A quién va dirigido: cualquier persona que se haya registrado en el sitio de reservas o en Mi Página de White Essence (blanqueamiento y limpieza dental en Japón), y el personal de clínicas franquiciadas o de la sede. Este artículo es una guía basada en los propios anuncios de White Essence Co., Ltd.; no trata métodos de ataque.
En desarrollo: este artículo se actualizará a medida que la organización publique más información
A fecha del 30 de octubre de 2026Aún no se sabe
- Desglose de la cifra (clientes, personal de clínicas, sede)
- Detalles de la vulnerabilidad
- A quién se avisa individualmente y cómo
- Si se produce algún daño secundario
- Cuándo se reanudará Mi Página
- Si habrá compensación
En su aviso del 5 de octubre la empresa dice que volverá a anunciarlo cuando se reanude Mi Página. En su aviso del 12 de agosto dijo que informaría sin demora de cualquier hecho nuevo que halle la investigación. No da un calendario para más novedades. Consultamos la lista de noticias de la empresa el 30 de octubre y no encontramos ningún aviso sobre este incidente posterior al del 5 de octubre.
Qué deben hacer hoy los usuarios de White Essence
Sepa si podría estar afectado
Los datos filtrados son los que estaban registrados en la empresa a fecha del 5 de agosto de 2026. El número de afectados es de unas 1,05 millones de cuentas, un total que incluye clientes, personal de clínicas franquiciadas y empleados de la sede (la empresa). Los datos registrados difieren según la persona, por lo que no todos los datos se aplican a todos.
Si alguna vez se registró en el sitio de reservas o en Mi Página, siga con los pasos siguientes como si pudiera estar afectado. La empresa dice que contacta individualmente a quienes tienen datos filtrados más allá de los enumerados.
Cambie cualquier otro servicio que reutilice el mismo ID y contraseña
La empresa dice que el ID de acceso y la contraseña se extrajeron en forma cifrada. Incluso cifrada, una contraseña fácil de adivinar puede averiguarse (es un punto general, no algo que haya dicho la empresa).
La empresa pide que cambie la contraseña de cualquier otro servicio donde use la misma combinación de ID de acceso y contraseña. Para su propio servicio, dice que no hace falta que haga nada porque Mi Página está actualmente suspendida (a fecha del 5 de octubre). Para saber cómo cambiarlas, consulte cómo comprobar si su contraseña se filtró y cómo elegir un gestor de contraseñas, y active la autenticación multifactor donde esté disponible.
No use los enlaces ni los números de mensajes que digan proceder de la empresa o de una clínica
La empresa dice que, como los datos filtrados incluyen nombres y datos de contacto, pueden llegar correos, llamadas o cartas sospechosos que se hagan pasar por la empresa o por otros negocios. Su aviso del 12 de agosto advertía también de correo postal, correos y llamadas que se hacían pasar por la empresa o por sus clínicas franquiciadas.
Con una dirección, un teléfono, un correo electrónico, una fecha de nacimiento y datos de uso juntos, es fácil redactar un mensaje convincente. Si recibe un mensaje sobre una "confirmación de reserva", un "reembolso del blanqueamiento" o una "actualización de la cuenta", no use los enlaces ni los teléfonos que contenga; compruébelo en un sitio oficial que abra usted mismo o a través de la línea específica de la empresa.
Rechace cualquier petición de números de tarjeta, PIN o contraseñas
La empresa dice que nunca pedirá números de tarjeta de crédito, PIN, contraseñas ni similares por teléfono o correo. Aunque un mensaje diga proceder de la empresa, no acceda, no abra la URL indicada ni introduzca datos (petición de la empresa). Un mensaje que no reconozca puede ser phishing o una estafa por SMS.
Si tiene dudas, contacte usted mismo con la línea específica de la empresa
La empresa habilitó una línea específica para este incidente: 0120-385-035 (gratuita en Japón). El horario era de 10:00 a 19:00 todos los días, incluidos fines de semana y festivos, desde el lunes 5 de octubre hasta el domingo 18 de octubre, y solo en días laborables, de 10:00 a 19:00, desde el lunes 19 de octubre (aviso del 5 de octubre). El aviso indica también un contacto por correo electrónico.
Confirme los datos de contacto en el aviso oficial de la empresa (véanse las Fuentes de esta página) antes de usarlos. No llame a números escritos en un correo o SMS que haya recibido.
