Para: personas que recibieron un reparto de 7NOW (como destinatarias de la entrega) y operadores de servicios que subcontratan el reparto. Este artículo explica el aviso oficial de Seven-Eleven Japan Co., Ltd. y no trata métodos de ataque.
En desarrollo: este artículo se actualizará a medida que la organización publique más información
- A quién afecta
personas que recibieron un reparto de 7NOW (como destinatarias de la entrega) y operadores de servicios que subcontratan el reparto.
- Confirmado hasta ahoraVer la tabla ↓
- Acceso no autorizado de un tercero en el contratista de reparto
- Datos de solicitantes de 7NOW tomados
- Solo nombre (katakana)
4 más
- Nombre (katakana) y dirección
- Nombre (katakana), dirección, número de teléfono, código postal
- Fecha del pedido, nombre y dirección de la tienda, nombre del producto
- Contacto individual
- Aún sin confirmar
- Detalles de la causa y de la vía de la intrusión
- Período del acceso no autorizado
- Si se produce algún uso indebido o daño secundario
2 más
- Qué pedidos abarca y cómo se relacionan las tres cifras
- Estado de las medidas preventivas
- Qué hacer ahoraVer los pasos ↓
- No siga enlaces ni instrucciones de llamadas, mensajes de texto o correos que digan ser de 7NOW o de un reparto
- Si recibe un SMS de la empresa, compárelo con la página de avisos oficial
- Contraseñas y tarjetas: el aviso no da instrucción de cambiarlas
2 más
- No dé una contraseña, un número de tarjeta ni un PIN a quien le haya contactado
- Desconfíe por un tiempo de llamadas y mensajes desconocidos
- Dónde verificarlo (fuente)Todas las fuentes ↓
- Seven-Eleven Japan (SEJ) Co., Ltd., aviso sobre la filtración de información de clientes de 7NOW tras el acceso no autorizado a su contratista de reparto (en japonés, 3 de noviembre de 2026)
- Última comprobación
- A fecha del 5 de noviembre de 2026
Próximos avisos y qué comprobamos
El aviso de la empresa del 3 de noviembre no indica un calendario de seguimientos. El contratista dice que anunciará en su propio sitio cualquier novedad que deba divulgar. Comprobamos el aviso de la empresa y los avisos del contratista el 5 de noviembre y no encontramos ningún seguimiento de este incidente más reciente que el del 3 de noviembre.
Qué deben hacer hoy los usuarios de 7NOW
Tomado: nombre (katakana) / en algunos, dirección, teléfono, código postal
Puede alimentar llamadas, mensajes y correos de apariencia real dirigidos al destinatario
Tomado: en algunos, fecha del pedido, nombre y dirección de la tienda, nombre del producto
Puede alimentar mensajes que parecen conocer su pedido, como «sobre su pedido reciente»
No incluido: información de tarjetas de crédito, ID y contraseñas (empresa)
Tampoco se halló filtración ni alteración de las credenciales ni de los ajustes de integración de la empresa
No siga enlaces ni instrucciones de llamadas, mensajes de texto o correos que digan ser de 7NOW o de un reparto
Entre los elementos tomados están el nombre (katakana) y, en algunos registros, la dirección, el número de teléfono, el código postal, el nombre de la tienda y el nombre del producto. Con eso, un mensaje dirigido a usted puede parecer conocer su pedido. En general, el contacto falso construido en torno a un paquete o a un pedido se usa mucho.
Si recibe un mensaje sobre una «confirmación de pedido», un «reajuste de la entrega» o un «trámite de reembolso», no abra el enlace. Abra usted mismo el navegador y compruébelo en el sitio oficial. Los mensajes de texto falsos (smishing) funcionan igual (¿qué es el phishing?).
Si recibe un SMS de la empresa, compárelo con la página de avisos oficial
La empresa dice que contacta por turnos, por SMS al número de teléfono registrado, a los clientes afectados. El aviso no dice si ese SMS contiene una URL ni cómo se muestra el remitente, y no hemos podido confirmarlo.
