Este artículo va dirigido a: personas que tienen una tarjeta prepago de tienda (dinero electrónico interno), como MOS Card, la tarjeta prepago de la cadena MOS Burger en Japón, y empresas que externalizan un sistema de este tipo de tarjetas. Se basa en los anuncios oficiales de PayCloud Holdings, Value Design y MOS Food Services y no describe cómo se llevó a cabo el ataque.
En desarrollo: este artículo se actualizará a medida que la organización publique más información
A fecha de 26 de octubre de 2026Aún no se sabe
- Qué otros emisores y tarjetas se vieron afectados
- Cómo se relaciona la cifra de MOS Card con el total de Value Card
- Cómo pueden los titulares establecer un nuevo PIN
- Cómo se gestionarán las tarjetas no emitidas y no puestas en circulación
- Qué vulnerabilidad fue explotada
PayCloud Holdings indicó en su anuncio del 23 de octubre que comunicará con prontitud cualquier hecho nuevo que se descubra. MOS Food Services también afirmó que publicará con prontitud en su sitio web cualquier hecho nuevo que deba darse a conocer. Cuando revisamos el listado de noticias de cada empresa el 26 de octubre, no se había publicado ninguna novedad.
Qué deben hacer hoy los titulares de tarjetas
Revise el historial de uso de su MOS Card
MOS Food Services pide a los titulares que revisen si hay usos desconocidos, como deducciones de saldo. Si encuentra alguno, contacte con la línea de ayuda específica de MOS Card.
La línea de ayuda atiende de 9:00 a 22:00. El número es 03-3496-8322 hasta el lunes 26 de octubre, y 0120-395-126 (gratuito en Japón) desde el martes 27 de octubre.
Si dejan de funcionar las consultas de saldo en línea, llame a la línea de ayuda
Según la empresa, los PIN vinculados a los números de tarjeta expuestos han sido restablecidos forzosamente. El uso de la tarjeta en tienda, en pedidos en línea y con "pedir desde la mesa" no se ve afectado.
La empresa pide que contacte con la línea de ayuda si no puede hacer alguna de las siguientes acciones:
- Consultar su saldo en línea
- Registrar la tarjeta en la aplicación oficial
- Usar MOS Card para una compra como invitado en pedidos en línea
La línea de ayuda puede hacer preguntas sencillas de identificación, como en qué tienda utiliza la tarjeta o cuál es su saldo.
No responda a quien le pida su PIN o el número de tarjeta
No se filtraron nombres ni datos de contacto en esta ocasión. Aun así, cuando un incidente aparece en las noticias, es habitual que las personas reciban llamadas o mensajes que se hacen pasar por la empresa o por una empresa de tarjetas y piden números para "restablecer su PIN" o "proteger su saldo".
Si alguien le pide su PIN o el número de tarjeta por teléfono, correo electrónico o SMS, no responda. Llame usted mismo al número que figura en el aviso oficial para comprobarlo (cómo detectar los fraudes: ¿Qué es el phishing?).
Para otras tarjetas prepago de tiendas, consulte los avisos del emisor
Value Card es un sistema que Value Design proporciona a numerosos emisores de tarjetas. Value Design afirma que está informando del avance a algunas empresas clientes en las que se confirmó el acceso no autorizado, pero no se ha revelado qué emisores distintos de MOS se vieron afectados.
Si tiene una tarjeta prepago de tienda, consulte los avisos en el sitio oficial de la tienda o empresa que la emitió y siga sus indicaciones sobre si debe reemitir la tarjeta o cambiar el PIN. A 26 de octubre, MOS Food Services no había anunciado reemisiones de tarjetas.
Por qué importan el número de tarjeta y el PIN juntos
Muchas tarjetas prepago identifican al titular por el número de tarjeta y el PIN, y no por su nombre. El aviso de MOS Food Services enumera como funciones afectadas por el restablecimiento de PIN las consultas de saldo en línea, el registro en la aplicación y las compras como invitado en pedidos en línea. La empresa afirma que restableció los PIN para evitar usos indebidos. En general, aunque no haya nombres ni direcciones, el número de tarjeta y el PIN pueden bastar para usar el saldo en algunas situaciones.