1. Un correo / SMS / llamada / carta que dice ser de White Essence o de una clínica
El nombre, la dirección y la fecha de nacimiento son correctos -> no juzgue aquí
↓
2. No use sus enlaces ni números; abra usted mismo el sitio oficial o contacte con la línea específica de la empresa
Confirme primero los datos de contacto en el aviso oficial
↓
3-A. Una petición que no puede verificar
Introducir números de tarjeta, PIN o contraseñas, abrir la URL -> no acceda
3-B. El canal oficial da las mismas indicaciones
Siga las indicaciones oficiales para cualquier paso
Qué pasó (según White Essence)
Lo siguiente se basa en los avisos de la empresa del 12 de agosto de 2026 (actualizado en parte el 19 de agosto y el 10 de septiembre) y del 5 de octubre. El cuerpo del aviso del 5 de octubre se publica como imágenes; leímos esas imágenes directamente y transcribimos el contenido.
5 de agosto de 2026
Se confirmó un acceso no autorizado a sus sistemas desde el exterior12 de agosto (miércoles)
Para proteger los datos de los clientes y evitar más daños, la empresa suspendió sus sistemas y publicó su primer aviso en su sitio web. En ese momento los datos afectados seguían en investigaciónDespués
La investigación continuada halló que se había extraído información personal al exterior. La empresa resolvió la vulnerabilidad y adoptó las medidas necesarias y, tras la confirmación del organismo externo especializado, reanudó los servicios dentro del alcance que pudo confirmar como seguro5 de octubre (lunes)
Publicó 'Apology and Notice Regarding Leak of Personal Information Due to Unauthorized Access', con los datos filtrados, unas 1,05 millones de cuentas y la causa. Indica que informó del asunto a la Comisión de Protección de Información Personal y consultó a la policía
- Número de afectados
- Unas 1,05 millones de cuentas. Un total que incluye clientes, personal de clínicas franquiciadas y empleados de la sede
- Datos personales que se filtraron
- Nombre, dirección, teléfono, correo electrónico, fecha de nacimiento, género, lugar de trabajo, ID de acceso y contraseña (en forma cifrada), información sobre el uso de los servicios y las respuestas, número de gestión de la empresa y similares. Los datos registrados difieren según el cliente, por lo que no todos los datos se aplican a todos
- No incluidos
- No conserva datos de cuentas de entidades financieras, y no se filtró ninguno. No ha confirmado que se filtraran imágenes de clientes
- Causa
- Se explotó una vulnerabilidad en el programa del sitio de reservas y se usó como punto de partida para acceder sin autorización a los sistemas centrales. La vulnerabilidad ya se ha resuelto con el asesoramiento y la orientación de expertos
- Prevención y autoridades
- Introdujo un mecanismo para detectar y bloquear comunicaciones no autorizadas; revisa el método de autenticación, la configuración del sistema y los ajustes de permisos; refuerza la supervisión. Informó a la Comisión de Protección de Información Personal y consultó a la policía
- Estado del servicio
- La función Mi Página está actualmente suspendida; volverá a anunciarlo cuando se reanude (a fecha del 5 de octubre)
Qué se sabe y qué no
Esta es la situación a fecha del 30 de octubre de 2026. Reescribiremos la tabla cuando haya novedades.
| Elemento | Qué dice la empresa | Estado |
|---|---|---|
| Se produjo un acceso no autorizado | Confirmado el 5 de agosto; sistemas suspendidos el 12 de agosto | Confirmado (empresa) |
| Se extrajo información personal al exterior | La investigación halló que se había extraído | Filtración confirmada (empresa) |
| Número de afectados | Unas 1,05 millones de cuentas (clientes, personal de clínicas y empleados de la sede en total) | Confirmado (empresa) |
| Nombre, dirección, teléfono, correo, fecha de nacimiento, género, lugar de trabajo | Enumerados como datos filtrados (no todos los datos para todos) | Filtración confirmada (empresa) |
| ID de acceso y contraseña | Filtrados en forma cifrada | Filtración confirmada (empresa) |
| Información de uso y respuestas de los servicios, número de gestión | Enumerados como datos filtrados | Filtración confirmada (empresa) |
| Datos de cuentas de entidades financieras | No los conserva; no se filtraron | No incluidos (empresa) |
| Imágenes de clientes | No se ha confirmado ninguna filtración | No confirmado (empresa) |
| Datos de tarjetas de crédito | No figuran entre los datos filtrados enumerados | No se indica |
| Desglose de clientes, personal de clínicas y sede | No se da | No se indica |
| Causa | Se explotó una vulnerabilidad en el programa del sitio de reservas y luego los sistemas centrales | Confirmado (empresa); sin detalle sobre la vulnerabilidad |
| Daños secundarios | Ninguno confirmado a fecha del 5 de octubre; pueden llegar mensajes sospechosos | No confirmados (empresa) |
| Avisos individuales | Contacto individual para quienes tienen datos filtrados más allá de los enumerados; por orden a quienes tienen datos de contacto confirmados | No se indica (quiénes exactamente y cómo) |
| Compensación | No se indica | No se indica |
Nota de lectura: la cifra es de 'cuentas', no de clientes
Las unas 1,05 millones son un recuento de cuentas, descrito como un total que incluye clientes, personal de clínicas franquiciadas y empleados de la sede. No se da el número de clientes por separado ni cómo se relacionan las cuentas con las personas. El aviso tampoco dice cómo se 'cifraron' las contraseñas (de forma reversible o no), por lo que no damos por hecho que sean seguras y recomendamos cambiar cualquier contraseña reutilizada.
