Para: clientes en Hong Kong que compraron electrodomésticos a, registraron una garantía con, o reservaron instalaciones o reparaciones a través de las empresas de Shun Hing Group, o que eran miembros de PanaClub; y personal, personal de servicio y de proveedores que trabajaron con el grupo.
Este artículo se basa en la respuesta pública de la Oficina del Comisionado de Privacidad de Datos Personales (PCPD) y en el aviso oficial de Shun Hing Group. No aborda cómo se llevó a cabo el ataque.
Qué deben hacer ahora los clientes
Compruebe si está afectado solo a través de canales oficiales
Shun Hing Group afirma que cualquiera que quiera comprobar si su información se vio afectada puede enviar su nombre, número de teléfono y dirección de correo electrónico a la dirección de correo específica para el incidente que figura en su aviso. Copie usted mismo esa dirección desde el aviso en el sitio web oficial de Shun Hing Group; no responda a mensajes no solicitados «en nombre de Shun Hing» ni haga clic en sus enlaces. También puede llamar a la PCPD al 2827 2827.
Consulte las instrucciones más recientes de PanaClub en el sitio web oficial
En su aviso del 9 de julio de 2026, Shun Hing Group afirmó que PanaClub estaba suspendido y los miembros no necesitaban restablecer sus credenciales de acceso ni realizar ninguna acción sobre el acceso a la cuenta en ese momento. Compruebe el estado actual y cualquier acción requerida abriendo usted mismo el sitio web oficial para su guía más reciente. No use enlaces de restablecimiento de contraseña ni de verificación de cuenta en correos o mensajes. Para saber cómo reconocerlos, consulte ¿qué es el phishing?.
Ante llamadas sobre «reparación en casa» o «garantía que vence», cuelgue y llame usted de nuevo
El nombre, la dirección y el número de teléfono son exactamente lo que alguien necesita para hacerse pasar por una cita de reparación, un seguimiento de instalación o una oferta de ampliación de garantía. Cuando reciba una llamada o un mensaje así, cuelgue y llame de nuevo a un número que usted mismo busque, como la línea de atención al cliente de su tarjeta de garantía o del sitio web oficial. No pague, no inicie sesión ni facilite datos a través de un número o enlace que le proporcione quien llama.
Siga el consejo de la PCPD: contraseñas, autenticación multifactor e historial de inicio de sesión
La PCPD aconseja a las personas potencialmente afectadas que consideren cambiar las contraseñas de sus cuentas en línea y activar la autenticación multifactor cuando esté disponible, y que vigilen su correo personal y sus cuentas por inicios de sesión inusuales. Si usó su contraseña de PanaClub en otros sitios, cámbiela primero allí. Un gestor de contraseñas mantiene las contraseñas únicas; para elegir un segundo factor, consulte cómo elegir la autenticación multifactor.
Revise sus extractos bancarios
La PCPD aconseja revisar los extractos bancarios por si hay operaciones no autorizadas. Esto importa sobre todo para el personal, el personal de servicio y de proveedores cuyos números de documentos de identidad y de cuenta bancaria pueden haberse filtrado, ya que esos datos pueden usarse para hacerse pasar por un banco o un empleador. Si ve algo sospechoso, llame a su banco al número de su tarjeta o extracto.
Compruebe los números sospechosos con Scameter o el 18222
El sitio CyberDefender de la Policía de Hong Kong ofrece Scameter, que califica el riesgo de estafa de números de teléfono, direcciones de correo electrónico y sitios web, y el Centro de Coordinación Antiengaño de la policía gestiona la línea de ayuda contra estafas 18222. Tenga en cuenta que «sin registros» no significa seguro; devolver la llamada a un número que usted haya buscado sigue siendo la comprobación más fiable.
¿Quiere saber qué información tiene una empresa sobre usted? Presente una solicitud de acceso a datos
Según la Ordenanza de Datos Personales (Privacidad) de Hong Kong, puede presentar una solicitud de acceso a datos para saber qué datos personales tiene una organización sobre usted. La guía de procedimiento de la PCPD indica que use su formulario prescrito. Una organización generalmente dispone de 40 días para cumplir. Si no puede completar todo o parte dentro de ese plazo, debe notificarle por escrito los motivos dentro del mismo plazo, cumplir en la medida de lo posible y completar el resto lo antes posible. La denegación por motivos legales es un asunto aparte y requiere notificar los motivos. Para quejas sobre cómo se trataron sus datos, contacte con la PCPD (complaints@pcpd.org.hk, 2827 2827).