Por eso, aunque llegue un SMS, no abra su enlace. Primero compruebe que coincide con el aviso (vea Fuentes). También puede usar la línea de consultas de 7NOW indicada en el aviso (0120-711-099, 9:00-21:00 JST). Tome el número del aviso oficial de la empresa, no del SMS.
Contraseñas y tarjetas: el aviso no da instrucción de cambiarlas
La empresa dice que no se filtró información de tarjetas de crédito ni ID ni contraseñas, y que la investigación del contratista no halló filtración ni alteración de sus propias credenciales ni de los ajustes de integración. El aviso no pide cambiar una contraseña ni una tarjeta.
Nuestra opinión: como los elementos tomados no incluyen contraseñas, no hace falta cambiar ahora la contraseña de 7NOW. Si reutiliza contraseñas, revisarlas es una buena práctica con independencia de este incidente (cómo elegir un gestor de contraseñas).
No dé una contraseña, un número de tarjeta ni un PIN a quien le haya contactado
Si quien llama puede indicar correctamente su nombre, su dirección o lo que pidió, eso no prueba que el contacto sea auténtico, porque es justo la información que se tomó. Si le piden una contraseña, un número de tarjeta o un código de verificación que llega por SMS, trátelo como falso.
Desconfíe por un tiempo de llamadas y mensajes desconocidos
A diferencia de una dirección de correo, un número de teléfono y una dirección son difíciles de cambiar. En general, un número de teléfono tomado puede atraer llamadas y mensajes de estafa, incluidos algunos que nada tienen que ver con 7NOW (opinión de este sitio). Activar los filtros de llamadas y SMS de spam del teléfono reduce cuántos le llegan (nociones básicas de seguridad en el smartphone).
Qué ocurrió (según Seven-Eleven Japan)
Seven-Eleven Japan Co., Ltd. publicó un aviso en su sitio oficial el 3 de noviembre de 2026 (título en japonés: disculpas y aviso sobre la filtración de información de clientes tras el acceso no autorizado al contratista de su servicio de reparto 7NOW). Salvo que se indique otra cosa, todo lo que sigue se basa en ese aviso.
Domingo 1 de noviembre de 2026
La empresa escribe que la investigación del contratista halló que un servicio operado por este para parte de los repartos de 7NOW había sido accedido sin autorización por un tercero.Martes 3 de noviembre
La investigación del contratista halló que también se había tomado parte de los datos de solicitantes de 7NOW, y se informó a la empresa. La empresa publicó su aviso ese mismo día y dice que lo ha comunicado a la Comisión de Protección de Información Personal.Respuesta (sin fecha)
Según el aviso de la empresa, el contratista cortó la comunicación desde el origen del acceso, suspendió las cuentas utilizadas indebidamente, corrigió el fallo aprovechado y restringió algunas funciones y el acceso desde fuera de Japón.A fecha del 5 de noviembre
No encontramos ningún seguimiento. Se está contactando por turnos, por SMS al número de teléfono registrado, a los clientes afectados.
- Datos cuya toma se confirmó
- Nombre (katakana) del solicitante (destinatario) solo, 164.180 registros / nombre (katakana) y dirección, 4.762 / nombre (katakana), dirección, número de teléfono y código postal, 209. En algunos registros, también fecha del pedido, nombre y dirección de la tienda, nombre del producto
- No incluido
- Información de tarjetas de crédito, ID y contraseñas. La investigación del contratista tampoco halló filtración ni alteración de las credenciales ni de los ajustes de integración de la empresa
- Estado del servicio
- 7NOW funciona con normalidad
- Daño
- Hasta ahora no se ha confirmado ningún uso indebido causado por este incidente
- Contacto con los clientes
- Se está contactando por turnos, por SMS al número de teléfono registrado, a los clientes afectados
- Comunicación a las autoridades
- Comunicado a la Comisión de Protección de Información Personal
- Consultas
- Línea de consultas de 7NOW (0120-711-099, 9:00-21:00 JST). El aviso indica también un contacto del contratista
Lo que el contratista publicó en su propio sitio
CBcloud Inc., el contratista de reparto, ha publicado en su propio sitio un primer y un segundo informe sobre su servicio «PickGo» (vea Fuentes). Lo siguiente se basa en esos dos avisos.
