Para: personas que registraron un número de teléfono y otros datos en la app de miembros de una tienda (tarjetas de sellos, cupones, etc.) cuando esa app usa Toypo. Este artículo se basa en los avisos oficiales de Toypo Inc. y de las tiendas que usan su app y no trata técnicas de ataque.
En desarrollo: este artículo se actualizará a medida que la organización publique más información
A fecha del 29 de octubre de 2026Aún no se sabe
- Lista completa de tiendas y empresas implicadas
- Detalles de la causa
- Resultado de la evaluación por un tercero
- Si los datos se han usado de forma indebida
- Si habrá compensación
Toypo afirma que anunciará con prontitud cualquier hecho nuevo importante en su página de avisos y otros medios. No da un calendario. El 29 de octubre consultamos las dos páginas de aviso de Toypo (la fechada el 14 de octubre y la que no tiene fecha) y los avisos de las tiendas que usan la app (JR Kyushu Food Service, Nishitetsu Wellness y Mannoya) y no encontramos ningún anuncio nuevo.
Qué deben hacer hoy los usuarios de apps de tiendas
Compruebe si está afectado, en los avisos de su app
Toypo ofrece apps de miembros (apps de gestión de clientes) a las tiendas, y funciona detrás de la app de cada tienda. El aspecto y el nombre de la app difieren de una tienda a otra, así que el nombre de la app por sí solo puede no indicarlo. Hasta donde ha encontrado este sitio, Toypo no ha publicado una lista de las tiendas que la usan.
El aviso de Toypo del 14 de octubre explica cómo saber si está afectado:
- Ha identificado a los afectados y desde el 13 de octubre los contacta uno por uno, también mediante notificaciones push en la app desde la cuenta oficial de Toypo
- Si en la sección de avisos de su app ha llegado un aviso sobre este incidente, está afectado. Si no ha llegado ninguno, no lo está
- Para comprobarlo de forma individual, contacte con Toypo
Es posible que una tienda no pueda responder. Nishitetsu Wellness afirma que el incidente ocurrió en el sistema de Toypo, por lo que no puede responder a los detalles y pide que se contacte con Toypo.
No use enlaces ni números de teléfono de mensajes que digan proceder de una tienda o de Toypo
Entre los datos que pueden haberse filtrado están el número de teléfono, el correo electrónico y el nombre. Toypo y Nishitetsu Wellness advierten de que con esta información podrían llevarse a cabo correos, SMS, llamadas y phishing sospechosos.
Si recibe un mensaje sobre "confirmar los datos de miembro", "caducidad de cupones" o un "reembolso como disculpa", no use los enlaces ni los números de teléfono que contenga. Compruébelo mediante el contacto dentro de la app o el contacto que figura en el aviso. Toypo afirma que no le pide que introduzca contraseñas, códigos de autenticación ni números de tarjeta de crédito.
Decida qué hacer con las contraseñas
Toypo afirma que no se incluyen credenciales de acceso como las contraseñas, por lo que por este incidente no hace falta cambiar la contraseña ni hacer nada más en la app, y la app, los puntos y los cupones pueden usarse como antes. Sus preguntas frecuentes piden que considere cambiar la contraseña si usa la misma en otros servicios o ve inicios de sesión sospechosos.
Este sitio recomienda que, si usa la misma contraseña en varios servicios, aproveche la ocasión para separarlas (cómo comprobar si su contraseña se ha filtrado / cómo elegir un gestor de contraseñas).
Si recibe un mensaje inesperado, avise a Toypo
Toypo afirma que no puede saber si un mensaje concreto se debe a este incidente, pero para comprobar la relación pide que, si puede, comunique a su contacto el número de teléfono del remitente, la fecha y la hora de recepción y lo que decía. Si abrió una URL o introdujo datos, cambie rápidamente la contraseña y, si introdujo una tarjeta, contacte con la emisora de la tarjeta (¿qué es el phishing?).
Elimine la cuenta de una app que ya no use
Toypo afirma que puede eliminar su cuenta desde la app, en la parte inferior de la pantalla Mi página. Al eliminarla se borran todos los datos, incluidos los datos registrados, y no se pueden restaurar. Tarda aproximadamente una semana en surtir efecto, y si inicia sesión de nuevo durante ese tiempo se cancela. No se puede hacer con una suscripción activa o un pedido aún no recibido. Compruebe que no le queden sellos ni cupones que quiera conservar antes de hacerlo.
