Para: quienes hayan solicitado en Japón el servicio de compra a domicilio de Treasure Factory (Trefac) o Trefac Moving, y quienes gestionen un sistema que recibe solicitudes de servicio. Este artículo se basa en los avisos oficiales de la empresa y no trata técnicas de ataque ni de estafa.
En desarrollo: este artículo se actualizará a medida que la organización publique más información
A 24 de octubre de 2026Aún no se sabe
- Causa detallada
- Resultados de la investigación externa
- Cuándo y cómo se enviarán los avisos individuales
- Línea de atención específica
- Número de personas que corresponden al recuento de registros
En su aviso del 23 de octubre, la empresa dijo que investiga la causa detallada y el alcance con una empresa externa de seguridad. Se está preparando una línea de atención específica y la empresa dice que la anunciará en su sitio web en cuanto esté lista.
Qué deben hacer hoy los clientes de compra a domicilio y de Trefac Moving
Compruebe si está afectado: los datos de tiendas y de la app quedan fuera
Según la empresa, el sistema al que se accedió es el sistema de gestión de casos usado para recibir y tramitar las solicitudes de compra a domicilio y de Trefac Moving. Los datos de clientes que se conservan en las tiendas y los que se gestionan en la app de la empresa están en sistemas distintos y no se vieron afectados.
Si solo vendió artículos en el mostrador de una tienda, o solo usa la app, queda fuera del alcance anunciado por la empresa. Si alguna vez solicitó la compra a domicilio o Trefac Moving en línea o por otros medios, suponga que su dirección de correo puede estar incluida y siga los pasos siguientes.
No abra enlaces de correos ni mensajes que digan ser de Trefac
La empresa dice que las direcciones de correo sustraídas "podrían usarse para correos de phishing y otros contactos fraudulentos". Quien solicitó la compra a domicilio o una mudanza no se sorprendería de recibir mensajes sobre tasaciones, presupuestos, citas de visita o el reinicio del servicio, lo que hace más difícil detectar mensajes falsos sobre esos temas.
Para comprobar cualquier cosa, use el sitio oficial o la app que usted mismo abra, no un enlace de un correo (vea ¿Qué es el phishing?).
No introduzca números de tarjeta ni contraseñas
La empresa dice que los datos de clientes sustraídos no incluían números de tarjeta ni otra información de pago. Nada en el aviso pide a los clientes volver a registrar los datos de la tarjeta ni "verificar su identidad" por este incidente. Si un correo se lo pide, no responda.
La propia empresa pide no introducir contraseñas ni datos de tarjeta en sitios sospechosos.
Si alguien llama, cuelgue y llame al número oficial
La empresa aconseja que, tras una llamada sospechosa, busque usted mismo los datos de contacto oficiales de la organización que mencionó quien llamó y la contacte. No devuelva la llamada a un número que le hayan dado por teléfono; use el que figura en el sitio web oficial.
Espere los avisos individuales y el anuncio de la línea de atención
La empresa dice que tiene previsto contactar individualmente con los clientes afectados sobre el incidente y las precauciones que deben tomar. Se está preparando una línea de atención específica.
A 24 de octubre, la empresa no había indicado cómo se enviarán los avisos (correo electrónico, correo postal u otro medio). Si recibe algo que parezca un aviso, no siga ningún paso a través de sus enlaces; compárelo con los anuncios del sitio oficial.
Sobre los 11 registros que incluyen también nombre y dirección
Según la empresa, 11 de los 746.277 registros de clientes incluyen nombre y dirección además de la dirección de correo. No ha dicho a quién corresponden. El correo postal o electrónico que usa su nombre y dirección resulta más convincente, así que espere el aviso individual de la empresa y compruebe su contenido en el sitio oficial.
