Para: personas registradas en la app oficial de Yakiniku King en Japón, y cualquiera que gestione una app de socios. Este artículo se basa en el aviso oficial de Monogatari Corporation y no describe técnicas de ataque.
Qué deben hacer hoy los socios
No siga enlaces ni instrucciones de correos, SMS o llamadas que digan ser de Yakiniku King
Los datos filtrados combinan nombre, número de teléfono, correo y número de socio. Con todo eso, un estafador puede enviar un mensaje con su nombre correcto y su número de socio.
Si recibe un mensaje sobre «cupones de disculpa», «puntos de regalo», «ha ganado una campaña» o «trámites de reembolso», no abra el enlace; abra la app usted mismo para comprobarlo. Los SMS falsos (smishing) se tratan de la misma forma (véase ¿Qué es el phishing?).
Nunca introduzca datos de tarjeta ni contraseñas en una página a la que llegue desde un enlace
La empresa afirma que no pedirá contraseñas ni datos de tarjeta de crédito. También dice que no guarda datos de pago en primer lugar.
Que alguien conozca su nombre y número de socio no demuestra que sea auténtico. Esos son justo los datos que se filtraron. Si alguien pide un número de tarjeta en nombre de un reembolso o una disculpa, considérelo falso.
Si reutiliza la misma contraseña en otros servicios, sepárelas
La empresa afirma que las contraseñas de inicio de sesión no se filtraron. Según el aviso, no es necesario cambiar de inmediato la contraseña de la app.
Si usa la misma contraseña en otros servicios, sepárelas ahora. Un gestor de contraseñas es la forma realista de hacer el inventario.
Esté atento a llamadas y SMS desconocidos durante un tiempo
Puede crear una nueva dirección de correo, pero un número de teléfono está ligado a la vida diaria y no es fácil de cambiar. Los números filtrados podrían recibir llamadas y SMS fraudulentos durante mucho tiempo, incluidos algunos que no tienen nada que ver con Yakiniku King.
Activar los filtros de llamadas y SMS no deseados del teléfono reduce cuántos llegan (contexto: Conceptos básicos de seguridad en el smartphone).
Contacte con la empresa solo en el número publicado
Para consultas, llame al centro de atención de la app de la empresa (0120-795-775, de 10:00 a 18:00, hora de Japón, incluidos fines de semana y festivos). Use el número de la web oficial de Monogatari Corporation, no uno que aparezca en un mensaje recibido.
Qué ocurrió (según el aviso de Monogatari Corporation)
Monogatari Corporation publicó su disculpa y aviso el 5 de octubre de 2026. Todo lo que sigue es lo que indica el aviso de la empresa.
2 oct 2026 (vie)
En el sistema de gestión de socios de la app oficial de Yakiniku King se confirmó un acceso no autorizado de un tercero. La empresa cortó las comunicaciones y aplicó medidas defensivas. Su aviso del 20 de octubre indica que los ataques intermitentes de un tercero externo comenzaron a las 9:00 a. m. de ese día.3 oct (sáb)
Se confirmó la filtración de datos de socios.5 oct
Publicación de la disculpa y el aviso. La empresa indicó que informa a la Comisión de Protección de Información Personal y presenta un informe de daños ante la policía, entre otras medidas.20 oct
Anuncio de medidas para reforzar la seguridad y la protección de datos personales: vigilancia continua más estricta, estudio de un sistema de detección basado en IA y traslado previsto de las 11 apps oficiales del grupo a un nuevo sistema que no guarde nombres ni números de teléfono (primera mitad de 2027). La empresa afirmó que ha denunciado el caso ante la policía y que está tramitando su informe ante la Comisión de Protección de Información Personal.
