Para: cualquier persona que haya comprado o introducido datos en la tienda online APORITO de RIZAP entre el 1 de mayo y el 5 de agosto de 2026, y cualquiera que gestione una tienda online. Este artículo se basa en los avisos oficiales de RIZAP Co., Ltd. y no trata las técnicas de ataque.
Qué deben hacer hoy los clientes
Compruebe si está afectado: también cuentan los pedidos no finalizados
Los afectados son las personas que hicieron un pedido o introdujeron datos en la tienda online APORITO entre el 1 de mayo y el 5 de agosto de 2026. Introducir datos sin finalizar el pedido también cuenta.
El 8 de agosto la empresa envió un correo a las personas cuyos datos de tarjeta pueden haberse filtrado. Busque primero "APORITO" en su bandeja de entrada. Si no encuentra nada, pero recuerda haber usado la tienda en ese período, siga de todos modos los pasos siguientes.
Revise los extractos de sus tarjetas y comunique de inmediato al emisor los cargos desconocidos
La empresa pide a los clientes que sigan revisando sus extractos por si aparecen cargos que no reconocen. Si encuentra uno, llame al número del emisor que figura en el dorso de la tarjeta.
Los emisores de tarjetas generalmente cubren el uso fraudulento, pero existe un plazo de notificación (JCB, por ejemplo, exige comunicarlo en un plazo de 60 días desde el extracto que muestra el cargo). Los cargos pequeños pasan desapercibidos con facilidad, así que revise también los cargos desconocidos de solo unos pocos cientos de yenes.
Pida a su emisor que sustituya el número (reemisión)
La empresa describe la suspensión o la reemisión de la tarjeta (cambio del número) como una forma eficaz de prevenir daños secundarios, y deja la decisión en manos de cada cliente. Este sitio recomienda cambiar el número a quien haya usado una tarjeta en la tienda durante el período.
El motivo se explica en la siguiente sección; en resumen, el código de seguridad está entre los datos que pueden haberse filtrado. La empresa afirma que anunciará cómo se gestionarán las tasas de reemisión y costes similares tras su investigación.
Tras sustituir la tarjeta, actualice los servicios que se cobran en ella
Los servicios públicos, los planes de telefonía, las suscripciones y otros servicios que cargan automáticamente el número antiguo fallarán hasta que los cambie al nuevo. Antes de solicitar la reemisión, haga una lista de los cargos periódicos de su extracto para no olvidar ninguno.
No responda a llamadas o mensajes que digan ser de la empresa, la policía o su emisor de tarjetas
Con su nombre, dirección, número de teléfono y correo electrónico potencialmente expuestos, un estafador puede escribir mensajes falsos que parezcan auténticos. La empresa advierte de llamadas, correos y mensajes que se hacen pasar por la empresa, la policía u otros organismos públicos, o por emisores de tarjetas, para obtener PIN o datos personales, y afirma que nunca pedirá a los clientes su PIN.
No abra enlaces sobre "procedimientos de reembolso" o "volver a registrar su tarjeta"; si necesita comprobarlo, contacte con un número oficial que busque usted mismo (véase ¿Qué es el phishing?).
Si no volverá a usar la tienda, pida que se borren sus datos
La empresa acepta solicitudes de eliminación y responderá individualmente tras comprobar su uso y su estado de registro. Las solicitudes se envían a la dirección de correo electrónico dedicada al final de su aviso.
Algunos datos pueden tener que conservarse durante un período por motivos de la investigación o legales, pero merece la pena obtener una respuesta sobre qué queda y hasta cuándo.
Por qué este sitio recomienda sustituir el número
Casos en los que revisar los extractos suele ser suficiente
- Solo se filtró parte del número de tarjeta
- No se incluyeron la fecha de caducidad ni el código de seguridad
- Cualquier uso indebido consistiría en pequeños cargos que detectaría rápidamente
Lo que está en juego aquí (según la empresa)
- Número de tarjeta, fecha de caducidad y código de seguridad juntos
- Nombre, dirección, número de teléfono y correo electrónico también
- Mientras no cambie el número, esa combinación sigue siendo utilizable
Al pagar en línea, el número de tarjeta, la fecha de caducidad y el código de seguridad son los tres datos básicos que pide una página de pago. En Japón, las directrices del sector exigen a los comercios online adoptar EMV 3-D Secure (autenticación del titular), por lo que los pasos de verificación adicionales son más habituales que antes. Aun así, no todas las transacciones, ni todos los sitios en todos los países, activan esa comprobación adicional.
