Para: quien haya comprado en Murauchi.com (una tienda en línea japonesa de electrónica para el hogar, ordenadores y productos similares), especialmente quienes la usaron hace años, y quienes gestionen una tienda en línea. Este artículo se basa en los avisos oficiales de la empresa y no aborda técnicas de ataque ni de estafa.
Verificación rápida: ¿está usted afectado?
| Lo que quiere saber | Lo que ha dicho la empresa |
|---|---|
| Número de registros filtrados | 7.716.811 |
| Datos de todas las personas afectadas | Nombre, dirección, número de teléfono |
| Datos de algunas personas | Correo electrónico, fecha de nacimiento, género |
| No incluido | Números de tarjeta y otros datos de pago, IDs de inicio de sesión y contraseñas, direcciones de entrega registradas |
| Cuántos años de datos | No revelado |
| Antiguos miembros y clientes inactivos desde hace mucho | No se ha revelado si están incluidos |
| Personas que compraron en sus tiendas de centros comerciales en línea | No se ha revelado si están incluidas |
| Aviso individual | Correos de notificación a los clientes afectados, enviados por etapas desde el 15 de septiembre |
Dado que hay más de 7,7 millones de registros, puede que no se limite a clientes recientes. Si recuerda haber comprado alguna vez en Murauchi.com, lo más prudente es suponer que podría verse afectado.
Los correos de notificación solo pueden llegar a quienes tienen una dirección de correo registrada en la empresa. La dirección de correo electrónico es uno de los datos filtrados solo para algunas personas afectadas, así que no recibir un correo no demuestra que no se vea afectado.
Qué hacer hoy
No entregue datos personales ni dinero a quien llame diciendo ser de la empresa, de un centro comercial o de un emisor de tarjetas
La empresa advierte a los clientes que tengan cuidado con correos, mensajes de texto y llamadas que digan venir de Murauchi.com, de un operador de centro comercial en línea o de un emisor de tarjetas. También afirma que nunca pedirá números de tarjeta ni contraseñas por correo electrónico o teléfono.
Aunque la persona que llame diga que hay "un reembolso por la filtración de datos" o "una compensación para tramitar", no dé números de tarjeta, datos bancarios ni PIN en el momento. Cuelgue y contacte con un número oficial que busque usted mismo.
En cartas y mensajes de texto también, no utilice los datos de contacto que incluyan
Como también se filtraron direcciones particulares, pueden llegar avisos falsos en forma de postales o cartas, no solo por correo electrónico. También se filtraron números de teléfono, por lo que los mensajes de texto también son posibles.
No utilice la URL, el código QR ni el número de teléfono del aviso; abra usted mismo el sitio web oficial y compruebe si allí está publicado el mismo aviso. Las actualizaciones oficiales de la empresa se recogen en su página titulada (traducida) "Disculpas e informe sobre la filtración de información de clientes por acceso no autorizado" (para detectar falsificaciones: ¿Qué es el phishing?).
No considere que un nombre y una dirección correctos sean una prueba
Un mensaje que muestra su nombre real, dirección, número de teléfono y quizá incluso su fecha de nacimiento parece auténtico.
Pero con estos datos filtrados, un mensaje falso también puede contener datos personales correctos. Si un familiar mayor usó la tienda en el pasado, infórmele de esto.
Compare cualquier correo de la empresa con su página oficial
Para comprobar si un correo de notificación de la empresa es auténtico, use la página de avisos del sitio web de la empresa que usted mismo abra, no los enlaces del correo.
La empresa ha suspendido sus cuentas en redes sociales para centrarse en atender consultas y dice que no puede responder a mensajes directos durante la pausa (prevé reanudarlas en noviembre de 2026). Tenga cuidado con las cuentas que digan ser de la empresa y le contacten de forma individual en redes sociales.
Si ya no utiliza la tienda, puede pedir que se eliminen sus datos
Las preguntas frecuentes de la empresa indican que quien desee que se eliminen sus datos personales registrados debe escribir a su dirección específica (privacy@murauchi.com), y que responderá de acuerdo con la ley y sus propias normas.
Al escribir, escriba la dirección usted mismo o cópiela de la página oficial, en lugar de responder a un correo que haya recibido.
No es necesario cambiar la contraseña, pero deje de reutilizarlas
La empresa dice que los IDs de inicio de sesión y las contraseñas no fueron objeto del ataque. Aun así, si una cuenta antigua de allí usaba la misma contraseña que otros servicios, ahora es buen momento para cambiarlas (Cómo elegir un gestor de contraseñas).