- Quiénes
- 10.788.963 de los 10.808.784 registros de la app oficial de Yakiniku King
- Datos filtrados
- Número de socio, nombre (el nombre registrado en la app), dirección de correo electrónico, número de teléfono
- No filtrados
- Contraseña de inicio de sesión, fecha de nacimiento, género, código postal, historial de visitas a tiendas, incluidos los puntos. La empresa no guarda datos de pago como tarjetas de crédito
- Publicación o uso indebido
- No se ha encontrado hasta ahora publicación al público general ni uso indebido
- Causa
- No revelada. Investigación detallada en curso con la colaboración de la empresa desarrolladora y empresas relacionadas. El aviso del 20 de octubre indica que los ataques intermitentes de un tercero externo comenzaron a las 9:00 a. m. del 2 de octubre
- Medidas adicionales (20 de octubre)
- Con la colaboración de empresas relacionadas, medidas adicionales contra intrusiones desde el exterior y vigilancia continua más estricta. Se estudia un sistema de detección basado en IA
- Datos que se guardan (20 de octubre)
- Las 11 apps oficiales del grupo, incluida Yakiniku King, pasarán a un nuevo sistema con menos datos personales; ya no se guardarán nombres ni números de teléfono. Previsto para la primera mitad de 2027. Las direcciones de correo seguirán recogiéndose para las reservas, con el objetivo a largo plazo de tampoco guardarlas
- Denuncias (20 de octubre)
- Denunciado ante la policía. Informe ante la Comisión de Protección de Información Personal en tramitación. La situación también se ha comunicado y compartido con los ministerios gubernamentales competentes, y se ha establecido un marco con organizaciones relevantes por si se produce un daño secundario
- Servicio
- La app oficial sigue funcionando, con medidas defensivas contra accesos no autorizados desde el exterior
- Otras marcas
- Las mismas medidas se aplicaron a las apps oficiales de las otras marcas de la empresa, y la empresa afirma que allí no se ha producido ninguna filtración
- Contacto
- Centro de atención de la app, 0120-795-775 (de 10:00 a 18:00, hora de Japón, incluidos fines de semana y festivos)
Para qué pueden usarse los datos filtrados combinados
Ninguno de estos datos es raro por sí solo, pero juntos hacen que los mensajes fraudulentos parezcan auténticos. Las fechas de nacimiento y las direcciones no se incluyeron esta vez; lo destacable es que tres formas de contactarle (nombre con teléfono y correo) se filtraron juntas.
Nombre + correo + número de socio
↓→
Correos falsos de cupones o reembolsos con su nombre y número de socio correctos
→ No abra enlaces; consulte en la app oficial
Nombre + número de teléfono
↓→
SMS y llamadas falsas que usan su nombre
→ Nunca dé datos de tarjeta; use filtros de SMS no deseados
No filtrados, según la empresa
- Contraseña de inicio de sesión
- Fecha de nacimiento, género y código postal
- Historial de visitas a tiendas, incluidos los puntos
- Datos de pago (nunca guardados)
Filtrados
- Número de socio
- Nombre (el nombre registrado en la app)
- Dirección de correo electrónico (se puede cambiar, pero es molesto)
- Número de teléfono (no es fácil de cambiar)
Cómo leerlo: «no se ha encontrado uso indebido» no significa «seguro a partir de ahora»
La empresa afirma que hasta ahora no se ha encontrado publicación ni uso indebido de los datos filtrados. Eso significa que aún no se ha encontrado nada, no que los datos nunca vayan a usarse.
Los números de teléfono suelen mantenerse durante años, así que pueden usarse en mensajes fraudulentos meses o años después. Esté atento a mensajes que usen este incidente como excusa para contactarle.
El nombre filtrado se describe como el «nombre de registro en la app». Si se registró con un apodo y recibe un mensaje dirigido a ese apodo, podría estar usando datos de esta filtración.
Para quienes gestionan apps de socios
Los registros filtrados abarcan más del 99 % de los registros de la app: los datos de contacto de casi todos los socios se filtraron desde un único sistema de gestión de socios. La causa no se ha revelado, así que esta sección se limita a puntos que cualquier servicio con una configuración similar puede revisar. El 20 de octubre, la empresa anunció que, para evitar que se repita, sus apps dejarán de guardar nombres y números de teléfono. Los datos que no se guardan no pueden filtrarse, por lo que preguntarse si cada dato es realmente necesario es lo primero, antes de los límites de lectura y las alertas. Cómo limitar lo que puede leer el servidor de una app se trata en la filtración de la app de Seicomart; aquí añadimos puntos específicos de la escala de este incidente.
