Para: socios del Club Seicomart en Japón que alguna vez se hayan registrado en la app de Seicomart (las personas que dieron de baja la Tarjeta Club antes del 24 de septiembre no están afectadas), y cualquiera que gestione una app de socios. Este artículo se basa en los avisos oficiales de Seicomart Co., Ltd. y no trata técnicas de ataque.
En desarrollo: este artículo se actualizará a medida que la empresa publique más información
A fecha de 7 de octubre de 2026Aún no se conoce
- Causa (cómo se produjo el acceso)
- Medidas para evitar que se repita
- Cuándo volverá el inicio de sesión en la app
- Cuándo volverá el inicio de sesión de socios en la tienda online y en los sitios de reserva
La empresa afirma que sigue investigando con una firma externa y que no da detalles porque colabora con la policía y otras autoridades. Dice que publicará la causa y las medidas de prevención en su sitio web cuando se conozcan.
Qué deben hacer los socios hoy
Consulte los avisos de la app para saber si está afectado
Desde el 5 de octubre, la empresa informa a todos los socios de la app, mediante los avisos de la app, si sus datos estaban incluidos. Compruébelo dentro de la app oficial que abra usted mismo, no en un correo o SMS que diga informarle.
Si no puede iniciar sesión en la app, la empresa pide que use la Pecoma Card de plástico. Si no tiene una, espere a que vuelva el inicio de sesión o solicite en tienda la reemisión de una Pecoma Card y contacte con la ventanilla de la Tarjeta Club (0120-515-413, de lunes a sábado, de 9:00 a 17:00). Si no puede comprobar en la app si está afectado, consulte con el servicio de atención al cliente (0120-89-8551).
No siga enlaces ni instrucciones de correos, SMS o llamadas que digan ser de la empresa
Los datos expuestos combinan apellido y nombre, dirección, fecha de nacimiento, número de teléfono y correo electrónico. Con todo eso, un estafador puede enviar un mensaje con el nombre y la dirección correctos.
Si recibe un mensaje sobre "puntos por disculpas", "volver a registrar sus datos de socio" o "consultar el saldo de Peco Mama Money", no abra el enlace; abra usted mismo la app oficial o pregunte en tienda. Los SMS falsos (smishing) y las llamadas telefónicas que intenten obtener datos personales se tratan de la misma manera (véase ¿Qué es el phishing?).
No dé nunca a nadie su PIN, contraseñas ni datos de tarjetas
La empresa afirma que nunca pedirá, por ningún medio, datos de tarjetas de crédito, contraseñas ni PIN (números de identificación personal). Esto incluye llamadas y SMS, no solo correos electrónicos.
Que alguien conozca su nombre y su fecha de nacimiento no demuestra que sea auténtico. Son justamente los datos que fueron vistos.
Deje de usar su fecha de nacimiento como PIN o como respuesta de verificación de identidad
Las fechas de nacimiento se usan a menudo como PIN de tarjetas, como respuestas a preguntas de seguridad y para verificaciones de identidad por teléfono. En este incidente, la fecha de nacimiento fue vista junto con la dirección y el número de teléfono.
Si su Pecoma Card, su tarjeta bancaria o cualquier otro PIN usa los dígitos de su fecha de nacimiento, cámbielo por un número sin relación. Si un servicio permite fijar una frase de contraseña o una verificación adicional para la atención telefónica, configúrela.
Si reutiliza la misma contraseña en otros sitios, sepárelas
La empresa afirma que los datos de contraseña no se filtraron y no pide a los socios que cambien sus contraseñas. A fecha de 7 de octubre, la función de inicio de sesión de la app aún está pendiente de restablecerse.
Si usa la misma contraseña en otros servicios, sepárelas ahora. Un gestor de contraseñas es la forma realista de hacer el inventario.
Vigile su saldo de Peco Mama Money por si hay disminuciones inesperadas
La empresa afirma que no se ha detectado ningún uso indebido de Peco Mama Money. Indica que se puede seguir usando y recargando Peco Mama Money, acumulando puntos y comprando a precios de socio.