Si pagó dinero o dio su número de tarjeta
Si dio un número de tarjeta, llame de inmediato a su emisor para bloquearla. Si transfirió o pagó dinero, contacte cuanto antes con el banco receptor y con la policía.
En Japón también puede llamar a la línea de consulta policial (#9110) o a la línea de consumo (188). Cuanto antes denuncie, mayor es la posibilidad de detener la pérdida.
Qué pasó (según los avisos de Murauchi.com)
Murauchi.com Co., Ltd. publicó un primer aviso en su sitio web el 24 de julio de 2026 y un segundo aviso el 15 de septiembre. Todo lo que sigue procede de los avisos de la empresa.
Madrugada del 15 de julio de 2026
Se produjo un fallo en un sistema interno.16 de julio
Durante las tareas de recuperación se encontraron indicios de acceso no autorizado por un tercero. Se cortó el acceso externo y comenzó una investigación.20 de julio
Informe preliminar presentado a la Comisión de Protección de Información Personal de Japón.23 de julio
La empresa consultó a la policía.24 de julio
Publicado el primer aviso; se abrió un contacto específico para consultas.27 de julio
Comenzó la investigación forense a cargo de una empresa externa de seguridad de la información.14 de septiembre
Informe final presentado a la Comisión de Protección de Información Personal.15 de septiembre
El segundo aviso anunció que se habían extraído 7.716.811 registros; los correos de notificación a los clientes afectados comenzaron por etapas.
- Empresa
- Murauchi.com Co., Ltd. (opera la tienda en línea Murauchi.com)
- Registros
- 7.716.811
- Datos
- Nombre, dirección, número de teléfono; en algunos casos también correo electrónico, fecha de nacimiento y género
- No incluido
- Números de tarjeta y otros datos de pago, IDs de inicio de sesión y contraseñas (gestionados en sistemas separados); información registrada como direcciones de entrega
- Causa
- El acceso no autorizado comenzó con la explotación de una vulnerabilidad en parte de un sistema web gestionado por la empresa, tras lo cual se accedió sin autorización a varios sistemas
- Daños posteriores
- A 15 de septiembre, no se había confirmado ningún uso indebido ni correos de phishing relacionados con el incidente
- Medidas de prevención
- Revisión de los derechos de acceso y de la gestión de credenciales, mayor monitorización de servidores y redes y detección de intrusiones, evaluaciones periódicas de vulnerabilidades
- Operaciones
- La tienda en línea principal sigue abierta; la situación de sus tiendas en centros comerciales en línea varía según la tienda
- Informes
- Informes preliminar y final a la Comisión de Protección de Información Personal; se consultó a la policía
- Contacto
- Correo electrónico específico privacy@murauchi.com
Lo que aún se desconoce
A 3 de octubre, la empresa no ha dicho cuántos años de datos de clientes están implicados, si se incluyen antiguos miembros o personas que compraron a través de sus tiendas en centros comerciales en línea, ni cómo avisará a las personas cuya dirección de correo no tiene. Este artículo se actualizará cuando se publique más información.
Incluido para todos
Nombre, dirección, número de teléfono
Incluido para algunas personas
Correo electrónico, fecha de nacimiento, género
↓ Canales que pueden usar los mensajes falsos
Llamadas telefónicas
Desde el número de teléfono
Mensajes de texto
Desde el número de teléfono
Postales y cartas
Desde la dirección
Correo electrónico
Solo algunas personas
↓ Sea cual sea el canal
Nunca dé números de tarjeta, datos bancarios ni PIN; verifique con el contacto oficial que busque usted mismo
No utilice números de teléfono, URL ni códigos QR del mensaje. Un nombre y una dirección correctos no son prueba de que sea auténtico
Por qué preocupan las llamadas y el correo postal
Lo esencial de lo filtrado no son los correos electrónicos, sino nombres reales, domicilios y números de teléfono. Con los tres, el contacto falso no se limita al correo electrónico.
