Para: cualquier persona que haya comprado online en Japón (sobre todo si recibió un correo de aviso de E-store), quien gestione una tienda en ShopServe y quien esté registrado como afiliado. Este artículo se basa en los avisos oficiales de E-store (hasta el informe final del 16 de octubre de 2026) y en los comunicados de las tiendas afectadas, y no trata técnicas de ataque.
Corregido en el informe final (qué difiere del segundo informe)
El segundo informe decía que también se habían filtrado los IDs y contraseñas del sistema de correo y del FTP de las tiendas, y los datos de las cuentas bancarias a las que E-store transfiere dinero (cuentas de pago). En el informe final, la investigación confirmó que estos datos no se filtraron, y se retiraron de la lista. La cifra también pasó de los 8.853.839 registros del segundo informe (que posiblemente incluían duplicados) a "unas 23.356.000 personas" tras eliminar duplicados. Las unidades difieren, así que las dos cifras no pueden compararse.
Qué deben hacer hoy los compradores
Compruebe si está afectado (empiece por los nombres de las tiendas)
Hasta donde este sitio ha podido comprobar, E-store no ha publicado una lista de tiendas afectadas. Puede comprobarlo de tres maneras:
- Busque un aviso individual de E-store (la empresa dice que los avisos individuales están completos)
- Consulte los sitios oficiales de las tiendas online que haya usado por si hay avisos sobre acceso no autorizado o sobre E-store
- Pregunte mediante el formulario de consultas para compradores enlazado desde el informe final de E-store
Para las personas cuyos datos de contacto no pudieron confirmarse, la empresa dice que su aviso público y su servicio de consultas hacen las veces de notificación. Al menos una tienda afectada dijo que sus compradores afectados se remontan a 2008. Una compra hecha hace años aún puede estar incluida.
Desconfíe de los mensajes que citen datos reales de un pedido o los últimos cuatro dígitos de su tarjeta
La filtración incluye nombres, direcciones, teléfonos, correos electrónicos y lugares de trabajo, además del nombre del titular, los primeros 6 y los últimos 4 dígitos de la tarjeta y la fecha de caducidad. Eso significa que un mensaje falso puede decir "su tarjeta terminada en 1234" y acertar con los datos.
E-store dice que nunca pide por correo ni SMS que se vuelvan a introducir datos de tarjeta, que se vuelva a pagar ni contraseñas, y advierte de correos, SMS y llamadas sospechosos que se hacen pasar por la empresa o por entidades financieras. Si recibe un mensaje así, no use sus enlaces ni sus números de teléfono; abra usted mismo el sitio oficial de la tienda o de su emisor de tarjeta (véase ¿Qué es el phishing?).
Revise los extractos de su tarjeta
Según la empresa, no conserva números completos de tarjeta ni códigos de seguridad, y no se filtraron. A unas 2.096.900 personas se les incluyeron datos parciales de su tarjeta. Aun así, por si un mensaje falso engaña a alguien para que introduzca datos de su tarjeta, revise sus extractos este mes y los próximos meses.
Si ve un cargo que no reconoce, llame al número que figura en el reverso de su tarjeta. También puede preguntar a su emisor si hace falta cambiar la tarjeta.
Cambie las contraseñas reutilizadas
La empresa dice que las contraseñas de los miembros se almacenan cifradas y considera improbable que puedan identificarse, y dice que los datos filtrados no permiten vincular a un miembro con la tienda que usa. Si usa el mismo correo electrónico y la misma contraseña en otros servicios, cámbielas. La empresa también recomienda una contraseña distinta para cada servicio y la autenticación multifactor.
También es sensato cambiar su contraseña de miembro en la tienda que usó. Un gestor de contraseñas es la forma práctica de llevar el control.
