Filtración de datos personales de Suntory Group (unos 90.000 empleados y personal de socios, y otros grupos): nombres y correos filtrados tras un acceso no autorizado a un servicio en la nube externo, y qué deben hacer candidatos y clientes

Según el grupo, los elementos filtrados son una combinación de nombre, correo y teléfono. Un correo con el nombre y la dirección correctos parece auténtico. Desconfíe de cualquier mensaje que diga ser de Suntory o de una empresa del grupo (Monte Bussan, Izutsu Maisen, Suntory Beverage Solution y otras) y le pida abrir un enlace o introducir información. Para comprobarlo, use el sitio oficial que abra usted mismo, no el mensaje (vea ¿qué es el phishing?).

El grupo abarca a los candidatos a la selección abierta de la vía de negocio (temprana y ordinaria) del reclutamiento de recién graduados 2026 de Suntory Holdings. Los elementos filtrados se describen como «datos de registro de My Page de candidatos y otros (nombre, correo, teléfono, etc.)».

Si recibe un mensaje sobre resultados de selección, una oferta de empleo, un cambio de fecha de entrevista o documentos adicionales, no siga el enlace; compruébelo en la My Page de reclutamiento o en el sitio oficial que abra usted mismo. Si le piden un número de cuenta bancaria, fotos de documentos de identidad o una tasa, deténgase ahí y contacte con la empresa a través de la página del aviso. Un caso parecido con candidatos a empleo se explica en el acceso no autorizado a MyBRANDS.

En Mar de Shine están afectadas las direcciones de correo de 7.323 personas registradas a finales de 2023. En Izutsu Maisen están afectados los nombres y la información de ubicación de entrega de 96 clientes de entregas y del personal que entregó.

Aunque el mensaje ofrezca un cupón de disculpa, un premio o una comprobación de la dirección de entrega, no abra el enlace ni introduzca su dirección o número de tarjeta. La empresa dice que no se incluyen datos de pago, así que nada en el aviso pide comprobar su número de tarjeta por este incidente.

Los grupos filtrados incluyen nombres y correos de empleados de empresas socias, nombres y teléfonos de empleados de socios comerciales y otros guardados en dos teléfonos móviles de empresa, y nombres y cargos de empleados de socios comerciales de Suntory. En general, un nombre, un cargo y un correo juntos facilitan falsificar una factura o una solicitud de cambio de datos bancarios en nombre de un contacto (fraude del CEO o compromiso del correo empresarial).

Verifique cualquier solicitud de cambio de datos bancarios o de pago urgente llamando al contacto al número que siempre ha usado, no al del correo.

La empresa indica como contactos para este incidente un formulario de consultas (24 horas) y un número gratuito, 0120-050-310 (operador, 9:30–17:00, cerrado sábados, domingos, festivos y el período de fin de año). Confirme el número y el formulario en la página del aviso del sitio oficial de la empresa, no en un mensaje recibido.

Según el aviso, la empresa identificó los nombres de los archivos filtrados el 28 de octubre, el día en que detectó las anomalías, y confirmó el 29 de octubre que algunos contenían información personal. Conocer los nombres de los archivos no es lo mismo que saber de quién es la información que hay dentro. En su propia organización, haga una lista de los archivos del almacenamiento compartido en la nube que contienen información personal, como listas de personal, listas de candidatos y contactos exportados, con su ubicación y su responsable (lista de inventario de seguridad).

Los grupos filtrados incluyen datos de registrados a finales de 2023 y contactos guardados en dos teléfonos móviles de empresa. El aviso no dice de qué forma se guardaban en la nube. En general, una lista exportada en un momento dado, o una copia de seguridad de los contactos de un dispositivo, tiende a quedarse aunque se borre del sistema original. Revise la nube de su organización en busca de archivos exportados que ya no se usan y borre los que no necesite.

El grupo más grande esta vez fue el de empleados y empleados de empresas socias (unos 90.000). Cuando se filtra una lista de personal, las facturas falsas también pueden llegar a los socios comerciales. Prepare de antemano un mensaje breve que pida a los socios confirmar por teléfono cualquier solicitud de cambio de datos bancarios en su nombre, junto con la lista de destinatarios, para poder emitir el aviso el mismo día en que lo divulgue (cómo detener el correo suplantado que usa su dominio).