Lo que permiten estos datos
- Llamadas telefónicas que usan su nombre real ("sobre Murauchi.com", "le llamamos de su emisor de tarjetas")
- Postales o cartas a su dirección correcta, haciéndose pasar por reembolsos o compensaciones
- Mensajes de texto a su número de teléfono
- Preguntas que simulan verificaciones de identidad, fingiendo que ya conocen su fecha de nacimiento
Cómo comprobarlo por sí mismo
- Cuelgue y llame de nuevo a un número que haya buscado usted mismo
- No use códigos QR ni URL de las cartas; abra usted mismo el sitio web oficial
- La empresa afirma que nunca pide números de tarjeta ni contraseñas por correo electrónico o teléfono
- Recibir un reembolso o una compensación normalmente no exige pagar antes
Con una tienda que usó una sola vez hace tiempo, es posible que no recuerde si realmente compró allí. Por eso, cuando alguien llame diciendo "esto es sobre su compra pasada en Murauchi.com", no tiene forma de comprobarlo, y la historia resulta más creíble. Considere que no recordarlo es motivo para extremar la precaución.
Para quienes gestionan tiendas en línea
La causa que publicó la empresa es que una vulnerabilidad en su sistema web fue el punto de partida, tras lo cual se accedió a varios sistemas. No se han publicado más detalles, por lo que esta sección se limita a puntos que pueden extraerse de los avisos.
Decida cuánto tiempo conservar los datos de antiguos clientes
Los avisos de la empresa no dicen cuántos años de datos estuvieron implicados. El punto aquí es general, no un juicio sobre cómo la empresa almacenó sus datos.
Cuanto más tiempo lleva en funcionamiento una tienda en línea, más datos conserva de clientes que no han comprado nada desde hace años. Si esos datos se filtran, afectan a personas que ya no recuerdan haber usado la tienda, y los avisos son más difíciles de entregar. La Ley de Protección de la Información Personal de Japón también pide a las empresas que hagan esfuerzos por eliminar los datos personales sin demora una vez que ya no son necesarios (artículo 22, deber de esfuerzo).
Decida qué ocurre con los datos de clientes cuya última compra fue hace un número determinado de años (eliminarlos, o borrar nombres y datos de contacto y conservar solo cifras para estadísticas), y aplíquelo según un calendario en lugar de hacerlo manualmente.
Mantenga los datos de pago y de inicio de sesión en sistemas separados de los registros de clientes
Según la empresa, los números de tarjeta y otros datos de pago, así como los IDs de inicio de sesión y las contraseñas, se gestionaban en sistemas separados y no se vieron afectados.
No conservar usted mismo los números de tarjeta (dejarlos en manos de un procesador de pagos) y guardar las credenciales en un sistema aparte limita cuánto puede filtrarse cuando un intruso logra entrar.
Impida que un sistema web sirva de camino hacia los demás
Según la explicación de la empresa, una vulnerabilidad en un sistema web fue el punto de partida, tras lo cual se accedió a varios sistemas.
Enumere las rutas de red y los permisos que van desde los servidores web de acceso público hasta las bases de datos de clientes y los sistemas internos, y permita solo las conexiones necesarias. La revisión de los derechos de acceso y de la gestión de credenciales que la empresa incluye entre sus medidas de prevención se relaciona con este punto.
Para otro caso de tienda en línea, consulte la filtración de Abahouse; para mensajes falsos que usan direcciones y números de teléfono, consulte los incidentes de Yamato Transport y Sagawa Express.
Fuentes (registro público)
Los hechos de este artículo proceden de las fuentes públicas siguientes. No se especula sobre los detalles no revelados de la intrusión ni sobre el periodo de datos abarcado.
- Murauchi.com Co., Ltd., disculpas e informe sobre la filtración de información de clientes por acceso no autorizado (primer aviso 24 de julio de 2026; segundo aviso 15 de septiembre de 2026; preguntas frecuentes; en japonés) — murauchi.com
- Security NEXT (17 de septiembre de 2026, en japonés) — security-next.com
- Ley de Protección de la Información Personal, artículo 22 (en japonés) — búsqueda de leyes e-Gov
Historial de actualizaciones
2026-10-03: Primera versión, basada en el primer aviso de Murauchi.com (24 de julio), el segundo aviso (15 de septiembre) y las preguntas frecuentes.
Lectura recomendada
- Estafas derivadas: ¿Qué es el phishing? / Falsas alertas de virus (estafas de soporte técnico)
- Mensajes falsos que usan direcciones y datos de pedidos: Yamato Transport y Sagawa Express / Abahouse / las tiendas en línea de FANCL y Attenir
- Otro caso japonés del mismo periodo: La filtración de Times Car
- Otros incidentes de 2026: lista de filtraciones y ciberataques (Japón y el mundo)