Qué ocurrió (según los anuncios de las empresas)
El 23 de octubre de 2026, tres empresas publicaron avisos: Value Design Inc. (operadora de Value Card), su empresa matriz PayCloud Holdings, Inc. (cotizada en el mercado de crecimiento de la Bolsa de Tokio) y MOS Food Services, Inc., emisora de MOS Card, que contrata a Value Design para operar y mantener los servidores de MOS Card. El aviso de MOS Food Services no menciona el nombre "Value Card". El aviso de Value Design remite a los lectores a la información de su matriz para más detalles. Todo lo que sigue procede de estos anuncios.
14 de octubre (mié.) a 18 de octubre (dom.) de 2026
Value Design detectó accesos sospechosos e intentos de inicio de sesión no autorizados contra el sistema de gestión de MOS Card y adoptó de inmediato medidas de emergencia, como el bloqueo de accesos (anuncio de MOS Food Services).19 de octubre (lun.)
Fecha que PayCloud Holdings indica como fecha de confirmación del incidente.22 de octubre (jue.)
Value Design publicó un aviso de que había suspendido otros servicios (Arara Cashless y un servicio de recarga en línea) como medida preventiva ante una vulnerabilidad de PHP. Ese aviso indica que el servicio ASP de Value Card seguía en funcionamiento. Ningún anuncio señala una relación con este incidente.23 de octubre (vie.)
PayCloud Holdings (comunicado a la bolsa), Value Design y MOS Food Services anunciaron el incidente. MOS Food Services indica que restableció forzosamente los PIN vinculados a los números de tarjeta expuestos (no se indica la fecha del restablecimiento).27 de octubre (mar.)
Está previsto que la línea de ayuda de MOS Card pase a 0120-395-126 (gratuito en Japón).
- Sistema afectado
- Los servidores de Value Card, un servicio interno de emisión de dinero electrónico que Value Design proporciona a emisores de tarjetas
- Datos expuestos
- Número de identificación, PIN, información de saldo
- Registros
- 1.424.748 (569.224 IDs emitidos, 855.524 IDs no emitidos). Los IDs no emitidos son IDs que aún no han sido adquiridos por un usuario
- Información personal
- Ninguna
- Impacto en los usuarios
- Existió un riesgo de uso indebido de los IDs emitidos, que se ha atendido. No hay daños reales por uso indebido. Algunos usuarios pueden sufrir molestias por la respuesta
- Causa
- Un tercero explotó una vulnerabilidad de un servidor web en parte del entorno de sistemas de la filial
- Respuesta
- Se bloqueó la vía de acceso poco después del descubrimiento y se informó a las autoridades competentes. Se revisarán todos los servicios en busca de vulnerabilidades con especialistas externos
- Datos expuestos
- Número de tarjeta MOS Card (16 dígitos), PIN (6 dígitos), información de saldo
- Registros
- 1.133.070 de unos 3,8 millones de tarjetas emitidas (unas 570.000 en circulación, unas 560.000 no puestas en circulación)
- No incluido
- Información personal como nombre, dirección, número de teléfono y datos de tarjetas de crédito
- Cómo se detectó
- Se confirmó que la filtración se debió a un acceso no autorizado mediante un programa externo
- Daños
- Ninguna consulta de clientes sobre daños causados por este incidente (a 23 de octubre)
- Primera respuesta
- Restablecimiento forzoso de los PIN vinculados a los números de tarjeta expuestos
- Contacto
- Línea de ayuda específica de MOS Card (de 9:00 a 22:00): 03-3496-8322 hasta el 26 de octubre, 0120-395-126 desde el 27 de octubre
Plataforma Value Card (Value Design)
Números de identificación, PIN y saldos expuestos: 1.424.748 registros (PayCloud Holdings)
↓ Emisores de tarjetas entre los clientes de Value Design
MOS Card (MOS Food Services)
1.133.070 registros. PIN restablecidos forzosamente
Otros emisores
Nombres, tarjetas y cifras no revelados
↓ Titulares de tarjetas
Revisar el historial de uso, seguir las indicaciones del emisor, no compartir nunca el PIN
Qué se sabe y qué no
Basado en los anuncios de las tres empresas (todos con fecha 23 de octubre) a 26 de octubre de 2026. Actualizaremos la columna de estado a medida que aparezcan novedades.
