Para: cualquier persona que haya usado el negocio de venta por correo de Rohto Pharmaceutical, incluido pedir o consultar por teléfono. Este artículo es una explicación basada en los avisos oficiales de Rohto Pharmaceutical; no trata los métodos de ataque.
En desarrollo: este artículo se actualizará a medida que la organización publique más información
- A quién afecta
cualquier persona que haya usado el negocio de venta por correo de Rohto Pharmaceutical, incluido pedir o consultar por teléfono.
- Confirmado hasta ahoraVer la tabla ↓
- Descubrimiento
- Causa
- Información del sistema de gestión de clientes
5 más
- Datos del sistema de gestión de clientes
- Cifra del sistema de gestión de clientes
- Grabaciones de llamadas
- Número de tarjeta y fecha de vencimiento
- Investigación externa
- Aún sin confirmar
- Cómo se solapan el grupo del sistema de gestión de clientes (2.797.545) y el de las grabaciones de llamadas (9.715)
- La vía concreta del acceso (solo se ha revelado el uso no autorizado de credenciales de cuenta del sistema telefónico)
- La respuesta si se identifican más personas que requieran actuación
- Qué hacer ahoraVer los pasos ↓
- Revise los extractos de su tarjeta
- Si le preocupa, hable con su emisor
- Haga una lista de los pagos recurrentes de esa tarjeta
5 más
- Compruebe el contenido de su aviso
- Desconfíe de llamadas, correos, mensajes de texto y cartas a nombre de Rohto o de su negocio de venta por correo
- No abra enlaces de mensajes sospechosos ni devuelva la llamada al número que indican
- Por si acaso, recuerde si dictó su número de tarjeta en una llamada
- Si le preocupa, pregunte al punto de contacto oficial
- Dónde verificarlo (fuente)Todas las fuentes ↓
- Rohto Pharmaceutical Co., Ltd., «Disculpas y aviso sobre la filtración de datos personales de clientes por acceso no autorizado» (6 de noviembre de 2026; en japonés)
- Última comprobación
- A 9 de noviembre de 2026
Próximos avisos y qué comprobamos
La empresa afirma que responderá de forma adecuada si se identifican más personas que requieran actuación. Al consultar el 9 de noviembre de 2026 la lista de noticias del sitio web oficial de la empresa, no encontramos ninguna novedad posterior al aviso del 6 de noviembre. Por ahora no se ha confirmado ningún daño secundario.
Qué hacer hoy, según cómo pidió
Primero, averigüe qué grupo se parece más a su caso. Si ha pedido por teléfono al negocio de venta por correo y dictó su número de tarjeta, es un «cliente de pedidos telefónicos». Si pidió por internet u otra vía y nunca dio su número de tarjeta por teléfono, está en «todos los demás». Si recibió un aviso individual, siga primero lo que dice.
Clientes de pedidos telefónicos (facilitó su número de tarjeta por teléfono)
Revise los extractos de su tarjeta
La empresa pide a los usuarios de tarjetas afectados que revisen los extractos de septiembre de 2026 en adelante en busca de cargos que no reconozcan y, si los hay, que contacten con la compañía que figura en el reverso de la tarjeta.
Las grabaciones de llamadas afectadas empiezan el 10 de septiembre de 2025. Si pidió por teléfono en ese periodo, es recomendable revisar también los extractos desde septiembre de 2025, en el sitio web o la aplicación de su compañía de tarjetas (opinión de este sitio).
Si le preocupa, hable con su emisor
Si es posible que se hayan obtenido el número de su tarjeta y la fecha de vencimiento, contacte con su emisor y explique la situación. El emisor puede ofrecer cambiar el número de la tarjeta (reemisión) o vigilar usos inusuales.
La empresa afirma que ha pedido a los emisores de tarjetas que los usuarios no asuman el coste de reemitir las tarjetas afectadas. El trato puede variar según el emisor, así que confirme cualquier tarifa antes de decidir reemitirla.
Haga una lista de los pagos recurrentes de esa tarjeta
Si se reemite la tarjeta, pueden detenerse las suscripciones, las entregas periódicas y los pagos de suministros que se cobran en ella. Cuando le informen de la reemisión, haga una lista de lo que necesita el nuevo número de tarjeta.
