Filtración en Tin Pan Alley, filial de World (operador de RAGTAG, según la prensa), con unos 1,2 millones de registros en total: nombres, direcciones y teléfonos pueden haberse filtrado y qué deben hacer los socios

Los datos que pueden haberse filtrado pueden incluir registros con nombre, dirección, número de teléfono y correo electrónico juntos (el aviso no dice que todos los registros tengan los seis datos). Con tales registros, alguien puede redactar un mensaje que acierte con su nombre y dirección.

Si llega un mensaje sobre un «cupón como disculpa», la «reconfirmación de sus datos de socio» o el «pago de una recompra», no abra sus enlaces. Abra usted mismo el sitio oficial o la aplicación y compruébelo allí. Lo mismo vale para los mensajes de texto falsos (smishing). Vea ¿Qué es el phishing? para saber cómo distinguirlos.

El aviso dice que no se ha confirmado la filtración de datos de tarjetas de crédito u otros datos de pago. Las contraseñas no aparecen entre los datos que pueden haberse filtrado, pero el aviso no afirma que estén excluidas.

Que alguien acierte con su nombre y dirección no demuestra nada, porque eso es justo lo que puede haberse filtrado. Si le piden un número de tarjeta o una contraseña en nombre de una disculpa o un reembolso, trátelo de inmediato como falso.

A diferencia de una dirección de correo, una fecha de nacimiento no se puede cambiar. Muchos bancos, tiendas y operadores móviles la usan como respuesta cuando usted los contacta o restablece una cuenta.

Compruebe que no ha usado su fecha de nacimiento como contraseña o como respuesta a una pregunta secreta y cámbiela si lo hizo. Active la autenticación multifactor en lugar de confiar solo en una contraseña, para que a un atacante que conozca su fecha de nacimiento le resulte más difícil.

Las contraseñas no figuran entre los datos del aviso, así que no hay nada que cambiar solo por este incidente. Pero las direcciones de correo suelen usarse como ID de inicio de sesión, y una contraseña reutilizada permite que una filtración se propague a otros servicios.

Un gestor de contraseñas es la forma realista de hacer el inventario. Puede comprobar si una contraseña reutilizada apareció en filtraciones pasadas con cómo comprobar si su contraseña se filtró.

Los números de teléfono y las direcciones son difíciles de cambiar. Pueden llegarle durante algún tiempo llamadas, mensajes y cartas fraudulentas, bajo nombres distintos de este incidente.

Activar los filtros de llamadas y mensajes de spam de su teléfono reduce cuántos llegan (véase conceptos básicos de seguridad del móvil).

La empresa dice que prepara correos individuales a los socios, pero el aviso no da dirección de remitente ni plazo. Los nombres de remitente se pueden falsificar, así que aunque llegue un correo, no inicie sesión ni escriba nada a través de su enlace. Compárelo con el aviso del sitio web oficial de World.

El contacto que figura en el aviso es World Co., Ltd. (tel. +81-3-6887-1300). Es el contacto impreso en el aviso y, a 1 de noviembre de 2026, el aviso no dice si se ha creado una línea específica para socios. Use un contacto que figure en un sitio oficial, no un número ni una URL escritos en un mensaje que haya recibido.

Según el aviso, el acceso fue el 17 de octubre y la detección el 28 de octubre, con unos 11 días de diferencia. La vía se bloqueó el mismo día de la detección. Cuanto más tarda la detección, más datos pueden extraerse, así que empiece por establecer registros y alertas que detecten grandes cantidades de datos leídos desde un servidor de negocio.

Un primer paso: registrar cada hora cuántas filas se leen y cuánto se transfiere desde el servidor que guarda los datos de socios, y avisar al teléfono de alguien cuando difiera mucho de lo normal (véase limitación de tasa y control de abusos).

El aviso dice que aún se están confirmando los socios afectados y los detalles de una cifra de unos 1,2 millones de registros. Cuando los datos de socios de varios servicios están en el mismo servidor, una sola vulneración amplía el alcance y hace más lento saber quién está afectado.

Decida de antemano no conservar datos sin los que el negocio puede funcionar, como la fecha de nacimiento o el sexo, y eliminar los datos tras la baja de los socios. Así el alcance de una filtración será menor.