Si indicó su lugar de trabajo, esté atento también a mensajes sospechosos en el trabajo
Los datos de los compradores incluyen el lugar de trabajo. Si hizo que le entregaran pedidos en su oficina, pueden llegar mensajes que combinen su nombre y su empresa por correo o teléfono del trabajo. Compruebe cualquier asunto sobre entregas o pagos mediante el sitio oficial de la tienda.
Qué deben hacer hoy los dueños de tiendas y los afiliados
Según el informe final de E-store, se filtraron los IDs y contraseñas del panel de administración de las tiendas, los datos de la tienda impresos en los comprobantes de pago en tiendas de conveniencia (nombre del responsable de ventas, nombre de la tienda, código postal, dirección, teléfono y fax) y los correos electrónicos y contraseñas de los afiliados. Los IDs y contraseñas del sistema de correo y del FTP de las tiendas, y los datos de las cuentas bancarias a las que E-store transfiere dinero (cuentas de pago), que figuraban como filtrados en el segundo informe, se corrigieron como no afectados.
Cambie su contraseña de administración y active la verificación en dos pasos
Los IDs y contraseñas del panel de administración de las tiendas figuran entre los datos filtrados. Cambie la contraseña. La empresa dice que ha reforzado la autenticación de administración como medida preventiva (incluida la autenticación de dos factores), así que active cualquier función de ese tipo que tenga disponible. Si usó la misma contraseña en otros servicios, cámbiela también allí.
Si estaba registrado como afiliado, cambie su contraseña
Los correos electrónicos y contraseñas de los afiliados también están incluidos. Cambie la contraseña, y cámbiela en cualquier otro servicio que use el mismo correo electrónico y la misma contraseña. Si un mensaje sobre recompensas o una comprobación de la cuenta llega a su correo registrado, no abra sus enlaces; compruebe mediante el sitio oficial.
Revise en el panel de administración los cambios que usted no hizo
La empresa dice que no se había comunicado ningún daño secundario concreto causado por el incidente. Como precaución, busque en el panel de administración, en el historial de inicios de sesión y los cambios recientes de configuración, algo que su equipo no haya hecho. Si encuentra algo, contacte con el servicio de atención a tiendas de E-store (teléfono 03-6434-0946, días laborables de 10:00 a 18:00, hora de Japón).
Esté atento a contactos que usen los datos de su tienda en los comprobantes de pago
Están incluidos el nombre de su responsable de ventas, el nombre de la tienda, el código postal, la dirección y los números de teléfono y fax que figuran en los comprobantes de pago en tiendas de conveniencia. Si una llamada, un fax o un correo sospechoso dirigido a su tienda dice proceder de un socio comercial o tratar de un pago, no use los datos de contacto que facilite; compruebe mediante un canal oficial (para proteger su propio dominio, véase SPF, DKIM y DMARC).
Publique un aviso para sus propios clientes
La mayoría de los compradores no conoce el nombre ShopServe, así que el aviso de E-store por sí solo no les dice de qué tienda se trata. Un aviso en su propio sitio que indique el periodo afectado, los datos filtrados (incluido si hubo datos de tarjeta) y un punto de contacto permite a los compradores valorar su propia situación.
Qué ocurrió (según los avisos de E-store)
E-store Co., Ltd. publicó un primer aviso el 1 de agosto de 2026, un segundo aviso el 2 de agosto y un informe final el 16 de octubre. Lo siguiente procede de los avisos oficiales de la empresa; donde difieren del segundo informe, prevalece el informe final.
