Para: quienes usan ultra pay Card, Azul Claro Numazu Pay (アスルクラロ沼津Pay), Kamigami Kon Pay (巫神こんPay) o Toshiba Brave Lupus Tokyo Pay (東芝ブレイブルーパス東京Pay), o los usaron y después se dieron de baja. Este artículo es una explicación basada en el aviso oficial de Yeny, Inc. y no trata técnicas de ataque.
En desarrollo: este artículo se actualizará a medida que la organización publique más información
- A quién afecta
quienes usan ultra pay Card, Azul Claro Numazu Pay (アスルクラロ沼津Pay), Kamigami Kon Pay (巫神こんPay) o Toshiba Brave Lupus Tokyo Pay (東芝ブレイブルーパス東京Pay), o los usaron y después se dieron de baja.
- Confirmado hasta ahoraVer la tabla ↓
- Teléfono
- ID de miembro (propio de la empresa)
- Cifra de afectados
2 más
- Causa
- Comunicación a las autoridades
- Aún sin confirmar
- Si se incluyen datos distintos de los teléfonos y los ID de miembro
- Desglose de la cifra por servicio
- Periodo de la filtración y quién obtuvo los datos
2 más
- Cuándo se notificará a los usuarios afectados y cómo se trata a los antiguos miembros
- Si los datos se han usado de forma indebida
- Qué hacer ahoraVer los pasos ↓
- No responda a SMS ni llamadas en nombre de ultra pay o de los equipos
- Consulte los avisos de la app para saber si está afectado
- No devuelva la llamada al número de un SMS. Contacte con la empresa por los canales oficiales
2 más
- Revise por precaución los extractos de su tarjeta y de su cuenta
- Si abrió un enlace o introdujo datos, pida ayuda de inmediato
- Dónde verificarlo (fuente)Todas las fuentes ↓
- Yeny, Inc., «Apology and notice about the leak of member information due to unauthorized access» (12 de noviembre de 2026, en japonés)
- Última comprobación
- A fecha del 14 de noviembre de 2026
Próximos avisos y qué comprobamos
La empresa dice que el aviso se basa en la información a las 15:00 del 12 de noviembre de 2026 y que puede actualizarse tras nuevas investigaciones. Dice que anunciará las novedades en cada app y en su sitio a medida que las haya. Cuando consultamos los avisos de la empresa el 14 de noviembre de 2026, no encontramos ningún seguimiento posterior al aviso del 12 de noviembre.
Qué deben hacer hoy los usuarios
No responda a SMS ni llamadas en nombre de ultra pay o de los equipos
La empresa advierte de SMS y llamadas que se hacen pasar por ella. Dice que nunca pide a los usuarios que introduzcan contraseñas o datos de tarjeta por SMS o teléfono. Si recibe un SMS que no reconoce, no abra la URL, no introduzca datos personales y bórrelo.
Cuando se conoce su teléfono, es más fácil crear SMS y llamadas creíbles como «confirme el uso de ultra pay», «una campaña del Pay de su equipo» o «confirme un uso no autorizado» (opinión de este sitio). Véase ¿Qué es el phishing? para saber distinguirlos.
Consulte los avisos de la app para saber si está afectado
La empresa dice que los usuarios afectados serán notificados en la sección de avisos de la app. No use un enlace de un SMS o correo. Abra usted mismo la app oficial en su teléfono y lea sus avisos.
Se trata de cuatro servicios. Si usa más de una app, revise cada una. Si no encuentra un aviso, puede consultar mediante el formulario de consultas indicado en el aviso.
No devuelva la llamada al número de un SMS. Contacte con la empresa por los canales oficiales
Cuando llegue un contacto sospechoso, use la app oficial o el punto de contacto del sitio oficial de la empresa, no el número ni la URL del SMS. La empresa atiende las consultas sobre este asunto mediante un formulario específico. El aviso no indica una dirección de correo ni un teléfono aparte.
