Para: personas que recibieron la newsletter de Piccoma, una aplicación japonesa de manga, y cualquier persona que envíe correo a través de un servicio de envío externo. Este artículo se basa en el anuncio oficial de Kakao piccoma Corp. y en el aviso propio del servicio de envío, y no aborda técnicas de ataque ni de estafa.
En desarrollo: este artículo se actualizará a medida que la organización publique más información
A la mañana del 26 de octubre de 2026Aún no se sabe
- Cómo y cuándo se contactará individualmente con los clientes afectados
- Qué envío de newsletter se vio afectado
- Si la cifra cambia (es el número comunicado hasta ahora por el servicio de envío)
- Cómo se vulneró el servicio de envío
En su aviso del 24 de octubre (primer informe), la empresa dijo que publicará rápidamente en la misma página cualquier nuevo dato. Cuando este sitio consultó la lista de avisos de Piccoma la mañana del 26 de octubre, no se había publicado ninguna novedad. El servicio de envío indicó en su actualización del 25 de octubre a las 10:00 que no tenía nueva información confirmada, y programó su siguiente informe para alrededor de las 10:00 del 26 de octubre (hora de Japón).
Qué deben hacer hoy los destinatarios de la newsletter
No abra enlaces en correos o mensajes de texto que digan proceder de Piccoma o de editoriales
La empresa pide a los usuarios que vigilen los correos y mensajes de texto sospechosos que suplanten a Piccoma o a editoriales, y que no abran enlaces en mensajes inesperados ni introduzcan datos personales o contraseñas.
Las ofertas de títulos gratuitos, monedas o puntos, o las solicitudes para confirmar la cuenta, resultan naturales para los usuarios de la aplicación, lo que dificulta detectar los engaños. Para comprobar cualquier cosa, use la aplicación de Piccoma o el sitio web de Piccoma que usted mismo abra (véase ¿Qué es el phishing?).
Nunca introduzca una contraseña ni un número de tarjeta desde un correo
La empresa afirma que nunca pide contraseñas ni datos de tarjetas de crédito por correo electrónico. Un correo que le lleve a una página de inicio de sesión o de pago debe considerarse sospechoso por ese solo motivo.
Si recibe un aviso individual, confírmelo en la aplicación
La empresa afirma que contactará individualmente con los clientes afectados, pero no dice cómo (por correo, aviso en la aplicación u otro medio). También son posibles, en general, mensajes falsos de «disculpa» en nombre de la empresa. Antes de abrir cualquier enlace, compruebe que la misma información aparece en la sección de avisos de la aplicación o del sitio web.
La empresa no ha pedido a los usuarios que cambien sus contraseñas
Según la empresa, las contraseñas nunca se entregaron a blastmail y no pueden haberse filtrado, y las cuentas y los datos de compra no se vieron afectados. Por tanto, el anuncio no da motivo para cambiar con prisa la contraseña de Piccoma a causa de este incidente. Si usa la misma contraseña en otros servicios, este sigue siendo un buen momento para corregirlo.
Qué ocurrió (según el anuncio de Kakao piccoma)
Kakao piccoma Corp. publicó en Piccoma, el 24 de octubre de 2026, un aviso titulado «Aviso y disculpas por la filtración de direcciones de correo de clientes debida a un acceso no autorizado a un sistema de envío de correo» (primer informe, en japonés). Todo lo que sigue procede de ese aviso. Lo ocurrido en el servicio de envío de origen se trata en el acceso no autorizado al servicio de envío de correo blastmail.
21 de octubre de 2026 (mié.), alrededor de las 0:30
La empresa que opera blastmail detecta accesos sospechosos y suspende todos sus servicios.24 de octubre (sáb.)
El servicio de envío informa a Piccoma de que se filtraron las direcciones de correo de los destinatarios de su newsletter.24 de octubre
Piccoma lo anuncia en sus avisos (primer informe), detiene su newsletter e informa a la Comisión de Protección de Información Personal.