Para qué podría usarse la combinación de datos filtrados
Lo siguiente es a lo que, en general, puede llevar una combinación así de datos, no algo que la empresa haya dicho que ocurrió aquí.
- Nombre + dirección + teléfono + correo + fecha de nacimiento: permite redactar correos, SMS, llamadas o cartas convincentes que se hagan pasar por la empresa o por una clínica dental. Una fecha de nacimiento es fácil de usar para fingir una verificación de su identidad (la propia empresa enumera los mensajes sospechosos como una posibilidad)
- Información de uso y respuestas de los servicios: permite que un mensaje suene como si conociera su tratamiento o su reserva, y puede usarse para llevarle a un falso "cambio de reserva" o "reembolso"
- Correo + ID de acceso + contraseña cifrada: si la contraseña es fácil de adivinar, puede probarse en otros servicios. Dejar de reutilizar contraseñas es el paso más eficaz
- Lugar de trabajo: permite que un mensaje suene como si supiera dónde trabaja
Gran parte de esto se evita no usando los enlaces ni los números de un mensaje y comprobándolo por un canal oficial que busque usted mismo.
Qué deben revisar los operadores
La causa no se ha explicado en detalle, así que enumeramos solo lo que puede decirse a partir de lo publicado.
- Un sitio de reservas como vía de entrada a los sistemas centrales: la empresa dice que una vulnerabilidad en el programa del sitio de reservas fue el punto de partida. En general conviene comprobar la separación entre las pantallas de cara al público y los sistemas centrales que guardan datos de clientes, y los permisos entre ambos. La empresa enumera también entre sus medidas de prevención una revisión de la configuración del sistema y de los ajustes de permisos.
- Cuántos datos conservar: se almacenaban direcciones, fechas de nacimiento, lugares de trabajo e información de uso. Decida qué necesita el servicio y compruebe que no conserva lo que no necesita.
- Explicar cómo se almacenaron las contraseñas: decir solo "cifradas" no permite a los usuarios juzgar su seguridad. Poder explicar el método de almacenamiento y qué protege frente a la reutilización hace que un aviso de brecha sea más fácil de atender.
Fuentes (registros públicos)
Los hechos de este artículo proceden de la siguiente información pública. No hemos especulado sobre nada que no se haya publicado.
- White Essence Co., Ltd., "Apology and Notice Regarding Leak of Personal Information Due to Unauthorized Access" (5 de octubre de 2026; en japonés) — whiteessence.com
- White Essence Co., Ltd., "Notice of Suspension of Booking Site and Systems Following Unauthorized Access to Our Systems" (12 de agosto de 2026; actualizado en parte el 19 de agosto y el 10 de septiembre; en japonés) — whiteessence.com
Historial de actualizaciones
2026-10-30: Primera versión. Basada en el aviso de White Essence Co., Ltd. del 5 de octubre (el cuerpo son imágenes, que leímos directamente) y en su aviso del 12 de agosto. Consultamos la lista de noticias de la empresa el 30 de octubre y no encontramos nada más reciente sobre este incidente que el 5 de octubre. Actualizaremos cuando se publiquen el desglose, el detalle de la vulnerabilidad, la compensación y similares.
Lectura recomendada
- Casos similares (datos de acceso y de contacto de miembros): acceso no autorizado a NIFTY / acceso no autorizado a la base de datos de miembros de So-net
- Un caso minorista japonés del mismo periodo: MrMax (nombres, correos y teléfonos de miembros)
- Estafas derivadas: ¿Qué es el phishing? / Fundamentos de seguridad en el smartphone
- Proteja sus cuentas: Cómo comprobar si su contraseña se filtró / Cómo elegir un gestor de contraseñas / Cómo elegir la autenticación multifactor
- Otros incidentes de 2026: Filtraciones de datos y ciberataques en 2026 (Japón y en el mundo)