Si nota una disminución de su saldo que no puede explicar, por ejemplo en un recibo, llame al servicio de atención al cliente (0120-89-8551, de lunes a sábado, de 9:00 a 17:00). Use el número del sitio web oficial, no uno que aparezca en un mensaje que haya recibido.
Qué ocurrió (según los avisos de Seicomart)
Seicomart Co., Ltd. publicó su primer y segundo avisos el 29 de septiembre de 2026, un tercero el 30 de septiembre y un cuarto el 5 de octubre. Todo lo siguiente es tal como lo indica la empresa en sus avisos.
24 sep 2026 (jue.), 22:00–23:00
Una cuenta tuvo su membresía de la Tarjeta Club cancelada sin autorización. No se encontraron cancelaciones no autorizadas en otras cuentas.28 sep (lun.), poco después de las 17:00
A partir de ese caso, la empresa detectó que el servidor de socios pudo haber sido accedido sin autorización.28 sep, 20:00
Se cortó la conexión con el servidor. Se suspendieron los nuevos registros, los cambios en los datos de socio, los cambios en las tarjetas registradas, las cancelaciones y los inicios de sesión en Mi página.29 sep
Primer aviso (unas 570.000 cuentas) y segundo aviso (historial de compras no filtrado; inicios de sesión en la tienda online y en los sitios de reserva suspendidos).30 sep
Tercer aviso: la empresa confirmó que se vieron datos de 572.022 personas e informó del incidente a las autoridades según la Ley de Protección de Información Personal de Japón.5 oct
Cuarto aviso: 574.647 personas están afectadas, sin incluir a quienes se dieron de baja antes del 24 de septiembre. La empresa comenzó a informar a todos los socios de la app, mediante los avisos de la app, si están afectados, y terminó las funciones de la app y la web para cambiar datos de socio y tareas similares.
- Quiénes
- 574.647 personas entre los socios del Club registrados en la app de Seicomart. Las personas que dieron de baja la Tarjeta Club antes del 24 de septiembre y las que nunca se registraron en la app no están afectadas
- Datos vistos
- Apellido y nombre, sexo, fecha de nacimiento, dirección, número de teléfono, correo electrónico, fecha de alta en la Tarjeta Club, fecha de baja en la Tarjeta Club
- No filtrado
- Datos de contraseña e historial de compras. La empresa no guarda datos de tarjetas de crédito
- Cómo comprobar si está afectado
- Desde el 5 de octubre, todos los socios de la app son informados mediante los avisos de la app
- Dinero electrónico
- No se ha detectado ningún uso indebido de Peco Mama Money
- Causa
- No revelada. En investigación con una firma externa; detalles reservados porque la empresa colabora con la policía y otras autoridades
- Funciones terminadas
- Nuevos registros, consulta y cambio de datos de socio, y cambio de tarjetas registradas en la app y en la web. Las solicitudes se aceptan ahora en tienda o mediante un formulario en la app o en la web, y la empresa realiza el cambio
- Suspendido
- Inicio de sesión en la app (pendiente de restablecerse), la tienda online oficial, el sitio de pedidos Pecoma Market, el inicio de sesión de socios en el sitio de reservas de productos (fechas de reinicio por anunciar)
- Si no puede iniciar sesión
- Use la Pecoma Card de plástico. Si no tiene una, solicite su reemisión en tienda y contacte con la ventanilla de la Tarjeta Club (0120-515-413, de lunes a sábado, de 9:00 a 17:00)
- Contacto
- Atención al cliente de Seicomart, 0120-89-8551 (de lunes a sábado, de 9:00 a 17:00, Japón)
Notas para los socios
Según el segundo aviso, los puntos que caducaban a finales de septiembre se han prorrogado un mes. Los pedidos de Pecoma Market todavía pueden realizarse en las fotocopiadoras multifunción de las tiendas. El sitio de reservas de productos acepta reservas como invitado, sin inicio de sesión de socio.