Limite cuántos registros puede leer una operación o una cuenta
Incluso las pantallas de administración y las funciones de gestión rara vez necesitan leer millones de registros a la vez en el trabajo normal. Establezca un límite de registros devueltos por cada búsqueda o exportación, y traslade las exportaciones completas a un procedimiento aparte (con aprobación o en horario restringido).
Configurar límites y alertas cuando se alcancen se trata en Limitación de tasa y control de abuso.
Registre las filas leídas por hora y alerte ante diferencias respecto a lo normal
Como primer paso, registre cuántas filas se leen de la base de datos de socios cada hora y notifique a alguien cuando la cifra supere varias veces el nivel habitual. Muchas bases de datos en la nube y funciones de registro de auditoría permiten configurar alertas por número de filas o tiempo de ejecución.
Revisar las lecturas a horas inusuales o desde orígenes inusuales, no solo la cantidad, también facilita detectar anomalías.
Liste cada vía que pueda leer los datos de todos los socios y redúzcala
Además de la vía que usa la app, un sistema de gestión de socios suele tener conexiones para pantallas de administración, desarrollo y mantenimiento. Liste qué vías pueden leer los datos de todos los socios, desactive las conexiones no utilizadas y exija autenticación multifactor y restricciones de origen en el resto (contexto: Autenticación frente a autorización).
Fuentes (registro público)
Los hechos de este artículo proceden de las fuentes públicas que se indican a continuación. No se especula sobre métodos o causas no revelados de la intrusión.
- Monogatari Corporation, disculpa por la filtración de datos personales debida al acceso no autorizado de un tercero al sistema de gestión de socios de la app oficial de Yakiniku King (5 de octubre de 2026, en japonés) — monogatari.co.jp
- La misma empresa, aviso sobre medidas futuras de seguridad y protección de datos personales de la app oficial de Yakiniku King (20 de octubre de 2026, en japonés) — monogatari.co.jp
- ITmedia NEWS (5 de octubre de 2026, en japonés) — itmedia.co.jp
- Nikkei, informe sobre la filtración de datos de clientes de Yakiniku King de más de 10 millones de registros (5 de octubre de 2026, en japonés) — nikkei.com
- ASCII, informe que indica que los datos de 10,78 millones de personas se filtraron, abarcando casi todos los registrados en la app (5 de octubre de 2026, vía Yahoo! News Japan, en japonés) — news.yahoo.co.jp
Historial de actualizaciones
2026-10-22: Se añade el aviso de Monogatari Corporation del 20 de octubre: los accesos no autorizados intermitentes desde las 9:00 a. m. del 2 de octubre, la vigilancia reforzada y otras medidas, el traslado previsto de las 11 apps oficiales del grupo a un nuevo sistema que no guarde nombres ni números de teléfono (primera mitad de 2027), y la situación de la denuncia ante la policía y del informe ante la Comisión de Protección de Información Personal. Los detalles de la causa aún no se han publicado.
2026-10-05: Primera versión, basada en el aviso de Monogatari Corporation del 5 de octubre. La empresa afirma que investiga la causa y la forma en que se produjo el acceso; este artículo se actualizará cuando se publique.
Lectura recomendada
- Estafas derivadas: ¿Qué es el phishing? / Conceptos básicos de seguridad en el smartphone
- Contraseñas: Cómo elegir un gestor de contraseñas
- Otros incidentes japoneses de la misma época: La filtración de la app de Seicomart / La filtración de Abahouse / La filtración de la app y la tienda online de MrMax / La filtración de datos de socios de Bookoff (hasta unos 6,43 millones de registros) / La filtración del sitio de encuestas infoQ / La filtración de la app de Burger King Japan (unos 11,18 millones de registros)
- El sistema de pedidos de una cadena de restaurantes: La filtración del servicio de pedidos online de Pizza Hut Japan
- Otros incidentes de 2026: lista de filtraciones y ciberataques (Japón y el mundo)