Para: usuarios actuales y antiguos del servicio de uso compartido de coches Cariteco de Meitetsu Kyosho en Japón, y personal de empresas con contratos corporativos de Cariteco. Este artículo se basa en los avisos oficiales de Meitetsu Kyosho Co., Ltd. y no trata las técnicas de ataque.
Qué deben hacer hoy los miembros
Compruebe si le afecta: los antiguos miembros cuentan, y es posible que la carta no le haya llegado
Las personas afectadas son los miembros actuales y antiguos de Cariteco. La empresa envió avisos individuales por correo u otro medio similar a los miembros particulares los días 10 y 23 de julio, y a los miembros corporativos el 20 de agosto. Pero algunos no pudieron entregarse, por ejemplo por direcciones desactualizadas, por lo que también publicó el aviso en línea.
Si se mudó después de darse de alta o se dio de baja hace años, es posible que no haya recibido ninguno. Si tiene dudas, llame al servicio de atención al cliente de Meitetsu Kyosho (línea de información personal) en el 0120-353-276 (días laborables de 9:00 a 17:00, Japón).
No responda a llamadas, correos ni cartas que digan ser de la empresa o de un emisor de tarjetas
Los datos en juego combinan nombre, dirección, número de teléfono y correo electrónico, lo que podría usarse para que los mensajes falsos parezcan auténticos, incluidas las cartas en papel.
La empresa pide a los miembros que desconfíen de llamadas, correos y cartas sospechosos, y que no cumplan fácilmente con peticiones de introducir o dar información personal, datos de autenticación o datos de tarjeta. Si necesita comprobar algo, contacte con un número oficial que haya buscado usted mismo (véase ¿Qué es el phishing?).
Si registró una tarjeta, revise sus extractos
La empresa dice que los datos de tarjeta pueden incluirse para algunos miembros, sin indicar cuáles ni qué datos. Si registró (o puede haber registrado) una tarjeta en Cariteco, revise sus extractos en busca de cargos que no reconozca, y llame al número que figura al dorso de la tarjeta si encuentra alguno. Si sigue preocupado, puede explicar la situación a su emisor y preguntar por la sustitución del número.
Registre una alerta de fraude (autodeclaración) en las tres agencias de crédito de Japón
Esta opción está disponible cuando su nombre puede usarse indebidamente porque un documento de identidad se perdió, fue robado o se filtró. Una vez registrada, las entidades prestamistas y los emisores de tarjetas ven la nota al consultar su historial y revisan las solicitudes con más cuidado.
CIC, JICC y el centro de información crediticia de la Asociación de Banqueros de Japón tienen empresas miembro distintas, así que regístrese en las tres. Las diferencias entre las agencias y la duración de las alertas se explican en el artículo sobre Times Car.
Solicite su historial crediticio y busque cuentas que no abrió
Una alerta de fraude no bloquea las solicitudes. Pida su propio historial a cada agencia, una ahora y otra unos meses después, y busque tarjetas o préstamos que nunca solicitó. Si llega un contrato desconocido o un aviso de cobro, contacte con esa empresa y con su comisaría local.
Si es antiguo miembro, pida que se borren sus datos
La ley de privacidad de Japón le permite solicitar que una empresa deje de usar o borre sus datos en estos casos (artículo 35, apartado 5):
- se ha producido una filtración notificable
- la empresa ya no necesita los datos
Los antiguos miembros pueden preguntar en el servicio de atención si sus datos del formulario de solicitud siguen en poder de la empresa y si pueden borrarse. Algunos registros pueden tener que conservarse por ley, pero obtener una respuesta sobre qué se conserva y hasta cuándo merece la pena por sí mismo.
Personal de cuentas corporativas: advierta a sus compañeros sobre mensajes que digan que una cuenta de pago ha cambiado
Según el aviso del 3 de septiembre, están en juego el nombre de la empresa, la dirección, los datos de contacto, la información del representante y la información de la cuenta bancaria de los clientes corporativos, además de los datos de licencia de los empleados registrados para usar Cariteco.