- Primer informe: confirmó el acceso no autorizado de un tercero el 1 de noviembre de 2026. Cortó la comunicación desde el origen, suspendió las cuentas utilizadas indebidamente, corrigió el fallo aprovechado y restringió algunas funciones y el acceso desde fuera de Japón. Dice que confirmó que no hubo infección por malware ni virus
- Segundo informe: dice que ha identificado el rango de información que puede haberse filtrado: nombre de la empresa, nombre del contacto registrado, dirección registrada, número de teléfono y dirección de correo, información de pedidos (nombres y direcciones de los puntos de recogida y entrega, etc.) e información de los conductores que gestionaron los pedidos. Lo describe como el rango más amplio posible y dice que el rango difiere de una empresa cliente a otra. Dice que no se tomó información de pago como cuentas bancarias y números de tarjeta, y que tampoco están incluidas las contraseñas de inicio de sesión
- Los elementos y cifras concretos confirmados para 7NOW son los que indica el aviso de Seven-Eleven Japan. El aviso del contratista no da cifras por empresa cliente
Un anuncio aparte de otro servicio a través del mismo contratista
Demae-can Co., Ltd. publicó también su propio aviso el 3 de noviembre de 2026 (vea Fuentes). Según este, un servicio del mismo contratista fue accedido sin autorización y se tomó parte de los datos de clientes de los casos de reparto de Demae-can. Las cifras confirmadas son 799 nombres de solicitante (destinatario), 794 direcciones y 33 números de teléfono y códigos postales, y dice que contactará por correo a los clientes afectados. Estas cifras proceden de un anuncio aparte y no se suman a las de 7NOW. Si usó Demae-can, consulte el aviso de Demae-can.
Qué se sabe y qué no
Estado a fecha del 5 de noviembre de 2026. Reescribiremos la columna de estado cuando haya seguimientos.
| Elemento | Qué dice el aviso | Estado |
|---|---|---|
| Acceso no autorizado de un tercero en el contratista de reparto | Hallado el 1 de nov. de 2026 (investigación del contratista) | Confirmado (empresa) |
| Datos de solicitantes de 7NOW tomados | Hallado el 3 de nov. Toma confirmada | Filtración confirmada (empresa) |
| Solo nombre (katakana) | 164.180 registros | Filtración confirmada (empresa) |
| Nombre (katakana) y dirección | 4.762 registros | Filtración confirmada (empresa) |
| Nombre (katakana), dirección, número de teléfono, código postal | 209 registros | Filtración confirmada (empresa) |
| Fecha del pedido, nombre y dirección de la tienda, nombre del producto | Tomados en algunos registros | Filtración confirmada (empresa) |
| Información de tarjetas de crédito, ID y contraseñas | No filtrados | No incluidos (empresa) |
| Filtración o alteración de las credenciales o de los ajustes de integración de la empresa | No hallada en la investigación del contratista | No incluidas (empresa) |
| Detalles de la vía y la causa | El fallo aprovechado se ha corregido (contratista). Sin detalle de la vía | No indicado |
| Período del acceso no autorizado | Hallado el 1 de nov. No se indica un período anterior | No indicado |
| Uso indebido o daño secundario | Ninguno confirmado hasta ahora | No confirmado hasta ahora (empresa) |
| Qué pedidos abarca, solapamiento de los tres grupos | No se indica en el aviso | No indicado |
| Contacto individual | Por turnos, por SMS al número de teléfono registrado | Confirmado (empresa) |
Nota: las cifras son registros, no personas, y las tres cifras no se suman
El aviso da cifras por combinación de elementos, en registros. No dice personas, y no dice si los tres grupos se solapan o son distintos. Por eso este sitio no da un total y no lo convierte en un número de personas. El aviso de la empresa no da un total.
Para qué puede servir la combinación de elementos
En general, estas combinaciones pueden llevar a los siguientes tipos de uso indebido. Eso no significa que haya ocurrido aquí.