Revise por precaución los extractos de su tarjeta y de su cuenta
La empresa dice que no se ha confirmado la filtración de datos de pago y que estos datos por sí solos no sirven para pagos. Si aun así le preocupan cargos sospechosos, revise los extractos de su medio de pago registrado (empresa de la tarjeta o banco) en busca de cargos que no reconozca.
Si abrió un enlace o introdujo datos, pida ayuda de inmediato
Si introdujo un número de tarjeta o una contraseña en el enlace de un SMS sospechoso, contacte de inmediato con la empresa de su tarjeta o su banco y cambie la contraseña de cualquier servicio donde use la misma. En Japón también puede llamar a la línea de consultas de la policía (#9110) o a la línea del consumidor (188). Para comprobar actividad sospechosa en una cuenta, véase Cómo comprobar si hay accesos no autorizados.
Qué pasó (según el aviso de Yeny, Inc.)
El 12 de noviembre de 2026, Yeny, Inc. publicó en su sitio web «Disculpas y aviso sobre la filtración de datos de miembros por un acceso no autorizado». Todo lo que sigue procede de ese aviso.
31 oct.
Una empresa conectada concreta avisó a la empresa de llamadas sospechosas a la API. La empresa inició una investigación preliminar.2 nov.
La misma empresa avisó de que los teléfonos podían haberse filtrado. La empresa confirmó un fallo de configuración y respondió con un mantenimiento de emergencia.3–4 nov.
La empresa investigó en detalle la causa y el impacto.5 nov.
La empresa confirmó que se habían filtrado datos de miembros (teléfonos y sus propios ID de miembro).6 nov.
La empresa lo comunicó a la Oficina Financiera Local de Kanto y a la Comisión de Protección de Información Personal.12 nov.
La empresa publicó el aviso (información a las 15:00).
- Servicios
- ultra pay Card, Azul Claro Numazu Pay (アスルクラロ沼津Pay), Kamigami Kon Pay (巫神こんPay), Toshiba Brave Lupus Tokyo Pay (東芝ブレイブルーパス東京Pay)
- Cifra
- 1.332.505 registros (incluidos antiguos miembros)
- Datos filtrados
- Teléfonos, ID de miembro propios de la empresa
- No incluidos
- No se ha confirmado la filtración de datos de pago como números de tarjeta de crédito. La empresa explica que los datos filtrados por sí solos no pueden usarse para iniciar sesión sin autorización en su app ni para pagos
- Causa
- Un fallo en el ajuste de conexión de API de la empresa
- Aviso a los usuarios afectados
- La sección de avisos de la app
- Consultas
- Un formulario de consultas específico para este asunto
Qué se sabe y qué no
Esta tabla se basa en el aviso de la empresa del 12 de noviembre, a fecha del 14 de noviembre de 2026. Cuando aparezcan avisos de seguimiento, actualizaremos la columna de estado.
| Elemento | Qué dice el aviso | Estado |
|---|---|---|
| Teléfono | Incluido en los datos filtrados | Filtración confirmada (empresa) |
| ID de miembro (propio de la empresa) | Incluido en los datos filtrados | Filtración confirmada (empresa) |
| Cifra de afectados | 1.332.505 registros (incluidos antiguos miembros) | Filtración confirmada (empresa; registros, no personas) |
| Desglose de la cifra por servicio | No indicado | No indicado |
| Datos de pago como números de tarjeta de crédito | Filtración no confirmada | No incluidos (empresa, por ahora) |
| Uso para inicio de sesión no autorizado o pagos | La empresa explica que los datos filtrados por sí solos no pueden usarse | Explicación de la empresa |
| Nombre, correo electrónico, dirección | No figuran como datos | No indicado |
| Causa | Un fallo en el ajuste de conexión de API de la empresa | Filtración confirmada (empresa) |
| Quién obtuvo los datos, método, periodo | Solo que una empresa conectada concreta avisó de llamadas sospechosas a la API | No indicado |
| Comunicación a las autoridades | Comunicado a la Oficina Financiera Local de Kanto y a la Comisión de Protección de Información Personal el 6 de nov. | Filtración confirmada (empresa) |
| Aviso a los usuarios afectados | La sección de avisos de la app | Previsto (empresa) |
| Aviso a los antiguos miembros | Incluidos en la cifra, pero no se indica cómo se les avisa | No indicado |
| Uso indebido | El aviso no recoge ningún uso indebido confirmado. Advierte de SMS y llamadas que se hacen pasar por la empresa | No indicado |
Para qué pueden usarse los teléfonos y los ID de miembro
La tabla siguiente describe lo que en general puede ocurrir con esta combinación de datos. No significa que haya ocurrido en este incidente.