Nombre + dirección + teléfono (clientes)
→ Llamadas falsas de «cita de reparación», «garantía que vence» o «inspección en casa»
Compruebe: cuelgue y llame a un número que busque
Correo + membresía
→ Phishing de «Restablezca su contraseña de PanaClub» o «verifique su cuenta»
Compruebe: abra el sitio web oficial para la guía más reciente
Nº de documento de identidad + cuenta bancaria (personal, etc.)
→ Hacerse pasar por un banco o empleador, uso indebido de identidad
Compruebe: revise los extractos y llame a su banco
Aviso de Shun Hing del 9 de julio: no había pruebas de uso indebido en ese momento
Qué ocurrió (según la PCPD y Shun Hing Group)
Lo siguiente proviene de la respuesta de la PCPD del 2 de julio de 2026 a una consulta de medios y del aviso de Shun Hing Group del 9 de julio de 2026.
23 de marzo de 2026
La PCPD recibe una notificación de filtración de datos de Shun Hing Group y abre una investigación según su mecanismo establecido.2 de julio
En respuesta a una consulta de medios, la PCPD cita la información más reciente de la organización: los datos personales de más de 921.000 personas pueden haberse filtrado, y los de unas 1.050.000 personas pueden haber sido cifrados de forma maliciosa. La PCPD afirma que su investigación continúa.9 de julio
Shun Hing Group publica una actualización reciente: los datos potencialmente implicados incluyen nombres, números de teléfono, direcciones de correo electrónico y direcciones de facturación o de envío, sin pruebas en este momento de uso indebido; el sistema PanaClub ha sido suspendido; el grupo colabora plenamente con las fuerzas del orden y ha reforzado sus defensas de ciberseguridad.
- Clientes (~920.000)
- Nombres/títulos, direcciones, números de teléfono y direcciones de correo electrónico pueden haberse filtrado (el aviso de Shun Hing también menciona direcciones de facturación o de envío)
- Personal, personal de servicio/producto/proveedores (~1.000)
- Nombres/títulos, direcciones, números de teléfono, direcciones de correo electrónico, números de documentos de identidad, números de cuenta bancaria, salarios, etc. pueden haberse filtrado
- Cifrado malicioso
- La información de unas 1.050.000 personas, de las cuales unas 1.045.000 son clientes, puede haber sido cifrada de forma maliciosa (PCPD, citando la información más reciente de la organización)
- Uso indebido
- En su aviso del 9 de julio, Shun Hing afirmó que no había pruebas de uso indebido en ese momento
- PanaClub
- El aviso del 9 de julio indicó que el sistema estaba suspendido y que en ese momento no era necesario restablecer nada. Consulte el estado actual y las instrucciones en el sitio web oficial
- Investigación
- Abierta por la PCPD según su mecanismo establecido; en curso a 2 de julio
- Consultas
- PCPD: 2827 2827 · communications@pcpd.org.hk (consultas) · complaints@pcpd.org.hk (quejas)
Cómo leerlo: este es el incidente del distribuidor, no del fabricante de la marca
Según su sitio web, Shun Hing Group es desde 1953 el agente de una importante marca japonesa de electrodomésticos en Hong Kong y Macao, y presta servicios de instalación y posventa a través de sus centros de servicio. El incidente descrito aquí es el que la PCPD y Shun Hing Group han revelado sobre Shun Hing Group; ninguno afirma que se hayan visto afectados los sistemas de ningún fabricante de la marca. Si un mensaje afirma provenir de la «oficina central de la marca» sobre este incidente, verifíquelo de la misma forma: en un número que busque usted mismo.
Por qué un registro de garantía antiguo se convierte en un riesgo actual
Cuando compramos un aire acondicionado, un frigorífico o una lavadora, entregamos nuestro nombre, dirección y número de teléfono a un distribuidor o centro de servicio para la entrega, la instalación, el registro de garantía o reparaciones posteriores.
A diferencia de una contraseña, estos datos no caducan ni pueden restablecerse: la dirección de antes de mudarse, el número de teléfono registrado hace años, pueden seguir en el sistema. Los datos de clientes que enumera aquí la PCPD (nombres, direcciones, números de teléfono, correos) son exactamente este tipo de registro posventa.