1. Correo / SMS / llamada que dice ser de una tienda o de Toypo
El nombre y el teléfono son correctos → no decida aquí
↓
2. No use sus enlaces ni números: use usted mismo el contacto dentro de la app o el contacto indicado
Contacto de clientes de Toypo 0120-546-030 (días laborables de 9:00 a 18:00, hora de Japón)
↓
3a. Una petición que no puede confirmar
Contraseña, código de autenticación o número de tarjeta, o un pago → no responda
3b. El contacto da las mismas indicaciones
Siga las indicaciones oficiales
Qué pasó (según Toypo y las tiendas)
Lo que sigue se basa en dos páginas de aviso de Toypo Inc. y en los avisos de las tiendas. Una es "Apology and notice regarding personal information leak caused by unauthorized access" (fechada el 14 de octubre de 2026, con la cifra de personas; "el aviso del 14 de octubre" más abajo). La otra es "Apology and notice regarding personal information leak caused by unauthorized access to the Toypo app" (sin fecha ni cifra de personas; "la otra página de aviso" más abajo). El aviso del 14 de octubre dice que la información "puede haberse filtrado"; la otra página afirma que "se filtró". Toypo ofrece a las tiendas una app de gestión de clientes, la app Toypo.
4 de octubre de 2026 (dom.)
Toypo confirmó un acceso no autorizado de un tercero a su sistema. Una parte de su sistema tenía un fallo de control de acceso que permitía a un usuario autenticado obtener información de otros usuarios a la que no tenía derecho, y sus registros muestran que un tercero lo usó para obtener información de usuarios.7 de oct. (mié.)
Toypo informó a una de las tiendas que usan la app (JR Kyushu Food Service) (aviso de esa tienda).Antes del 13 de oct.
Toypo terminó de suspender la cuenta usada en el acceso y de corregir el fallo, e informó a la Comisión de Protección de Información Personal (ambas cosas según la empresa; sin fechas).13 de oct. (mar.)
Se abrió un contacto específico a las 13:00 y Toypo empezó a contactar uno por uno a los afectados mediante notificaciones push en la app (según la empresa). JR Kyushu Food Service y Nishitetsu Wellness también publicaron avisos.14 de oct. (mié.)
En su aviso fechado el 14 de octubre, Toypo indicó que los usuarios afectados son 697.209 (la información puede haberse filtrado). Mannoya también publicó su aviso.28 de oct.
ScanNetSecurity informó de que los datos de registro de 697.209 usuarios pueden haberse filtrado.
- Datos que pueden haberse filtrado
- Número de teléfono e ID de usuario o identificadores similares. Cuando están registrados: nombre, nombre en kana, correo electrónico, fecha de nacimiento, género y dirección (qué datos están registrados difiere según la persona, y no se filtró todo para todos)
- No incluidos (según la empresa)
- Contraseñas y otras credenciales de acceso, números de tarjeta de crédito y otros datos de pago, puntos, historial de visitas a tiendas, historial de compras y uso (la otra página de aviso también enumera hashes de contraseñas, tokens de autenticación e información de sesión)
- No conservados (según la empresa)
- Su servicio no conserva imágenes de documentos de identidad, número My Number ni similares
- Personas que se habían dado de baja
- No se ha confirmado ninguna filtración de las personas que ya se habían dado de baja cuando ocurrió (según la empresa)
- Respuesta hasta ahora (según la empresa)
- Corrigió el fallo. Comprueba si hay problemas similares en otros puntos, revisa el control de acceso y refuerza la supervisión y la detección. Se está organizando una evaluación de seguridad por un tercero. Informó a la Comisión de Protección de Información Personal. La otra página de aviso también cita la suspensión de la cuenta usada en el acceso y la conservación de los registros
- Contacto
- Contacto de clientes de Toypo Inc.: 0120-546-030, días laborables de 9:00 a 18:00, hora de Japón. El centro de llamadas atiende hasta las 18:00 del viernes 30 de octubre y después el contacto dentro de la app (según la empresa)
Avisos de las tiendas que usan la app
La app se usa como app de miembros de cada tienda, y cada tienda ha publicado su propia cifra de personas afectadas. Lo siguiente procede de los avisos oficiales que abrimos nosotros mismos. Las cifras son independientes por tienda y no se han sumado; ningún anuncio dice si suman los 697.209 de Toypo.
| Tienda / empresa | Qué dice el aviso | Estado |
|---|---|---|
| JR Kyushu Food Service (13 oct.) | Puede haberse filtrado la información de unos 26.900 de los unos 61.500 miembros registrados en sus 24 tiendas afectadas. Se detuvo la captación de nuevos miembros | Posible (empresa) |
| Nishitetsu Wellness (Nishijin Palace Dome, 13 oct.) | Se filtró parte de la información de usuarios de la app de miembros "Toypo". No indica el número de personas | Filtración confirmada (según lo notificado por Toypo) |
| Mannoya (14 oct.) | Están afectados los datos de registro de 12 de los 212 miembros de la app oficial "Kineya Mannoya", una marca en cuyo desarrollo colabora. Registro de nuevos miembros suspendido temporalmente | Afectados (empresa) |
El aviso de Toypo no dice qué otras tiendas o empresas usan la app.