21 de mayo – 1 de agosto de 2026
El periodo en que un tercero externo explotó una vulnerabilidad en una aplicación del servidor y usó un programa malicioso para enviar al exterior contenido de la base de datos (informe final).1 de agosto
La empresa confirmó una filtración de datos de compradores por acceso no autorizado a sus servidores y publicó su primer aviso. Dijo que había cortado la comunicación con el origen del ataque y confirmado que ya no era posible acceder.2 de agosto
Segundo aviso. Fijó el inicio del periodo el 21 de mayo y añadió a los datos filtrados datos parciales de tarjetas y las credenciales y los datos de las cuentas de pago de los comercios (el correo, el FTP y los datos de las cuentas de pago se corrigieron en el informe final).Desde agosto
Las tiendas afectadas empezaron a anunciar el impacto en sus propios sitios. Los comunicados de tiendas que decían que E-store las había informado continuaron durante septiembre.16 de octubre
Informe final. La investigación forense de un especialista externo no encontró otra vía de intrusión ni puertas traseras. Fijó la cifra de afectados en unas 23.356.000 personas y corrigió que las credenciales de correo y FTP de las tiendas y los datos de las cuentas de pago de E-store no se filtraron.
- Datos de compradores
- Nombre, dirección, números de teléfono y fax, correo electrónico, lugar de trabajo y otra información que los clientes introdujeron voluntariamente (incluidos datos de entrega)
- Datos de miembros
- IDs de miembro y contraseñas cifradas. La empresa considera improbable que las contraseñas puedan identificarse, y dice que los datos no permiten vincular a un miembro con una tienda
- Tarjetas de crédito
- Nombre del titular, primeros 6 y últimos 4 dígitos de la tarjeta, fecha de caducidad (unas 2.096.900 personas). Los números completos de tarjeta y los códigos de seguridad no se conservan y no se vieron afectados
- Datos de tiendas
- IDs y contraseñas del panel de administración; datos de la tienda en los comprobantes de pago en tiendas de conveniencia (nombre del responsable de ventas, nombre de la tienda, código postal, dirección, teléfono y fax)
- Afiliados
- Correos electrónicos y contraseñas
- Corrección (retirado del segundo informe)
- Se confirmó que no se filtraron los IDs y contraseñas del sistema de correo y del FTP de las tiendas ni los datos de las cuentas bancarias de E-store
- Cifra
- Unas 23.356.000 personas (compradores y miembros, operadores de tiendas y afiliados en conjunto) y 7.858 tiendas (incluidas las actuales y las antiguas de ShopServe). Cifra aproximada tras cotejar varios campos para eliminar duplicados; pueden quedar algunos duplicados que no cumplieron los criterios
- Causa
- Un tercero externo explotó una vulnerabilidad en una aplicación del servidor, ejecutó un programa malicioso y envió al exterior contenido de la base de datos, del 21 de mayo al 1 de agosto
- Investigación
- Origen del ataque bloqueado el 1 de agosto; la corrección de la vulnerabilidad se ha llevado a cabo. Un especialista externo no encontró otra vía de intrusión ni puertas traseras, ni indicios de los datos en la dark web
- Daños secundarios
- En el momento del informe final, no se había comunicado ningún daño secundario concreto causado por el incidente
- Notificación y medidas
- Comunicado a la Comisión de Protección de Información Personal y a la Oficina de Telecomunicaciones de Kanto; se consultó a la policía. Avisos individuales completados (el aviso público y el servicio de consultas hacen sus veces donde se desconocen los datos de contacto). Evaluaciones de vulnerabilidades y autenticación de administración reforzada, incluida la autenticación de dos factores
- Contacto
- Compradores, miembros y afiliados: el formulario de consultas de la empresa / Tiendas: teléfono 03-6434-0946 (días laborables de 10:00 a 18:00, hora de Japón)
Nota de lectura: los datos filtrados difieren según la tienda
El aviso de E-store enumera todo lo que se filtró en el conjunto del servicio. Los comunicados de las tiendas afectadas muestran que algunas incluyeron datos de tarjeta y otras no, y que el periodo de compras afectado también difiere según la tienda.
La forma fiable de conocer su propia situación es el aviso de la tienda que usó. Si no encuentra ninguno, pregunte a la tienda o al contacto de E-store.