| Elemento | Lo anunciado | Estado |
|---|---|---|
| Número de ID (tarjeta), PIN, saldo | Datos gestionados para Value Card y MOS Card | Filtración confirmada (PayCloud Holdings, MOS Food Services) |
| Total de Value Card | 1.424.748 (569.224 emitidos, 855.524 no emitidos) | Confirmado (PayCloud Holdings) |
| Total de MOS Card | 1.133.070 (unas 570.000 en circulación, unas 560.000 no en circulación) | Confirmado (MOS Food Services) |
| Nombres, direcciones y otra información personal | Ninguna. MOS enumera nombre, dirección, número de teléfono y datos de tarjetas de crédito | No incluidos (ambas empresas) |
| Uso indebido | Riesgo de uso indebido de los IDs emitidos atendido, sin daños reales. MOS no ha recibido consultas sobre daños | Sin daños reales (PayCloud HD); sin consultas sobre daños (MOS) |
| PIN de MOS Card | PIN vinculados a los números de tarjeta expuestos restablecidos forzosamente | Confirmado (MOS Food Services) |
| Causa | Una vulnerabilidad de servidor web explotada por un tercero. No se indica cuál | Confirmada (PayCloud Holdings); detalles no indicados |
| Otros emisores | Se está informando del avance a algunas empresas clientes, pero no se dan nombres de empresas ni de tarjetas | No indicado |
| Relación de la cifra de MOS Card con el total | Las empresas usan desgloses distintos (emitidos/no emitidos frente a en circulación/no en circulación); no se indica si la cifra de MOS forma parte del total | No indicado |
| Relación con la suspensión del 22 de octubre de otros servicios por una vulnerabilidad de PHP | No se menciona en los anuncios del 23 de octubre | No indicado |
| Gestión de tarjetas no emitidas y no puestas en circulación | No se menciona | No indicado |
Por qué no sumamos las cifras
1.424.748 es el total de Value Card indicado por PayCloud Holdings, y 1.133.070 es la cifra de MOS Card indicada por MOS Food Services. Las dos empresas desglosan sus cifras de forma distinta, y ninguna indica si la cifra de MOS Card está incluida en el total. Este artículo muestra las dos cifras por separado y no las suma ni resta.
Qué puede ocurrir cuando se exponen números de tarjeta, PIN y saldos
En general, si alguien conoce el número y el PIN de una tarjeta prepago, pueden ocurrir las siguientes situaciones (no hay ningún anuncio de que hayan ocurrido en este incidente; PayCloud Holdings afirma que no hay daños reales, y MOS Food Services indica que no ha recibido consultas sobre daños).
Lo que generalmente puede ocurrir
- Alguien usa el número de tarjeta y el PIN para gastar el saldo en línea como si fuera el titular
- Llamadas o mensajes fraudulentos que aprovechan la noticia y afirman que debe "restablecer su PIN" para obtener el número
Lo que usted puede hacer
- Revisar su historial de uso por deducciones que no reconozca
- Seguir las indicaciones del emisor (restablecimiento de PIN, reemisión)
- No dar nunca su PIN ni el número de tarjeta a nadie que se lo pida
Para un caso de tarjetas prepago y puntos en el que se vieron nombres y datos de contacto, véase la filtración de la aplicación de Seicomart. Este caso es lo contrario: no se filtraron nombres, pero sí los números necesarios para usar la propia tarjeta.
