
| Notificación individual | Prevé contactar por orden a los clientes cuyos datos se filtraron | En investigación |
| Compensación | Prevé compensar a los miembros de la app por el periodo de suspensión; detalles más adelante | En investigación |
| Restablecimiento de la app | Trabaja para recuperarla cuanto antes | En investigación |
Para qué pueden servir combinados los datos filtrados
Datos que por separado son habituales pueden, juntos, hacer que un mensaje fraudulento parezca real. Lo que sigue es lo que en general puede ocurrir con esos datos, no una afirmación de que haya ocurrido aquí.
Nombre + teléfono + dirección de entrega
↓→
Falsos avisos de entrega y falsas consultas con el nombre y la dirección correctos
→ No abra enlaces / compruebe el estado de la entrega en la app oficial
Nombre + ID de miembro + puntos de Matsuya
↓→
Falsos mensajes sobre puntos que caducan o cambios de rango
→ Lea solo los anuncios del sitio oficial
Correo + fecha de nacimiento + contraseña cifrada (miembros de la app)
↓→
Falsos mensajes de verificación de identidad, intentos de inicio de sesión en otros servicios
→ Deje de reutilizar contraseñas
Indicado como no incluido o no conservado
- Datos de tarjetas de crédito (la empresa no los conserva)
Filtración confirmada (varía según el grupo)
- ID de miembro, nombre, número de teléfono, puntos de Matsuya (ambos grupos)
- Dirección de entrega (usuarios de Matsuben Net, etc.)
- Prefectura, fecha de nacimiento, correo electrónico, contraseña cifrada (miembros de la app)
Cómo leerlo: «no indicado» para el correo no es lo mismo que «no filtrado»
Los datos indicados para los usuarios de Matsuben Net, Mobile Order y Matsuben Delivery no incluyen correos electrónicos ni contraseñas. Eso solo significa que no están en la lista de datos del aviso; la empresa no ha dicho que haya confirmado que no se filtraron. Los datos pueden cambiar en una actualización, así que actualizamos esta tabla cada vez.
Para quienes gestionan servicios de membresía
La empresa dice que la intrusión afectó al sistema de gestión de la app, y que la causa y cómo ocurrió están bajo investigación. No se ha revelado el método, así que no especulamos; estos son puntos que puede revisar a partir únicamente de los hechos divulgados.
Compruebe si el sistema de gestión tiene algún punto de entrada que pueda leer datos de usuarios en bloque
El objetivo aquí fue un sistema de gestión que contenía los datos de los usuarios de la app y de los servicios de pedidos. Las pantallas y las API de administración tienen más autoridad que las de cara al cliente, así que inventaríe quién puede abrirlas y desde dónde.
No las deje abiertas a cualquiera en internet; restrinja las direcciones de origen y exija autenticación multifactor (véase la guía de autenticación multifactor).
Compruebe si varios servicios se conectan al mismo sistema de gestión
Aquí se vieron afectados los miembros de la app y los usuarios de servicios de pedidos como Mobile Order y Delivery, al parecer por medio de un sistema de gestión compartido. Cuando los servicios comparten una plataforma común, una sola intrusión puede alcanzar a los usuarios de varios servicios.
Compruebe qué datos hay en la plataforma compartida y si el alcance que puede ver cada servicio está separado. También tratamos los límites de volumen de lectura y la notificación en el caso de la app de Yakiniku King.
Lo que no se conserva no puede filtrarse: decida de nuevo qué guardar
La empresa dice que no conserva datos de tarjetas de crédito. Del mismo modo, revise con regularidad si guarda datos que el servicio de pedidos no necesita (fecha de nacimiento, direcciones anteriores, etc.).
No almacene nunca contraseñas en texto plano; guárdelas con un método robusto y con sal (almacenamiento de contraseñas, hashing y sal).
Fuentes (registro público)
Los hechos de este artículo proceden de las fuentes públicas siguientes. No se especula sobre métodos o causas de la intrusión que no se hayan divulgado.
- Matsuya Foods Holdings Co., Ltd., disculpa y aviso sobre los datos personales filtrados por el acceso no autorizado al sistema de gestión de la app oficial de Matsuya (Matsuben Net, Mobile Order, Matsuben Delivery) (30 de octubre de 2026, en japonés; presentado ante la Bolsa de Tokio) — release.tdnet.info (PDF) / el mismo aviso en el sitio de la empresa — matsuyafoods.co.jp (PDF)
- Matsuya Foods Co., Ltd. y Matsuya Foods Holdings Co., Ltd., «Aviso de suspensión de la app de Matsuya y otros servicios» (comprobado el 31 de octubre de 2026; sin fecha) y «Disculpa y próximos pasos sobre la suspensión de la app oficial de Matsuya» (comprobado el mismo día; sin fecha) — matsuyafoods.co.jp. El sitio de la empresa responde con el aviso de suspensión mostrado, así que el texto del aviso se toma de esa página.
Historial de actualizaciones
2026-10-31: Primera versión, basada en el aviso de la empresa del 30 de octubre. La empresa dice que la causa y cómo ocurrió están bajo investigación y que los detalles de la compensación se anunciarán por separado. Actualizaremos este artículo cuando se publiquen.
Leer a continuación
- Estafas posteriores: ¿Qué es el phishing? / Conceptos básicos de seguridad del smartphone
- Contraseñas: Cómo elegir un gestor de contraseñas / Cómo comprobar si su contraseña se filtró
- Un caso similar (datos de miembros de apps de restauración y comercio): La filtración de la app de Yakiniku King / La filtración de la app de Burger King Japón (unos 11,18 millones de registros) / La filtración de la app y la tienda online de MrMax
- Un caso similar (datos de miembros con ID y puntos): Acceso no autorizado a Lawson ID (2.155.345 registros)
- Otros incidentes de 2026: lista de filtraciones y ciberataques (Japón y el mundo)