Por qué un solo servicio filtró datos de compradores de muchas tiendas
En un servicio como ShopServe, muchas tiendas comparten los mismos servidores y el mismo software. Para un comprador parecen tiendas distintas, pero el lugar donde se guardan los datos de los pedidos y los programas que los tratan son compartidos.
Tienda online de la empresa A
Tienda online de la empresa B
Tienda online de la empresa C
↓ los compradores ven solo el nombre de cada tienda ↓
Servidores compartidos (ShopServe)
datos de compradores de todas las tiendas, números de tarjeta parciales, contraseñas de administración de las tiendas
↓ 21 de mayo – 1 de agosto de 2026: un programa malicioso envía los datos al exterior ↓
Unas 23.356.000 personas
Esta estructura tiene ventajas. Cada tienda no necesita su propio servidor, y las actualizaciones de seguridad pueden aplicarse en un solo lugar. Pero cuando se vulneran los servidores compartidos, no es el problema de una sola tienda, sino que se ven afectados los compradores de todas las tiendas.
Lo que lo complica para los compradores es que recuerdan en qué tienda compraron, pero no con qué servicio funciona esa tienda. Por eso es difícil saber si le afecta este incidente.
No es prueba de que un mensaje sea auténtico
- Muestra su nombre, dirección y teléfono
- Los últimos cuatro dígitos o la fecha de caducidad de su tarjeta son correctos
- Nombra una tienda en la que ha comprado
Lo que puede comprobar usted mismo
- Si Mi Página o un punto de contacto abierto desde el sitio oficial de la tienda le dice lo mismo
- Si el cargo aparece en la app oficial o en el extracto online de su emisor de tarjeta
- Si el mensaje le pide que introduzca un número de tarjeta o una contraseña
Para quien gestione un servicio que guarda datos de muchas tiendas
La empresa señala como causa una vulnerabilidad en una aplicación, pero no ha dicho de qué fallo se trataba. Esta sección se ciñe a puntos generales que pueden revisar los servicios de la misma forma (un sistema que guarda datos de muchas empresas clientes).
Trate "un proceso leyó datos de muchas tiendas" como señal de alerta
El tratamiento normal de pedidos maneja los datos de una sola tienda por operación. Un único proceso o conexión de base de datos que lea datos de muchas tiendas en poco tiempo es inusual fuera de los trabajos por lotes programados.
Un primer paso: a partir de los registros de auditoría de la base de datos, cuente las "tiendas tocadas por hora" para cada origen de conexión, y genere una alerta cuando algo que no sea un trabajo por lotes conocido supere un límite (por ejemplo, 10 tiendas).
Limite el tráfico saliente de los servidores según el destino
En este caso, el contenido de la base de datos se envió al exterior desde los servidores. Los servidores que procesan pedidos solo necesitan llegar a unos pocos destinos, como procesadores de pago y empresas de reparto.
Permita el tráfico saliente solo hacia los destinos que necesite, y registre y alerte sobre el tráfico hacia cualquier otro lugar y sobre transferencias inusualmente grandes. Los cortafuegos y la configuración de red en la nube pueden hacerlo.
Proteja los secretos de cada tienda por separado de los datos de la tienda
Si credenciales como las contraseñas de administración de las tiendas pueden leerse del mismo lugar que los datos de los compradores, salen juntas. Almacene las credenciales en una forma que no pueda restaurarse, y guarde todo lo que deba ser restaurable en un almacén aparte con una clave distinta.
Véase almacenamiento seguro de contraseñas (hash y sal) para el almacenamiento, y la base mínima de seguridad para organizaciones para el panorama general.
Dé a las empresas clientes lo que necesitan para explicar una filtración a sus compradores
Los compradores solo conocen el nombre de la tienda que usaron. Un único aviso general del operador del servicio no les permite saber si están afectados.
Asegúrese de poder elaborar con rapidez, por tienda, el periodo afectado, los datos filtrados y si hubo datos de tarjeta, e incluya en su procedimiento de respuesta a incidentes entregar eso a cada empresa cliente para que pueda explicarlo a sus propios compradores.
