Para: personas que han usado los pedidos online de Pizza Hut en Japón (sitio web o app) y operadores cuyos sistemas de pago o API se conectan con sistemas externos. Este artículo se basa en el anuncio oficial de Pizza Hut Japan Ltd. y no aborda técnicas de ataque ni de estafa.
En desarrollo: este artículo se actualizará a medida que la organización publique más información
A 27 de octubre de 2026Aún no se sabe
- Cuántas personas están afectadas, y quiénes
- La causa y el alcance completo (en investigación)
- Si se invalidaron los tokens de sesión de inicio de sesión
- Si se contactará con los clientes afectados, y cómo
- Qué contienen los registros de transacciones
En su aviso del 23 de octubre, la empresa dijo que publicaba lo que sabía hasta ese momento y que sigue investigando la causa y el alcance completo. No dice cuándo publicará más información. Cuando este sitio consultó la lista de noticias del sitio web corporativo de la empresa el 27 de octubre, no se había publicado ninguna actualización.
Qué deben hacer hoy los clientes de los pedidos online
No abra enlaces en correos, mensajes de texto o llamadas que digan proceder de Pizza Hut
La empresa afirma que terceros pueden usar las direcciones de correo y los números de teléfono filtrados para enviar correos o mensajes de texto sospechosos, o hacer llamadas, suplantando a la empresa o a Pizza Hut. Pide a los clientes que no hagan clic en enlaces ni abran archivos adjuntos de mensajes inesperados.
Los cupones, las campañas, los puntos de disculpa o las confirmaciones de pedido resultan naturales para cualquiera que haya pedido pizza, lo que dificulta detectar los engaños. Para comprobar cualquier cosa, use la app oficial de Pizza Hut o el sitio web oficial abierto por usted mismo (véase ¿Qué es el phishing?).
Nunca introduzca una contraseña o un número de tarjeta desde un mensaje recibido
La empresa pide a los clientes que no introduzcan ni faciliten información importante, como contraseñas o datos de tarjetas de crédito, en respuesta a esos mensajes. Un mensaje que le lleve a una página de inicio de sesión o de pago, o una llamada que pida un número de tarjeta o un código de verificación, debe considerarse sospechoso por ese solo motivo.
Compruebe su historial de pedidos y los datos de su cuenta en la app o el sitio web oficiales
La información filtrada incluye tokens de sesión de inicio de sesión (la información que mantiene la sesión iniciada) y registros de transacciones. El anuncio no dice si se invalidaron los tokens. Inicie sesión a través de la app oficial o del sitio web abierto por usted mismo, y compruebe si hay pedidos que no hizo y cambios en su dirección de correo, número de teléfono o dirección de entrega registrados.
Contacte con la línea de atención al cliente por cualquier cosa que usted no hizo
La línea de atención de Pizza Hut Japón es el 0120-679-023 (de 10:00 a 19:00, hora de Japón), además del formulario de consulta de su sitio web oficial (pizzahut.jp/faq). Ambos figuran en el anuncio de la empresa. Use estos medios en lugar de cualquier número de teléfono que aparezca en un correo o mensaje de texto recibido.
La empresa no ha pedido a los clientes que cambien sus contraseñas
Las contraseñas no figuran en la lista de información filtrada, y la empresa no pide a los clientes que las cambien. Si reutiliza la misma contraseña en otros servicios, este sigue siendo un buen momento para corregirlo, lo que también ayuda frente a futuros mensajes falsos (Cómo elegir un gestor de contraseñas).
Qué ocurrió (según el anuncio de Pizza Hut Japón)
El 23 de octubre de 2026, Pizza Hut Japan Ltd. publicó en su sitio web corporativo un aviso titulado «Disculpas y aviso sobre un acceso no autorizado que provocó una filtración de datos personales». Todo lo que sigue procede del anuncio de la empresa.
