Para: cualquier persona que se haya registrado en la bolsa de empleo MyBRANDS como demandante de empleo o como contacto de una empresa, incluidas las que se dieron de baja. Este artículo se basa en el aviso oficial de la empresa y no trata los métodos de ataque.
En desarrollo: este artículo se actualizará a medida que la organización publique más información
- A quién afecta
cualquier persona que se haya registrado en la bolsa de empleo MyBRANDS como demandante de empleo o como contacto de una empresa, incluidas las que se dieron de baja.
- Confirmado hasta ahoraVer la tabla ↓
- Datos enviados
Señalado como posiblemente afectado
- Nombre, correo, teléfono, perfil (como el historial laboral)
- Contraseña de inicio de sesión
- Clave de descifrado
- Aún sin confirmar
- Qué contenían realmente los datos enviados (qué se sustrajo)
- Detalles de cómo se llegó a usar la clave utilizada indebidamente, y la causa
- Cuándo habrán llegado todos los avisos por correo a las personas afectadas
2 más
- Cuándo se reanudará el servicio
- Si llega a producirse algún uso indebido (daño secundario)
- Qué hacer ahoraVer los pasos ↓
- Compruebe si reutilizó su contraseña de MyBRANDS
- Quienes buscan empleo: compruebe los mensajes de reclutadores y ofertas por un canal oficial
- Contactos de empresas: avise a sus compañeros y revise las cuentas de la misma persona
2 más
- Compruebe sin abrir enlaces del mensaje todo lo que diga ser de la empresa
- Envíe las consultas por correo a la oficina de MyBRANDS
- Dónde verificarlo (fuente)Todas las fuentes ↓
- iDA Co., Ltd., «Disculpas y aviso sobre la posible filtración de información personal por el acceso no autorizado a MyBRANDS» (30 de octubre de 2026; comprobado el 2 de noviembre; en japonés)
- Última comprobación
- A 2 de noviembre de 2026
Próximos avisos y qué comprobamos
La empresa dice que anunciará en la página de avisos cualquier novedad que deba comunicar y la fecha de reanudación. El 2 de noviembre comprobamos el texto del aviso del 30 de octubre (el sitio de la empresa rechaza el acceso automatizado, así que lo leímos en un navegador). El texto que obtuvimos no contenía ningún seguimiento. Según la empresa, el servicio está detenido y no se reanudará hasta confirmar su seguridad.
Qué deben hacer hoy quienes buscan empleo y los contactos de empresas
Compruebe si reutilizó su contraseña de MyBRANDS
La empresa pide a quienes usan en otros servicios la misma contraseña que en MyBRANDS que la cambien allí. En el caso de los contactos de empresas, esto incluye los sistemas internos. Dice que no hace falta hacer nada en MyBRANDS.
- Dé a cada servicio donde reutilizó la contraseña una distinta (Cómo comprobar si una contraseña se filtró)
- Active la autenticación multifactor donde pueda
- Si no puede recordarlos todos, use un gestor de contraseñas
Quienes buscan empleo: compruebe los mensajes de reclutadores y ofertas por un canal oficial
Con su nombre, teléfono, correo e historial laboral juntos, alguien puede redactar un mensaje convincente que diga «vimos su trayectoria». Si llega un mensaje sobre una fecha de entrevista, una comprobación de documentos o una oferta directa, no use el enlace ni el número de teléfono que contiene. Compruébelo en el sitio oficial de la empresa o en el contacto de la oferta que haya abierto usted mismo.
La empresa dice que, en sus contactos sobre este incidente, no pedirá códigos de inicio de sesión, contraseñas ni nada relacionado con dinero. No siga adelante con contactos que lo hagan.
Contactos de empresas: avise a sus compañeros y revise las cuentas de la misma persona
El nombre, el correo y el teléfono de un contacto de empresa pueden ser el objetivo de mensajes que se hacen pasar por socios comerciales o candidatos. Compruebe si usó su contraseña de MyBRANDS en sistemas internos y, si es así, cámbiela. Avise también a sus compañeros de que desconfíen de los mensajes sospechosos que se hagan pasar por ofertas de empleo o candidatos (consejo de este sitio).
Compruebe sin abrir enlaces del mensaje todo lo que diga ser de la empresa
La empresa dice que sus correos sobre este incidente no contienen enlaces. Trate un correo o SMS que tenga un enlace o que le pida iniciar sesión como si no fuera un aviso sobre este incidente (consejo de este sitio). La empresa dice que sus correos sobre este incidente se envían desde las direcciones indicadas en el apartado 6 de su aviso. Afirma que avisará por correo a las personas afectadas de forma progresiva desde el 30 de octubre.