Compruebe el contenido de su aviso
La empresa afirma que avisa individualmente a los afectados, por correo postal, electrónico u otros medios, de forma escalonada. Si recibió uno y no lo entiende, pregunte en la línea dedicada 0120-610-654 (de 9:00 a 18:00, hora de Japón, incluidos fines de semana y festivos) o mediante el formulario de consulta dedicado.
Use el número y la URL del formulario que figuran en los avisos del sitio web oficial de la empresa, no los que aparezcan en un correo o mensaje de texto.
Todos los demás (personas cuyo nombre, dirección y teléfono pueden estar incluidos)
Desconfíe de llamadas, correos, mensajes de texto y cartas a nombre de Rohto o de su negocio de venta por correo
La empresa pide a los clientes que estén atentos a llamadas, correos, mensajes de texto y cartas sospechosos, y que no respondan a solicitudes de información personal, PIN o contraseñas. Afirma que, como parte de su respuesta a este incidente, no pedirá a los clientes que introduzcan o vuelvan a facilitar PIN o contraseñas.
Con un nombre, una dirección y un teléfono es más fácil construir un contacto convincente citándolos. Que alguien conozca estos datos no demuestra nada (opinión de este sitio). Para saber cómo detectar falsificaciones, véase ¿Qué es el phishing?.
No abra enlaces de mensajes sospechosos ni devuelva la llamada al número que indican
No abra URL de correos o mensajes de texto, no abra archivos adjuntos y no introduzca información. Si es una llamada, cuelgue y vuelva a llamar a un número que figure en el sitio web oficial.
No facilite números de tarjeta, PIN ni códigos de verificación por teléfono o mensaje de texto.
Por si acaso, recuerde si dictó su número de tarjeta en una llamada
Según el aviso, hay números de tarjeta en parte de las grabaciones de llamadas, de 9.715 personas. Si nunca dio su número de tarjeta por teléfono, normalmente no se espera que esté en ese grupo, pero compárelo con su aviso (opinión de este sitio). Si tiene alguna duda, siga los pasos de «clientes de pedidos telefónicos» de arriba.
Si le preocupa, pregunte al punto de contacto oficial
Hay una línea dedicada, 0120-610-654 (de 9:00 a 18:00, hora de Japón, incluidos fines de semana y festivos), y un formulario de consulta dedicado.
Ambos grupos: si introdujo datos o pagó dinero
Si introdujo datos de su tarjeta en una página a la que llegó desde un mensaje sospechoso, contacte de inmediato con su emisor. Si introdujo una contraseña, cámbiela enseguida y cámbiela también en cualquier otro servicio donde usara la misma (Cómo elegir un gestor de contraseñas). En Japón también puede llamar a la línea de consultas de la policía (#9110) o al servicio de atención al consumidor (188).
Qué ocurrió (según los avisos de Rohto)
Rohto publicó este asunto tres veces en su sitio web oficial: el 11 de septiembre, el 15 de septiembre y el 6 de noviembre de 2026. Todo lo que sigue procede de los avisos de la empresa. El proveedor de servicio del sistema telefónico se describe aquí por su función.
10 de septiembre de 2025 a 5 de septiembre de 2026
El periodo que abarcan las grabaciones de llamadas. Están afectadas las llamadas de tres periodos dentro de él: del 10 de septiembre al 16 de noviembre de 2025; del 9 de diciembre de 2025 al 22 de marzo de 2026; y del 21 de agosto al 5 de septiembre de 2026.10 de septiembre de 2026
El proveedor de servicio del sistema telefónico usado para la venta por correo informó de accesos sospechosos. La empresa suspendió las cuentas implicadas, cambió las contraseñas e inició una investigación por un experto externo.11 de septiembre
Primer aviso: «Posible acceso no autorizado a nuestros sistemas». Sin cifras, datos ni causa. Se aplicaron restricciones de acceso y otras medidas.14 de septiembre
Denunció el daño a la comisaría local.15 de septiembre
Informó a la Comisión de Protección de Información Personal. Publicó una novedad, «Estado de la investigación», en la que dice que pueden haberse obtenido grabaciones de llamadas con información adjunta e información del sistema de gestión de clientes (cifras y datos en investigación). Anunció la línea dedicada 0120-610-654.16 de octubre
Terminó la investigación del sistema telefónico por un experto externo.22 de octubre
Se abrió el formulario de consulta dedicado (añadido al aviso del 15 de septiembre).6 de noviembre
Publicó los resultados de la investigación: 2.797.545 personas en el sistema de gestión de clientes, y números de tarjeta y fechas de vencimiento en grabaciones de llamadas de 9.715 personas. Se enviaron avisos individuales a los afectados.
