Programa de robo de tarjetas en la página de pago de PhotoGoods (Daiko Printing): qué deben hacer las personas que pagaron entre el 6 de agosto y el 11 de septiembre

Según la empresa, las personas que introdujeron datos de tarjeta en la página de pago de PhotoGoods entre el 6 de agosto y el 11 de septiembre de 2026 podrían verse afectadas. Aunque no haya completado la compra, podría estar afectado si introdujo su tarjeta en la página de pago.

La empresa prevé contactar a las personas afectadas una por una cuando se confirme el alcance. Hasta el 7 de octubre no había anunciado que hubiera empezado a hacerlo. Si recuerda haber usado el sitio en ese periodo, siga los pasos siguientes sin esperar.

La empresa pide a las personas que revisen sus estados de cuenta y contacten con el emisor indicado en el reverso de la tarjeta por cualquier cargo que no reconozcan. Este sitio recomienda que quien introdujo una tarjeta en ese periodo pida al emisor que cambie el número, aunque todavía no haya aparecido ningún cargo desconocido.

La razón es que el código de seguridad está entre los datos que podrían haberse filtrado. Esa combinación sigue siendo utilizable hasta que cambie el número. Revisar los estados de cuenta es importante, pero solo informa después de que la tarjeta ya se haya usado (el razonamiento se explica con más detalle en nuestro artículo sobre la filtración de tarjetas de APORITO Online Store).

Revise incluso los cargos pequeños de unos pocos cientos de yenes. La protección contra fraudes tiene un plazo de notificación fijado en las condiciones de cada emisor. Una vez cambiado el número, actualice los servicios que cobran automáticamente en la tarjeta antigua, como suministros y suscripciones.

La empresa dice que la información de contraseñas que podría haberse filtrado no es la contraseña en sí, sino una forma convertida a partir de la cual no puede leerse directamente la original. Aun así, las contraseñas cortas o comunes a veces pueden deducirse a partir del valor convertido (cómo funciona: ¿Qué es el hashing de contraseñas?).

La empresa también pide a quienes usan la misma contraseña en otros lugares que consideren cambiarla en el sitio oficial de cada servicio. Dice que el procedimiento para cambiar la contraseña de PhotoGoods se anunciará una vez decidido. Un gestor de contraseñas es la forma práctica de dejar de reutilizarlas.

Los nombres, direcciones, teléfonos y correos electrónicos también podrían haberse filtrado, lo que hace posibles mensajes falsos convincentes. La empresa advierte sobre correos, mensajes de texto y llamadas sospechosos que se hacen pasar por la empresa o por PhotoGoods, y pide no abrir enlaces ni adjuntos ni introducir datos personales, datos de tarjeta o contraseñas.

Como la empresa prevé contactar a las personas afectadas por correo electrónico, son posibles mensajes falsos de «disculpas», «reembolso» o «vuelva a registrar su tarjeta» que la imiten. Considere falso cualquier mensaje que le pida introducir datos de tarjeta, y compruebe a través del sitio web oficial que abra usted mismo (cómo reconocerlos: ¿Qué es el phishing?).

El aviso indica la línea de atención de PhotoGoods: teléfono 078-303-7383 (días laborables de 10:00 a 18:00, hora de Japón) y correo electrónico support@photo-goods.com (24 horas). La empresa pide no enviar números de tarjeta, PIN, códigos de seguridad ni contraseñas por correo electrónico al contactarla. Para consultas sobre un pedido ya realizado, pide incluir el número de pedido.

En sitios donde las subidas de clientes son centrales para el servicio, como los productos fotográficos o la impresión personalizada, la función de subida es una entrada abierta a todos los miembros, a veces a toda internet. Las pantallas de administración también suelen tener funciones de subida, y ambas deben revisarse.

Lo que hay que comprobar es si los archivos subidos se guardan donde no pueden ejecutarse: fuera de la carpeta servida públicamente, o en una ubicación donde no se ejecutan scripts. El diseño completo está en Vulnerabilidades en la subida de archivos.

Incluso con la configuración correcta, un fallo de configuración u otra vía puede dejar un archivo que nunca debería estar. Liste los archivos de la carpeta de subidas una vez al día y alerte a alguien si hay cualquier tipo de archivo distinto de los permitidos (por ejemplo jpg y png).

Una tarea programada en el servidor (como cron) que compruebe las extensiones y los formatos reales de los archivos basta para empezar. Si usa alojamiento compartido o una plataforma de comercio electrónico, pregunte al proveedor si ofrece la misma comprobación.

Este aviso incluía la «desactivación de una cuenta de administrador no autorizada». En general, los intrusos a veces crean una cuenta de administrador para volver a entrar una vez cerrada la entrada original (una especie de puerta trasera).

Exporte la lista de cuentas de administrador desde la pantalla de administración o la base de datos una vez al día, compárela con la del día anterior y envíe una alerta al teléfono del responsable si ha crecido. Una cuenta que nadie creó es, por sí sola, una señal de intrusión. Si una empresa externa construye o gestiona su tienda, pregunte si puede hacer esta comprobación por usted.