Revisar los extractos es importante, pero es una forma de detectar el problema después de que la tarjeta se haya usado. Sustituir el número hace inútil la combinación posiblemente filtrada desde ese momento. Cambiar los pagos periódicos es una molestia, pero es más seguro que pasar meses sin saber cuándo podría usarse indebidamente la tarjeta.
Cómo interpretarlo: que no se haya confirmado un uso indebido no significa que esté a salvo
La empresa afirma que no ha confirmado ninguno de los siguientes hechos: uso indebido, daño secundario ni una filtración real de datos personales. Eso significa que, por ahora, no se ha encontrado nada, no que nada vaya a usarse después. Los datos de tarjeta a veces se utilizan mucho tiempo después de haberse obtenido. Siga revisando los extractos durante al menos varios meses.
Qué ocurrió (según los avisos de RIZAP)
Todo lo que figura a continuación es tal como lo indican los avisos oficiales de la empresa.
1 de mayo de 2026
Inicio del período en el que pueden haberse filtrado datos.5 de agosto
La empresa detectó un programa sospechoso de transmisión saliente en el sistema de la tienda online APORITO y, para evitar más daños, cerró temporalmente el sitio a las 15:30 del mismo día. El período afectado termina en esta fecha.8 de agosto
Las personas cuyos datos de tarjeta pueden haberse filtrado fueron notificadas individualmente por correo electrónico.10 de agosto
Disculpas públicas e informe. La empresa indicó que había presentado un informe preliminar ante la Comisión de Protección de Información Personal y que estaba tratando el asunto con la policía y otras entidades, según exige la ley.18 de agosto
Segundo aviso: la investigación con una empresa externa continúa y la tienda sigue cerrada. La empresa afirmó que está reforzando la seguridad y revisando la supervisión antes de la reapertura.
- Quiénes
- Personas que hicieron un pedido o introdujeron datos en la tienda online APORITO entre el 1 de mayo y el 5 de agosto de 2026
- Datos personales
- Nombre, dirección, número de teléfono, correo electrónico
- Datos de la tarjeta
- Número de tarjeta, fecha de caducidad, código de seguridad
- Número de afectados
- No revelado
- Causa declarada
- Un tercero instaló un script malicioso; se encontró un programa sospechoso de transmisión saliente en el sistema. No se ha revelado cómo se instaló ni otros detalles técnicos
- Daño secundario
- La empresa afirma que no se ha confirmado ningún uso indebido, daño secundario ni filtración real de datos personales
- Compensación y costes
- La gestión de las tasas de reemisión y la política de compensación están en revisión; se anunciarán por correo electrónico y en la web de la empresa
- Pedidos existentes
- La empresa afirma que el cierre no afecta al envío; los pedidos se enviarán una vez confirmado el stock. Las solicitudes de reembolso se dirigen a la dirección de correo electrónico dedicada
Sobre un aviso aparte publicado el mismo día
También el 10 de agosto, RIZAP publicó un aviso aparte según el cual una empresa a la que externaliza parte de las operaciones del negocio APORITO sufrió un acceso no autorizado por ransomware, lo que obligó a restringir algunos servicios (el 14 de agosto se publicó un segundo aviso). Los avisos de la empresa no dicen si ambos hechos están relacionados. Este artículo trata el script malicioso de la tienda online.
Para operadores de comercio electrónico: no almacenar datos de tarjeta no impide que la página de introducción de datos sea manipulada
La empresa no ha revelado qué salvaguardas tenía implantadas ni cómo llegó el script. Esta sección no evalúa su respuesta; expone cómo prevenir el mismo tipo de incidente en su propio sitio.
