Filtraciones de datos de Yamato y Sagawa (2026): usuarios afectados y respuesta

Según el quinto aviso de Sagawa Express, del 23 de octubre de 2026, se incluyen tres grupos: (1) datos de guías de los paquetes que gestionó la empresa: nombre, dirección y teléfono de remitentes y destinatarios, del 21 de junio al 30 de septiembre de 2026 (unos 100 días, según el tiempo que el sistema conserva los datos de guías); (2) datos de contrato de clientes con tarifas de flete acordadas: nombre, dirección y teléfono; y (3) datos de miembros de usuarios registrados en su servicio web Smart Club: nombre, dirección, teléfono, correo electrónico y número de miembro de Smart Club. No se incluyen los paquetes aceptados con guías escritas a mano. El número de registros de datos personales que podrían haberse filtrado es, por ahora, de hasta unos 53,23 millones, con duplicados incluidos. No se incluyen datos de tarjetas de crédito ni contraseñas. Aún se está comprobando si se incluyen el contenido de los paquetes (nombres de artículos) o el historial de entregas, junto con otros detalles de los datos (P3-4 de las preguntas frecuentes).

No. En su quinto aviso, Sagawa afirma que se trata del máximo actual tras fusionar parcialmente los registros que duplicaban a un mismo cliente, y que los datos de guías, en particular, todavía contienen una gran cantidad de duplicados, por lo que no muestra el número real de personas afectadas. Tampoco es un recuento de registros confirmados como salidos de la empresa. En el caso de los clientes empresariales se cuentan los datos que identifican a una persona, como el nombre de un contacto, mientras que los registros con solo el nombre de una empresa no se cuentan. Sagawa no publica recuentos separados para los grupos (1) a (3), y explica que los numerosos duplicados dificultan mostrar el número real de personas.

Según el cuarto aviso de Yamato Transport, del 16 de octubre de 2026, una investigación realizada con una empresa externa de seguridad constató que se obtuvieron los siguientes datos. (1) De algunos usuarios del servicio de pago diferido Kuroneko (Kuroneko Daikin Atobarai): nombre, dirección, teléfono, correo electrónico, detalles de artículos (nombre del artículo, cantidad, precio unitario y similares) y datos internos de gestión (número de solicitud, fecha de pedido, número de evaluación crediticia y similares), del 1 de octubre de 2018 al 28 de septiembre de 2026: unos 5,26 millones de registros, de los cuales unos 490.000 incluyen una dirección de correo electrónico. (2) De la información de dirección de entrega de algunos usuarios: nombre, dirección, teléfono y número de seguimiento (guía) del destinatario, del 5 de febrero de 2021 al 28 de septiembre de 2026: unos 50.000 registros. (3) De algunas tiendas participantes: nombre del comercio y código de comercio: unos 4.100 registros. No se incluyen datos de tarjetas de crédito ni contraseñas. No se halló que se hubieran obtenido los importes de facturación, los saldos pendientes ni los nombres de empleados, que el segundo aviso indicaba que podrían haberse filtrado.

En su cuarto aviso, Yamato dice que contactará individualmente y por orden con las personas cuyos datos fueron obtenidos. Para las personas a las que no puede localizar, por ejemplo porque han cambiado sus datos registrados, afirma que el propio cuarto aviso sirve como notificación. Aunque no reciba ningún mensaje, si usó el pago diferido de Kuroneko para pedidos en línea desde octubre de 2018, dé por hecho que podría verse afectado y esté preparado para los mensajes falsos. Las consultas se dirigen al contacto de correo electrónico de la página del aviso (scmail2@kuronekoyamato.co.jp).

Sí. Según el tercer aviso de Yamato Transport, del 9 de octubre de 2026, los comprobantes de pago con vencimiento a partir del 28 de septiembre de 2026 reciben 17 días adicionales para compensar la interrupción del servicio. Por ejemplo, un comprobante con fecha límite de pago el 1 de octubre vence ahora el 18 de octubre. Basta con pagar dentro del plazo ampliado; si un mensaje le dice que su pago está vencido y debe pagarlo de inmediato, no use su enlace ni su número de teléfono.

Sí. El aviso de Sagawa abarca tanto a los remitentes como a los destinatarios de los paquetes que gestionó. Si algo que compró en línea fue entregado por Sagawa, su nombre, dirección y teléfono pueden incluirse como destinatario, aunque nunca se haya registrado en ningún servicio de Sagawa. El periodo abarca los paquetes gestionados por la empresa del 21 de junio al 30 de septiembre de 2026 (unos 100 días). No se incluyen los paquetes aceptados con guías escritas a mano.