Qué se sabe y qué no
Situación a fecha del 29 de octubre de 2026. Actualizaremos esta tabla a medida que se publique más.
| Elemento | Qué dice el aviso | Estado |
|---|---|---|
| Se produjo un acceso no autorizado | Confirmado el 4 de octubre. Los registros muestran que un tercero usó el fallo para obtener información de usuarios | Confirmado (empresa) |
| Número de teléfono, ID de usuario o identificadores similares | Filtrados | Posible (Toypo, aviso del 14 de octubre). La otra página de aviso dice "filtrados" |
| Nombre, nombre en kana, correo, fecha de nacimiento, género, dirección | Filtrados cuando están registrados | Posible (Toypo, aviso del 14 de octubre). La otra página de aviso dice "filtrados" |
| Contraseñas y otras credenciales de acceso | No incluidas (la otra página de aviso también enumera hashes de contraseñas, tokens de autenticación e información de sesión) | No incluidas (empresa) |
| Números de tarjeta de crédito y otros datos de pago | No incluidos | No incluidos (empresa) |
| Puntos, historial de visitas a tiendas, historial de compras y uso | No incluidos | No incluidos (empresa) |
| Número de personas afectadas | 697.209 personas (aviso del 14 de octubre). ScanNetSecurity informa de la misma cifra. No figura en la otra página de aviso | Anunciado (empresa) |
| Cómo saber si está afectado | Un aviso sobre este incidente en los avisos de su app significa que está afectado; si no hay aviso, no lo está (aviso del 14 de octubre) | Confirmado (empresa) |
| Tiendas y empresas implicadas | No hay una lista general. JR Kyushu Food Service, Nishitetsu Wellness y Mannoya publicaron sus propios avisos | No indicado |
| Causa | Fallo de control de acceso (un usuario autenticado puede obtener información de otros usuarios). Sin más detalle | Confirmado (empresa, solo a grandes rasgos) |
| Corrección del fallo | Completada. Ya no se puede obtener información de ese modo | Confirmado (empresa) |
| Si hay problemas similares en otros puntos | Comprobaciones adicionales en curso | En investigación |
| Evaluación por un tercero | Se está organizando una evaluación de seguridad por un tercero (aviso del 14 de octubre) | En organización (empresa) |
| Uso indebido o daños secundarios | No se ha confirmado ningún daño secundario concreto. Advierte de que pueden producirse contactos sospechosos | No confirmado (empresa) |
| Compensación | No indicada | No indicada |
Nota: 697.209 cuenta personas, no registros, y son personas cuya información puede haberse filtrado
El aviso de Toypo del 14 de octubre dice que "el número de usuarios afectados por este acceso no autorizado es de 697.209" y que la información "puede haberse filtrado". La unidad son personas, no registros. La otra página de aviso (sin fecha) no da ninguna cifra y afirma que la información "se filtró". Este sitio escribe "puede haberse filtrado" a la vista de esa diferencia. Ningún anuncio dice si las cifras por tienda (como los unos 26.900 de JR Kyushu Food Service) suman los 697.209 totales.
Para qué podría servir la combinación de datos filtrados
Lo siguiente es lo que en general puede ocurrir con esta combinación de datos. No se ha anunciado que nada de esto haya ocurrido en este incidente. Toypo afirma que no se ha confirmado ningún daño secundario concreto.
- Teléfono + nombre: SMS o llamadas que dicen ser de una tienda o servicio y usan su nombre para hacerse pasar por alguien que le conoce
- Correo electrónico + nombre y dirección: correos falsos de "actualice sus datos de miembro" o "sus puntos caducan" que parecen auténticos
- Fecha de nacimiento + nombre + dirección: podrían usarse para responder a preguntas de verificación de identidad en otros servicios. Toypo también pide estar atento a las verificaciones de identidad en otros servicios
- ID de usuario + teléfono: Toypo afirma que no se incluyen contraseñas ni datos similares, por lo que esta información por sí sola no permite iniciar sesión de inmediato en su servicio
En general, la mayoría de los mensajes falsos basados en teléfonos y correos se frustran no usando sus enlaces ni números y comprobándolo usted mismo.
