Para: personas registradas en la aplicación de MrMax o en la tienda online de MrMax en Japón, y quienes gestionan un servicio de membresía. Este artículo se basa en el aviso oficial de MrMax Co., Ltd. y no describe técnicas de ataque.
Qué deben hacer hoy los miembros
No siga enlaces ni instrucciones de correos, mensajes o llamadas que digan ser de MrMax
Los datos filtrados combinan ID de miembro, nombre, correo electrónico y número de teléfono. Con todo eso, un estafador puede enviar un mensaje con su nombre correcto y su ID de miembro.
Si recibe un mensaje sobre "cupones de disculpa", "puntos de bonificación", "volver a registrar sus datos de miembro" o "trámites de reembolso", no abra el enlace; abra usted mismo la aplicación o el sitio oficial para comprobarlo. Los mensajes de texto falsos (smishing) se tratan de la misma manera (véase ¿Qué es el phishing?).
Nunca dé a nadie su contraseña ni el número de su tarjeta
La empresa afirma que nunca pedirá su contraseña ni su número de tarjeta de crédito. También afirma haber confirmado que las contraseñas y los datos de tarjetas no se filtraron.
Que alguien conozca su nombre y su ID de miembro no demuestra que sea auténtico. Son precisamente los datos que se filtraron. Si alguien pide un número de tarjeta o una contraseña con el pretexto de una disculpa o de un reembolso, considérelo falso.
Juzgue el correo de disculpa de la empresa por su contenido, no por su remitente
La empresa afirma que contactará individualmente por correo a los miembros afectados, enviado desde noreply@mrmax.jp. Ese dominio es distinto del de su sitio web (mrmax.co.jp), pero es el remitente que la propia empresa ha anunciado.
Sin embargo, las direcciones de remitente pueden falsificarse. Aunque el remitente parezca correcto, la regla más sencilla es nunca iniciar sesión ni introducir nada a través de un enlace del correo.
Si reutiliza la misma contraseña en otros sitios, sepárelas
La empresa afirma que las contraseñas no se filtraron, por lo que, según el aviso, no es necesario cambiar la suya de inmediato.
Si usa la misma contraseña de su cuenta de MrMax en otros servicios, sepárelas ahora. Un gestor de contraseñas es la forma realista de hacer el inventario. Puede comprobar si una contraseña reutilizada aparece en filtraciones pasadas con Cómo comprobar si su contraseña se filtró.
Esté atento a llamadas y mensajes desconocidos durante un tiempo
Puede crear una nueva dirección de correo, pero un número de teléfono no es fácil de cambiar. Los números filtrados pueden recibir llamadas y mensajes fraudulentos durante mucho tiempo, incluidos algunos que no tienen nada que ver con MrMax.
Activar los filtros de llamadas y mensajes spam del teléfono reduce cuántos llegan (antecedentes: Fundamentos de seguridad en el smartphone). La empresa también pide a los miembros que vigilen las cartas postales sospechosas, aunque afirma que las direcciones no se filtraron.
Contacte con la empresa solo en la dirección de su sitio oficial
La empresa ofrece una dirección de correo para consultas sobre este incidente (incident-desk@mrmax.co.jp). Use los datos de contacto del aviso publicado en el sitio web oficial de MrMax, no los que aparezcan en un mensaje que haya recibido.
Qué ocurrió (según el aviso de MrMax)
MrMax Co., Ltd. publicó su disculpa y su aviso el 6 de octubre de 2026. Todo lo que aparece a continuación es tal como lo indica el aviso de la empresa.
3 de oct. de 2026 (sáb.), por la noche
Se detectó un acceso sospechoso al servidor de la empresa. La empresa suspendió el servicio de inmediato y bloqueó los accesos externos ese mismo día.Investigación posterior
Se comprobó que un tercero había utilizado indebidamente una función del software que compone el servicio para entrar en el servidor, y que parte de los datos personales de los miembros se había filtrado.6 de oct.
Se publicaron la disculpa y el aviso. La empresa dijo haber informado a la Comisión de Protección de Información Personal y haber consultado a la policía.
- Servicios
- Aplicación y tienda online de MrMax
- Quiénes
- Miembros de la aplicación y miembros de la tienda online de MrMax, hasta 1.735.154 personas (registradas al 3 de octubre de 2026)
- Datos filtrados
- ID de miembro, nombre, correo electrónico, número de teléfono; varían según lo que registró cada miembro
- No filtrados
- Dirección, fecha de nacimiento, datos de tarjeta de crédito, contraseña, historial de compras
- Causa (versión de la empresa)
- Un tercero utilizó indebidamente una función del software que compone el servicio para entrar en el servidor. El software o la función concreta no se han revelado
- Daño
- No se confirmó ningún daño por el uso indebido de los datos filtrados en el momento del aviso
- Respuesta
- Se bloqueó la vía de acceso. Investigación con una organización especialista externa; vigilancia reforzada
- Notificación a miembros
- Correos individuales a los miembros afectados, enviados desde noreply@mrmax.jp
Para qué pueden usarse los datos filtrados combinados
Ninguno de estos datos es raro por sí solo, pero juntos hacen que los mensajes fraudulentos parezcan auténticos. Esta vez no se incluyeron direcciones ni fechas de nacimiento; lo destacable es que se filtró un nombre junto con dos formas de contactarle (correo y teléfono).