- Causa
- Como causa identificada hasta ahora, según la empresa: un tercero usó sin autorización credenciales de cuenta del sistema telefónico empleado para la venta por correo y accedió sin autorización a ese sistema. Se confirmó que la información del sistema de gestión de clientes se obtuvo a través del sistema telefónico
- Sistema de gestión de clientes
- Nombre, dirección, número de teléfono. 2.797.545 personas. Los datos varían según la persona y el dato, y en algunos casos solo se incluyen algunos
- Grabaciones de llamadas
- Llamadas de venta por correo (consultas sobre productos, detalles de pedidos, etc.). Parte de ellas contienen números de tarjeta de crédito y fechas de vencimiento, de 9.715 personas
- No incluido
- Códigos de seguridad de tarjetas, contraseñas y otra información de autenticación (no obtenidos ni almacenados)
- Medidas
- Cambió a la vez las contraseñas de las cuentas implicadas. Dejó de tomar números de tarjeta de viva voz en las llamadas y pasó a procedimientos de pago por escrito. Vigila con las compañías de tarjetas las transacciones de las tarjetas afectadas
- Contacto
- Línea dedicada 0120-610-654 (de 9:00 a 18:00, hora de Japón, incluidos fines de semana y festivos) y un formulario de consulta dedicado
Qué se sabe y qué no
Esta tabla se basa en los avisos de la empresa del 11 de septiembre, el 15 de septiembre y el 6 de noviembre, a 9 de noviembre de 2026. Cuando aparezcan novedades, actualizaremos la columna de estado.
| Elemento | Lo que dicen los avisos | Estado |
|---|---|---|
| Descubrimiento | Informado el 10 de septiembre de 2026 por el proveedor de servicio del sistema telefónico | Confirmado (empresa) |
| Causa | Un tercero usó sin autorización credenciales de cuenta del sistema telefónico | Confirmado (empresa) |
| Información del sistema de gestión de clientes | Se confirmó que se obtuvo a través del sistema telefónico | Filtración confirmada (empresa) |
| Datos del sistema de gestión de clientes | Nombre, dirección, número de teléfono (varía según la persona) | Filtración confirmada (empresa) |
| Cifra del sistema de gestión de clientes | 2.797.545 personas | Confirmado (empresa) |
| Grabaciones de llamadas | Llamadas de venta por correo (consultas, detalles de pedidos, etc.); llamadas de tres periodos | Filtración confirmada (empresa) |
| Número de tarjeta y fecha de vencimiento | Contenidos en parte de las grabaciones de llamadas; 9.715 personas | Filtración confirmada (empresa) |
| Código de seguridad | No incluido (no obtenido ni almacenado) | No incluido (empresa) |
| Contraseñas y otra información de autenticación | No incluidas (no obtenidas ni almacenadas) | No incluidas (empresa) |
| Dirección de correo electrónico | No figura entre los datos del aviso | No indicado |
| Solapamiento entre las 2.797.545 y las 9.715 | No indicado | No indicado |
| Vía concreta del acceso | Solo el uso no autorizado de credenciales de cuenta; nada más | No indicado |
| Investigación externa | La investigación del sistema telefónico terminó el 16 de octubre de 2026 | Confirmado (empresa) |
| Aviso a los afectados | Avisos individuales por correo postal, electrónico u otros medios, de forma escalonada | Hecho (empresa) |
| Daño secundario | No se ha confirmado ningún uso indebido que parezca derivado de este incidente | No confirmado (empresa) |
| Policía y regulador | Denuncia a la policía el 14 de septiembre e informe a la Comisión de Protección de Información Personal el 15 de septiembre | Hecho (empresa) |
Por qué importan los números de tarjeta en grabaciones de llamadas
A diferencia de lo que se teclea en una pantalla, una grabación de llamada conserva un número tal como se dijo. La empresa ha dejado de tomar números de tarjeta de viva voz y ha pasado a procedimientos de pago por escrito. Con un número de tarjeta y una fecha de vencimiento podrían usarse métodos de pago que no exigen código de seguridad, por eso es importante revisar los extractos. Lo que sigue es lo que puede ocurrir en general; no significa que haya ocurrido en este incidente (opinión de este sitio).