Para empresas que externalizan un sistema de tarjetas prepago
La única causa revelada es "una vulnerabilidad de servidor web"; se desconoce qué producto o vulnerabilidad fue. Esta sección se limita a lo que muestran la secuencia de hechos revelada y los datos expuestos.
Sepa qué datos suyos están en la plataforma del proveedor
En este incidente, el operador de la plataforma publicó la cifra global y el emisor, MOS Food Services, publicó la cifra de sus propias tarjetas. Un emisor debe explicar a sus propios clientes, con sus propias palabras, quién está afectado y qué deben hacer. Compruebe en tiempos normales cuántos de sus números de tarjeta, PIN y saldos (incluidas las tarjetas aún no vendidas) se almacenan en la plataforma del proveedor.
Prepare un procedimiento para restablecer PIN en masa
MOS Food Services restableció forzosamente los PIN vinculados a los números de tarjeta expuestos y afirma que el uso en tienda no se ve afectado. Por otro lado, algunos titulares ya no pueden consultar saldos en línea ni registrar la aplicación, por lo que la empresa los atiende a través de su línea de ayuda. Decidir de antemano qué funciones pierden los titulares tras un restablecimiento masivo de PIN, y cómo establecerán uno nuevo, agiliza la publicación del aviso.
Proteja los datos de las tarjetas que aún no se han vendido
En los desgloses de ambas empresas, alrededor del 50–60 % de los registros expuestos correspondían a tarjetas aún no vendidas. El número y el PIN de una tarjeta sin vender pasan a ser utilizables una vez que se vende. Revise dónde se guardan los datos de las tarjetas sin vender y si sus PIN pueden cambiarse antes de la venta, igual que con las tarjetas en uso.
MOS Food Services enumera como medidas para evitar la reincidencia: auditorías de seguridad más estrictas de los contratistas, controles más sólidos frente al acceso no autorizado a través de API, restricciones a contraseñas sencillas o de alto riesgo, restricciones de direcciones IP de origen para las cuentas de administrador, y una supervisión más estricta que incluya los entornos de los contratistas. Son medidas que la empresa afirma que adoptará; no constituyen una declaración de la causa de este incidente.
Fuentes (registro público)
Los hechos de este artículo se basan en la siguiente información pública. No hemos especulado sobre detalles de ataque o causas no revelados.
- PayCloud Holdings, Inc., aviso sobre el acceso no autorizado a un sistema proporcionado por una filial consolidada (23 de octubre de 2026, comunicado a la bolsa, en japonés) — release.tdnet.info (PDF)
- Value Design Inc., aviso sobre el acceso no autorizado a un sistema que proporciona (23 de octubre de 2026, en japonés) — valuedesign.jp
- MOS Food Services, Inc., aviso sobre la filtración de información de tarjetas prepago por acceso no autorizado (23 de octubre de 2026, comunicado a la bolsa, en japonés) — eir-parts.net (PDF)
- Sitio oficial de MOS Burger, aviso importante sobre la filtración de información de MOS Card (23 de octubre de 2026, en japonés) — mos.jp
- Value Design Inc., aviso sobre la suspensión de algunos servicios en respuesta a una vulnerabilidad crítica de PHP (22 de octubre de 2026, en japonés; no se indica relación con este incidente) — valuedesign.jp
Historial de actualizaciones
2026-10-26: Primera versión, basada en los anuncios del 23 de octubre de PayCloud Holdings, Value Design y MOS Food Services. La actualizaremos cuando se anuncien otros emisores o la causa.
Lecturas recomendadas
- Un caso de tarjetas prepago y puntos: La filtración de la aplicación de Seicomart
- Estafas derivadas: ¿Qué es el phishing?
- Una filtración a través de un proveedor de servicios: La filtración de Temairazu
- Incidentes importantes de 2026: Las principales filtraciones de datos de Japón en 2026 / lista de filtraciones y ciberataques (Japón y en todo el mundo)
- Para operadores: La base mínima de seguridad para organizaciones