Establezca una norma según la cual los correos o cartas que digan «nuestra cuenta de pago ha cambiado» se verifiquen por otro canal, como una llamada telefónica. Informe también a los empleados registrados sobre la opción de alerta de fraude.
Qué ocurrió (según los avisos de Meitetsu Kyosho)
Todo lo siguiente figura tal como se indica en los avisos oficiales de la empresa y de Cariteco.
23 jun 2026
La empresa detectó accesos sospechosos a sus servidores. Algunos servidores se detuvieron, y la empresa aisló de inmediato los sistemas y cortó las conexiones de red.29 jun
Cariteco anunció que, a causa de la caída, las nuevas altas, los cambios de nombre, dirección y teléfono de los miembros existentes, así como las nuevas altas corporativas, quedaban suspendidos.2 jul
La empresa informó de la caída causada por un acceso no autorizado. Dijo que la investigación externa había "confirmado rastros de acceso no autorizado por ransomware el 19 de junio". En ese momento no se había confirmado ninguna filtración de información fuera de la empresa; se consultó e informó a la policía y a las autoridades competentes.6 jul
Se abrió un centro de llamadas de atención al cliente.10 y 23 jul
Se enviaron avisos individuales sobre una posible filtración a los miembros particulares de Cariteco.22 jul
Cariteco reanudó las nuevas altas y los procedimientos de cambio de contrato.28 jul
La empresa dijo que la investigación había encontrado ataques a varios servidores y que no podía descartar una filtración de la información de los clientes.4 ago
Cariteco publicó en su sitio un aviso sobre la posible filtración de la información de los miembros, explicando que algunos avisos individuales no pudieron entregarse y que la publicación pretendía cubrirlos.20 ago
Se enviaron avisos individuales a los clientes corporativos de Cariteco (también publicados en línea el 3 de septiembre).
- Miembros particulares
- Lo escrito en el formulario de solicitud: nombre, dirección, fecha de nacimiento, número de teléfono, correo electrónico, información de la licencia de conducir
- Datos de tarjeta
- Pueden incluirse para algunos miembros (no se ha revelado qué miembros ni qué datos)
- Clientes corporativos
- Nombre de la empresa, dirección, datos de contacto, información del representante, información de la cuenta bancaria facilitada al inicio de la relación, e información de la licencia de los empleados registrados para usar Cariteco
- Alcance
- Miembros actuales y antiguos. No se ha revelado ninguna cifra
- Causa declarada
- Acceso no autorizado por ransomware; se confirmaron ataques a varios servidores. La vía de entrada y otros detalles no se han revelado
- Daño secundario
- La empresa dice que no se ha confirmado ninguna filtración ni uso indebido de información personal
- Otros servicios
- Además de Cariteco, la empresa ha enviado avisos individuales a usuarios de varios otros servicios, como clientes de aparcamiento mensual y miembros de tarjetas de puntos
- Contacto
- Servicio de atención al cliente de Meitetsu Kyosho (línea de información personal) 0120-353-276 (días laborables de 9:00 a 17:00, Japón)
Cómo interpretarlo: no se indica qué significa «información de la licencia de conducir»
En el caso de Times Car, el operador dijo explícitamente que se incluían imágenes de la licencia de conducir. El aviso de Cariteco solo dice «información de la licencia de conducir», por lo que no está claro si se refiere a los datos impresos en la licencia, como el número y la fecha de caducidad, o también a imágenes.
En cualquier caso, un número de licencia combinado con su nombre, dirección y fecha de nacimiento no puede cambiarse, así que los pasos de este artículo son los mismos. Actualizaremos la información si se publican más detalles.