Qué se sabe y qué no
Situación a 7 de octubre de 2026. Cuando se publique un aviso de seguimiento, actualizaremos la columna de estado.
| Concepto | Lo que indican los avisos | Estado |
|---|---|---|
| Número de afectados | 574.647 de los socios del Club registrados en la app | Confirmado (según la empresa) |
| Datos vistos | Nombre, sexo, fecha de nacimiento, dirección, número de teléfono, correo electrónico, fecha de alta, fecha de baja | Confirmado |
| Personas que se dieron de baja antes del 24 de septiembre | No incluidas | Confirmado |
| Contraseñas e historial de compras | No filtrados | Confirmado (según la empresa) |
| Datos de tarjetas de crédito | Nunca almacenados | Confirmado |
| Si usted está afectado | Todos los socios de la app informados mediante los avisos de la app desde el 5 de octubre | Notificación iniciada |
| Uso indebido de Peco Mama Money | No detectado | No detectado |
| Causa y método de acceso | En investigación con una firma externa; detalles reservados mientras se colabora con la policía | En investigación |
| Medidas de prevención | Se publicarán en el sitio web cuando se conozcan | No revelado |
| Cambio de datos de socio y nuevos registros | Funciones de la app y la web terminadas; se aceptan en tienda o mediante formulario | Confirmado |
| Inicio de sesión en la app | Se pide a los socios esperar a que vuelva; no se da fecha | Sin decidir |
| Inicio de sesión de socios en la tienda online y los sitios de reserva | Suspendido; fechas de reinicio por anunciar | Sin decidir |
Para qué pueden usarse los datos expuestos combinados
Ninguno de estos datos es raro por sí solo, pero juntos resultan más útiles para un estafador. En particular, una fecha de nacimiento conocida junto con una dirección y un número de teléfono facilita superar verificaciones de identidad en otras empresas.
Nombre + dirección + teléfono + correo
↓→
Correos, SMS y llamadas de estafa con sus datos correctos
→ No abra enlaces; compruebe en la app oficial o en tienda
Fecha de nacimiento + dirección + teléfono
↓→
Verificaciones telefónicas en otras empresas; PIN con fecha de nacimiento
→ Cambie el PIN; configure una frase de contraseña
Fechas de alta y baja
↓→
Mensajes que citan su historial de socio
→ Conocer su historial no hace que quien llama sea auténtico
No filtrados, según la empresa
- Datos de contraseña
- Historial de compras
- Datos de tarjetas de crédito (nunca almacenados)
Vistos (difíciles de cambiar por uno mismo)
- Nombre, sexo y fecha de nacimiento
- Dirección y número de teléfono (salvo que se mude o cambie de número)
- Correo electrónico (se puede cambiar, pero es engorroso)
Cómo leerlo: «no se ha detectado uso indebido» no significa «seguro a partir de ahora»
La empresa afirma que no se ha detectado ningún uso indebido de Peco Mama Money. Eso significa que todavía no se ha encontrado nada, no que los datos vistos nunca vayan a usarse.
Las direcciones y las fechas de nacimiento no cambian con el tiempo, por lo que pueden usarse en mensajes de estafa meses o años después. Esté atento a mensajes que usen este incidente como excusa para contactarle.
Las personas afectadas son socios del Club que "se han registrado" en la app; quienes dieron de baja la Tarjeta Club antes del 24 de septiembre no están incluidos. Aunque ya no use la app, conviene comprobar si está afectado a través de los avisos de la app o del servicio de atención al cliente. Para conocer las normas de la ley japonesa de privacidad sobre solicitar que una empresa deje de usar o elimine sus datos, véase la filtración de Times Car.
Para quienes gestionan apps de socios
Según el aviso, el acceso se produjo a través del servidor de la app hasta el servidor que almacena los datos de los socios. El método concreto no se ha revelado, por lo que esta sección se limita a puntos que cualquier servicio con la misma configuración puede revisar.
Limite lo que el servidor de la app puede leer de la base de datos de socios
Una pantalla de la app normalmente solo necesita los datos propios del socio que ha iniciado sesión. Compruebe si el servidor de la app tiene permiso para leer la dirección y la fecha de nacimiento de todos los socios a la vez.