Qué ocurrió (según los avisos de Treasure Factory)
El 23 de octubre de 2026, Treasure Factory Co., Ltd. publicó un aviso sobre una filtración de datos personales causada por un acceso no autorizado, tanto como divulgación oportuna en la Bolsa de Tokio como en su sitio de reutilización para consumidores. Todo lo que sigue procede de los avisos de la empresa.
20 de octubre de 2026, de madrugada a la mañana
Un tercero aprovechó una vulnerabilidad del sistema de la empresa y se llevó datos de clientes y otros datos (confirmado por la empresa mediante una revisión de los registros de acceso).20 de octubre, 10:30
La empresa cortó el acceso externo al sistema de gestión de casos.20 de octubre, 11:05
Dejó de aceptar solicitudes por los formularios de compra a domicilio, Trefac Moving y otros.23 de octubre
La empresa anunció el incidente en una divulgación oportuna y en su sitio web, junto con un aviso de que algunos servicios se suspendían por trabajos de seguridad. Dijo que lo está comunicando a la Comisión de Protección de Información Personal de Japón y que consulta y comunica el caso a la policía y otras autoridades.28 de octubre (previsto)
Está previsto reiniciar el sistema y los formularios de solicitud alrededor de esta fecha, tras aplicar las medidas de seguridad y las comprobaciones necesarias.
- Sistema
- El sistema de gestión de casos usado para recibir y tramitar las solicitudes de compra a domicilio y de Trefac Moving
- Datos de clientes
- 746.277 registros. El dato es la dirección de correo electrónico; 11 registros incluyen también nombre y dirección
- Socios y empleados
- 750 registros de nombres y direcciones de correo de socios comerciales, empleados y otras personas
- Datos de dispositivos
- 1.000 registros de nombres e identificadores de dispositivos usados por socios comerciales, empleados y otras personas
- No incluido
- Números de tarjeta de crédito, códigos de seguridad y otra información de pago (confirmado por la empresa). Datos de clientes que se conservan en tiendas y en la app de la empresa (gestionados en sistemas distintos)
- Causa
- La empresa cree que se aprovechó una vulnerabilidad relacionada con el acceso a la base de datos. Dice haber confirmado que el incidente no está relacionado con una vulnerabilidad de PHP divulgada recientemente
- Daño secundario
- Ninguno confirmado a 23 de octubre
- Respuesta
- Acceso externo detenido y contraseñas de cuentas relacionadas cambiadas, entre otras medidas. Trabajos en curso para corregir la vulnerabilidad aprovechada, reforzar la seguridad de inicio de sesión y vigilar los accesos sospechosos
- Comunicación a autoridades
- Comunicación a la Comisión de Protección de Información Personal; consulta y comunicación a la policía y otras autoridades
- Contacto
- Se está preparando una línea de atención específica (se anunciará en el sitio oficial)
Sistema de gestión de casos
Solicitudes de compra a domicilio y de Trefac Moving. Se accedió el 20 de octubre
Datos de clientes de tiendas
Sistema distinto. No afectado (empresa)
Datos de clientes de la app
Sistema distinto. No afectado (empresa)
↓ datos confirmados como sustraídos
746.277 registros de correo de clientes
11 también con nombre y dirección. Sin datos de pago (empresa)
↓ lo que puede ocurrir después en general
Correos y mensajes que dicen ser de Trefac
Se hacen pasar por tasaciones, presupuestos, fechas de visita o avisos de reinicio
↓ no use los enlaces
Abra usted mismo el sitio oficial o la app para comprobar
Qué puede pasar cuando solo se filtra una dirección de correo
Una dirección de correo por sí sola no permite a nadie iniciar sesión en una cuenta ni sacar dinero. El problema es que se conoce junto con el hecho de que esta persona ha solicitado el servicio de compra a domicilio o de mudanza de Trefac. En general, puede ocurrir lo siguiente (la empresa no ha informado de nada de esto en este caso).