Navegador del cliente
Datos de tarjeta escritos en la página de pago
↓→
Proveedor de servicios de pago
El destino legítimo
↓→
No almacenado en sus servidores
= lo que protege la no retención
Si un script malicioso entra en la propia página de introducción de datos, lo que escribe el cliente también se envía a otro lugar en el momento
→ Hay filtración aunque usted no almacene nada. Los operadores deben vigilar si la página de pago ha sido alterada
En Japón, el artículo 35-16 de la Ley de Ventas a Plazos exige a los comercios que aceptan tarjetas, incluidas las tiendas online, adoptar las medidas necesarias para la gestión adecuada de los números de tarjeta, como evitar filtraciones. La guía práctica de esa obligación son las Directrices de Seguridad de Tarjetas de Crédito del Consejo para la Seguridad de las Transacciones de Crédito (secretaría: la Asociación Japonesa de Crédito al Consumo).
Las directrices establecen que adoptar las medidas que enumeran, o medidas equivalentes o más sólidas, se considera tomar las "medidas necesarias y adecuadas" que exige la ley.
A partir de la versión 6.0, de marzo de 2025, las directrices añadieron "medidas contra vulnerabilidades" para los comercios online, tanto si almacenan como si no los datos de tarjeta. La razón declarada: hoy la mayoría de las filtraciones se producen en comercios online que ya aplican la no retención, a través de vulnerabilidades web y causas similares.
La versión 6.1 (marzo de 2026) mantiene esto sin cambios. Se exigen cinco medidas, todas ellas:
| # | Punto de la directriz | Qué dice (resumen) |
|---|---|---|
| 1 | Restringir el acceso a la pantalla de administración; gestionar los IDs y contraseñas de administrador | Limitar el acceso de administración por dirección IP (o autenticación básica si no es posible), usar autenticación en dos pasos o multifactor, bloquear las cuentas tras 10 o menos intentos fallidos de inicio de sesión |
| 2 | Corregir configuraciones incorrectas que exponen directorios de datos | Mantener los archivos importantes fuera de directorios públicos; restringir los tipos de archivo y extensiones que se pueden subir |
| 3 | Abordar las vulnerabilidades de las aplicaciones web | Realizar evaluaciones de vulnerabilidades o pruebas de penetración con regularidad y corregir los hallazgos; mantener actualizados los plugins y el software; revisar el código fuente de las partes personalizadas |
| 4 | Instalar y ejecutar antivirus contra malware | Mantener actualizadas las firmas (los archivos de definición usados para reconocer malware) y ejecutar análisis completos periódicos |
| 5 | Contrarrestar las comprobaciones maliciosas de validez de tarjetas y los ataques de "credit master" | Implementar al menos una de las medidas enumeradas en el anexo (un ataque de "credit master" genera números de tarjeta de forma mecánica para encontrar los válidos) |
El anexo de las directrices para comercios online indica que muchas filtraciones aprovechan configuraciones incorrectas y vulnerabilidades en paquetes de comercio electrónico y CMS, y que se han confirmado casos de scripts alterados que filtran de forma continua lo que escriben los miembros.
También indica que los comercios que externalizan la creación o el funcionamiento de su sitio deben exigir al contratista que comprenda estas medidas contra vulnerabilidades.
Opinión de este sitio: las cinco medidas impiden la entrada de atacantes; añada también una forma de notar cuando entran
Las cinco medidas se refieren a impedir la intrusión o la instalación de código. Pero en este tipo de incidente, todas las personas que escriben los datos de su tarjeta antes de que alguien lo note resultan afectadas. Por eso, en general, la rapidez con que se detecta un fallo de prevención determina cuántas personas acaban incluidas (por eso la guía de IPA exige la detección de manipulación de archivos).
Otras normas públicas ya cubren el aspecto de la detección. La guía de seguridad para la construcción y operación de sitios de comercio electrónico de IPA (Information-technology Promotion Agency, Japón) incluye, como requisitos operativos obligatorios, comprobaciones periódicas de diferencias en los archivos importantes y la supervisión con herramientas de detección de alteraciones web.
El estándar internacional del sector de tarjetas, PCI DSS, exige desde el 31 de marzo de 2025 la autorización, las comprobaciones de integridad y un inventario de los scripts que se ejecutan en las páginas de pago (requisito 6.4.3), así como un mecanismo para detectar cambios no autorizados en las páginas de pago (requisito 11.6.1).