19 de octubre de 2026
La empresa confirmó que un tercero había accedido sin autorización a una API de pago vinculada al servicio de pedidos online para Japón y había obtenido parte de la información de una base de datos que contenía información de clientes.Antes del 23 de octubre
La empresa bloqueó las direcciones IP atacantes, corrigió la vulnerabilidad y presentó un informe preliminar a la Comisión de Protección de Información Personal (no se dan las fechas de cada medida).23 de octubre
La empresa anunció el incidente en su sitio web corporativo. La causa y el alcance completo están en investigación.
Punto de entrada: una API de pago
Vinculada al servicio de pedidos online; intercambia información relacionada con los pagos entre sistemas
Acceso no autorizado de un tercero confirmado el 19 de octubre (empresa)
Una base de datos que contenía información de clientes
ID de cliente, direcciones de correo, números de teléfono, registros relacionados con información de clientes eliminada, tokens de sesión de inicio de sesión, registros de transacciones
Parte de la información obtenida; sin datos de tarjetas de crédito (empresa)
↓ Lo que puede ocurrir (en general)
Correos, mensajes de texto y llamadas falsos en nombre de Pizza Hut
No abra los enlaces; compruebe en la app oficial
- Sistema
- Un sistema vinculado al servicio de pedidos online de Pizza Hut para Japón. El acceso se produjo a través de una API de pago (un mecanismo que intercambia información relacionada con los pagos entre sistemas), y se obtuvo parte de la información de una base de datos que contenía información de clientes
- Filtración confirmada
- ID de cliente, direcciones de correo, números de teléfono, registros relacionados con información de clientes eliminada, tokens de sesión de inicio de sesión, registros de transacciones
- No incluido
- Datos de tarjetas de crédito
- Cifra
- No publicada
- Daños secundarios
- Ninguno confirmado hasta ahora
- Respuesta de la empresa
- Bloqueó las direcciones IP atacantes, corrigió la vulnerabilidad y presentó un informe preliminar a la Comisión de Protección de Información Personal. Afirma que también revisará la gestión de sus sistemas y tomará medidas correctivas
- Contacto
- Línea de atención de Pizza Hut Japan Ltd.: 0120-679-023 (de 10:00 a 19:00), formulario de consulta (pizzahut.jp/faq)
Qué se sabe y qué no
Según el aviso de la empresa del 23 de octubre, a 27 de octubre de 2026. Cuando la empresa publique más información, se actualizará la columna de estado.
| Elemento | Lo que dice el anuncio | Estado |
|---|---|---|
| ID de cliente | Figura como filtrado | Filtración confirmada (empresa) |
| Direcciones de correo | Figuran como filtradas | Filtración confirmada (empresa) |
| Números de teléfono | Figuran como filtrados | Filtración confirmada (empresa) |
| Registros relacionados con información de clientes eliminada | Figuran como filtrados; no se indica qué campos | Filtración confirmada (empresa) |
| Tokens de sesión de inicio de sesión | Figuran como filtrados; no se indica si se invalidaron | Filtración confirmada (empresa) |
| Registros de transacciones | Figuran como filtrados; no se indica su contenido (dirección de entrega, detalle del pedido, etc.) | Filtración confirmada (empresa) |
| Datos de tarjetas de crédito | No incluidos | No incluidos (empresa) |
| Nombres y direcciones postales | No figuran en la lista de información filtrada | No mencionado |
| Contraseñas | No figuran en la lista de información filtrada | No mencionado |
| Cifra y quiénes están afectados | No indicado | No mencionado |
| Causa y alcance completo | La investigación continúa | En investigación |
| Implicación de contratistas | No indicado | No mencionado |
| Avisos individuales a los clientes afectados | No indicado | No mencionado |
| Daños secundarios | Ninguno confirmado hasta ahora | No confirmados (empresa) |
«No mencionado» no significa «no se filtró»
Los nombres, las direcciones postales y las contraseñas simplemente no figuran en la lista de información filtrada; la empresa no dice que se excluyeran (solo se excluyen expresamente los datos de tarjetas de crédito). El anuncio tampoco dice qué contienen los registros de transacciones. Como la lista puede ampliarse en una actualización, este artículo los marca como «No mencionado».