Aplicación, sitio web y sistemas de Piccoma
Cuentas, contraseñas, datos de compra
No accedidos, no afectados (empresa)
Servicio de envío de correo (blastmail)
Direcciones de correo de destinatarios de la newsletter (un envío, 1.002.404 registros)
Filtradas por un acceso no autorizado de un tercero
↓ Lo que puede ocurrir (en general)
Correos y mensajes de texto falsos en nombre de Piccoma o de editoriales
No abra los enlaces; compruebe en la aplicación
- Quiénes
- Clientes que fueron destinatarios de un envío de la newsletter de Piccoma (1.002.404 registros). La cifra es la que el servicio de envío ha comunicado hasta ahora
- Datos filtrados
- Dirección de correo (registrada para recibir la newsletter)
- No incluido
- Números de gestión de clientes, fechas de la última compra y datos similares (confirmado que no se incluyeron). Las contraseñas nunca se entregaron a blastmail y no pueden haberse filtrado
- No se almacenan
- Nombres y datos de tarjetas de crédito (la empresa no los guarda)
- Piccoma en sí
- No se accedió a la aplicación, al sitio web ni a los sistemas de la empresa. Las cuentas, las contraseñas y los datos de compra no se vieron afectados; el servicio funciona con normalidad
- Piccoma Novels
- No se ha confirmado hasta ahora ninguna filtración de su newsletter
- Respuesta de la empresa
- Newsletter detenida. Configuración cambiada para que los correos enviados desde blastmail no se traten como correos auténticos de Piccoma. Informada a la Comisión de Protección de Información Personal. Trabajando con el servicio de envío para confirmar los detalles y a los clientes afectados
- Contacto
- El formulario de consultas de «Ayuda» en la aplicación o el sitio web de Piccoma
Qué se sabe y qué no
Según el aviso de la empresa del 24 de octubre y la actualización del servicio de envío del 25 de octubre a las 10:00, a la mañana del 26 de octubre. La columna de estado se actualizará a medida que aparezcan novedades.
| Elemento | Lo anunciado | Estado |
|---|---|---|
| Dirección de correo | Registrada para recibir la newsletter | Filtración confirmada (empresa) |
| Cifra | 1.002.404 registros (destinatarios de un envío de newsletter); la cifra comunicada hasta ahora por el servicio de envío | Cifra de la empresa; puede cambiar |
| Números de gestión, fechas de última compra, etc. | Confirmado que no se incluyeron | No incluidos (empresa) |
| Contraseñas | Nunca entregadas a blastmail; no pueden haberse filtrado | No incluidas (empresa) |
| Nombres, datos de tarjetas de crédito | No los guarda la empresa | No incluidos (empresa) |
| Cuentas, datos de compra | No afectados | No incluidos (empresa) |
| Aplicación, sitio web y sistemas de Piccoma | No accedidos | Sin acceso (empresa) |
| Newsletter de Piccoma Novels | No se ha confirmado ninguna filtración hasta ahora | No confirmado (empresa) |
| Qué envío | No se indica | No indicado |
| Avisos individuales | La empresa dice que contactará a los clientes; método y plazo no indicados | Método y plazo no revelados |
| Cómo se vulneró el servicio de envío | En investigación, según el servicio de envío | En investigación |
| Uso indebido, como correos falsos | No indicado | No indicado |
Registros, no personas
La empresa da 1.002.404 como número de registros. Como una persona puede haber registrado más de una dirección, no es necesariamente el número de personas. Este artículo también usa «registros».
Qué puede ocurrir cuando solo se filtran direcciones de correo
En general, cuando una dirección de correo se conoce junto con el servicio para el que se usa, puede ocurrir lo siguiente (la empresa no ha informado de nada de esto en este incidente).