Envíe las consultas por correo a la oficina de MyBRANDS
La empresa pide que las consultas sobre este incidente se envíen por correo a la oficina de MyBRANDS, no a la empresa a la que se postuló ni a la que le envió una oferta directa. Las atiende las 24 horas, con contactos distintos para quienes buscan empleo y para las empresas, y pide que escriba desde su dirección de correo registrada. Use las direcciones de la página oficial del aviso.
1. Llamada / correo / SMS que dice ser de un reclutador, de una oferta directa o de MyBRANDS
Nombre, historial laboral y teléfono son correctos → no decida aquí
↓
2. Ignore los enlaces y números; compruebe en el sitio oficial de la empresa o en el contacto del aviso oficial
↓
3-A No hay nada en el lado oficial
Pide códigos de inicio de sesión, contraseñas, dinero → no ceda
3-B El lado oficial muestra el mismo aviso
Siga las instrucciones oficiales
Qué ocurrió (según iDA Co., Ltd.)
Esta sección se basa en el aviso de la empresa «Disculpas y aviso sobre la posible filtración de información personal por el acceso no autorizado a MyBRANDS», del 30 de octubre de 2026 (en japonés).
21 y 22 de octubre de 2026
Un tercero utilizó indebidamente una clave de acceso a la nube usada por un subcontratista (versión de la empresa). La empresa lo describe como ocurrido «mientras se trabajaba en una vulnerabilidad con el servicio detenido» (traducción nuestra)26 de octubre
Supo que había registros de envío de datos al exterior desde una copia de la base de datos (versión de la empresa)30 de octubre
Se publica el aviso. En el momento del aviso, dice que había informado a la Comisión de Protección de Información Personal y consultado a la policía (sin fecha). Desde ese día comienzan, de forma progresiva, los avisos por correo a las personas afectadas2 de noviembre
Este sitio comprobó el texto del aviso. No indica ningún seguimiento
- Información afectada
- Nombre, dirección de correo, número de teléfono, perfil (como el historial laboral) y contraseña de inicio de sesión (un valor transformado) y más, de las personas registradas en MyBRANDS, incluidas las que se dieron de baja. Varía según el registro. Se incluye la información de quienes buscan empleo y de los contactos de empresas
- No incluido
- No conservaba información de tarjetas de crédito ni de cuentas bancarias, por lo que no está incluida. Los servicios distintos de MyBRANDS, como iDA (ida-mode.com) y MyBRANDS Shinsotsu, no están incluidos
- Cifrado y clave
- El nombre, la dirección de correo, el número de teléfono y la dirección se guardaban cifrados. La clave para descifrarlos también pudo ser sustraída
- Respuesta de la empresa
- El servicio está detenido y no se reanudará hasta confirmar su seguridad. Informó a la Comisión de Protección de Información Personal y consultó a la policía. Investiga la causa con el subcontratista y trabaja en evitar que se repita
- Daño secundario
- Hasta ahora no se ha confirmado ningún uso indebido de la información (daño secundario)
Qué se sabe y qué no
Este es el estado a 2 de noviembre de 2026. Reescribiremos esta tabla a medida que haya novedades.
| Elemento | Lo que dijo la empresa | Estado |
|---|---|---|
| Uso indebido de la clave | Un tercero utilizó indebidamente, el 21 y 22 de octubre, una clave de acceso a la nube usada por un subcontratista | Versión de la empresa |
| Datos enviados | Hay registros de envío de datos al exterior desde una copia de la base de datos | Confirmado (empresa) |
| Qué contenían los datos enviados | No pudo confirmarse; toda la información que conservaba se trata como incluida | En investigación |
| Nombre, correo, teléfono, perfil (como el historial laboral) | Pueden haberse filtrado al exterior | Posible (empresa) |
| Contraseña de inicio de sesión | El valor transformado figura entre la información que pudo filtrarse | Posible (empresa) |
| Dirección | No figura en la lista (que termina con «etc.»). La empresa trata como afectada toda la información que conservaba y nombra la dirección entre los datos que guardaba cifrados | No indicado |
| Clave de descifrado | Pudo ser sustraída | Posible (empresa) |
| Tarjeta de crédito / cuenta bancaria | No conservada y no incluida | No incluida (empresa) |
| Servicios distintos de MyBRANDS | No incluidos | No incluidos (empresa) |
| Cifra | Hasta unas 135.000 (cuentas, a 30 de octubre), incluidas las de personas que se dieron de baja | Hasta (límite superior de la empresa a 30 de octubre) |
| Detalles de cómo se llegó a usar la clave | No se han dado | En investigación |
| Uso indebido / daño secundario | Ninguno confirmado hasta ahora | No confirmado (empresa) |
| Contacto con las personas afectadas | Avisos por correo enviados de forma progresiva desde el 30 de octubre (no se ha publicado cuándo los habrán recibido todas) | Versión de la empresa |
| Autoridades | La empresa dice que informó a la Comisión de Protección de Información Personal y consultó a la policía. No hemos visto ninguna declaración de las autoridades | No indicado (autoridades) |
| Reanudación del servicio | Detenido; no se reanudará hasta confirmar su seguridad | En investigación (fecha no publicada) |
Cómo leerlo: «puede haberse filtrado» y «cifrado»
La empresa escribe que la información «puede haberse filtrado al exterior» (traducción nuestra); como no pudo confirmar qué se envió, notifica partiendo de que toda la información que conservaba está incluida. Este sitio usa la redacción de la empresa. Además, no es seguro tratar como no leídos los datos guardados cifrados, porque la clave para descifrarlos también pudo ser sustraída. Lo más seguro es prepararse como si hubieran sido leídos (consejo de este sitio).