Para qué pueden usarse los datos filtrados
- Cargos que no reconozca realizados con el número de tarjeta y la fecha de vencimiento (para quienes dieron un número de tarjeta)
- Llamadas, mensajes de texto o cartas a nombre de una empresa o emisor de tarjetas que citan su nombre, dirección y teléfono para parecer auténticos
- Mensajes que llevan a páginas falsas que piden un PIN o una contraseña
Lo que los datos filtrados por sí solos no pueden hacer (opinión de este sitio)
- Pagos que exigen el código de seguridad (el código de seguridad no se obtuvo)
- Sustituir una página que usted abrió desde el sitio oficial o un marcador
- Iniciar sesión en la cuenta de alguien que no ha tecleado su contraseña en ningún sitio (no se incluyen contraseñas ni similares)
Qué deben revisar los operadores: números de tarjeta tomados por teléfono y cuentas de sistema
No se han revelado los detalles de la causa, así que esta sección solo trata lo que se deduce de los hechos publicados.
- Mantenga los números de tarjeta fuera de las grabaciones de llamadas. La empresa dejó de tomar números de tarjeta de viva voz y pasó a procedimientos de pago por escrito. Una empresa que toma pedidos por teléfono puede reducir lo que se filtra si se roba una grabación no tomando números de tarjeta verbalmente (por ejemplo, dirigiendo al cliente a una página de pago).
- No deje que una cuenta del sistema telefónico sea la puerta a otros sistemas. Según el aviso, se usó sin autorización una cuenta del sistema telefónico, y también se obtuvo información del sistema de gestión de clientes a través del sistema telefónico. Mapee los permisos entre las cuentas de servicios externos como el sistema telefónico y los sistemas que guardan datos de clientes, y elimine los accesos que no hagan falta; así se reduce el daño.
Fuentes (registro público)
Los datos de este artículo se basan en la siguiente información pública. No hemos especulado sobre detalles de la causa que no se revelaron ni sobre el nombre del proveedor de servicio.
- Rohto Pharmaceutical Co., Ltd., «Disculpas y aviso sobre la filtración de datos personales de clientes por acceso no autorizado» (6 de noviembre de 2026; en japonés) — rohto.co.jp
- Rohto Pharmaceutical Co., Ltd., «Estado de la investigación del acceso no autorizado a nuestros sistemas» (15 de septiembre de 2026, con una adición el 22 de octubre; en japonés) — rohto.co.jp
- Rohto Pharmaceutical Co., Ltd., «Posible acceso no autorizado a nuestros sistemas» (11 de septiembre de 2026; en japonés) — rohto.co.jp
Historial de actualizaciones
2026-11-09: Primera versión, basada en el aviso de Rohto Pharmaceutical del 6 de noviembre y en sus avisos del 11 y el 15 de septiembre. Ese mismo día consultamos la lista de noticias del sitio web oficial de la empresa y no encontramos ninguna novedad posterior al 6 de noviembre.
Lectura recomendada
- Otros incidentes de venta por correo y datos de tarjetas: Acceso no autorizado a la tienda oficial de Good Smile Company / RIZAP y el robo de datos de tarjetas de Aporito
- Detectar contactos falsos: ¿Qué es el phishing? / Conceptos básicos de seguridad del smartphone
- Contraseñas: Cómo elegir un gestor de contraseñas
- Otros incidentes de 2026: Lista de filtraciones de datos y ciberataques (Japón y el mundo)