- Nombre (katakana) + dirección: contacto dirigido al destinatario que se hace pasar por un aviso de un paquete no entregado o una nueva entrega. Acertar con el nombre basta para parecer auténtico
- Nombre (katakana) + número de teléfono: llamadas o mensajes de texto que fingen verificar su identidad para sacarle información
- Nombre de la tienda, nombre del producto, fecha del pedido: contacto como «sobre su pedido reciente» que parece conocer un pedido real. Conocer el pedido no prueba que sea auténtico
- Contraseña, información de tarjeta: la empresa dice que no se filtraron, así que no hay instrucción de cambiarlas
Para operadores de servicios que usan un contratista de reparto: qué permiten comprobar los hechos publicados
No se han publicado los detalles de la causa. Esta sección no evalúa a la empresa ni al contratista; se ciñe a lo que un operador puede comprobar en su propio servicio, a partir de hechos publicados.
Haga inventario de lo que entrega al contratista
Según el aviso, los elementos tomados fueron el nombre (katakana) del solicitante (destinatario), la dirección, el número de teléfono, el código postal, el nombre de la tienda, el nombre del producto y otros. El grupo con más registros es el de solo nombre (katakana). Revise si lo que pasa a su contratista se limita a lo que necesita el reparto. Los datos que no entrega no pueden filtrarse desde el contratista.
Decida cuándo detener la integración y cómo comprobar antes de reiniciarla
Según el aviso de Demae-can, fue informada el 2 de noviembre, detuvo su integración con el contratista poco después de las 14:00 de ese día, confirmó que la corrección estaba completa y reinició hacia las 21:00. Si decide de antemano cuándo detener y qué comprobar antes de reiniciar, no vacilará el día en que llegue un mensaje así.
Decida quién recibe los hallazgos del contratista y cómo contactará a los clientes
En el caso de 7NOW, la investigación del contratista halló el 3 de noviembre que también se habían tomado sus datos, y se anunció ese mismo día. Debe decidir de antemano cómo contactará a los clientes afectados (SMS, correo, app) el día en que se conozcan las cifras, y preparar una forma de que los clientes comprueben que el contacto es auténtico (el mismo contenido en una página oficial).
Fuentes (registros públicos)
Los hechos de este artículo se basan en la información pública siguiente. No hemos conjeturado sobre la causa, el período ni la vía de la intrusión, que no se han publicado.
- Seven-Eleven Japan (SEJ) Co., Ltd., aviso sobre la filtración de información de clientes de 7NOW tras el acceso no autorizado a su contratista de reparto (en japonés, 3 de noviembre de 2026) — sej.co.jp
- [Contratista de reparto], «Acceso no autorizado a PickGo y posible filtración de información personal (primer informe)» (en japonés) — cb-cloud.com
- [Contratista de reparto], «Acceso no autorizado a PickGo y posible filtración de información personal (segundo informe)» (en japonés, actualizado el 3 de noviembre de 2026) — cb-cloud.com
- Demae-can Co., Ltd., aviso sobre la filtración de información de clientes tras el acceso no autorizado a su contratista (en japonés, 3 de noviembre de 2026) — corporate.demae-can.co.jp
Historial de actualizaciones
2026-11-05: Primera versión, basada en el aviso de Seven-Eleven Japan del 3 de noviembre, los informes primero y segundo del contratista y el aviso de Demae-can del 3 de noviembre. Al comprobarlo el 5 de noviembre, no encontramos ningún seguimiento más reciente que el del 3 de noviembre. Actualizaremos cuando se publiquen la causa, el período, si se produce daño secundario y puntos similares.
Lectura recomendada
- Casos japoneses similares: Acceso no autorizado a Yamato Transport y Sagawa Express / Filtración de datos de miembros de MrMax / Acceso no autorizado a Nojima Online
- Teléfonos: Nociones básicas de seguridad en el smartphone
- Estafas posteriores: ¿Qué es el phishing?
- Otros incidentes de 2026: Filtraciones de datos y ciberataques (Japón y el extranjero)