Para qué pueden usarse el nombre, los datos de contacto y el historial laboral
Lo siguiente es a lo que, en general, pueden llevar estas combinaciones. La empresa no ha dicho que nada de esto ocurriera en este incidente.
- Nombre + dirección de correo + número de teléfono: objetivos de llamadas, correos y SMS convincentes que se hacen pasar por un reclutador o una oferta directa
- Perfil como el historial laboral: permite a quien escribe decir «vimos su trayectoria» con detalles concretos, lo que hace más difícil dudar del mensaje. Desconfíe también de mensajes falsos que usen la empresa a la que se postuló o el tipo de puesto que busca
- Nombre, correo y teléfono de un contacto de empresa: objetivos de mensajes que parecen correo comercial y se hacen pasar por socios o candidatos
- Contraseña (un valor transformado): en general, las contraseñas cortas o comunes a veces pueden deducirse a partir del valor transformado. Puede servir de material para iniciar sesión en otros servicios que compartan la contraseña (¿Qué es el hash de contraseñas?)
La empresa dice que la información de tarjetas y de cuentas bancarias no está incluida. Aun así, trate como probablemente falso cualquier mensaje que use una entrevista o un proceso de contratación como pretexto para pedir por correo o chat números de tarjeta, PIN de cuentas o copias de documentos de identidad.
Qué deben revisar los operadores
No se ha publicado cómo se llegó a usar la clave. Enumeramos solo puntos generales que se desprenden de lo divulgado (una clave usada por un subcontratista, una copia de la base de datos y una clave de descifrado que también pudo ser sustraída).
- Claves de nube entregadas a subcontratistas: use una clave distinta para cada subcontratista, limítela a las operaciones y al período necesarios (mínimo privilegio), renuévela con regularidad (rotación) y desactívela cuando ya no haga falta. Haga inventario de las claves que ya no se usan
- Dónde están los datos cifrados y su clave de descifrado: si un mismo conjunto de permisos llega a ambos, el cifrado no protege los datos. Guarde las claves en un servicio de gestión de claves aparte o con permisos distintos, de modo que quien puede leer los datos y quien puede usar la clave sean diferentes
- Copias de la base de datos: proteja las copias hechas para pruebas o migraciones tan bien como producción, y bórrelas al terminar. Limite quién puede crear copias y las vías por las que los datos pueden salir
- Detección de grandes transferencias al exterior: la empresa dice que supo que había registros de envío de datos al exterior. Registrar el volumen de transferencias salientes y avisar sobre él acorta el tiempo hasta darse cuenta
Son puntos generales y no significan que la empresa dejara de hacer alguno de ellos.
Fuentes (registros públicos)
Los hechos de aquí se apoyan en la información pública siguiente. No hemos conjeturado detalles que no se publicaron ni lo que contenían los datos enviados. El sitio de la empresa rechaza el acceso automatizado, así que leímos el texto en un navegador.
- iDA Co., Ltd., «Disculpas y aviso sobre la posible filtración de información personal por el acceso no autorizado a MyBRANDS» (30 de octubre de 2026; comprobado el 2 de noviembre; en japonés) — ida-mode.com
Historial de actualizaciones
2026-11-02: Primera versión, basada en el aviso de la empresa del 30 de octubre (comprobado el 2 de noviembre; no se encontró ningún seguimiento).
Lea a continuación
- El mismo patrón en una bolsa de empleo: Acceso no autorizado a Baitoru (solo direcciones de correo, y cómo prepararse ante falsos mensajes de entrevista)
- Incidentes que empiezan por las credenciales: Filtraciones de 2026 que empezaron con credenciales robadas
- Mensajes fraudulentos: ¿Qué es el phishing?
- Para operadores (gestión de claves y secretos): Credenciales filtradas que siguen siendo válidas
- Proteger sus cuentas: Cómo elegir la autenticación multifactor / Cómo elegir un gestor de contraseñas
- Otros incidentes de 2026: Filtraciones de datos y ciberataques de 2026 (Japón y el mundo)