Lo que puede ocurrir en general
- Falsos resultados de tasación, presupuestos o cambios de cita que dicen ser de Trefac
- Correos que se hacen pasar por una disculpa, una compensación o una "campaña de reinicio" y llevan a otro sitio
- La dirección se añade a listas de spam, lo que aumenta el spam en general
Lo que usted puede hacer
- Compruebe sus solicitudes en el sitio oficial o la app
- Ignore cualquier contacto que pida datos de tarjeta o bancarios en nombre de una disculpa o compensación
- Use la denuncia de spam y los filtros, y no abra enlaces de remitentes desconocidos
Para otro caso en que se filtraron direcciones de correo, vea la filtración de correos de JR East, View Card y JR Kyushu. En el mismo mes, la gran cadena de reutilización Bookoff también anunció una filtración de datos de socios. Los dos incidentes no están relacionados.
Qué se sabe y qué no
Según los avisos de la empresa a 24 de octubre de 2026 (la divulgación oportuna del 23 de octubre y el aviso del sitio web). La columna de estado se actualizará cuando haya novedades.
| Elemento | Lo que dijo la empresa | Estado |
|---|---|---|
| Correos electrónicos de clientes | 746.277 registros confirmados como sustraídos | Filtración confirmada (empresa) |
| Nombres y direcciones de clientes | 11 de esos registros incluyen nombre y dirección | Filtración confirmada (empresa) |
| Datos de socios y empleados | 750 nombres y correos; 1.000 nombres e identificadores de dispositivos | Filtración confirmada (empresa) |
| Números de tarjeta y otros datos de pago | Confirmado que no se incluyeron en los datos de clientes sustraídos | No incluido (empresa) |
| Datos de clientes de tiendas y de la app | Gestionados en sistemas distintos; no afectados | No incluido (empresa) |
| Números de teléfono y contraseñas | No figuran entre los datos sustraídos | No indicado |
| Número de personas | Publicado como recuento de registros; no se da el número de personas | No indicado |
| Fecha y hora del acceso | De madrugada a la mañana del 20 de octubre | Confirmado (empresa) |
| Causa | Se cree que fue una vulnerabilidad aprovechada relacionada con el acceso a la base de datos; detalles en investigación | En investigación |
| Relación con la vulnerabilidad de PHP | Confirmado que no tiene relación con una vulnerabilidad de PHP divulgada recientemente | Confirmado (empresa) |
| Daño secundario | Ninguno confirmado (a 23 de octubre) | No confirmado (empresa) |
| Avisos individuales | Previstos para los clientes afectados; no se indican plazo ni método | Previsto (empresa) |
| Línea de atención específica | En preparación | En preparación (empresa) |
| Reinicio del servicio | Previsto alrededor del 28 de octubre de 2026 | Previsto (empresa) |
| Impacto en los resultados | En evaluación (divulgación oportuna) | En investigación |
Diferencia entre la divulgación oportuna y el aviso del sitio web
El desglose de los datos de clientes (746.277 registros, 11 con nombre y dirección, sin información de pago) figura en la divulgación oportuna del 23 de octubre. El aviso del sitio web del mismo día enumera los 750 y 1.000 registros de socios y empleados, pero no encontramos en él el recuento de registros de clientes (comprobado el 24 de octubre). Las cifras de este artículo proceden de la divulgación oportuna.
En agosto de 2026 también se anunció una filtración de datos personales por acceso no autorizado en Kindal, una filial consolidada del grupo (incluida en la lista de este sitio de filtraciones y ciberataques de 2026). Treasure Factory dice que el caso anterior implicó credenciales de cuentas del personal obtenidas mediante phishing, mientras que este implicó una vulnerabilidad aprovechada relacionada con el acceso a la base de datos, por lo que las causas y las vías de entrada son distintas. La empresa dice que desde agosto está revisando y reforzando la autenticación y los derechos de acceso en todo el grupo.
Para quienes gestionan sistemas de recepción de solicitudes
No se ha publicado la causa detallada, así que esta sección se limita a lo que respaldan los hechos anunciados. No especulamos sobre el tipo de vulnerabilidad ni afirmamos que cerrar una brecha concreta lo habría evitado.