Lo específico de este caso: con ransomware, la recuperación del servicio y la detección de una posible filtración llegan en momentos distintos
Caída del 23 jun
Servidores detenidos y aislados; altas suspendidas
↓→
Comunicado del 2 jul
Rastros de ransomware; filtración «no confirmada»
↓→
Reinicio del 22 jul
Altas y cambios en Cariteco
Desde el 28 jul: «no puede descartar una filtración» / avisos individuales (algunos no entregados)
→ Que el servicio vuelva a funcionar no significa que los datos estuvieran a salvo. Las precauciones de los miembros empiezan en esta etapa
Un ataque de ransomware se manifiesta primero como servicios que dejan de funcionar: las reservas fallan, las altas se detienen, las webs caen. Eso es lo que los usuarios perciben primero. Si se han sustraído datos solo se aclara después de revisar uno por uno los servidores detenidos.
En el caso de Meitetsu Kyosho, el 2 de julio la empresa dijo que «no se ha confirmado ninguna filtración de información fuera de la empresa», y fue el 28 de julio, después de que Cariteco reanudara las altas, cuando afirmó que no podía descartar una filtración.
La lección para los usuarios: cuando aparezca un aviso de caída, recuerde qué ha confiado a ese servicio. Los servicios que ha dejado son especialmente arriesgados, porque sus datos de contacto allí pueden estar desactualizados y es posible que el aviso posterior de filtración nunca le llegue. El funcionamiento del ransomware y la preparación de las organizaciones se explican en ¿Qué es el ransomware?.
Los dos casos de uso compartido de coches, uno al lado del otro
En 2026 se revelaron en Japón dos casos de uso compartido de coches que afectan a datos de licencias de conducir. Vistos en conjunto, lo que deben hacer los miembros es lo mismo; las diferencias están en hasta qué punto se ha confirmado la filtración y en cómo se notificó a las personas.
| Elemento | Times Car | Cariteco (Meitetsu Kyosho) |
|---|---|---|
| Punto de partida | Acceso no autorizado al sitio web | Caída del sistema por ransomware |
| Estado de la filtración | Obtención confirmada por un tercero | No se puede descartar una filtración |
| Cantidad | ~6,6 M de cuentas (~1,6 M con imágenes de documentos de identidad) | No revelada |
| Licencia | Incluye imágenes | «Información de la licencia de conducir» (imágenes no especificadas) |
| Datos de tarjeta | Confirmado que no se filtraron | Pueden incluirse para algunos miembros |
| Antiguos miembros | Incluidos | Incluidos |
| Aviso individual | Correo electrónico | Correo postal u otro medio similar (algunos no entregados) |
Para operadores de uso compartido de coches: los datos necesarios para las comprobaciones de alta no tienen que conservarse para siempre
La empresa no ha explicado por qué conservaba los datos de solicitud de los antiguos miembros. Un servicio de uso compartido de coches tiene sus propias razones comerciales, como confirmar una licencia válida para cada alquiler. Dicho esto, esto es lo que los operadores pueden revisar a partir de lo que tienen en común ambos casos.
Establezca un plazo de borrado para los datos de solicitud de los antiguos miembros
Comprobar una licencia al darse de alta es necesario. Pero los datos de solicitud de los antiguos miembros no los usa el negocio, y aun así entran en juego cuando se produce una filtración. La ley de privacidad de Japón pide a las empresas que hagan esfuerzos por borrar los datos personales sin demora cuando ya no sean necesarios (artículo 22, deber de esfuerzo).
Conserve los datos durante el periodo legalmente exigido si lo hay; si no, fije un plazo corto y haga que se borren automáticamente al vencer.
Si no puede borrar los datos, asegúrese de poder seguir contactando con la persona: compruebe que los datos de contacto estén actualizados
La empresa dice que algunos avisos individuales no pudieron entregarse. En cualquier servicio que conserve datos de miembros durante años, es habitual que los datos de contacto queden obsoletos mientras el resto del registro sigue igual.