| Dato filtrado | Qué puede ocurrir en general | Qué deben hacer los usuarios |
|---|---|---|
| Teléfono | Contacto falso creíble por SMS o teléfono | No abra URL de contactos desconocidos; compruebe en la app oficial |
| ID de miembro (propio de la empresa) | Contacto que finge una consulta o comprobación de uso y cita el ID para ganar confianza | Que le citen un ID no lo hace auténtico; no devuelva la llamada, use los canales oficiales |
| Teléfono + ID de miembro | Contacto que usa «comprobación de cuenta» o «comprobación de uso no autorizado» para obtener contraseñas o datos de tarjeta | La empresa dice que no pide contraseñas ni datos de tarjeta por SMS o teléfono |
A qué pueden llevar los datos filtrados
- SMS y llamadas creíbles en nombre de ultra pay o de los servicios Pay de los equipos
- Sitios falsos a los que se llega mediante mensajes de «comprobación de uso» o «comprobación de uso no autorizado»
- Consultas falsas que citan el ID de miembro para ganar confianza
Lo que no está confirmado, según el aviso
- Filtración de datos de pago como números de tarjeta de crédito (por ahora)
- Inicio de sesión no autorizado o pagos usando solo los datos filtrados (explicación de la empresa)
Qué deben revisar los operadores: ajustes de las API compartidas con empresas externas
La causa no se ha revelado en detalle, así que esta sección solo trata lo que se desprende de los hechos publicados.
- Limite lo que devuelve una API compartida con el exterior: la empresa dice que un fallo en un ajuste de conexión de API provocó la filtración de datos de miembros, incluidos teléfonos. En general, una API para una empresa externa es más segura si está configurada para devolver solo los datos que esa empresa necesita, lo que limita el impacto de un error de configuración.
- Vigile las llamadas inesperadas a la API: en el aviso de la empresa, el primer aviso de llamadas sospechosas vino de una empresa conectada. Vigilar el volumen de llamadas y quién llama, y tener un procedimiento para detener las llamadas anómalas, puede acortar el tiempo hasta detectarlo. La empresa dice también que revisará su vigilancia y detección.
Fuentes (registros públicos)
Los hechos de este artículo se basan en el siguiente aviso oficial. No especulamos sobre detalles de la causa que no se han revelado.
- Yeny, Inc., «Apology and notice about the leak of member information due to unauthorized access» (12 de noviembre de 2026, en japonés) — yeny.jp
Historial de actualizaciones
2026-11-14: Primera versión, basada en el aviso de Yeny, Inc. del 12 de noviembre. Consultamos el aviso oficial el mismo día y no encontramos ningún seguimiento.
Lectura recomendada
- Un incidente de tipo similar (filtraciones de pagos y tarjetas prepago): Acceso no autorizado a Value Card de Value Design (números de tarjeta, PIN, saldos)
- Cómo reconocer contactos falsos: ¿Qué es el phishing? / Seguridad básica del smartphone
- Actividad sospechosa en una cuenta: Cómo comprobar si hay accesos no autorizados
- Otros incidentes de 2026: Filtraciones de datos y ciberataques (Japón y en el mundo)