Para una pequeña tienda online, empiece por estas tres:
Haga una lista de los scripts que carga su página de pago
Anote cada archivo JavaScript que carga la página de pago, agrupado en propios, del proveedor de pagos y de analítica u otras etiquetas. Cualquier script que nadie pueda explicar —quién lo añadió y por qué— es lo primero que hay que revisar. Solo con una lista puede notar que se añadió o cambió un script.
Compare los archivos de su sitio cada día y genere alertas ante cambios
Para los archivos que componen la página de pago —temas, plantillas, JavaScript—, registre un hash (un valor calculado a partir del contenido del archivo) del estado conocido como correcto y compárelo una vez al día. Si algo cambió sin que nadie lo haya desplegado, se envía una alerta a la persona responsable.
Compruebe también si su alojamiento o su plataforma de comercio electrónico ofrece una función o complemento de detección de manipulaciones. Si gestiona el servidor usted mismo, la lógica se solapa con las vulnerabilidades de subida de archivos.
Restrinja la pantalla de administración a su red y a dos factores
Esta es la propia medida 1. Si se puede llegar a la pantalla de administración desde cualquier lugar solo con una contraseña, corrija eso primero. Si un contratista gestiona el sitio, confirme que los inicios de sesión de administración del contratista cumplen las mismas condiciones. El mínimo para toda la organización está en La base mínima de seguridad para organizaciones.
Fuentes (registro público)
Los hechos de este artículo proceden de las fuentes públicas siguientes. No se especula sobre rutas o métodos de intrusión no revelados.
- RIZAP Co., Ltd., disculpas e informe sobre el acceso no autorizado a la tienda online APORITO (10 de agosto de 2026, en japonés) — rizap.co.jp
- RIZAP Co., Ltd., segundo aviso sobre el mismo incidente (18 de agosto de 2026, en japonés) — rizap.co.jp
- RIZAP Co., Ltd., avisos sobre la caída del sistema y la suspensión de servicios en el negocio APORITO (10 y 14 de agosto de 2026, en japonés) — rizap.co.jp / rizap.co.jp
- Ley de Ventas a Plazos, artículo 35-16 (en japonés) — e-Gov Law Search
- Consejo para la Seguridad de las Transacciones de Crédito, Directrices de Seguridad de Tarjetas de Crédito versión 6.1 (marzo de 2026), notas de revisión y guía de seguridad para comercios online (Anexo 20) (en japonés) — Japan Consumer Credit Association
- IPA, Guía de seguridad para la construcción y operación de sitios de comercio electrónico (16 de marzo de 2023, en japonés) — ipa.go.jp
- PCI Security Standards Council, "New Information Supplement: Payment Page Security and Preventing E-Skimming" (10 de marzo de 2025) — blog.pcisecuritystandards.org / "Guidance for PCI DSS E-commerce Requirements Effective After 31 March 2025" — blog.pcisecuritystandards.org
- Ejemplo de plazo de notificación para la compensación por fraude: JCB (en japonés) — jcb.co.jp
Historial de actualizaciones
2026-09-30: Primera versión, basada en el aviso de RIZAP del 10 de agosto y en su segundo aviso del 18 de agosto. La empresa prevé publicar los resultados técnicos, su política de compensación y una fecha de reapertura; este artículo se actualizará cuando lo haga.
Lectura recomendada
- Un caso más reciente del mismo tipo: acceso no autorizado a la tienda oficial de Good Smile Company (programa malicioso en la página de pago)
- Incidente del mismo tipo: Programa de robo de tarjetas en la página de pago de PhotoGoods (Daiko Printing) (abuso de una función de subida de archivos y comprobación de cuentas de administrador no autorizadas)
- Estafas derivadas: ¿Qué es el phishing?
- Normas sobre datos de tarjeta: ¿Qué es PCI DSS? / ¿Qué es XSS (cross-site scripting)?
- Para operadores de sitios: Vulnerabilidades de subida de archivos / La base mínima de seguridad para organizaciones
- Otros casos japoneses de esta temporada: Cariteco (Meitetsu Kyosho): ransomware y una posible filtración de datos / La filtración de The Times Car
- Otros incidentes de 2026: lista de filtraciones y ciberataques (Japón y el mundo)