Contacto «posventa» sospechoso
- Empieza recitando su nombre, dirección y el electrodoméstico que compró
- Dice que su «garantía está a punto de vencer» y quiere el pago a través de un enlace
- Le pide que «restablezca su contraseña de PanaClub» o «verifique su cuenta»
- Ofrece una «inspección en casa» de última hora y le presiona para decidir
- Pide su número de identidad o datos bancarios para «verificarle»
Hábitos más seguros
- Cuelgue y llame al número de su tarjeta de garantía o del sitio web oficial
- Renueve o pague solo a través de canales oficiales que usted mismo abra
- Compruebe cualquier acción requerida en PanaClub con la guía más reciente del sitio web oficial
- Confirme las visitas a domicilio y al técnico a través de la línea oficial de atención
- Nunca facilite datos de identidad ni bancarios en una llamada entrante
El punto no es mejorar en detectar estafadores. Es cambiar la forma de comprobar si un contacto es genuino. Antes, que alguien conociera su dirección y el electrodoméstico que compró era una señal razonable de que se trataba de un servicio posventa real. Tras esta filtración, no demuestra nada.
No confíe en una llamada basándose en lo que le diga quien llama; cuelgue y compruebe llamando de nuevo a un número que busque usted mismo.
La opinión de este sitio: anote la línea oficial de atención de sus electrodomésticos principales
Anote la marca, el modelo, la fecha de compra y la línea oficial de atención al cliente de sus electrodomésticos principales, en una tarjeta o en una nota del teléfono. Cuando alguien llame para decir que «la garantía de su aire acondicionado está por vencer», ya tendrá un número al que llamar y no necesitará nada de lo que le diga quien llama. También merece la pena presentar una solicitud de acceso a datos a las organizaciones que guardan sus datos, para saber qué conservan y durante cuánto tiempo. Para organizaciones con grandes bases de datos de clientes, la lección es conservar solo lo que el servicio posventa necesita realmente y eliminar el resto según un calendario; consulte la base mínima de seguridad para organizaciones.
Para mensajes de texto y enlaces sospechosos en su teléfono, consulte conceptos básicos de seguridad del smartphone. Para otras filtraciones de este año en las que los datos de contacto filtrados hicieron más convincentes los mensajes falsos, consulte la filtración de TVING en Corea del Sur y la lista de filtraciones de 2026.
Fuentes (registro público)
Los hechos de este artículo se basan en las fuentes públicas siguientes. No se utilizan afirmaciones de atacantes ni cifras no publicadas.
- PCPD, "公署回應有關信興集團資料外洩事故" (respuesta a consulta de medios sobre la filtración de datos de Shun Hing Group, 2 de julio de 2026, solo en chino) — pcpd.org.hk
- Shun Hing Group, "Latest update on Shun Hing Group cybersecurity incident" (9 de julio de 2026) — shunhinggroup.com
- Shun Hing Group, sitio web oficial (perfil del grupo) — shunhinggroup.com
- PCPD, folleto de preguntas y respuestas sobre "Data Access Request" — pcpd.org.hk
- Policía de Hong Kong, CyberDefender, Scameter — cyberdefender.hk
- Policía de Hong Kong, Centro de Coordinación Antiengaño (línea de ayuda contra estafas 18222) — adcc.gov.hk
Historial de actualizaciones
2026-10-19: Corrección limitada: la suspensión, la ausencia de necesidad de restablecimiento y la falta de pruebas de uso indebido se fechan en el aviso del 9 de julio; los datos de contacto se describen como potencialmente implicados. Compruebe el estado actual abriendo el sitio web oficial para su guía más reciente. La guía de solicitud de acceso a datos de 40 días distingue ahora entre la imposibilidad de completar y la denegación por motivos legales. No pudimos volver a consultar la respuesta de incidente de la PCPD, por lo que se mantienen sus cifras y elementos de datos, así como la fecha de última verificación.
2026-09-30: Primera versión, basada en la respuesta de la PCPD del 2 de julio de 2026 a una consulta de medios y en el aviso de Shun Hing Group del 9 de julio de 2026 (verificado el 30 de septiembre de 2026).
Lectura recomendada
- Llamadas y mensajes falsos: ¿Qué es el phishing? / Conceptos básicos de seguridad del smartphone
- Protección de sus cuentas: Cómo elegir un gestor de contraseñas / Cómo elegir la autenticación multifactor
- Otros incidentes de 2026: La filtración de datos de TVING / Lista de filtraciones y ciberataques (Japón y mundial)
- Para operadores: La base mínima de seguridad para organizaciones