El aviso de cada empresa cubre solo su propio servicio, y ninguno menciona el otro incidente. Las fechas de detección (28 de septiembre en Yamato y 30 de septiembre en Sagawa) y los servicios afectados también son diferentes. Este artículo los trata como incidentes separados.

No. Según las preguntas frecuentes de Sagawa Express (P1-4), el incidente de julio fue causado por un error de configuración durante los trabajos de recuperación tras una avería del sistema, y no por un acceso no autorizado de un tercero. En esta ocasión sí se confirmó un acceso no autorizado de un tercero.

Yamato Transport afirma oficialmente que no envía avisos de entrega fallida ni de entrega programada por SMS, y que no pide por correo electrónico ni por SMS la confirmación de dirección ni el pago relacionado con una nueva entrega. Sagawa Express afirma que no envía avisos por SMS sobre la recogida y la entrega. Si recibe un SMS a nombre de cualquiera de las dos empresas sobre una entrega fallida o una dirección desconocida, elimínelo sin abrir el enlace.

No use el enlace ni el número de teléfono del mensaje. Abra el historial de pedidos de la tienda donde compró el artículo y compruebe que el método de pago, el importe y la fecha del pedido coinciden. Yamato describe el servicio como un pago posterior, por ejemplo en una tienda de conveniencia, con un comprobante de pago o con un aviso enviado a su teléfono inteligente después de recibir la mercancía. Lleve cualquier factura que no reconozca, o con un importe o método de pago distinto, directamente a la tienda.

Ambas empresas afirman que las contraseñas no están entre los datos que podrían haberse filtrado. Sin embargo, se incluyen los correos electrónicos y los números de miembro de los usuarios de Smart Club, así que, si usa la misma contraseña en otros servicios, este es un buen momento para cambiarla.

A fecha del 24 de octubre de 2026, ninguna de las dos empresas ha revelado cómo se produjo el acceso no autorizado ni cuál fue su causa. El cuarto aviso de Yamato, del 16 de octubre, indica los datos obtenidos y los recuentos, pero describe la causa solo como un acceso no autorizado de un tercero; dice que reforzará su seguridad con medidas a medio y largo plazo, siguiendo el consejo de especialistas externos, además de las medidas ya adoptadas. En su quinto aviso, del 23 de octubre, Sagawa afirma que, según la investigación de un especialista externo, está revisando su seguridad de la información, incluido el refuerzo de la gestión de accesos y la supervisión, y que seguirá trabajando para identificar la causa (sus preguntas frecuentes P1-2 indican todavía que la causa está en investigación).

Sí. Sagawa Express afirma que reanudó su servicio de seguimiento de paquetes (consulta de paquetes de flete en internet) el 23 de octubre de 2026 (viernes), tras adoptar las medidas de seguridad necesarias y confirmar que era seguro, y que puede usarse desde el sitio web como antes. Para más información, puede consultar en su sucursal más cercana. Ocho servicios siguen detenidos sin fecha de reanudación: la API de seguimiento, la reserva en línea para la entrega de paquetes Hikyaku, la entrega de ida y vuelta y la entrega de ida y vuelta para golf, el servicio de devolución y reembolso de productos, dos servicios de cambio de dirección de entrega y Kaishu-kun. Compruebe un paquete escribiendo el número de seguimiento en el sitio oficial que abra usted mismo, no a través de un enlace en un SMS o un correo electrónico.

En una respuesta de preguntas frecuentes añadida el 8 de octubre y actualizada el 23 de octubre, Sagawa Express afirma que presentó un informe preliminar ante la Comisión de Protección de Información Personal de Japón (PPC) el 1 de octubre, y que se prepara para presentar el informe final, conjuntamente en su propio nombre y en el de sus remitentes (empresas que encargan a Sagawa la entrega). Los remitentes que no acepten el informe conjunto deben presentar sus propios informes preliminar y final. Un informe conjunto no impide que un remitente también informe por su cuenta, y los remitentes que ya hayan informado individualmente pueden cambiarse al informe conjunto. Sagawa dice que enviará a los remitentes afectados los detalles del procedimiento una vez confirmados el número de registros afectados y otros datos necesarios, y que actualizará su informe a medida que avance la investigación.