Qué deben revisar los operadores
Lo que Toypo ha revelado es un fallo de control de acceso que permitía a un usuario autenticado obtener información de otros usuarios. No se han publicado detalles, por lo que esta sección cubre solo el curso de los hechos divulgado y lo que puede decirse en general.
- En general, haber iniciado sesión no basta: el servidor debe comprobar en cada solicitud no solo "¿ha iniciado sesión este usuario?" sino "¿tiene esta persona derecho a ver estos datos?" (¿qué es IDOR?). Es un punto general; no se ha anunciado que la causa de este incidente sea la misma.
- Usuarios de muchas tiendas en una misma plataforma: un fallo en una plataforma llega a la vez a los usuarios de muchas tiendas y empresas. En este incidente cada tienda publicó su propio aviso, mientras que las consultas se centralizaron en Toypo. Las tiendas pueden ayudarse decidiendo de antemano si el proveedor de la plataforma les avisará en cuanto detecte algo, y quién notifica a los usuarios y por qué vía.
- Los datos que no se tienen no pueden filtrarse: Toypo afirma que las contraseñas y otras credenciales de acceso, los números de tarjeta, el historial de visitas y los documentos de identidad no estaban en el conjunto filtrado (o no se conservan). Recopilar solo los datos que necesita una función reduce el alcance cuando algo sale mal.
Fuentes (registros públicos)
Los hechos de este artículo se basan en la información pública siguiente. No hemos conjeturado detalles de la causa ni el conjunto completo de tiendas, que no se han anunciado.
- Toypo Inc., "Apology and notice regarding personal information leak caused by unauthorized access" (en japonés, fechado el 14 de octubre de 2026, 697.209 usuarios afectados; consultado el 29 de octubre) — toypo.notion.site
- Toypo Inc., "Apology and notice regarding personal information leak caused by unauthorized access to the Toypo app" (en japonés, sin fecha ni cifra de personas; consultado el 29 de octubre) — toypo.notion.site
- Toypo Inc., "Questions and answers about unauthorized access to the Toypo app" (en japonés; enlazado desde la página anterior)
- JR Kyushu Food Service Co., Ltd., "Leak of customer information in connection with unauthorized access at Toypo Inc." (en japonés, 13 de octubre de 2026) — jrfs.co.jp / texto del aviso (PDF)
- Nishitetsu Wellness Co., Ltd., "Notice of possible personal information leak and a warning, regarding unauthorized access to the member app Toypo of Nishijin Palace Dome" (en japonés, 13 de octubre de 2026) — nishitetsu-wellness.com (lista de avisos)
- Mannoya Co., Ltd., "Leak of member information of the 'Kineya Mannoya' official app, following unauthorized access to Toypo" (en japonés, 14 de octubre de 2026) — mannoya.com
- ScanNetSecurity, "Unauthorized access to the behavioral data platform Toypo app; registration information of 697,209 users may have leaked" (en japonés, 28 de octubre de 2026, informe de prensa; 697.209 personas) — scan.netsecurity.ne.jp
- Nishinippon Shimbun, informe sobre la posible filtración de datos de unas 697.000 personas de la app de gestión de clientes del operador (en japonés; fecha de publicación no confirmada, de pago y solo se leyó el comienzo; informa de unas 697.000 personas) — nishinippon.co.jp
Historial de actualizaciones
2026-10-29: Primera versión, basada en las dos páginas de aviso de Toypo (una fechada el 14 de octubre y otra sin fecha; ambas consultadas el 29 de octubre), los avisos de tres tiendas que usan la app y dos informes de prensa. Se actualizará cuando se anuncien detalles de la causa, el resultado de la evaluación por un tercero o una compensación.
Lectura recomendada
- Incidentes japoneses con los mismos datos (nombre, teléfono, correo): MrMax / el incidente del sistema de reservas de alojamiento TEMAIRAZU
- Un caso japonés del mismo periodo: Acceso no autorizado a Joshin (antes Joshin Denki)
- Para prepararse ante mensajes falsos: ¿Qué es el phishing? / Conceptos básicos de seguridad del smartphone
- El tipo de fallo de control de acceso: ¿Qué es IDOR?
- Proteja sus cuentas: Cómo elegir un gestor de contraseñas / Cómo elegir la autenticación multifactor
- Otros incidentes de 2026: Filtraciones de datos y ciberataques en 2026 (Japón y el mundo)