Haga una lista de los sistemas internos detrás de sus formularios de solicitud que se pueden alcanzar desde el exterior
El sistema implicado era el sistema de gestión de casos usado para recibir solicitudes y tareas relacionadas. Para evitar que se repita, la empresa menciona la gestión de vulnerabilidades y las pruebas de los sistemas expuestos al exterior, y defensas como un WAF (cortafuegos de aplicaciones web, que filtra ataques a aplicaciones web).
Haga una lista de qué sistemas de gestión de casos y de clientes detrás de sus formularios de solicitud se pueden alcanzar desde internet, y asigne a cada uno un responsable y un procedimiento de actualización. Para las pantallas de administración que no necesitan acceso externo, restringir desde dónde pueden venir las conexiones es el primer paso.
Separar los sistemas limita cuánto puede filtrarse
La empresa dice que los datos de clientes que se conservan en las tiendas y en su app están gestionados en sistemas distintos, por lo que no se vieron afectados. Poder explicar que los datos de tiendas y de la app quedan fuera del alcance reduce las consultas y la preocupación.
No concentrar en un solo lugar los datos de clientes de todas las líneas de negocio es uno de los factores que determinan el tamaño del daño cuando no se detiene una intrusión.
Decida cuánto tiempo conservar los datos de contacto de casos terminados
Se sustrajeron más de 740.000 registros de correo de clientes. En general, decida durante cuántos años conservar los datos de contacto recogidos para solicitudes y presupuestos una vez terminada la operación y, pasado ese plazo, elimínelos o quite los datos de contacto y conserve solo los números necesarios para informes; eso limita el daño si algo sale mal (no se ha informado de cuánto tiempo conservaba la empresa esos datos).
Conserve los registros de acceso en un formato que pueda leer el mismo día
La empresa dice que confirmó el robo de datos mediante una revisión de los registros de acceso el mismo día del acceso y que cortó el acceso externo a las 10:30. Tener registros que existan y se puedan leer es lo que permite delimitar el alcance y cortar con rapidez. Decida dónde se guardan los registros y quién los revisa y cuándo. Para reducir los correos falsos que usan su propio dominio, vea Suplantación de correo y SPF, DKIM y DMARC.
Fuentes (registro público)
Los hechos de este artículo proceden de las fuentes públicas siguientes. No se especula sobre los detalles no divulgados de la intrusión ni sobre el número de personas afectadas.
- Treasure Factory Co., Ltd., aviso sobre una filtración de datos personales por acceso no autorizado a su sistema (23 de octubre de 2026, divulgación oportuna, en japonés) — nikkei.com (PDF de la divulgación oportuna)
- Treasure Factory Co., Ltd., disculpa y aviso sobre una filtración de datos personales por acceso no autorizado (23 de octubre de 2026, en japonés) — treasure-f.com
- Treasure Factory Co., Ltd., aviso de suspensión parcial del servicio por trabajos de seguridad (23 de octubre de 2026, en japonés) — treasure-f.com
Historial de actualizaciones
2026-10-24: Primera versión, basada en la divulgación oportuna de Treasure Factory del 23 de octubre y en los avisos de su sitio web. Se actualizará cuando se anuncien la causa detallada, los avisos individuales o la línea de atención.
Lea a continuación
- Filtración de datos de and ST HD (unos 2,5 millones de registros de clientes): qué pudo filtrarse y qué deben hacer los miembros
- Filtraciones de direcciones de correo: La filtración de correos de JR East, View Card y JR Kyushu
- Un caso del sector de la reutilización del mismo periodo: La filtración de Bookoff
- Cómo prepararse para los correos falsos: ¿Qué es el phishing?
- Otro caso japonés del mismo periodo: La filtración de datos de Abahouse
- Otros incidentes de 2026: lista de filtraciones y ciberataques (Japón y el mundo)