La opinión de este sitio, para los operadores en general: los datos de identidad de personas a las que ya no pueden contactar, y que no tienen obligación de conservar, son datos cuya conservación debe revisarse. Para los datos que sí debe conservar, pida a las personas que actualicen sus datos de contacto; los datos de personas a las que no puede contactar y que no tiene obligación de conservar, bórrelos. Decida ambas cosas en el mismo inventario.
Sepa restaurar los sistemas si se detienen, y limite el daño si se sustraen datos
La preparación frente al ransomware tiene dos partes:
- poder restaurar desde copias de seguridad
- separar los servidores que contienen datos de clientes de la red general de la empresa
La primera se trata en Fundamentos de las copias de seguridad (la regla 3-2-1), y el mínimo para toda la organización en La base mínima de seguridad para organizaciones.
Fuentes (registros públicos)
Los hechos de este artículo proceden de las fuentes públicas siguientes. No se especula sobre las rutas o métodos de intrusión no revelados.
- Meitetsu Kyosho Co., Ltd., aviso sobre la caída del sistema causada por un acceso no autorizado (2 de julio de 2026, en japonés) — mkyosho.co.jp
- Meitetsu Kyosho Co., Ltd., apertura de un centro de llamadas de atención al cliente por la caída (6 de julio de 2026, en japonés) — mkyosho.co.jp
- Meitetsu Kyosho Co., Ltd., aviso sobre una posible filtración de datos de clientes por el acceso no autorizado (28 de julio de 2026, en japonés) — mkyosho.co.jp
- Meitetsu Kyosho Co., Ltd., situación de los avisos individuales sobre una posible filtración (a fecha de 6 de agosto, 12 de agosto y 3 de septiembre de 2026, en japonés) — 6 ago / 12 ago / 3 sep
- Cariteco, disculpas y aviso sobre una posible filtración de datos personales por acceso no autorizado (4 de agosto de 2026: miembros particulares, en japonés) — cariteco.com / mismo aviso (3 de septiembre de 2026: clientes corporativos) — cariteco.com
- Cariteco, aviso de caída del sistema (29 de junio) y reinicio de altas y solicitudes tras la recuperación (22 de julio, en japonés) — 29 jun / 22 jul
- Autodeclaración en agencias de crédito (en japonés): CIC / JICC / centro de información crediticia de la Asociación de Banqueros de Japón
- Ley de Protección de la Información Personal, artículos 22 y 35 (en japonés) — e-Gov Law Search
- Las cifras de Times Car proceden de los avisos de Times Mobility Co., Ltd. de los días 28 y 29 de septiembre de 2026 (detalles y fuentes en el artículo sobre Times Car)
Historial de actualizaciones
2026-09-30: primera versión, basada en los avisos de Meitetsu Kyosho del 2 de julio al 3 de septiembre y en los avisos de Cariteco del 4 de agosto y del 3 de septiembre. La empresa dice que anunciará nuevos hechos, incluido si se produjo una filtración; este artículo se actualizará cuando ocurra.
Lectura recomendada
- Si se filtraron los datos de su licencia: Qué hacer si se filtran los datos de su licencia de conducir
- El mismo patrón: La brecha de Times Car (se filtraron imágenes de licencias de conducir)
- Otro caso japonés de esta temporada: APORITO Online Store: posible filtración de datos de tarjetas
- Otro servicio relacionado con coches: Brecha de Carsensor.net y C-MATCH (nombres y direcciones de personas que contactaron con concesionarios)
- Estafas posteriores: ¿Qué es el phishing?
- Ransomware: ¿Qué es el ransomware? / Fundamentos de las copias de seguridad
- Otros incidentes de 2026: lista de brechas y ciberataques (Japón y el mundo)
- Para operadores: La base mínima de seguridad para organizaciones
Corrección
2026-10-16: en la referencia a Times Car, se aclaró que la cifra de ~1,6 millones corresponde al número de cuentas que incluyen imágenes de documentos de identidad, no al número de imágenes.