Nombre + correo + ID de miembro
↓→
Correos falsos de disculpa o cupones con su nombre correcto y su ID de miembro
→ No abra enlaces; consulte en la aplicación oficial
Nombre + número de teléfono
↓→
Mensajes y llamadas falsos que usan su nombre
→ Nunca dé contraseñas ni números de tarjeta; use filtros de mensajes spam
No filtrados, según la empresa
- Dirección
- Fecha de nacimiento
- Datos de tarjeta de crédito
- Contraseña
- Historial de compras
Filtrados (varía según el miembro)
- ID de miembro
- Nombre
- Correo electrónico (se puede cambiar, pero es engorroso)
- Número de teléfono (no es fácil de cambiar)
Cómo leerlo: «no se confirmó daño» no significa «seguro a partir de ahora»
La empresa afirma que, en el momento del aviso, no se había confirmado ningún daño por el uso indebido de los datos filtrados. Eso significa que todavía no se ha encontrado nada, no que los datos nunca vayan a usarse.
Los números de teléfono suelen mantenerse durante años, por lo que pueden usarse en mensajes fraudulentos meses o años después. Esté atento a los mensajes que usen este incidente como excusa para contactarle.
Para quienes gestionan servicios de membresía
Según la empresa, la intrusión utilizó indebidamente «una función del software que compone el servicio». No se ha revelado qué software o función fue, por lo que esta sección se limita a puntos que cualquier servicio con una configuración similar puede revisar. Limitar y alertar sobre cuántos registros se leen se trata en la filtración de la aplicación de Yakiniku King; aquí añadimos dos aspectos específicos de este aviso: las funciones no utilizadas y la detección en fin de semana.
Liste el software que compone el servicio y sus funciones
Una aplicación o tienda online se compone de varias piezas de software: un paquete de comercio electrónico, pantallas de administración, plugins y bibliotecas externas. Empiece por listar qué software y qué versión utiliza. Herramientas gratuitas como osv-scanner pueden comprobar periódicamente las dependencias en busca de vulnerabilidades conocidas.
Más allá de las versiones, liste también las funciones que se ejecutan en el servidor: subida de archivos, importación y exportación masiva, APIs de administración, salida de depuración, etc.
Desactive las funciones que no utiliza y limite el resto al acceso interno
Las funciones que están activadas por defecto pero nunca se usan son lo más seguro si se desactivan. Si mantiene una función de administración, no la deje abierta a cualquiera en internet; restrinja desde dónde puede accederse y exija autenticación multifactor.
Los valores por defecto de riesgo de cada framework se recogen en Seguridad por framework.
Defina cómo pasar de la detección al bloqueo los fines de semana y por la noche
La empresa afirma haber detectado accesos sospechosos un sábado por la noche, suspendió el servicio de inmediato y bloqueó los accesos externos ese mismo día. Para poder hacer lo mismo en un festivo, defina de antemano quién recibe las alertas y quién decide detener el servicio.
Como primer paso, registre cada hora cuántas filas se leen de la base de datos de miembros y cómo se usan las funciones de administración, y envíe una alerta a la persona de guardia cuando las cifras difieran mucho de lo normal (antecedentes: Limitación de tasa y control de abuso).
Fuentes (registro público)
Los hechos de este artículo proceden de la siguiente fuente pública. No se especula sobre métodos o causas no revelados de la intrusión.
- MrMax Co., Ltd., disculpa y aviso por la filtración de información debida a acceso no autorizado (6 de octubre de 2026, en japonés) — mrmax.co.jp (también se publica un PDF con el mismo contenido)
Historial de actualizaciones
2026-10-06: Primera versión, basada en el aviso de MrMax del 6 de octubre. La empresa afirma que está investigando con una organización especialista externa y que anunciará cualquier hecho nuevo; este artículo se actualizará cuando se publiquen.
Lectura recomendada
- Estafas derivadas: ¿Qué es el phishing? / Fundamentos de seguridad en el smartphone
- Contraseñas: Cómo elegir un gestor de contraseñas / Cómo comprobar si su contraseña se filtró
- Otros incidentes japoneses en la misma época: La filtración de la aplicación de Yakiniku King / La filtración en un contratista de Daiwa Securities
- Un caso similar: Acceso no autorizado a Lawson ID (2.155.345 registros) / La filtración de la aplicación de Burger King Japón (unos 11,18 millones de registros)
- Otros incidentes de 2026: lista de filtraciones y ciberataques (Japón y en el mundo)