Qué puede ocurrir con direcciones de correo, números de teléfono y registros de pedidos
En general, cuando se conocen los datos de contacto junto con lo que alguien pidió y a qué servicio, puede ocurrir lo siguiente (no hay ningún anuncio de que nada de esto haya ocurrido en este incidente, y la empresa afirma que hasta ahora no se ha confirmado ningún daño secundario).
Qué puede ocurrir en general
- Cupones falsos o puntos de disculpa por correo o mensaje de texto en nombre de Pizza Hut
- Mensajes que se hacen pasar por una confirmación de pedido o un pago fallido y llevan a una página para introducir la tarjeta
- Llamadas que mencionan cuándo o qué pidió usted para ganarse su confianza
- Mensajes que se hacen pasar por una compensación por la filtración y piden datos personales o bancarios
Qué puede hacer usted
- Compruebe las ofertas en la app oficial
- No inicie sesión desde enlaces de mensajes
- Nunca facilite un número de tarjeta ni un código de verificación por teléfono
- Use solo la línea de atención indicada en el anuncio de la empresa
Que un mensaje sepa cuándo o qué pidió usted no prueba que sea auténtico, porque los registros de transacciones figuran en la lista de información filtrada. Para saber más sobre cómo prepararse frente a mensajes falsos tras una filtración de correos y números de teléfono, véase la filtración de la app de Yakiniku King (en inglés) y la filtración de la app de Burger King Japón.
Para operadores que conectan sistemas de pago o API con sistemas externos
La causa sigue en investigación. Esta sección solo trata lo que se desprende de la secuencia de hechos publicada y de los datos filtrados (son puntos generales para revisar, no una suposición sobre la causa).
Limite lo que puede alcanzar una API de pago a los datos que necesitan los pagos
Según el anuncio, el acceso se produjo a través de una API de pago, descrita como un mecanismo que intercambia información relacionada con los pagos entre sistemas, y se obtuvo información de una base de datos que contenía información de clientes. En general, las API para la integración entre sistemas suelen configurarse con un acceso a la base de datos más amplio que las pantallas orientadas al cliente. Compruebe si sus API de integración pueden leer tablas que no necesitan, como datos de socios, tokens o registros de cuentas dadas de baja.
Guarde los tokens de inicio de sesión de forma que sean difíciles de usar si se filtran
Los tokens de sesión de inicio de sesión estaban entre los datos filtrados. En general, no guardar los tokens en claro en la base de datos (guardar un hash y comparar), mantener corta su vida útil y poder invalidar a la vez los tokens de todos los usuarios si se sospecha una filtración reducen el impacto de una filtración. Decida de antemano cómo los invalidaría y cómo informaría a los clientes.
Conserve los registros de cuentas dadas de baja solo el tiempo necesario
Los registros relacionados con información de clientes eliminada estaban entre los datos filtrados. Limitar lo que conserva tras la baja de una cuenta a lo que exige la ley o la contabilidad, y borrarlo después de ese plazo, reduce el número de personas afectadas si se produce un incidente.
Fuentes (registros públicos)
Los datos de este artículo se basan en la siguiente información pública. No se suponen cifras, causas ni métodos de ataque que no se hayan publicado.
- Pizza Hut Japan Ltd., «Disculpas y aviso sobre un acceso no autorizado que provocó una filtración de datos personales» (en japonés, 23 de octubre de 2026; consultado el 27 de octubre) — corp.pizzahut.jp
Historial de actualizaciones
2026-10-27: Primera versión, basada en el aviso de Pizza Hut Japón del 23 de octubre. Este artículo se actualizará cuando se publiquen la cifra, la causa u otros detalles de seguimiento.
Lectura recomendada
- Casos similares (apps de socios de restaurantes): La filtración de la app de Yakiniku King (unos 10,79 millones de registros) (en inglés) / La filtración de la app de Burger King Japón (unos 11,18 millones de registros)
- Detectar mensajes falsos: ¿Qué es el phishing? / Nociones básicas de seguridad en el smartphone
- Comprobar sus cuentas: Cómo comprobar si alguien accedió a su cuenta
- Otros incidentes de 2026: Lista de filtraciones de datos y ciberataques (Japón y el mundo)