Para otros casos de compras online, véase la filtración de Abahouse (datos de pedidos y correos falsos de reembolso) y la tienda online APORITO (RIZAP); para otras grandes filtraciones japonesas de este año, véase las principales filtraciones de datos de Japón en 2026.
Fuentes (registros públicos)
Los hechos de este artículo se basan en las fuentes públicas siguientes. No se especula sobre los métodos o causas de la intrusión que no se han revelado.
- E-store Co., Ltd., disculpa y aviso sobre una filtración de datos personales por acceso no autorizado (1 de agosto de 2026, en japonés) — estore.jp
- E-store Co., Ltd., aviso sobre una filtración de datos personales por acceso no autorizado (segundo aviso, 2 de agosto de 2026, en japonés) — estore.jp
- E-store Co., Ltd., aviso sobre una filtración de datos personales por acceso no autorizado (informe final, 16 de octubre de 2026, en japonés) — estore.jp
- Ejemplos de comunicados de tiendas afectadas (en japonés): Harima Chemicals Group, Inc. (segundo aviso, 10 de agosto de 2026) — harima.co.jp / PFU Limited (18 de septiembre de 2026) — pfu.ricoh.com
- Los comunicados de tiendas y las noticias siguientes pueden reflejar los datos y cifras hasta el segundo informe; donde difieren del informe final, prevalece el informe final.
- Security NEXT (en japonés) — security-next.com
- INTERNET Watch (en japonés) — internet.watch.impress.co.jp
Historial de actualizaciones
2026-10-03: Primera versión, basada en los avisos de E-store del 1 de agosto (primero) y del 2 de agosto (segundo) y en comunicados de tiendas afectadas. El primer aviso situó la filtración en la mañana del 1 de agosto; el segundo fijó el periodo del 21 de mayo al 1 de agosto y añadió a los datos filtrados datos parciales de tarjetas y datos de comercios.
2026-10-30: Reescrito con el informe final (16 de octubre). Correcciones: (1) Los IDs y contraseñas del sistema de correo y del FTP de las tiendas, y los datos de las cuentas bancarias a las que E-store transfiere dinero (cuentas de pago), que figuraban como filtrados en el segundo informe, se confirmó mediante la investigación que no se filtraron, y se retiraron. Los pasos para dueños de tiendas relacionados con ellos (cambiar las contraseñas de correo y FTP, revisar las páginas por manipulación y reglas de reenvío, revisar la cuenta bancaria) se retiraron y se sustituyeron por pasos sobre el panel de administración y los afiliados. (2) La cifra pasó de los 8.853.839 registros del segundo informe (que posiblemente incluían duplicados) a unas 23.356.000 personas del informe final (compradores y miembros, operadores de tiendas y afiliados en conjunto; aproximado tras eliminar duplicados). Las unidades difieren, así que no pueden compararse. Nuevos datos: la causa es una vulnerabilidad en una aplicación, unas 2.096.900 personas tenían incluidos datos parciales de su tarjeta, hay 7.858 tiendas afectadas, se incluyen datos de afiliados y el análisis forense no encontró otra vía ni puertas traseras. La empresa dice que la investigación ha concluido; actualizaremos este artículo si publica más información.
Lectura recomendada
- Estafas derivadas: ¿Qué es el phishing? / Abahouse (datos de pedidos y correos falsos de reembolso)
- Datos de tarjetas: El caso de los datos de tarjetas de la tienda online APORITO (RIZAP)
- Contraseñas: Cómo elegir un gestor de contraseñas / Cómo elegir la autenticación multifactor
- Otros incidentes en Japón este otoño: Yamato Transport y Sagawa Express (remitentes y destinatarios de paquetes) / Times Car
- Otros incidentes de 2026: lista de filtraciones y ciberataques (Japón y en el mundo)
- Para operadores: La base mínima de seguridad para organizaciones