Qué puede ocurrir en general
- Campañas falsas o correos «confirme su cuenta» en nombre de Piccoma
- Correos que usan el nombre de una editorial o de un título para llevarle a una página de inicio de sesión o de introducción de tarjeta
- Correos falsos de «disculpa» que piden datos personales para recibir una compensación
Qué puede hacer usted
- Compruebe el contenido en la aplicación de Piccoma
- No inicie sesión desde un enlace de un correo
- Nunca introduzca una contraseña o un número de tarjeta desde un correo
Los nombres no se incluyeron, así que esta filtración por sí sola no puede usarse para redactar correos que le llamen por su nombre real. Pero su nombre puede ser conocido por otras fuentes, así que que un nombre sea correcto no demuestra que un correo sea auténtico. La preparación frente a correos falsos tras una filtración de direcciones también se trata en la posible filtración de correos de JR East, VIEW Card y JR Kyushu.
Para cualquiera que envíe correo a través de un servicio de envío externo
Cómo se vulneró el servicio de envío sigue en investigación. Esta sección solo trata lo que se desprende del anuncio de Piccoma. La respuesta del servicio de envío y la forma en que las organizaciones clientes deciden informar y notificar se tratan en el artículo sobre blastmail.
Entregue al servicio de envío solo lo necesario para enviar
Según la empresa, solo se filtraron direcciones de correo, y no se incluyeron los números de gestión de clientes ni las fechas de la última compra. Si sus listas de correo contienen solo lo necesario para enviar, y no números de socio, historial de compras o nombres, una vulneración en el servicio de envío no expone nada más. Anote qué columnas contienen realmente sus listas de correo y revíselas una vez.
Impida que un servicio de envío vulnerado envíe en su nombre
La empresa afirma que cambió la configuración para que los correos enviados desde blastmail no se traten como correos auténticos de Piccoma (los ajustes concretos no se describen). En general, permitir que un servicio de envío envíe desde su dominio se configura con SPF, DKIM y DMARC (mecanismos que permiten al receptor comprobar si un remitente es auténtico). Decida de antemano cómo, y quién, retira ese permiso si el servicio se vulnera (conceptos básicos en Conceptos básicos de SPF, DKIM y DMARC).
Tenga otra forma de llegar a los usuarios cuando el envío se detenga
La empresa anunció el incidente en sus avisos y remite las consultas a la sección de ayuda de la aplicación y del sitio web. Aunque la newsletter esté detenida, puede llegar a los usuarios por un canal propio, como los avisos en la aplicación. Compruebe que tiene una forma de llegar a los usuarios que no sea el correo electrónico.
Fuentes (registros públicos)
Los datos de este artículo se basan en la siguiente información pública. La forma en que se vulneró el servicio y su causa, que no se han revelado, no se suponen.
- Kakao piccoma Corp., «Aviso y disculpas por la filtración de direcciones de correo de clientes debida a un acceso no autorizado al sistema de envío de correo blastmail de RAKUS Lite Cloud» (primer informe, 24 de octubre de 2026, en japonés, consultado el 26 de octubre) — piccoma.com
- RAKUS Lite Cloud Corporation, «[Importante] Disculpas e informe sobre la suspensión de emergencia de blastmail y la filtración de datos personales» (actualizado el 25 de octubre de 2026, 10:00, en japonés) — info.blastmail.jp
Historial de actualizaciones
2026-10-26: Primera versión, basada en el aviso de Kakao piccoma del 24 de octubre (primer informe) y la actualización del servicio de envío del 25 de octubre a las 10:00. Se actualizará cuando se publiquen novedades sobre los avisos individuales o la cifra.
Lectura recomendada
- El incidente en el servicio de envío de origen y otras organizaciones afectadas: Acceso no autorizado al servicio de envío de correo blastmail
- Un incidente similar: Acceso no autorizado a Cuenote FC de Ymirlink
- Detectar correos falsos: ¿Qué es el phishing?
- Comprobar remitentes (para operadores de sitios): Conceptos básicos de SPF, DKIM y DMARC
- Otros incidentes de 2026: Lista de filtraciones de datos y ciberataques