Establezca límites tanto en la app como en la base de datos: no devuelva registros que no sean los del propio socio, y limite cuántos registros puede devolver una misma solicitud (antecedentes: Autenticación frente a autorización).
Sea capaz de detectar operaciones inusuales que cambien el estado de un socio
El incidente salió a la luz porque la membresía de una cuenta fue cancelada sin autorización. Las operaciones que cambian el estado de un socio (cancelación, cambio de tarjeta registrada, cambio de datos de contacto) son poco frecuentes, por lo que la actividad inusual destaca.
Un primer paso es registrar cuántas de estas operaciones se producen por hora y avisar a alguien cuando el número alcance varias veces el nivel habitual. Establecer límites y generar alertas al alcanzarlos se trata en Limitación de tasa y control de abusos.
Decida cuánto tiempo conservar los datos personales de los antiguos socios
Indique qué datos deben conservarse, y durante cuánto tiempo, por motivos legales o contables, y elimine automáticamente el resto un periodo determinado después de que el socio se dé de baja. La eliminación manual no es duradera.
Para una comparación con otras grandes filtraciones japonesas comunicadas el mismo año, véase Las principales filtraciones de datos de 2026 en Japón.
Fuentes (registro público)
Los hechos de este artículo proceden de las fuentes públicas que se indican a continuación. No se especula sobre métodos o causas de la intrusión que no hayan sido revelados.
- Seicomart Co., Ltd., disculpas y aviso sobre la posible filtración de datos personales por acceso no autorizado a la app de Seicomart (primer aviso, 29 de septiembre de 2026, en japonés) — secoma.co.jp (PDF)
- Ídem (segundo aviso, 29 de septiembre de 2026: historial de compras no filtrado; tienda online y sitios de reserva suspendidos, en japonés) — secoma.co.jp (PDF)
- Ídem (tercer aviso, 30 de septiembre de 2026: visualización confirmada; comunicación a las autoridades, en japonés) — secoma.co.jp (PDF)
- Seicomart Co., Ltd., disculpas y aviso sobre la visualización de datos personales por acceso no autorizado a la app de Seicomart (cuarto aviso, 5 de octubre de 2026: 574.647 personas afectadas; no incluidas las que se dieron de baja antes del 24 de septiembre; notificación en la app; funciones terminadas, en japonés) — secoma.co.jp (PDF)
- Sitio web oficial de Secoma, página de avisos con los avisos primero a cuarto (en japonés) — secoma.co.jp
- INTERNET Watch, informe sobre la posible filtración de datos de socios de unas 570.000 cuentas (29 de septiembre de 2026, en japonés) — internet.watch.impress.co.jp
Historial de actualizaciones
2026-10-03: Primera versión, basada en los avisos primero y segundo de Seicomart (29 de septiembre) y el tercero (30 de septiembre).
2026-10-07: Actualizada con el cuarto aviso del 5 de octubre. El número de afectados cambió de 572.022 a 574.647; se añadió que las personas que se dieron de baja antes del 24 de septiembre no están incluidas, que los socios son informados en la app sobre si están afectados, y que han terminado las funciones de la app y la web para cambiar datos de socio y tareas similares. Este artículo se actualizará cuando se publiquen la causa, las medidas de prevención y las fechas de reinicio de los servicios suspendidos.
Lectura recomendada
- Un caso similar: La filtración en la app de Yakiniku King (unos 10,79 millones de registros) / La filtración de datos de socios de Bookoff (hasta unos 6,43 millones de registros)
- Estafas derivadas: ¿Qué es el phishing? / Nociones básicas de seguridad en el smartphone / Falsas alertas de virus (estafas de soporte técnico)
- Contraseñas: Cómo elegir un gestor de contraseñas / Cómo elegir la autenticación multifactor
- Otros incidentes japoneses en la misma época: La filtración de Times Car / Las principales filtraciones de datos de 2026 en Japón
- Otros incidentes de 2026: lista de filtraciones y ciberataques (Japón y en el mundo)
- Para operadores: La base mínima de seguridad para organizaciones
- Malware en el PC de un contratista de Daiichikosho (unos 8,72 millones de registros)